비전 프로에서 입력한 내용 노출 위험 있었다

박진수 에디터 2024.09.16 조회수

애플 비전 프로(Vision Pro)에서 심각한 보안 취약점이 발견됐다. 사용자의 작업은 물론 민감한 정보까지 유출될 위험에 노출됐다. 현재는 업데이트를 통해 수정된 상황이다.

9월 12일(현지시간) 정보기술(IT) 전문 매체 와이어드(Wired)는 6명의 컴퓨터 과학자로 구성된 그룹으로부터 애플 비전 프로 헤드셋에 입력한 데이터가 유출될 수 있다는 연구 결과를 입수해 보도했다. 컴퓨터 과학자 그룹에 따르면 눈 추적 데이터에서 사용자가 가상 키보드에 입력한 내용을 확보하는 것이 가능했다. 해당 취약점은 ‘GAZEploit’으로 명명됐다.

비전 프로는 외부 컨트롤러에 의지않고 거의 모든 작업을 수행할 수 있게 설계된 공간 컴퓨팅 디바이스다. 그래서 기기에 탑재된 기술을 통해 사용자의 입력들을 받아들인다. 그중에서도 눈 추적 기능은 가장 핵심 기능이다. 이름에서 알 수 있지만 사용자의 눈 움직임을 추적해 사용자의 의도와 행동을 파악해 낸다. 눈 추적 기능을 활용하면 가상 키보드 입력도 가능하다. 기기에서 커다란 가상의 키보드를 표시하면 시선 추적 기능의 도움을 받아 사용자는 가상으로 입력할 키를 바라보기만 하면 된다. 그래서 눈 추적 데이터를 잘 해독해 낸다면 가상 키보드 입력 정보를 확인할 수 있는 것이다.

이번에도 그러한 데이터에서 키보드 입력을 확인했다. 정확하게 설명하자면 비전 프로가 만든 가상 페르소나의 눈 움직임을 원격으로 분석했고 그 데이터에서 키보드 입력을 확인했다. 가상의 페르소나는 비전 프로에 탑재된 센서를 통해 생성한 사용자 얼굴을 그대로 복제한 디지털 인물이다. 페르소나는 영상 통화 앱 줌(Zoom)이나 마이크로소프트 팀즈(Microsoft Teams), 슬랙(Slack), 레딧(Reddit), 틴더(Tinder), 엑스(구 트위터), 스카이프(Skype), 페이스타임(Facetime) 등에서 사용할 수 있다.

GAZEploit 취약점을 통해서 비밀번호뿐만이 아니라 화상 통화 시 비전 프로 사용자가 입력한 메시지나 웹사이트 주소 등도 확인할 수 있었다.

컴퓨터 과학자 그룹은 비전 프로 사용 시 사용자에게서 어떠한 패턴을 발견해 냈다. 일단 사용자는 키를 입력하는 동안 클릭할 키에 시선이 한동안 고정된다. 그런 다음, 다음으로 입력할 키로 빠르게 시선을 이동시킨다. 사용자가 키를 입력하는 동안에는 눈 깜박임 빈도도 감소하는 것을 확인했다.

연구진은 시선 추적 안정성을 계산하고 한 곳을 응시하고 다른 키 입력으로 넘어가는 패턴을 분류하기 위한 알고리즘을 특별히 개발했다고 설명했다. 타이핑 시 키 입력을 식별해 내는 데 정밀도와 재현율에서 각각 85.9%, 96.8%를 보였다.

해당 연구에 참여한 한추 왕(Hanqiu Wang)은 “해커는 눈 움직임의 방향을 기준으로 피해자가 지금 어떤 키를 타이핑하고 있는지 알아낼 수 있다”고 말했다. 연구진들은 비전 프로 사용자 30명의 아바타를 녹화해 머신 러닝으로 훈련시켰고, 눈 움직임을 분석했다. 그 결과 매우 높은 정확도까지 도달할 수 있었다고 밝혔다. 사람들이 입력한 메시지는 92.1%, 비밀번호는 77%, PIN은 73%, 이메일이나 URL 및 웹페이지는 86.1%의 정확도를 보였다.

컴퓨터 과학자 그룹에서는 지난 4월경 애플에 GAZEploit 취약점을 공유했다. 애플에서는 해당 취약점을 CVE-2024-40865로 분류하고 7월 말에야 데이터 유출 가능성을 막기 위한 패치를 발표했다. 업데이트를 통해 현재는 애플 비전 프로에서 사용자가 가상 키보드에 입력을 시도하는 경우 아바타 공유를 중단한다.

컴퓨터 과학자 그룹은 눈 추적 데이터가 악용될 수 있는 최초의 사례라고 설명했다. 그리고 사용자로부터 수집한 생체 인식 데이터가 어떻게 민감한 정보를 노출되고 나아가 감시 산업의 사용될 수 있는지 주의를 환기시켰다. GAZEploit 취약점을 검토하고 수년간 시선 추적을 연구한 포모나 칼리지의 컴퓨터 과학 조교수 알렉산드라 파포차키(Alexandra Papoutsaki)는 와이어드와의 인터뷰에서 “누군가가 어디를 보고 있는지 아는 것은 매우 강력하다”며 시선 추적 데이터가 유출되는 것의 위험성을 특히 강조했다.

테크플러스 에디터 나유권

tech-plus@naver.com