Robert Xiao가 LocationSmart의 데모가 모든 미국 전화를 추적한다는 것을 발견했고 하루 만에 수정되었다

LocationSmart는 Verizon, AT&T, T-Mobile, Sprint 및 캐나다 통신사 Bell, Rogers, Telus와 제휴하여 기업에 실시간 통신사 기반 전화 위치를 판매했다. 공개 체험 페이지에서는 누구나 전화번호를 입력할 수 있었고, 전화 소유자가 SMS 또는 콜백 옵트인 메시지에 응답하면 해당 전화를 지도에서 실시간으로 볼 수 있었다. 동의 단계가 데모의 핵심이었다.

2018년 5월 16일, 연구원 Robert Xiao는 동의 단계를 건너뛸 수 있음을 발견했다. 데모 API는 동일한 작업을 XML과 JSON 두 형식으로 응답했는데, 기본 XML 대신 requesttype=locreq.json으로 위치를 요청하면 구독 확인이 완전히 억제되었다. 인증되지 않은 두 번의 POST 요청 — 하나는 토큰 획득용, 하나는 위치 요청용 — 으로 한 번도 옵트인한 적 없는 전화를 포함해 모든 미국 무선 번호의 대상 거리 주소와 지도 원이 반환되었다.

위치 측정이 통신사 측 삼각측량이었기 때문에 운영 체제나 개인정보 설정에 관계없이 모든 전화에서 작동했으며, 옵트아웃할 방법이 없었다. Xiao는 이 발견을 묵혀두거나 폭로하지 않았다. 그는 US-CERT에 보고하고 Brian Krebs와 협력했으며, Krebs는 LocationSmart가 5월 17일 아침에 결함을 수정한 후 기사를 게시했다. Xiao는 패치를 확인한 후에야 기술 보고서를 공개했다.

이 폭로는 업계가 이미 위치 데이터 판매로 조사를 받고 있던 시기에 나왔다. 보고서는 통신사들이 Securus에 데이터를 제공했고, Securus가 이를 전직 법 집행 관계자에게 부적절하게 공개했다는 보도를 인용한다. Xiao의 페이지는 수정이 이루어진 날 Hacker News에서 1,209점과 270개의 댓글을 받았고 수십 개 사이트에 걸쳐 회자되었다.

대체 응답 형식이 동의 확인을 건너뛰었다

JSON 요청 유형이 동의를 강제하는 코드 경로를 우회했기 때문에, 한 단어의 형식 변경만으로 옵트인 없이 전체 위치 데이터가 생성되었다.

거리 주소를 출력하는 짧은 개념 증명이 결함을 구체적이고 신뢰할 수 있게 만들었고, 이것이 약 하루 만에 수정되게 한 요인이다.

US-CERT와 신뢰할 수 있는 언론인을 통한 조율된 공개 덕분에, 이 이야기는 제로데이 공포가 아니라 패치가 이미 적용된 상태로 보도되었다.

통신사 측 위치는 옵트아웃 없이 미국 4대 통신사의 모든 가입자에게 영향을 미쳤으므로, 이 데모 버그는 예외적 사례가 아니라 국가적 개인정보 노출이었다.

모든 응답 형식을 공격 표면으로 취급하라: 한 핸들러의 동의 확인이 다른 핸들러에는 없을 수 있다. 작동하는 데모로 심각성을 입증하고, CERT를 통해 공개하며, 패치 후에만 게시하라.

LocationSmart는 2018년 5월 17일 아침까지 취약점을 수정했고 Brian Krebs는 같은 날 기사를 게시했다. 그 후 Xiao는 기술 보고서와 개념 증명을 공개했다. 이 페이지는 Hacker News에서 1,209점과 270개의 댓글을 받았고 수십 개 매체에 신디케이션되었다. 이 사건은 이미 며칠 전 LocationSmart와 Securus를 뉴스에 올렸던 통신사들의 실시간 위치 데이터 판매 관행에 계속 주목을 집중시켰다.