버려진 중고 기기, 전원을 켜자마자 장식품으로 전락하다
호주의 보안 연구원 xssfox는 전자 폐기물 수거함에서 버려진 Cricut Maker 산업용 절단기를 발견했습니다. 고무 구동 롤러가 자연스럽게 마모된 것을 제외하면 기기의 외관과 회로 기판 상태는 멀쩡했습니다. 연구원이 부품을 교체하고 공식 제어 소프트웨어에 연결하자 화면에 경고 문구가 나타났습니다. “기기가 비활성화되었습니다”(Machine deactivated).
Cricut 제조사는 이전부터 매우 강경한 하드웨어 통제 정책을 유지해 왔습니다. 이전 소유자가 보증 교환이나 보상 판매 프로그램에 기기를 제출하면, 제조사는 클라우드 서버에서 해당 기기의 일련번호를 폐기 상태로 등록합니다. 새로운 사용자가 이 중고 기기를 컴퓨터에 연결하면 소프트웨어가 블랙리스트에 오른 일련번호를 감지하고 즉시 하드웨어를 잠가 버려, 멀쩡하게 동작하는 절단기를 전자 쓰레기로 만들어 버립니다.
제조사가 클라우드에서 버튼 하나로 합법적으로 판매된 물리적 기기를 원격으로 무효화하고, 이미 구매한 하드웨어를 언제든 무효화될 수 있는 소프트웨어 라이센스 조각으로 전락시키는 것입니다. 이러한 통제 메커니즘은 중고 거래와 사용자 자체 수리의 가치를 완전히 파괴합니다. 하드웨어를 구매한 소비자는 단순한 물리적 껍데기만 소유할 뿐, 기기의 실제 작동 제어권은 여전히 제조사 서버에 귀속되어 있습니다.
디버그 포트도 암호화도 없던 허점, 5달러 칩이 일으킨 하드웨어 마술
그림: 차단된 절단기 내부 기판에 연결된 마이크로컨트롤러 칩. 출처: xssfox 블로그
기기 기능을 복구하는 과정에는 여러 기술적 장애물이 존재했습니다. xssfox가 기기를 분해해 확인한 결과, 메인 기판에는 일련번호를 저장하는 별도의 EEPROM이 없었고 마이크로컨트롤러의 외부 디버그 인터페이스도 완전히 비활성화되어 있었습니다. 네트워크 레이어에서 서버와의 통신 패킷을 가로채 수정하려는 시도도 있었으나, 제어 소프트웨어가 엄격한 인증서 피닝(Certificate Pinning) 기술을 적용해 프록시를 통한 중간자 공격 통로를 완전히 차단하고 있었습니다.
돌파구는 USB 프로토콜 레이어의 패킷 분석에서 나왔습니다. Wireshark를 사용해 기기와 PC 간의 통신 패킷을 캡처한 결과, 절단기가 표준 USB CDC(통신 장치 클래스) 방식을 통해 평문 데이터를 전송하고 있음을 확인했습니다. 연결이 설정될 때 기기의 일련번호가 일반 텍스트 형태로 전송되었으며, 데이터 패킷에는 해시 검증이나 암호화 처리가 전혀 적용되어 있지 않았습니다.
연구원은 약 5달러에 구할 수 있는 Raspberry Pi Pico 보드를 활용해 RP2040 마이크로컨트롤러 기반의 하드웨어 중간자 프록시를 구축했습니다. 이 칩은 USB 호스트와 USB 디바이스 역할을 동시에 수행하며 절단기와 컴퓨터 사이에 연결됩니다. 기기가 상위 PC로 원래의 정지된 일련번호 패킷을 보낼 때, 칩은 밀리초 단위로 이를 차단되지 않은 임의의 일련번호로 교체하여 전송합니다.
공식 소프트웨어는 변조된 일련번호를 전혀 감지하지 못했으며, 절단기는 연구원의 계정에 새로운 기기로 정상 등록되었습니다. 제조사는 애플리케이션 레이어에서 인증서 피닝과 클라우드 블랙리스트 구축에 막대한 공을 들였지만, 정작 하위 USB 통신에서는 가장 기초적인 서명 검증조차 생략했던 것입니다. 물리적 접근 권한이 사용자에게 있는 한, 암호화 보호가 없는 터미널 프로토콜은 하드웨어 중계 공격을 막아낼 수 없습니다.
