🇰🇷 한글 설명
2024년 2월 15일 이전 버전의 독일 국가 신분증 eID 체계에서 인증 우회 및 데이터 탈취가 가능한 취약점이 발견되었습니다. 공격자가 중간자 공격(MitM)을 통해 피해자의 신원을 도용하여 정부, 의료, 금융 서비스에 접근하거나 개인정보를 추출할 수 있는 'sPACE' 이슈입니다.
💡 쉬운 설명
가짜 앱을 설치하도록 유도하여 신분증의 보안 기능을 무력화하고, 타인이 내 신분증 정보를 훔쳐 정부 서비스나 은행 업무를 대신 볼 수 있게 만드는 보안 결함입니다. 사용자가 변조된 앱을 설치할 경우 신분증의 인증 과정이 공격자에게 노출될 수 있습니다.
🇺🇸 원문 (English)
The Online-Ausweis-Funktion eID scheme in the German National Identity card through 2024-02-15 allows authentication bypass by spoofing. A man-in-the-middle attacker can assume a victim's identify for access to government, medical, and financial resources, and can also extract personal data from the card, aka the "sPACE (Spoofing Password Authenticated Connection Establishment)" issue. This occurs because of a combination of factors, such as insecure PIN entry (for basic readers) and eid:// deeplinking. The victim must be using a modified eID kernel, which may occur if the victim is tricked into installing a fake version of an official app. NOTE: the BSI position is "ensuring a secure operational environment at the client side is an obligation of the ID card owner."
📍 영향받는 시스템
2024-02-15 이전 버전의 독일 국가 신분증(eID) 및 변조된 eID 커널을 사용하는 클라이언트 환경
⚔️ 공격 벡터
변조된 공식 앱 설치 유도를 통한 클라이언트 측 보안 환경 장악 및 중간자 공격(MitM)
🛡️ 대응 방법
공식 앱 외의 변조된 eID 커널 설치를 금지하고, 신뢰할 수 있는 공식 앱만 사용하며 보안 환경을 철저히 관리해야 함
🔧 검증 코드
해당 취약점은 소프트웨어 버전 확인만으로는 부족하며, 사용 중인 eID 앱이 공식 인증된 버전인지와 커널 변조 여부를 확인해야 합니다.
echo 'Check eID kernel version and app authenticity via official BSI guidelines'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access