최근 한 기술 블로그에서 공개된 분석 결과에 따르면, 한화비전의 고성능 보안 카메라인 XNP-9300RW 모델의 펌웨어 내부에 GitHub 관리자 권한을 가진 토큰이 그대로 포함되어 있는 것으로 드러났습니다. 이 카메라는 기업 환경에서 AI 기반 분석 기능을 수행하는 고급 모델로 알려져 있었으나, 내부 구조를 파헤친 결과 개발 단계에서 사용된 인증 정보가 최종 제품에도 남아있는 의외의 사실이 확인되었습니다.
이는 단순히 개발자가 실수로 코드를 남긴 것을 넘어, 펌웨어 빌드 과정이나 배포 체계에 구조적인 문제가 있을 가능성을 시사합니다.
## 펌웨어 분석을 통해 드러난 숨겨진 코드 조각
이 이슈가 주목받는 이유는 보안 카메라라는 하드웨어가 이제는 단순한 영상 촬영 장비를 넘어 리눅스 기반의 운영체제를 탑재한 컴퓨팅 디바이스로 진화했기 때문입니다. 분석가는 binwalk 도구를 이용해 펌웨어 이미지를 분해하던 중, 암호화된 tarball 내부에서 또 다른 펌웨어 이미지와 fwupgrader 바이너리를 발견했습니다.
여기서 흥미로운 점은 이 업그레이더 바이너리를 역분석하는 과정에서 GitHub 관리자 토큰이 하드코딩되어 있다는 사실이 밝혀졌다는 것입니다. 보통 임베디드 시스템에서는 하드웨어에 키를 직접 불어넣거나 동적 암호화를 사용하는 경우가 많지만, 이번 사례는 정적 토큰이 펌웨어 이미지 자체에 포함되어 배포된 것입니다.
특히 이 카메라는 한화비전이 자체적으로 개발한 AI 기능을 탑재하고 있어 내부적으로 복잡한 데이터 처리 파이프라인을 구동합니다. 분석가는 클로드 코드와 같은 AI 도구를 활용해 펌웨어의 난독화 로직을 해독하는 과정에서 이 토큰을 발견했습니다.
이는 최근 AI 도구가 임베디드 시스템 분석에도 활발히 활용되고 있음을 보여주는 사례이기도 합니다. 하지만 동시에 개발자가 최종 빌드 단계에서 환경 변수나 시크릿 키를 제대로 정리하지 않고 배포했다는 점을 지적받게 만들었습니다.
보안 장비가 외부 네트워크와 연결되어 운영되는 특성상, 내부에 남은 관리자 토큰은 추후 카메라가 해킹당했을 때 GitHub 리포지토리까지 연쇄적으로 침투할 수 있는 통로가 될 수 있습니다.
## 보안 장비의 신뢰성에 대한 재평가와 향후 전망
이 발견은 보안 카메라 제조사들이 펌웨어 업데이트나 유지보수 과정에서 얼마나 엄격한 검증 절차를 거치는지에 대한 의문을 제기합니다. 일부 커뮤니티에서는 미국 국방부 관련 IP 주소가 펌웨어에 내장되어 있다는 점도 함께 언급되며, 제조사의 글로벌 공급망 관리 방식에 대한 추측이 이어졌습니다.
보안이 최우선인 장비임에도 불구하고, 개발 환경의 흔적이 그대로 남았다는 사실은 많은 사용자에게 경각심을 주었습니다. 특히 기업 사용자의 경우 이 카메라를 별도의 VLAN 에 격리하여 인터넷 접근을 차단하는 것이 일반적인 보안 수칙인데, 내부 토큰이 노출되었다는 사실은 격리 정책만으로는 완전히 방어하기 어려운 내부적 취약점이 존재할 수 있음을 보여줍니다.
앞으로 이 트렌드는 임베디드 시스템의 보안 표준이 어떻게 변할지에 대한 중요한 지표가 될 것입니다. 단순한 하드웨어 결함이 아니라 소프트웨어 빌드 파이프라인의 불완전성이 드러난 사례이기 때문에, 제조사들은 펌웨어 배포 전 최종 단계에서 불필요한 시크릿 키를 제거하는 자동화 검증을 강화할 것으로 보입니다.
또한 사용자가 펌웨어를 직접 분석하거나 커스터마이징하는 오픈 펌웨어에 대한 수요도 증가할 것입니다. 개발자 커뮤니티에서는 화이트 라벨 IP 카메라나 펌웨어를 자유롭게 수정할 수 있는 모델을 찾는 움직임이 활발해지고 있으며, 이는 제조사들이 투명성을 높여야 한다는 압력으로 작용할 것입니다.
이러한 변화는 보안 장비 시장이 단순한 기능 경쟁을 넘어 신뢰성과 투명성을 중시하는 단계로 진입하고 있음을 의미합니다. 사용자는 이제 카메라가 얼마나 잘 찍는지뿐만 아니라, 그 내부에 어떤 코드가 숨어있는지까지 궁금해하게 되었습니다.
향후 출시될 제품들에서 펌웨어의 투명성과 보안 검증 프로세스가 어떻게 개선될지, 그리고 AI 기반 분석 도구가 임베디드 시스템의 취약점을 찾는 데 얼마나 효과적으로 활용될지가 주목할 만한 포인트가 될 것입니다. 보안 장비의 신뢰성을 확보하기 위해서는 제조사의 꼼꼼한 빌드 관리와 사용자의 적극적인 검증이 함께 이루어져야 할 것입니다.
작성자 소개
