인터넷을 모든 장치가 고유한 주소(마치 집 번호와 같은)를 가진 거대하고 북적이는 도시라고 상상해 보십시오. 이 도시의 구버전(IPv4)에서는 거리들이 붐볐고, 누군가 모든 블록을 따라 걸으며 문을 두드려 누가 집에 있는지 확인하는 것이 쉬웠습니다. 하지만 이 도시의 거대하고 새로운 확장판(IPv6)에서는 거리가 너무 길고 집 번호가 매우 무작위이며 끊임없이 변하기 때문에, 추측만으로 누군가를 찾는 것은 거의 불가능합니다. 당신은 매 초마다 업데이트되는 지도가 필요할 것입니다.

시계를 동기화하기 위해, 이 도시의 대부분의 장치는 단순히 시간을 추측하는 것이 아니라 **NTP 풀(NTP Pool)**이라 불리는 중앙 시간 관리자에게 요청합니다. NTP 풀을 누구나 시계를 설치하고 이웃에게 시간을 제공할 수 있는 거대한 자원봉사 운영 시계탑이라고 생각해 보십시오. 이 시계탑은 매우 인기가 높아서, 매일 수백만 개의 장치가 이 시계들에게 시간을 묻습니다. 문제는, 장치가 시간을 물을 때 시계가 답변을 어디로 보낼지 알 수 있도록 자신의 "집 번호"(IP 주소)를 보여줘야 한다는 점입니다. 이 논문은 일부 사람들이 이 자원봉사 시계들을 단순히 시간을 알려주는 용도가 아니라, 방문하는 모든 사람의 집 번호를 몰래 적어두는 데 사용하고, 그 목록을 이용해 원래는 찾을 수 없었을 문들을 두드리는 데 사용하는 교활한 수법을 탐구합니다.

시계탑 강도 사건

이 연구에서 연구원 에릭 라이(Erik Rye)와 로버트 베벌리(Robert Beverly)는 그들이 "백스캐닝(back-scanning)"이라고 부르는 기이한 현상을 조사하기로 했습니다. 그들은 일부 자원봉사 시계들이 스파이처럼 행동하고 있다고 의심했습니다. 이 수법은 다음과 같습니다: 장치가 시계에 시간을 묻습니다. 시계는 장치의 주소를 확인하고 이를 기록한 뒤, 단순히 시간을 돌려주는 대신, 해당 주소로 프로브(probe, 탐색 신호)를 보내 그곳에서 어떤 서비스가 실행 중인지 확인하기 시작합니다. 이는 마치 친절한 제빵사가 당신이 시간을 물어본 직후, 당신이 가게에 들어왔다는 이유만으로 당신의 집에 잠긴 문이 있는지, 보안 카메라가 있는지, 혹은 숨겨진 금고가 있는지 몰래 확인하기 시작하는 것과 같습니다.

이 스파이들을 잡기 위해 연구원들은 영리한 함정을 설치했습니다. 그들은 수천 개의 요청을 NTP 풀 시계들에 보내는 특별한 "프로버(prober, 탐색기)" 컴퓨터를 만들었습니다. 하지만 여기서 마법 같은 일이 일어납니다. 모든 요청은 완전히 새롭고 단 한 번만 사용되는 가짜 집 번호(이를 "논스(nonce)"라고 부름)로부터 왔습니다. 이 번호들은 무작위였으며 다시는 사용되지 않았습니다. 연구원들은 그 후 누군가가 이 가짜 집들의 문을 두드리는지 기다렸습니다.

만약 시계가 제 역할을 다하고 있었다면, 시간을 응답한 뒤 그 가짜 집 번호를 잊어버렸을 것입니다. 하지만 만약 시계가 스파이라면, 그 가짜 번호를 기록해 두었다가 나중에 그 번호로 프로브를 보냈을 것입니다. 가짜 집은 실제로 존재하지 않으므로, 프로브가 그곳에 도달할 수 있는 유일한 방법은 시계(또는 그와 연결된 누군가)가 그 번호를 저장하고 능동적으로 찾고 있었을 경우뿐입니다.

그들이 발견한 것

1년 동안 연구원들은 2,335개의 서로 다른 NTP 서버에 약 245만 개의 이러한 가짜 요청을 보냈습니다. 그 결과, 22개의 서버가 실제로 스파이 역할을 하고 있다는 것을 발견했습니다. 이 22개의 서버는 네 가지 뚜로 다른 행동 "클러스터(집단)"로 분류되었습니다:

1. 가벼운 터치형(The Light Touchers): 한 그룹의 서버들은 주로 가짜 주소로 단 한 번의 "핑(ping)"(장치가 살아있는지 확인하는 기본적인 체크)만을 보냈습니다. 그들은 호기심은 있었지만 깊이 파고들지는 않았습니다.
2. 헤비 히터(The Heavy Hitters): 연구원들이 클러스터 2라고 명명한 가장 활발한 그룹은 거대한 작전이었습니다. 그들은 주소를 수집하기 위해 8개의 NTP 서버를 사용했지만, 이후 3,000개 이상의 서로 다른 IP 주소를 사용하여 문을 두드리는 대규모 스캐닝 캠페인을 시작했습니다. 그들은 단순히 문이 열려 있는지 확인하는 데 그치지 않고, 572가지의 서로 다른 유형의 잠금장치(TCP 포트)와 9가지 유형의 열쇠(UDP 포트)를 시도했습니다. 그들은 웹 서버, 원격 제어 도구, 데이터베이스와 같은 특정 요소들을 찾고 있었습니다.
3. 외로운 늑대(The Lone Wolves): 나머지 두 그룹은 규모가 훨씬 작았으며 각각 하나의 서버만 보유하고 있었지만, 여전히 스캐닝을 수행하고 있었습니다. 한 그룹은 핑을 보냈고, 다른 한 그룹은 특정 안드로이드 디버깅 포트에 접속을 시도했습니다.

