고트시 시큐리티

Goatse Security
별칭 GoatSec
로고
결성2009년 12월(16년 전)(2009-12)
목적해킹
회원앤드루 "weev" 아우언하이머
샘 오스바르
대니얼 스피틀러
레온 카이저
닉 "Rucas" 프라이스
제품
Clench
웹사이트security.goatse.fr (폐쇄됨)

고트시 시큐리티(Goatse Security, GoatSec)는 9명의 구성원으로 이루어진 소규모 그레이햇 해커 그룹으로, 보안 취약점을 발견하는 것을 전문으로 했다. 이 그룹은 인터넷 트롤링 조직인 GNAA의 산하 단체였다. 그룹의 이름은 Goatse.cx라는 쇼크 사이트에서 유래했으며, "Gaping Holes Exposed"(벌어진 구멍들을 폭로한다)를 표어로 내세웠다. 웹사이트는 2014년 5월 이후 업데이트 없이 방치되었다.

2010년 6월, 고트시 시큐리티는 약 11만 4천 명의 애플 아이패드 사용자의 이메일 주소를 확보했다. 이는 연방수사국의 수사로 이어졌고, 그룹 구성원 두 명에 대한 형사 고발이 진행되었다.

설립

GNAA에는 여러 명의 보안 연구원이 소속되어 있었다. 고트시 시큐리티의 대변인 레온 카이저에 따르면, GNAA가 발표하는 보안 정보를 진지하게 받아들일 사람이 없을 것이라고 판단했기 때문에 GNAA는 그들의 재능을 완전히 활용할 수 없었다. GNAA 구성원들이 자신들의 보안 연구 결과를 발표할 수 있는 매체를 만들기 위해, GNAA는 2009년 12월 고트시 시큐리티를 창설했다.

브라우저 취약점 발견

모질라는 자사 웹 브라우저를 인터프로토콜 익스플로잇으로부터 보호하기 위해 HTML 폼이 일반적으로 접근할 수 없는 여러 포트를 차단했다. 2010년 1월, GNAA는 모질라의 차단 목록에 6667번 포트가 포함되지 않았음을 발견했고, 이로 인해 모질라 브라우저가 교차 프로토콜 스크립트에 취약하다는 점을 확인했다. GNAA는 IRC 채널을 도배하기 위한 자바스크립트 기반의 익스플로잇을 제작했다. EF넷과 OFTC는 공격을 차단하는 데 성공했으나, 프리노드는 공격에 대응하는 데 어려움을 겪었다. 고트시 시큐리티는 이 취약점을 폭로했고, 구성원 중 한 명인 앤드루 아우언하이머(일명 "weev")가 드라마티카 백과사전에 관련 정보를 게시했다.

2010년 3월, 고트시 시큐리티는 애플의 웹 브라우저인 사파리 내에서 정수 오버플로 취약점을 발견하여 드라마티카 백과사전에 익스플로잇을 게시했다. 이들은 포트 번호에 65,536을 더하면 차단된 포트에 접근할 수 있다는 사실을 알아냈다. 이 취약점은 아이캡, 옴니웹, 그리고 Stainless 브라우저에서도 발견되었다. 애플은 3월에 데스크톱 버전 사파리의 결함을 수정했지만, 모바일 버전 브라우저에서는 수정하지 않았다. 고트시 시큐리티는 해커가 모바일 사파리의 결함을 악용하여 아이패드에 접근하고 피해를 줄 수 있다고 주장했다.

AT&T/아이패드 이메일 주소 유출

2010년 6월, 고트시 시큐리티는 AT&T 웹사이트에서 취약점을 발견했다. 당시 AT&T는 미국 내에서 애플 아이패드를 위한 유일한 3G 서비스 제공업체였다. 아이패드에서 AT&T의 3G 서비스에 가입할 때, AT&T는 아이패드의 SIM 카드에서 SIM 카드를 가져와 가입 시 제공된 이메일 주소와 연결한다. 아이패드에서의 로그인 과정을 간소화하기 위해 AT&T 웹사이트는 SIM 카드의 ICC-ID를 수신하고, 가입 시 제공된 주소를 이메일 입력란에 미리 채워 넣는다. 고트시 시큐리티는 유효한 ICC-ID를 포함한 HTTP 요청을 AT&T 웹사이트에 전송하면, 해당 ICC-ID와 연결된 이메일 주소를 웹사이트가 노출한다는 사실을 깨달았다.

