오늘의 연구일지 09
16년 02월 24일
어제와 오늘 연이어 연구한 주제는 마그네틱 선(Magnetic Stripe)이다. 이 주제를 연구한 이유는 금융 카드 정보를 추출하는데 사용될 수 있는 입력 부분이기 때문이다. IT의 가장 기본이 되는 원리는 입력과 출력이다. 카드 데이터를 입력하기 위해서는 데이터가 저장되어 있는 카드가 필요하고, 카드에 데이터를 저장할 수 있는 대표적인 두 가지 요소는 마그네틱 선과 IC 칩이다. 그래서 우선 마그네틱 선을 조사하고 연구하고 있다.
결론적으로 저장된 데이터를 추출하는 방법과 이 데이터를 사용하기 위해 전송하는 부분 등 연결고리 부분들을 파악해야 공격과 방어의 관점으로 해석 가능하다는 것이 필자의 관점이다.
먼저 마그네틱선이 어떻게 구현되는지 알아볼 필요가 있다. 마그네틱의 의미대로 자기장을 볼 수 있는 장비가 없기 때문에 구글링 해보니 가장 쉽게 받아들일 수 있는 형태를 찾을 수 있었다.
마그네틱 선 동작 원리동작 원리는 간단하다. 극과 극 사이 길이는 두 가지 길이로 정의되며, 긴 길이는 0, 짧은 길이는 1로 표시된다. 일부 예상한 결과다. 어떻게 보면 이러한 정보는 RF와 비슷하게 아날로그 형태를 가지고 있고, 아날로그인 경우 길이, 폭, 넓이, 힘의 길이나 크기의 규칙성으로 0 과 1로 표현하여 디지털화 한다.
자기장을 가시화할 수 있는 CMOS-MagView라는 물리적 도구를 구매한다면 다음과 같은 사진을 만나볼 수 있다.
CMOS-MagView로 본 자기장 (위키피디아)다른 방법으로도 마그네틱 선을 가시적으로 볼 수 있는 방법을 찾아보니 Soundcraft사의 MAGNA-SEE 라는 제품이 있다. 이 제품을 사용하는 영상을 살펴보자.
위 용품을 대체할 수 있는 것이 삼산화삼철을 구매하여 이용하거나 마그네틱 뷰라는 카드모양의 자기장 검사지를 이용하여 확인할 수 있다.
국제 표준에서 금융 거래에 사용되는 카드의 마그네틱 선은 어떻게 표준화 되어있다. 카드의 물리적 특성을 나타내는 ISO 7810, 마그네틱 선과 같이 카드 기록 방식을 표준화한 ISO 7811, 카드 기관을 식별하기 위한 표준인 ISO 7812, 카드 속성을 의미하는 ISO 7813 등이 있다. 다음은 ISO 7810과 ISO 7811에서 언급하는 카드의 표준 규격이다.
카드 및 마그네틱 선 물리적 규격다시 마그네틱 선에는 눈에 보이지 않는 세 가지 선이 존재한다. 각각의 선은 위 그림의 기준으로 위에서 부터 트랙 1, 트랙 2, 트랙 3으로 존재하며 트랙 3은 마그네틱 데이터의 인코딩 관련되어 사용되는 영역으로 거의 사용하지 않는다.
아마도 트랙 3이 사용하지 않는 이유는 마그네틱 선의 보안적 문제점을 해결하고자 나타난 IC 칩 때문에 불필요하게 된 것으로 해석하고 있다. 아무래도 데이터를 암호화 하더라도 복호화 할 수 있는 키 값이 트랙 3에서 추출할 수 있기 때문으로 생각한다. 이 규격은 ISO 4909에서 표준화 되어 있다.
트랙 1은 IATA라는 국제 항공 협회에서 만들었고, 트랙 2는 ABA라는 미국 은행 협회에서 만들었다. 트랙 3은 저축 은행과 관련된 협회에서 만들었다. 다음 그림에서 볼 수 있는 BPI는 Bits Per Inch로 인치당 표시될 수 있는 비트 즉 밀도를 의미한다. 자기장에서 이러한 밀도를 보자력이라 부른다. BPC는 Bits Per Characters로 하나의 문자를 표현하기 위해 사용되는 비트 수를 의미한다. 왼쪽에 표시된 미리는 마그네틱 정보를 읽기 위한 리더기의 위치를 의미한다.
트랙 1, 2, 3에 대한 정보정보 내용을 보면 트랙 1만이 영문자를 포함하기에 7 BPC를 가지는데, 카드 소유자 이름이 저장된다. 우리가 카드를 보면 양각으로 새겨져있는 이름이다. 그래서 트랙 1이 가장 많은 정보를 가지고 있으며, 가장 중요한 부분이다. 많은 데이터가 저장되어야 하기에 높은 보자력을 가지고 있어 미세한 사산화삼철로 자기장을 표시하여 본다고 해도 쉽게 판독하기 힘들다. 트랙 1의 세부적인 데이터는 다음과 같다.
트랙 1 데이터결국 트랙 1의 데이터만 제대로 추출한다면 카드 복제하기 위한 모든 데이터를 추출했다고 볼 수 있다.
금융 카드와 관련된 마그네틱 선 분석을 위해서 다음 사이트를 참조하여 한글화 하거나 추가 정보를 입력했다.
이미 해외에서는 신용 카드에 대해 다양한 공격과 방어, 그리고 증거 수사까지 발전해 있다. 대표적인 마그네틱 선 스푸퍼를 제장한 정보는 이 사이트에서 확인할 수 있다.
여러 가지 검색하는 과정에서 신용카드 번호를 생성해주는 사이트도 존재하는 것을 볼 수 있었다.