연구원들은 타이밍에 있어서 흥able한 점을 발견했습니다. "가벼운 터치형"의 경우, 새로운 주소를 확인한 후 스캐닝을 시작하기까지 평균 약 14시간이 걸렸습니다. "헤비 히터"는 조금 더 긴 약 22시간이 걸렸지만, 일단 시작하면 멈추지 않았습니다. 일부 스캔은 동일한 주소를 반복해서 확인하며 한 달 이상 지속되기도 했습니다.

"왜" 그리고 "누구인가"

연구원들은 가장 큰 스캐닝 그룹(클러스터 2)의 소유자를 추적했습니다. 알고 보니 그들은 사이버 보안 보험사였습니다. 연구원들이 그들에게 질문했을 때, 그 회사는 솔직하게 답변했습니다. 그들은 활성 IPv6 주소를 알아내기 위해 백스캐닝 목적으로 NTP 풀을 사용하고 있음을 인정했습니다. 그들은 이것이 "방어적 목적", 즉 자신들의 보험 고객을 위한 리스크를 계산하는 데 도움이 되기 위함이라고 주장했습니다. 어떤 장치들이 존재하는지 아는 것이 위협 환경을 이해하는 데 도움이 된다는 논리였습니다.

그러나 연구원들은 심각한 문제를 지적했습니다. 스캐닝을 당하는 사람들은 이런 일이 일어나고 있다는 사실을 전혀 몰랐다는 점입니다. 이 장치들의 대부분은 스마트 온도 조절기나 IoT 센서와 같은 작은 임베디드 기기들로, 단순히 NTP 풀에 자동으로 시간을 요청할 뿐입니다. 그들은 스캐닝에 동의한 적이 없습니다. 또한, 스캐닝 회사는 식별하기 어려운 클라우드 서버들을 혼합하여 사용했습니다. 회사는 자신들의 스캐닝 인프라 중 약 **40%**에 식별 기록(rDNS)이 누락되어 있음을 인정하며 해당 항목들을 수정했다고 주장했지만, NTP 서버에는 식별 기록을 추가하지 않았습니다. 또한, 그들의 NTP 서버나 스캐닝 서버 모두 누구인지 설명하는 웹페이지를 호스팅하고 있지 않으며, 도메인의 리다이렉트를 통해서만 일부 정보를 확인할 수 있을 뿐입니다.

그 이후의 조치

이 발견은 인터넷 윤리의 "회색 지대"를 부각시켰습니다. 누군가의 집에 방문하여 사람이 있는지 확인하는 것이 보통 범죄는 아니지만, 숨겨져 있어야 할 주소를 찾아내기 위해 속임수를 써서 몰래 하는 행위는 윤리적으로 모호합니다. 연구원들은 단순히 문제점을 지적하는 데 그치지 않고, NTP 풀 관리자들과 협력하여 이를 해결하기 위해 노력하고 있습니다.

그들은 현재 자신들의 탐지 방법을 NTP 풀의 점수 산정 시스템에 직접 통합하는 시스템을 구축하고 있습니다. 미래에는 만약 어떤 자원봉사 시계 서버가 "백스캐닝"을 하는 것으로 적발될 경우, 시스템이 자동으로 점수를 낮추어 트래픽을 받지 못하게 하고 결국 풀에서 퇴출되도록 할 것입니다. 연구원들은 또한 나쁜 행위자들의 목록을 NTP 풀 측에 공유했으며, 관련 보험사 또한 자신들의 스캐닝 서버에 누락된 식별 기록을 수정함으로써 운영을 더 투명하게 만들기로 합의했습니다. 다만, NTP 서버 자체는 여전히 미식별 상태로 남아 있습니다.

시사점

이 논문은 장치를 찾는 것이 어렵도록 설계된 세상에서도 시스템을 속이는 영리한 방법들이 존재함을 보여줍니다. 자원봉사 시간 제공 서비스에 대한 신뢰를 이용함으로써, 일부 엔티티들은 인터넷의 가장 은밀한 장치들을 위한 지도를 구축할 수 있었습니다. 이 연구는 이러한 스캔이 보안이나 보험을 위한 의도일지라도, 장치 소유자의 동의를 우회한다는 점을 시사합니다. 해결책은 NTP 풀을 폐쇄하는 것이 아니라, 자원봉사 시계들이 그저 '시계'로서의 역할에 충실할 수 있도록 시스템을 더 똑똑하게 만드는 것입니다.