[Android] Data Storage(Plain/Encryption) 취약점

개요

Mobile OWASP Top 10 중 아직도 높은 순위권에 자리 잡고 있는 취약점 중 하나입니다. 일반적으로 개발자들이 앱을 개발 구현하는 단계에서 클라이언트 측에 저장되는 데이터는 타 사용자들이 쉽게 액세스 하지 못하도록 제한을 하지만 샌드박스 환경일지라도 루팅 또는 탈옥을 통해 높은 권한을 획득하게 되고 보호 기능을 쉽게 우회하여 액세스가 가능해집니다. 보통 악성 앱이나 악의적인 사용자가 분실된 단말을 대상으로 개인정보를 획득할 가능성이 존재합니다.

 

1.log file
2.Plist file
3.androidmanifest.xml / SharedPreferecnes.xml
4.SQLite databases
5.Binary data stores
6.SD Card
7.Cloud synced

위의 구조는 OWASP 문서에 유심히 파악될 필요가 있는 파일들 입니다. 몇 가지 항목을 참고하여 저장 형태를 파악해보도록 하겠습니다.

 

SharedPreferences.xml

원시형태의 데이터를 저장하는 xml 파일로 초기 설정 값 이나 자동 로그인 시 사용되는 간단한 값을 편하게 저장하기 위해 사용되며 SharedPreferences.xml 에 저장된 값은 대상 앱이 삭제되기 전까지 보존됩니다.

 

adb pull "데이터경로"

내부에 저장된 정보를 확인하기 위해 Nox -> PC로 가져오도록 하겠습니다.

 

매우 취약한 상태라면 평문으로 저장되어 있었겠지만 현재의 경우 암호화가 되어 저장이 되어 있습니다. 하지만 이 또한 강력한 암호화를 사용하지 않은 상태라면 쉽게 해독이 가능해집니다.

 

EncryptedUsername 값을 Base64 Decoding 해보면 쉽게 사용자의 이름을 획득할 수 있지만 superSecurePassword 변수는 저장된 값을 암호화하여 쉽게 노출되지 않도록 하고 있습니다.

 

어떤 형태로 암호화를 수행하는지 확인하기 위해 바이너리 분석을 통해 로직을 따라가 보도록 하겠습니다.

 

상단의 로직을 보면 사용자의 이름은 Base64 형태로 비교적 간편한 인코딩을 수행하고 패스워드가 담기는 변수에는 "AES" 암호화 알고리즘을 적용하여 쉽게 해독되지 않도록 하고 있습니다.

 

암호화가 수행되는 클래스로 추적을 하다 보면 위처럼 대칭키가 쉽게 노출이 되는 경우가 발생할 수 있습니다.

 

획득한 키 값을 통해 AES Decryption을 수행하면 하단의 Output 값이 나오는데 이는 마지막으로 Base64 Decoding을 거치면 원하는 패스워드 값을 획득할 수 있다는 것을 파악할 수 있습니다.

 

SmFia0 AxMiMk 값을 마지막으로 디코딩하여 사용자의 패스워드인 Jack@123$ 을 획득할 수 있게 됩니다. 해당 취약점의 경우 Local Encryption 취약점에도 속하며 이보다 더 취약한 환경이었을 경우 암호화 조차 되지 않은 평문 상태일 가능성도 존재합니다.

 

SQLite Database

특정 서버에 저장하는 것이 아닌 기기 내부에 존재하는 가벼운 임베디드 형 데이터베이스를 의미하며 동일하게 SQL문을 통해 기능을 수행하고 테이블 형태로 간단히 저장됩니다. 

 

삭제가 되어도 필요한 데이터는 간단히 메모리에 저장하거나 sharedpreferences를 사용하여 보관할 수 있지만 저장된 데이터가 잘못 날아가지 않기 위해서나 읽기/쓰기/업데이트가 잦은 데이터라면 데이터베이스에 저장을 해두는 게 일반적입니다.

특정 앱에서 사용자의 이름과 패스워드를 SQLite Database에 저장하는 환경에서 진행하기 위해 Androgoat를 설치하여 진행하였습니다.

 

데이터베이스에 저장된 정보를 확인하기 위해선 해당 파일을 로컬 PC로 가져와 별도의 SQLite 프로그램으로 테이블 정보를 읽어서 확인해 주셔야 됩니다.

 

adb pull "데이터 경로" "로컬PC 경로"

adb 명령을 통해 로컬 PC로 가져오도록 하겠습니다.

 

SQLite 프로그램으로 "agoat" 파일을 읽어보면 각각에 어떤 테이블이 존재하는지 확인할 수 있습니다.

 

users 테이블로 접근해 보시면 조금 전에 입력했던 사용자 이름과 패스워드가 별도의 암호화가 되지 않은 상태로 저장된 것을 획득할 수 있습니다.

 

# objection -g "패키 지명" explore
# cd "database파일로 경로 이동"
# ls -> database 파일명 확인
# sqlite connect "파일명"
# .tables -> 테이블명 확인
# select * from "테이블명"

Objection을 사용하시면 별도의 프로그램 없이 해당 앱에 다이렉트로 attached 되어 커맨드 환경에서 쉽게 확인이 가능합니다.

 

tmp

실제 서비스 중인 앱에서는 쉽게 발견될 확률은 낮은 부분이지만 사용자를 식별할 수 있는 개인정보를 임시파일 형태로 잠시 저장해두는 환경일 경우 마찬가지로 정보를 획득하여 탈취당할 가능성이 존재합니다.

 

SD card

외부 저장소를 사용하며 누구나 읽고 쓰기가 가능한 영역이기 때문에 민감정보가 저장되어서는 안 됩니다. 만약 저장을 해야 되는 환경이라면 "javax.crypto" 또는 "EncryptedFile" 라이브러리를 통해 암호화를 해주셔야 됩니다.

 

임의의 사용자의 이름과 패스워드를 입력하여 외부 저장소에 어떤 형태로 저장되는지 확인해 보도록 하겠습니다.

 

우선 androidmanifest.xml 내부를 보시면 WRITE_ENTERNAL_STORAGE 와 READ_ENTERNAL_STORAGE 에 권한이 설정이 되어 있습니다.

 

로직을 확인하기 위해 특정 키워드를 사용하여 검색해본 결과 SDcard와 연관된 부분이 확인됩니다.

 

소스 로직을 확인해보면 editText를 통해 사용자의 이름과 패스워드를 받아 입력된 값을 외부 저장소에 "users"와 "tmp"명으로 생성하고 있고 별도의 암호화를 거치지 않고 있습니다.

 

sdcard 디렉토리에 접근해보면 "user tmp" 명을 포함하는 임시파일이 확인됩니다.

 

내부를 확인해보면 저장된 값은 암호화를 수행하지 않은 평문 형태로 저장되고 있으며 해당 정보를 통해 추가적인 악용 범죄가 발생할 수 있다는 것을 알 수 있습니다.