# 중간자 공격(MITM)

**중간자 공격**(Man-in-the-Middle Attack, 줄여서 **MITM**)은 네트워크 보안에서 해커가 두 당사자 간의 통신 경로를 가로채어 정보를 도청하거나 데이터를 변조하는 사이버 공격 기법을 의미합니다. 이 공격의 핵심은 통신 중인 양쪽 당사자가 제3자(해커)가 개입되어 있다는 사실을 인지하지 못하도록 하는 것입니다. 마치 두 사람이 전화 통화를 할 때, 해커가 중간에 끼어들어 통화를 도청하거나 메시지를 가로채어 내용을 바꾸는 상황을 연상하면 이해하기 쉽습니다.

## 공격 원리 및 작동 방식

중간자 공격은 주로 네트워크 트래픽이 흐르는 경로 상의 취약점을 이용하여 발생합니다. 공격자가 물리적으로 또는 논리적으로 통신 경로에 개입할 수 있는 위치에 서게 되면, 송신자와 수신자 사이의 모든 데이터를 가로챌 수 있습니다.

### 1. 통신 경로 차단 및 재라우팅
공격자는 일반적으로 **ARP 스푸핑**(ARP Spoofing)이나 **DNS 스푸핑**(DNS Spoofing)과 같은 기법을 사용합니다.
*   **ARP 스푸핑**: 로컬 네트워크(LAN) 내에서 공격자가 자신의 MAC 주소를 네트워크의 게이트웨이(라우터) 주소로 위장하여 등록합니다. 이로 인해 라우터로 가야 할 트래픽이 모두 공격자의 컴퓨터로 향하게 됩니다.
*   **DNS 스푸핑**: 사용자가 접근하려는 도메인 이름(예: `www.bank.com`)을 실제 서버가 아닌 공격자가 소유한 가짜 서버의 IP 주소로 변환하도록 유도합니다.

### 2. SSL/TLS 터널링 우회
현대 인터넷은 HTTPS를 통해 데이터를 암호화하지만, MITM 공격자는 다음과 같은 방식으로 이를 우회할 수 있습니다.
*   **가짜 인증서 발급**: 공격자가 사용자의 기기에 신뢰할 수 있는 인증 기관(CA)인 것처럼 속여 가짜 SSL 인증서를 설치하게 만듭니다.
*   **암호화 해제 및 재암호화**: 공격자는 사용자와의 연결을 해독한 후, 다시 실제 서버와 암호화된 연결을 맺습니다. 이 과정에서 공격자는 평문으로 된 데이터를 모두 볼 수 있으며, 필요시 내용을 수정한 후 다시 암호화하여 수신자에게 전달합니다.

## 주요 공격 유형

중간자 공격은 다양한 변형 형태로 나타나며, 각각의 특징은 다음과 같습니다.

| 공격 유형 | 설명 | 주요 타겟 |
| :--- | :--- | :--- |
| **SSL 스트립**(SSL Stripping) | 사용자가 HTTPS로 접속하려 할 때, HTTP로 강제 하향 조정하여 암호화되지 않은 상태로 데이터를 전송하게 만듭니다. | 웹사이트 로그인 정보 |
| **Wi-Fi 이브드롭**(Evil Twin) | 합법적인 무선 액세스 포인트(AP)와 동일한 SSID(네트워크 이름)를 사용하는 가짜 Wi-Fi AP를 설치하여 사용자를 유인합니다. | 공공 와이파이 사용자 |
| **DNS 캐시 포이즈닝** | DNS 서버의 캐시를 오염시켜 잘못된 IP 주소로 리디렉션되도록 합니다. | 도메인 기반 서비스 |

## 피해 사례 및 영향

중간자 공격이 성공할 경우 다음과 같은 심각한 보안 문제가 발생할 수 있습니다.

1.  **개인 정보 유출**: 로그인 아이디, 비밀번호, 신용카드 번호, 개인 식별 정보 등이 해커에게 노출됩니다.
2.  **데이터 변조**: 송신자가 보낸 메시지를 해커가 임의로 수정하여 수신자에게 전달할 수 있습니다. 예를 들어, 은행 송금 금액을 변경하거나, 소프트웨어 업데이트 파일에 악성 코드를 삽입할 수 있습니다.
3.  **세션 하이재킹**: 쿠키(Cookie)를 탈취하여 사용자의 세션을 가로챔으로써, 사용자의 권한으로 웹사이트에 접근하거나 거래를 수행할 수 있습니다.

