보안 카메라 펌웨어에서 GitHub 관리자 토큰 대량 노출 발견!

분석가는 Hanwha 보안 카메라 펌웨어에서 AES-256-CBC 암호화 방식을 사용했으나, AES 키와 IV가 바이너리 내에 하드코딩되어 있었음을 지적합니다. 특히, `fwupgrader` 바이너리가 openssl CLI 명령어를 XOR 난독화하여 실행하는 방식은 보안 전문가들에게는 쉽게 간파될 수 있는 취약점으로 언급됩니다. 이러한 키 관리 부실(Poor Key Management)은 펌웨어 무결성 및 보안에 심각한 위협이 됩니다.

커뮤니티에서는 Vite 빌드 과정에서 `process.env`의 모든 환경 변수가 프런트엔드 코드에 포함되는 현상을 지적합니다. 이로 인해 GitHub 관리자 토큰과 같은 민감한 정보가 수십 개의 파일에 걸쳐 노출되었으며, 이는 CI/CD 파이프라인의 보안 설정 오류(CI/CD Security Misconfiguration)를 시사합니다. 해당 토큰은 수백 개의 GitHub 저장소에 대한 관리자 권한을 가지고 있어 잠재적 피해가 막대합니다.

펌웨어에서 발견된 미 국방부(US DoD) IP 주소를 포함한 환경 변수들은 Hanwha 그룹의 복잡한 사업 구조와 연관 지어 추측됩니다. Hanwha Vision의 모회사가 Hanwha 그룹이며, 항공우주 및 방산 분야의 계열사를 보유하고 있다는 점이 언급됩니다. 이는 공유 CI/CD 환경 또는 자매 회사 간의 연관성 가능성을 제기하며, 단순한 우연 이상의 의미를 가질 수 있다는 분석이 나옵니다.

다수의 사용자는 보안 카메라와 같은 민감한 제품에서 하드코딩된 자격 증명(Hardcoded Credentials)이나 기본값 보안 설정(Default Security Settings)이 부재한 현실에 대해 비판적인 시각을 보입니다. 보안이 최우선 순위가 아닌 경우가 많다는 점은 인정하지만, 최소한의 기본 보안 점검(Baseline Security Checks)은 필수적이라는 의견이 지배적입니다. 이는 전반적인 IoT 기기 보안 수준에 대한 우려를 증폭시킵니다.

최근 LLM(거대 언어 모델)의 발전으로 인해 과거에 코드 난독화(Code Obfuscation)가 보안을 유지하는 데 효과적이었던 방식이 무력화되고 있다는 분석이 나옵니다. AI는 시간이 많이 소요되는 작업에도 개의치 않고 분석을 수행할 수 있어, 난독화만으로는 더 이상 보안을 보장하기 어렵다는 점을 시사합니다. 이는 개발자들이 더 강력한 보안 아키텍처(Robust Security Architecture)를 고려해야 함을 의미합니다.