Firefox OS 보안 첫 탐색

초록

본 논문은 Firefox OS가 도입한 기본 CSP와 마켓 코드 리뷰 메커니즘을 보완하기 위해 경량 정적 분석을 적용한 사례를 제시한다. 정적 분석을 통해 권한 앱에 존재하는 XSS·인젝션·인증 우회 취약점을 자동 탐지했으며, 데스크톱용 소프트웨어를 모바일에 이식할 때 발생하는 인증서 오버라이드 캐시 문제 등 사용자 경험을 저해하는 보안 이슈도 조명한다.

상세 분석

Firefox OS는 HTML5 기반 모바일 플랫폼으로, 웹 애플리케이션이 하드웨어에 직접 접근할 수 있게 함으로써 기존 모바일 OS와 차별화된 보안 모델을 제시한다. 이 모델의 핵심은 두 가지 메커니즘이다. 첫 번째는 모든 앱에 기본적으로 적용되는 Content Security Policy(CSP)이며, 두 번째는 마켓에 올라오는 앱에 대해 Mozilla가 수행하는 수동 코드 리뷰이다. 그러나 실제 배포된 앱을 살펴보면, 이러한 방어선만으로는 모든 취약점을 차단하기에 부족함을 알 수 있다.

논문에서는 경량 정적 분석 도구를 설계·구현하여, CSP 위반, DOM 기반 XSS, unsafe‑eval 사용, 그리고 권한 API 오용 등을 자동으로 탐지한다. 분석 결과, 마켓에 등재된 여러 privileged 앱이 다음과 같은 문제를 가지고 있음을 확인했다. ① CSP가 선언되었음에도 불구하고 인라인 스크립트를 동적으로 삽입하는 코드가 존재해 정책을 우회한다. ② eval이나 new Function 같은 동적 코드 실행 함수가 남아 있어 악성 스크립트가 주입될 가능성이 있다. ③ 권한 API(예: navigator.mozApps.install)를 호출하기 전에 충분한 입력 검증이 이루어지지 않아 권한 상승 공격에 노출된다.

또한, 데스크톱용 Firefox에서 파생된 인증서 오버라이드 캐시 메커니즘이 모바일 환경에서 의도치 않은 부작용을 일으킨다. 사용자가 특정 앱에서 SSL 인증서 오류를 무시하고 “예외 추가”를 선택하면, 그 예외가 시스템 전역 캐시로 저장돼 동일 디바이스의 다른 앱에서도 동일한 도메인에 대해 자동으로 신뢰가 부여된다. 이는 사용자가 보안 경고를 무시한 상황을 다른 앱에서도 재현하게 하여, 공격자가 피싱 사이트를 통해 인증서 오류를 유도하고, 사용자는 이를 인지하지 못한 채 민감 정보를 입력하게 만든다. 이러한 설계는 모바일 사용자가 데스크톱에 비해 보안 경고에 대한 인식이 낮은 점을 고려하면 특히 위험하다.

정적 분석 결과와 인증서 캐시 문제를 종합하면, Firefox OS의 보안 모델은 기본적인 방어선은 마련했지만, 구현 세부사항과 운영 체제 전반에 걸친 정책 일관성에서 취약점이 남아 있음을 알 수 있다. 따라서 CSP와 코드 리뷰 외에도 자동화된 정적·동적 분석 파이프라인을 구축하고, 인증서 예외 정책을 앱 단위로 격리하는 등 추가적인 보완책이 필요하다.