2010년 6월 5일, "JacksonBrown"이라는 활동명을 사용하는 대니얼 스피틀러는 IRC 채널에서 이 취약점과 피싱을 포함한 악용 가능성에 대해 논의하기 시작했다. 고트시 시큐리티는 합법적인 ICC-ID가 입력되어 이메일 주소가 반환될 때까지 임의의 ICC-ID를 사용하여 AT&T 웹사이트에 HTTP 요청을 보내는 PHP 기반의 브루트 포스 스크립트를 제작했다. 이 스크립트는 "아이패드 3G 계정 슬러퍼(iPad 3G Account Slurper)"라고 불렸다.

이후 고트시 시큐리티는 유출된 정보를 공개하기 위해 적절한 언론 매체를 찾으려 했으며, 아우언하이머는 뉴스 코퍼레이션 및 톰슨 로이터의 임원인 아서 시스킨드 등에게 연락을 시도했다. 2010년 6월 6일, 아우언하이머는 자신의 주장을 입증하기 위해 확보한 ICC-ID 일부와 함께 이메일을 보냈다. 이 시기의 채팅 기록을 보면 이 그룹이 대중의 관심과 홍보를 목적으로 삼았음이 드러난다.

초기 주장과 달리, 그룹은 AT&T에 알리기 전에 먼저 거커 미디어에 보안 결함을 폭로했으며, 유명인, 정부, 군 관계자를 포함한 11만 4천 명의 아이패드 사용자 데이터를 노출했다. 이러한 전술은 IT 보안 결함의 적절한 공개 방식에 대한 상당한 논쟁을 불러일으켰다.

아우언하이머는 고트시 시큐리티가 업계 표준 관행을 사용했으며 "우리는 좋은 사람들이 되려고 노력했다"고 주장했다. 전자 프런티어 재단의 제니퍼 그라닉 역시 고트시 시큐리티가 사용한 전술을 옹호했다.

2010년 6월 14일, 테크크런치의 마이클 애링턴은 이 그룹에게 공로상인 'Crunchie' 상을 수여했다. 이는 연례 시상식 외적으로 수여된 첫 번째 사례였다.

연방수사국은 이 사건에 대한 수사에 착수했고, 2011년 1월 형사 고발로 이어졌으며, 아우언하이머의 자택에 대한 압수수색이 이루어졌다. 수색은 AT&T 사건과 관련이 있었으며, 아우언하이머는 구금되었다가 보석으로 풀려났다. 이후 주 차원의 마약 혐의로 체포되었으나 나중에 기각되었다. 보석 석방 후 그는 함구령을 어기고 자신의 자택 수색의 적법성과 국선변호인 접근권 거부에 대해 항의했다. 그는 또한 소송 비용을 충당하기 위해 페이팔을 통한 후원을 요청했다. 2011년 법무부는 그를 권한 없는 컴퓨터 접근 공모 혐의 및 사기 혐의로 기소하겠다고 발표했다. 공동 피고인 대니얼 스피틀러는 보석으로 풀려났다.

2012년 11월 20일, 아우언하이머는 신분 도용 및 권한 없는 컴퓨터 접근 공모 혐의에 대해 유죄 판결을 받았으며, Twitter를 통해 항소하겠다고 밝혔다. 판결 현장에 있었던 친구 알렉스 필로소프는 아우언하이머가 선고 시점까지 보석 상태로 자유를 유지할 것이라고 트윗했다.

2012년 11월 29일, 아우언하이머는 와이어드 매거진에 "Forget Disclosure - Hackers Should Keep Security Holes to Themselves"(폭로를 잊어라 - 해커들은 보안 구멍을 스스로 간직해야 한다)라는 글을 기고하며, 모든 제로데이 공격은 "사회 정의를 위해 사용할" 사람들에게만 공개되어야 한다고 주장했다.

