안전한 코딩 기술: 탭재킹에 대해 알아보기

탭재킹(Tapjacking)은 '탭(tap)'과 '하이재킹(hijacking)'의 합성어로, 그 의미 그대로입니다. 공격자가 사용자의 탭을 가로채 사용자가 의도하지 않은 작업을 수행하도록 속이는 공격입니다. 그렇다면 이 공격은 어떻게 작동하며, 어떻게 예방할 수 있을까요?

먼저 화면 오버레이에 대해 이야기해 보겠습니다. 화면 오버레이는 구글이 정의한 대로 TYPE_APPLICATION_OVERLAY 유형을 사용하는 윈도우입니다. 이 윈도우는 다른 앱 위에 그려지며 일반적으로 화면의 일부만 가립니다. 이는 앱이 새로운 권한을 요청할 때(아래 예시 이미지와 같이) 자주 사용됩니다.

이는 사실 매우 유용하고 재미있는 기능으로, 페이스북의 채팅 헤드나 아래 스크린샷과 같이 화면 구석에 표시되는 구글 지도 내비게이션처럼 점점 더 많은 앱에서 사용하고 있습니다.

하지만 이러한 오버레이에는 보안 위험이 따릅니다. 활성화된 화면 오버레이는 탭을 감지할 수 있습니다. 그렇지 않다면 페이스북이 우리가 채팅 헤드를 탭하거나 드래그했다는 것을 어떻게 알 수 있을까요? 이 기능을 악용하면 앱이 사용자를 염탐하고 비밀번호나 신용카드 정보를 탈취할 수 있습니다.

한 걸음 더 나아가, 탭재킹이라는 용어가 유래된 지점인데, 오버레이는 다른 앱 위에 무언가를 그려 사용자가 다른 작업을 수행하도록 속일 수 있습니다. 사용자는 오버레이와 상호작용한다고 생각하지만, 실제로는 사용자의 탭이 하위 앱에서 작업을 수행하게 됩니다. 이런 방식으로 오버레이는 사용자가 특정 권한을 활성화하거나 위험한 설정을 변경하도록 유도할 수 있습니다. 이 오래된 유튜브 영상에서 그 사례를 확인할 수 있습니다.

위의 시연 영상은 2010년에 유튜브에 업로드된 것으로, 구형 안드로이드 버전에서 수행되었습니다. 하지만 누가(Nougat)나 마시멜로(Marshmallow)와 같은 최신 안드로이드 버전에서도 탭재킹을 허용하는 취약점이 발견되었기 때문에 이 공격은 오늘날에도 여전히 유효합니다.

그렇다면 어떻게 대처해야 할까요? 사용자로서 이러한 오버레이의 결과를 이해하고 이를 사용하는 앱에 주의를 기울이는 것이 중요합니다. API 레벨 23(안드로이드 6.0 마시멜로)부터는 사용자가 명시적으로 허용해야 하는 권한이 되었습니다. 하지만 여전히 50%의 안드로이드 사용자가 위험에 노출되어 있습니다. 설정의 "다른 앱 위에 표시" 메뉴에서 어떤 앱이 이 권한을 사용하는지 확인할 수 있습니다.

개발자로서 우리는 사용자의 작업이 사용자의 완전한 인지와 동의하에 이루어지도록 보장해야 합니다. 안드로이드는 이를 위해 filterTouchesWhenObscured라는 뷰 설정을 제공합니다. 이 기능을 활성화하면 뷰의 윈도우가 다른 가시적인 윈도우에 의해 가려질 때 프레임워크가 터치 입력을 무시합니다. 간단합니다. filterTouchesWhenObscured를 true로 설정하기만 하면 앱을 탭재킹으로부터 안전하게 보호할 수 있습니다.

행운을 빕니다. 다음 주에 뵙겠습니다!

애플리케이션이 권한 요청 승인, 결제, 광고 클릭 등 사용자의 완전한 인지와 동의하에 작업이 수행되고 있음을 확인해야 하는 경우가 있습니다. 안타깝게도 악의적인 애플리케이션은 뷰의 의도된 목적을 숨겨 사용자가 모르는 사이에 이러한 작업을 수행하도록 속일 수 있습니다.

https://developer.android.com/reference/android/view/View.html