## 방어 방법 및 예방 조치

MITM 공격을 방지하기 위해서는 기술적 조치와 사용자 주의가 병행되어야 합니다.

### 1. 기술적 방어 수단
*   **HTTPS 및 HSTS 사용**: 모든 웹 트래픽은 HTTPS를 통해 암호화되어야 합니다. 특히 **HSTS**(HTTP Strict Transport Security)를 활성화하면 브라우저가 강제로 HTTPS 연결을 사용하도록 하여 SSL 스트립 공격을 방지할 수 있습니다.
*   **공격 검증 인증서**(Certificate Pinning) : 애플리케이션이 특정 서버의 인증서만 신뢰하도록 고정하는 기법으로, 가짜 인증서 발급 공격을 차단합니다.
*   **VPN**(Virtual Private Network) : 공공 Wi-Fi와 같은 불안전한 네트워크를 사용할 때, VPN은 사용자의 트래픽을 암호화된 터널을 통해 전송하여 제3자의 도청을 어렵게 만듭니다.
*   **2단계 인증**(2FA) : 비밀번호가 유출되더라도 추가적인 인증 단계(문자 메시지, 인증 앱 등)가 필요하므로, 계정 탈취 피해를 최소화할 수 있습니다.

### 2. 사용자 주의 사항
*   **공공 Wi-Fi 사용 자제**: 가능하면 공공 Wi-Fi에서 민감한 금융 거래나 로그인 작업을 피해야 합니다.
*   **인증서 경고 무시하지 않기**: 브라우저에서 "이 사이트의 보안 인증서가 유효하지 않습니다"라는 경고가 나타나면 즉시 접속을 중단해야 합니다. 이는 MITM 공격이 발생하고 있을 가능성이 높음을 의미합니다.
*   **정식 앱 및 사이트 사용**: 앱 스토어나 공식 웹사이트를 통해 소프트웨어를 다운로드하고, URL을 직접 입력하여 접속하는 습관을 들입니다.

## 결론

중간자 공격은 네트워크 보안에서 가장 고전적이면서도 지속적인 위협 중 하나입니다. 기술의 발전으로 암호화 기술이 강화되었지만, 인증 과정의 취약점이나 사용자 인식의 부재로 인해 여전히 유효한 공격 수단입니다. 따라서 기업과 개인 모두 다층적인 보안 전략(암호화, 인증, 모니터링)을 구축하고, 안전한 네트워크 환경을 유지하는 것이 중요합니다.

## 대규모 네트워크 경로 조작: BGP 하이재킹

BGP(Border Gateway Protocol) 하이재킹은 개별 호스트가 아닌, 인터넷의 핵심 라우팅 체계인 AS(Autonomous System) 단위에서 발생하는 대규모 중간자 공격입니다. 공격자가 잘못된 라우팅 정보를 전파하여 특정 IP 대역의 트래픽을 자신의 네트워크로 유인하는 방식으로 작동합니다.

**[BGP 하이재킹 작동 과정]**
`정상 경로`: [사용자] → [ISP A] → [ISP B] → [목적지 서버]
`공격 경로`: [사용자] → [ISP A] → **[공격자 AS (가짜 경로 광고)]** → [목적지 서버 (또는 가짜 서버)]

1. **경로 광고(Route Advertisement)**: 공격자 AS가 자신이 특정 IP 대역의 최적 경로임을 알리는 거짓 BGP 업데이트 메시지를 주변 라우터에 전송합니다.
2. **전파(Propagation)**: 거짓 정보가 인접한 ISP 라우터들로 전파되며, 전 세계 라우팅 테이블에 공격자의 경로가 '최단 경로' 또는 '더 구체적인 경로'로 등록됩니다.
3. **트래픽 가로채기(Interception)**: 해당 IP 대역으로 향하던 전 세계의 트래픽이 공격자의 네트워크로 유입됩니다.
4. **분석 및 전달(Analysis & Forwarding)**: 공격자는 유입된 데이터를 도청/변조한 후, 사용자가 눈치채지 못하도록 실제 목적지로 트래픽을 다시 전달(Forwarding)하여 완벽한 중간자 위치를 점유합니다.