2014년 4월 11일, 제3순회항소법원은 뉴저지에서의 재판 관할권이 부적절하다는 이유로 아우언하이머의 유죄 판결을 파기한다는 의견을 발표했다. 판사들은 사이트 접근의 적법성에 대한 실질적인 질문은 다루지 않았다. 그는 4월 11일 늦게 석방되었다.

그 외 업적

2011년 5월, 고트시 시큐리티는 긴 어드밴스트 패키징 툴 URL이 컴피즈를 충돌시킨다는 사실을 발견한 후, 여러 리눅스 배포판에 영향을 주는 DoS 취약점을 공개했다.

2012년 9월, 고트시 시큐리티는 마이크로소프트의 온라인 서비스 보안에 기여한 공로로 마이크로소프트로부터 인정을 받았다.

각주

  1. ↑ Tate, Ryan (2010년 6월 9일). “AT&T Fights Spreading iPad Fear”. 《Valleywag》. 거커 미디어. 2010년 7월 15일에 원본 문서에서 보존된 문서. 2010년 10월 17일에 확인함.
  2. 1 2 3 4 Kaiser, Leon (January 19, 2011). 《Interview: Goatse Security on FBI Charges Following AT&T iPad Breach》. Mick Jason와의 Interview: Transcript. 《DailyTech》. March 31, 2014에 원본 문서에서 보존된 문서. January 21, 2011에 확인함.
  3. 1 2 3 4 Dowell, Andrew (2010년 6월 17일). “Programmer Detained After FBI Search”. 《월스트리트 저널》 (다우 존스). 2010년 10월 11일에 확인함.
  4. 1 2 3 4 5 “Team”. 《Goatse Security》. 2010년 6월 14일. 2010년 9월 30일에 원본 문서에서 보존된 문서. 2010년 9월 22일에 확인함.
  5. 1 2 Chokshi, Niraj (2010년 6월 10일). “Meet One of the Hackers Who Exposed the iPad Security Leak”. 《디 애틀랜틱》 (The Atlantic Monthly Group). 2010년 9월 16일에 확인함.
  6. ↑ Keizer, Gregg (2010년 6월 17일). “iPad hacker arrested on multiple drug charges after FBI search”. 《컴퓨터월드》 (Computerworld Inc.). 2010년 9월 16일에 확인함.
  7. ↑ Mick, Jason (2010년 6월 14일). “AT&T Apologizes to iPad Customers, We Reveal Hackers' Locales”. 《DailyTech》 (DailyTech LLC.). 2010년 8월 20일에 원본 문서에서 보존된 문서. 2010년 9월 16일에 확인함.
  8. 1 2 Bilton, Nick; Wortham, Jenna (2011년 1월 18일). “Two Are Charged With Fraud in iPad Security Breach”. 《뉴욕 타임스》. 2011년 1월 21일에 확인함.
  9. 1 2 “Security Researcher Acknowledgments for Microsoft Online Services”. 마이크로소프트. 2012년 10월 19일에 확인함.
  10. 1 2 United States District Court — District Court of New Jersey, Docket: MAG 11-4022 (CCC). Filed with the court January 13, 2011
  11. ↑ “Clench, our way of saying "screw you" to SSL PKI forever”. 《Goatse Security》. 2010년 9월 8일. 2010년 9월 11일에 원본 문서에서 보존된 문서. 2010년 10월 29일에 확인함.
  12. ↑ Lawson, Nate (2010년 9월 8일). “Clench is inferior to TLS+SRP”. 《root labs rdist》. Nate Lawson. 2010년 10월 29일에 확인함.
  13. ↑ Eunjung Cha, Ariana (2010년 6월 12일). “Apple's iPad security breach reveals vulnerability of mobile devices”. 《워싱턴 포스트》. 2011년 4월 6일에 확인함.
  14. ↑ Kirsch, Cassandra (2014). “The Grey Hat Hacker: Reconciling Cyberspace Reality and the Law” (PDF). 《Northern Kentucky Law Review》 41: 386.
  15. 1 2 3 Leydon, John (2010년 7월 7일). “AT&T iPad 'hacker' breaks gag order to rant at cops”. 《The Register》. 2011년 2월 16일에 확인함.
