최근 WiFi를 사용하는 스마트폰의 텍스트 전송을 가로채 비밀번호를 훔치는 'WiKI-Eve' 공격이 발견됐다.

'WiKI-Eve'는 2013년 WiFi5(802.11ac)에 도입된 기능인 BFI를 활용한다. 이때 BFI의 문제점은 정보 교환에 일반 텍스트 형식의 데이터가 포함돼 있어 암호화 키 크래킹 없이도 텍스트 데이터를 가로챌 수 있다. 해당 취약점으로 공격자는 단순히 네트워크 트래핑 모니터링 도구와 기계 학습 프레임 워크를 사용하여 비밀번호를 추론할 수 있다. 'WiKI-Eve'는 6자리 숫자 비밀번호일 경우 100회 미만의 시도에서 85%의 성공률을 가지며 모든 테스트에서 75%이상의 성공을 보이고 있다. 하지만 공격자와 액세스 포인트 사이의 거리가 멀 경우 추측 성공률이 감소하는 것으로 확인됐다.

외신은 데이터 트래픽 암호화, 키보드 무작위화와 같은 WiFi 액세스 포인트 및 스마트폰 앱의 보안이 강화돼야 한다고 언급했다.

[WiKI-Eve 공격 순서도]

사진 출처 : arxiv

출처

[1] arxiv (2023.09.11) – Password-Stealing without Hacking: Wi-Fi Enabled Practical Keystroke Eavesdropping

https://arxiv.org/pdf/2309.03492.pdf