와이파이 비밀, 잠긴 UART, 손상된 플래시 메모리 칩에 얽힌 이야기

보안 연구자가 Eufy HomeBase 2의 플래시 칩을 떼어 내 와이파이 비밀번호 생성 방식을 분석하고 잠긴 UART를 풀었습니다.

보안 연구 블로그 Adepts of 0xCC의 한 멤버가 인척인 오스카르 레스톤과 함께 한 작업입니다. 앞서 Eufy 초인종을 분석한 글의 후속편으로, 같은 제품군의 허브 기기인 HomeBase 2의 펌웨어 3.4.2.2h를 뜯어봤습니다.

왜 중요한가

• 관리용 와이파이 비밀번호가 2024년 논문에서 지적된 방식과 달라졌다는 점을 펌웨어에서 직접 확인했습니다.
• 펌웨어가 전혀 암호화되어 있지 않았습니다. 그래서 기기를 손에 넣은 사람은 플래시만 고쳐 써도 콘솔 잠금을 풀 수 있었습니다.
• GDB로 동적 디버깅(실행 중인 프로그램을 들여다보는 분석)을 할 수 있게 되어 다음 분석이 훨씬 쉬워졌습니다.

핵심 내용

• 관리망 비밀번호는 I2C(칩 사이 통신 버스)로 읽은 값에 HMAC-SHA256을 적용하고 base64url로 바꿔 만듭니다.
• 이때 키로 쓰는 기기 일련번호는 정해진 틀을 따르므로, 남은 미지수는 I2C로 읽는 값 하나입니다.
• 보드에 붙인 채로는 읽을 때마다 값이 달라 칩을 떼어 냈고, 이 과정에서 일반 부팅 이미지가 있던 64KB 블록이 손상되었습니다.
• 대신 멀쩡한 복구용 이미지의 로그인 스크립트를 셸로 바꿔 다시 기록하자 UART(기기의 직렬 콘솔)로 루트 셸이 열렸습니다.
• 글쓴이는 LLM 시대에 기술 글을 쓰는 열의를 잃었다면서도, 취미 작업에는 AI를 쓰지 않는다고 덧붙였습니다.

HN 반응

• 에이전트에게 맡기지 않고 직접 부딪힌 작업과 개성 있는 글쓰기를 반기는 댓글이 여럿 달렸습니다.
• 앞선 초인종 글을 먼저 읽으라는 안내에는 이 글만으로도 충분하다는 의견과 함께, 비밀번호 생성 방식이 끝내 분명하지 않았다는 지적이 나왔습니다.