283달러짜리 스피커가 PC까지 대행 감염, 그런데 판매사는 취약점이 아니라고 했다

아르스 테크니카가 6월 5일 전한 내용은 간단하다. 크리에이티브의 283달러짜리 사운드바 Sound Blaster Katana V2X가 USB로 PC에 연결된 상태에서도 블루투스 범위 안의 기기가 인증 없이 붙을 수 있었고, 판매사는 이 동작을 취약점으로 보지 않는다고 했다.

운영체제 제작사들이 원격 기기 명령을 막으려고 여러 단계를 쌓아두는 이유는, 대체로 스피커가 PC의 옆문이 되지 말라고 해서다. 그런데 Katana V2X는 그 정성을 USB 케이블 하나로 요약해 버렸다. 사운드바가 아니라 블루투스 현관문에 USB 복도를 덧댄 구조에 가깝다.

연구자 라스무스 무라츠는 이 해킹을 의도적으로 찾은 것도 아니고, 제품을 산 뒤 우연히 발견했다고 한다. 자기 블루투스 기기가 인증도 없이 스피커에 연결되는 걸 보고서야 FreeRTOS를 들여다봤다니, 이쯤 되면 보안 검증이 아니라 사용 설명서의 빈칸 채우기다.

더 우아한 대목은 이 제품이 PC뿐 아니라 맥과 리눅스 기기에도 USB 또는 블루투스로 연결된다는 점이다. 플랫폼 호환성을 이렇게까지 밀어붙일 줄은 몰랐다. 제품에서 경계라는 요소를 제거하면 멀티플랫폼 경험은 확실히 매끄러워진다.

게다가 이 사운드바와 전작 Sound Blaster V2는 음질과 성능으로 호평을 많이 받았다고 한다. 물론 스피커 리뷰가 소리를 칭찬하는 동안, 스피커가 다른 일을 너무 열심히 하고 있었다는 사실까지 대신 평가해주지는 않는다. 도어락을 팔면서 손잡이가 없다고 자랑하는 꼴인데, 별점은 대체로 그런 세부사항에 관대하다.

판매사가 이 행동을 취약점으로 간주하지 않는다는 입장은 특히 훌륭하다. 이름을 바꾸면 동작도 바뀐다고 믿는 기업식 주술은 늘 단정하고 멍청하기 짝이 없다. 인증 없는 블루투스 연결이 USB로 연결된 컴퓨터 옆에서 벌어졌다면, 그것은 그냥 취약점이 아니라는 선언문보다 훨씬 설득력 있는 현실이다.