  16. ↑ Tate, Ryan (2010년 6월 10일). 《Apple's iPad Breach Raises Alarms》. 멜리사 블록와의 Interview: audio / transcript. 《All Things Considered》 (내셔널 퍼블릭 라디오). 2010년 9월 16일에 확인함.
  17. ↑ Ragan, Steve (2010년 6월 10일). “AT&T loses 114,000 e-mail addresses via scripting error”. 《The Tech Herald》 (WOTR Limited). 2011년 11월 18일에 원본 문서에서 보존된 문서. 2010년 9월 28일에 확인함.
  18. ↑ “Compiz vulnerability « Goatse Security”. 2019년 7월 24일에 원본 문서에서 보존된 문서. 2019년 10월 15일에 확인함.
  19. ↑ Constantin, Lucian (2010년 1월 30일). “Firefox Bug Used to Harass Entire IRC Network”. 《소프트피디아》 (Softpedia). 2010년 9월 19일에 확인함.
  20. ↑ Goodin, Dan (2010년 1월 30일). “Firefox-based attack wreaks havoc on IRC users”. 《더 레지스터》 (Situation Publishing). 2010년 9월 19일에 확인함.
  21. ↑ Goodin, Dan (2010년 6월 9일). “Security gaffe exposes addresses of elite iPaders”. 《더 레지스터》 (Situation Publishing). 2010년 9월 19일에 확인함.
  22. 1 2 3 Keizer, Gregg (2010년 6월 14일). “AT&T 'dishonest' about iPad attack threat, say hackers”. 《컴퓨터월드》 (Computerworld Inc.). 2010년 9월 18일에 확인함.
  23. ↑ Ragan, Steve (2010년 6월 14일). “Goatse Security tells AT&T: 'You f---ed up'”. 《The Tech Herald》 (WOTR Limited). 2면. 2011년 10월 3일에 원본 문서에서 보존된 문서. 2010년 10월 6일에 확인함.
  24. ↑ “CVE-2010-1099”. 《National Vulnerability Database》. NIST. 2010년 3월 24일. 2010년 10월 6일에 확인함.
  25. ↑ “CVE-2010-1100”. 《National Vulnerability Database》. NIST. 2010년 3월 24일. 2010년 10월 6일에 확인함.
  26. ↑ “CVE-2010-1101”. 《National Vulnerability Database》. NIST. 2010년 3월 24일. 2010년 10월 6일에 확인함.
  27. ↑ “CVE-2010-1102”. 《National Vulnerability Database》. NIST. 2010년 3월 24일. 2010년 10월 6일에 확인함.
  28. ↑ “CVE-2010-1103”. 《National Vulnerability Database》. NIST. 2010년 3월 24일. 2010년 10월 6일에 확인함.
  29. 1 2 Goldman, David (2010년 6월 14일). “Hackers say iPad has more security holes”. 《CNNMoney.com》 (CNN). 2010년 6월 16일에 원본 문서에서 보존된 문서. 2010년 9월 18일에 확인함.
  30. 1 2 3 4 5 Keizer, Gregg (2010년 6월 10일). “'Brute force' script snatched iPad e-mail addresses”. 《컴퓨터월드》 (Computerworld Inc.). 2010년 9월 18일에 확인함.
  31. 1 2 Tate, Ryan (2010년 6월 9일). “Apple's Worst Security Breach: 114,000 iPad Owners Exposed”. 《Valleywag》. 거커 미디어. 2010년 7월 26일에 원본 문서에서 보존된 문서. 2010년 9월 16일에 확인함.
  32. ↑ Ante, Spencer E. (2010년 6월 10일). “AT&T Discloses Breach of iPad Owner Data”. 《월스트리트 저널》 (다우 존스). 2010년 9월 26일에 확인함.
  33. 1 2 3 4 Buchanan, Matt (2010년 6월 9일). “The Little Feature That Led to AT&T's iPad Security Breach”. 《기즈모도》. 거커 미디어. 2010년 9월 22일에 확인함.
  34. 1 2 Criminal Complaint 보관됨 1월 25, 2011 - 웨이백 머신. United States District Court – District Court of New Jersey, Docket: MAG 11-4022 (CCC). Filed with the court January 13, 2011