## 최신 MITM 공격 트렌드 및 변종

네트워크 환경의 변화에 따라 중간자 공격은 더욱 정교한 형태로 진화하고 있습니다.

*   **5G 네트워크 취약점**: 5G의 네트워크 슬라이싱(Network Slicing)이나 에지 컴퓨팅(MEC) 환경에서 가상화된 네트워크 기능(VNF) 간의 인증 미비점을 이용해 트래픽을 가로채는 공격이 시도되고 있습니다.
*   **IoT 및 M2M 통신 공격**: 저전력/저사양 IoT 기기들은 리소스 제한으로 인해 강력한 암호화 프로토콜을 적용하지 못하는 경우가 많습니다. 기기 간 통신(Machine-to-Machine) 과정에서 인증되지 않은 게이트웨이를 통해 데이터를 탈취하는 공격이 증가하고 있습니다.
*   **AI 기반 세션 가로채기**: 인공지능을 활용해 사용자의 타이핑 패턴, 마우스 움직임, 네트워크 패킷의 시간 간격 등을 학습하여 세션 토큰의 유효 시간을 예측하거나, 딥페이크 음성/영상을 결합한 사회공학적 기법으로 인증 세션을 탈취하는 고도화된 공격이 등장하고 있습니다.

## MITM 탐지 및 모니터링 기법

공격자가 은밀하게 활동하므로, 비정상적인 네트워크 징후를 포착하는 모니터링 체계가 필수적입니다.

*   **ARP 테이블 모니터링**: 동일한 MAC 주소가 여러 IP에 할당되어 있는지 확인하여 ARP 스푸핑을 탐지합니다.
    *   **구체적 도구**: `Arpwatch`(네트워크 내 ARP 변경 사항 감시), `XArp`(ARP 스푸핑 탐지 및 알림), `Wireshark`(중복 MAC 주소 패킷 분석)
*   **네트워크 트래픽 분석 (IDS/IPS)**: 침입 탐지 시스템(IDS) 및 침입 방지 시스템(IPS)을 통해 비정상적인 트래픽 패턴을 분석합니다. 특히 DNS 쿼리와 응답의 불일치나, 평소와 다른 경로로 트래픽이 흐르는 현상을 감지합니다.
*   **지연 시간(Latency) 분석**: 중간자에 의해 트래픽이 우회(Rerouting)되면 물리적 경로가 길어지므로 응답 시간이 미세하게 증가합니다. RTT(Round Trip Time)의 갑작스러운 증가나 지터(Jitter) 발생 여부를 모니터링하여 공격 가능성을 추정합니다.

## 제로 트러스트 기반의 현대적 방어 체계

전통적인 경계 보안(Perimeter Security)의 한계를 극복하기 위해, '결코 신뢰하지 말고 항상 검증하라(Never Trust, Always Verify)'는 **제로 트러스트(Zero Trust)** 모델이 도입되고 있습니다.

*   **핵심 관점**: 네트워크 내부(내부망)에 있다고 해서 신뢰하는 것이 아니라, 모든 접속 요청을 잠재적 위협으로 간주하고 매 요청마다 엄격한 인증과 권한 부여를 수행합니다.
*   **구체적 구현 기술 사례**:
    *   **mTLS (Mutual TLS)**: 서버만 인증서를 제시하는 일반 TLS와 달리, 클라이언트와 서버가 서로의 인증서를 모두 검증하는 양방향 인증을 통해 신뢰할 수 없는 중간자의 개입을 원천 차단합니다.
    *   **IAM (Identity and Access Management)**: 사용자 신원, 기기 상태, 접속 위치, 시간 등 컨텍스트 기반의 동적 권한 부여를 통해 세션이 탈취되더라도 다른 자원으로의 횡적 이동(Lateral Movement)을 방지합니다.
    *   **마이크로 세그멘테이션 (Micro-segmentation)**: 네트워크를 아주 작은 단위로 쪼개어 각 세그먼트 간 통신을 엄격히 제어함으로써, 특정 지점에서 MITM 공격이 발생하더라도 피해 범위를 최소화합니다.

## 관련 문서
*   [암호화 기술](#)
*   [SSL/TLS 프로토콜](#)
*   [피싱 공격](#)
*   [네트워크 보안](#)