일본에 본사를 둔 린나이社의 보일러 원격조종 앱에 보안 문제가 있었음이 뒤늦게 드러났다.

린나이 보일러를 사용하는 A씨는 “온수를 미리 만들어두고 싶어서 앱을 설치하고 개발자 커뮤니티에 질문을 올렸다. 이 과정에서 누구든 이메일 주소만 안다면 보일러 온도를 마음대로 조절할 수 있음을 알게 됐다”고 말했다.

문제가 된 것은 ‘인증’이었다. 사용자가 서버에 접속할 때 필요한 인증 작업을 거치지 않은 것이다.

A씨는 “엔드포인트 인증 과정이 없는 상황이었다. API(응용 프로그래밍 인터페이스)키 값만 있으면 인터넷의 누구든 해당 보일러에 접속해 온도를 조절할 수 있었던 것”이라고 말했다.

현직 개발자는 API를 사용할 때 인증 작업은 필수라고 말했다.

개발자 B씨는 “제대로 설계된 API라면 아무에게서나 온 API 호출을 모두 수락해선 안 된다. 예를 들어 유료 API라면 돈을 낸 사용자의 요청만 받아들여야 하지 않겠나”며 “그래서 인증 작업이 필요하다. API 서버가 호출을 보낸 상대방의 신원을 확인하는 과정을 ‘인증’이라고 부른다”고 설명했다. 

해당 이슈는 린나이가 과거에 출시한 ‘컨트롤-R’ 앱에서 생겼다. 린나이는 현재 새로운 앱을 출시한 상태다.