  35. 1 2 Voreacos, David (2011년 1월 18일). “U.S. Announces Charges for Alleged Hack Into AT&T Servers Via iPad Users”. 《블룸버그.com》 (블룸버그 L.P.). 2011년 1월 21일에 확인함.
  36. 1 2 McMillan, Robert (2010년 12월 15일). “AT&T IPad Hacker Fought for Media Attention, Documents Show”. 《PC 월드》 (PC World Communications, Inc.). 2010년 12월 16일에 확인함.
  37. 1 2 Foresman, Chris (2011년 1월 19일). “Goatse Security trolls were after "max lols" in AT&T iPad hack”. 《아르스 테크니카》. 2011년 1월 22일에 확인함.
  38. 1 2 3 Worthen, Ben; Spencer E. Ante (2010년 6월 14일). “Computer Experts Face Backlash”. 《WSJ.com》.
  39. ↑ Arrington, Michael (2010년 6월 14일). “We're Awarding Goatse Security A Crunchie Award For Public Service”. 《Tech Crunch》. 2010년 3월 31일에 확인함.
  40. ↑ Patterson, Ben (2010년 6월 14일). “AT&T apologizes for iPad breach, blames hackers”. 《Yahoo! News》. 2010년 3월 31일에 확인함.
  41. ↑ Emspak, Jesse; Perna, Gabriel (2010년 6월 17일). “Arrested Hacker's Web Site Reveals Extremist Views”. 《인터내셔널 비즈니스 타임스》 (인터내셔널 비즈니스 타임스). 2020년 3월 6일에 원본 문서에서 보존된 문서. 2010년 7월 11일에 확인함.
  42. 1 2 “Criminal charges filed against AT&T iPad attackers — Computerworld”. 2011년 1월 18일. 2012년 10월 10일에 원본 문서에서 보존된 문서. 2011년 4월 18일에 확인함.
  43. ↑ weev. “Hypocrites and Pharisees”. Goatse.fr. 2017년 5월 24일에 원본 문서에서 보존된 문서. 2011년 4월 18일에 확인함.
  44. ↑ Voigt, Kurt (2011년 1월 21일). “No bail for 2nd iPad e-mail address theft suspect”. 《MSNBC.com》. Associated Press. 2021년 4월 24일에 원본 문서에서 보존된 문서. 2011년 2월 15일에 확인함.
  45. ↑ Porter, David (2011년 2월 28일). “Suspect in iPad Data Theft Released on Bail in NJ”. 《ABC News》. Associated Press. 2011년 3월 2일에 확인함.
  46. ↑ Zetter, Kim (2012년 11월 20일). “Hacker Found Guilty of Breaching AT&T Site to Obtain iPad Customer Data | Threat Level | Wired.com”.
  47. ↑ “Twitter status, 3:38 PM - 20 Nov 12”.
  48. ↑ “Twitter status, 3:32 PM - 20 Nov 12”.
  49. ↑ Bierend, Doug (2012년 11월 29일). “Forget Disclosure — Hackers Should Keep Security Holes to Themselves”. 《Wired》.
  50. ↑ Case: 13-1816 Document: 003111586090
  51. ↑ Kravets, David (2014년 4월 11일). “Appeals court reverses hacker/troll "weev" conviction and sentence”. 《아르스 테크니카》. 2014년 4월 11일에 확인함.
  52. ↑ Hill, Kashmir (2014년 4월 11일). “Weev Freed, But Court Punts On Bigger 'Hacking vs. Security Research' Question”. 《포브스》. 2014년 4월 11일에 확인함.
  53. ↑ Voreacos, David (2014년 4월 14일). “AT&T Hacker 'Weev' Parties and Tweets as Case Still Looms”. 《블룸버그》. 2014년 4월 14일에 확인함.
  54. ↑ Constantin, Lucian (2011년 5월 16일). “Dangerous Linux Denial of Service Vulnerability Disclosed as 0-Day”. 소프트피디아. 2014년 3월 25일에 확인함.

외부 링크