롤러 수리와 새 일련번호 등록, 허술한 검증이 드러낸 보안 위험
그림: 공식 제어 소프트웨어가 재구성된 일련번호를 인식하여 정상 작동 상태로 복구된 모습. 출처: xssfox 블로그
절단기를 실생활에서 완벽히 사용할 수 있도록 연구원은 뜨거운 물로 경화된 롤러를 부드럽게 만들어 교체했고, 3D 프린터로 전용 케이스를 출력하여 Raspberry Pi Pico 칩을 기기 내부에 안정적으로 고정했습니다. 개조된 기기는 공식 소프트웨어의 등록 절차를 문제없이 통과했으며, Cricut 공식 상태 페이지에서 완전히 가상의 일련번호까지 등록할 수 있었습니다. 물리적 기계 수리와 전자 신호 위장이 결합하여 기기를 완벽히 부활시켰습니다.
그러나 이러한 허술한 검증 로직은 심각한 권한 우회 보안 위험을 내포하고 있습니다. 일련번호에 위변증 방지 검증이 없고 임의 등록이 가능하기 때문에, 악의적인 사용자가 이 로직을 악용하여 다른 합법적인 사용자의 일련번호를 무단 생성할 가능성이 있습니다. 공식 소프트웨어에 자동화된 일련번호 등록 요청을 대량으로 전송할 경우, 타인 명의의 정상적인 기기가 클라우드에서 일련번호 충돌로 정지되거나 강제로 연결이 해제될 수 있습니다.
하드웨어 보안을 클라우드의 평문 일련번호 비교에만 의존하는 방식은 해커의 분석을 막지 못할 뿐만 아니라 일반 합법 사용자에게도 무차별적인 보안 위험을 초래합니다. 소프트웨어 구독 수익을 보호하려는 제조사의 폐쇄적 방어 전략이, 엔지니어링 관점에서는 전체 기기 생태계의 신뢰 사슬을 위협하는 구조적 취약점을 만들어낸 셈입니다.
구매가 임대로 변할 때, 소프트웨어에 인질로 잡힌 물리적 소유권
Cricut이 하드웨어 소유권을 둘러싸고 논란을 일으킨 것은 이번이 처음이 아닙니다. 2021년 이 회사는 비구독 사용자가 업로드할 수 있는 개인 절단 도안 횟수를 제한하려 했으나, 전 세계 DIY 창작자들의 거센 반발과 불매 운동에 직면하여 철회한 바 있습니다. HP 등 전통적인 프린터 제조사들이 펌웨어 업데이트를 통해 타사 토너와 먹물을 강제로 차단하는 조치 역시 하드웨어 비즈니스 모델을 지속적인 논란의 중심에 서게 만들고 있습니다.
제조사 입장에서는 클라우드 서비스 생태계를 유지하기 위한 비즈니스 논리가 존재하며, 원격 비활성화 메커니즘도 원래 보증 사기나 중고 재판매 오용을 방지하기 위해 도입되었습니다. 하지만 수리할 권리 운동가들은 소비자가 정가를 지불하고 구매한 하드웨어에 대해 처분, 수리, 양도할 수 있는 완전한 물권을 가져야 한다고 지적합니다. 소프트웨어 라이센스가 제품 판매 후 제조사가 원격으로 기기를 파괴할 수 있는 면죄부가 되어서는 안 됩니다.
“디바이스 서비스화”(Device as a Service, DaaS) 모델은 일시불로 구매하던 하드웨어 자산을 클라우드 구독에 의존하는 가변적 라이센스로 바꿔 놓았습니다. 이 모델은 물리적 재산에 대해 소비자가 지닌 전통적인 소유권 인식과 큰 차이를 보입니다. 몇 달러짜리 칩으로 보안 잠금을 우회한 사례가 증명하듯, 소프트웨어에 의한 인위적 차단만으로는 물리적 실체에 대한 사용자의 자율적 제어권 요구를 막을 수 없습니다.
물리적 제어권을 다시 물리적 기기에게로
전자 쓰레기더미에서 부활한 이 절단기는 컴퓨터 엔지니어링의 대원칙을 다시 한번 증명합니다. 물리적 하드웨어가 사용자의 손에 있는 한, 순수한 소프트웨어적 차단만으로는 완벽한 장벽을 쌓을 수 없습니다. 오픈소스 마이크로컨트롤러부터 하드웨어 중계 프록시에 이르기까지, 수리할 권리 운동은 엔지니어링 기술을 통해 하드웨어 소유권의 경계를 새롭게 정의하고 있습니다.
지식재산권 보호와 소비자의 수리권 보장 사이에서 균형을 찾는 일은 법조계와 공학계가 함께 풀어가야 할 과제입니다. 물리적 소유권을 존중하고 인위적으로 발생하는 전자 쓰레기를 줄이는 것은 향후 스마트 하드웨어 설계에서 결코 간과해서는 안 될 핵심 원칙이 되어야 합니다.
참고 링크:
- xssfox 블로그: Bypassing Cricut machine deactivation
- Hacker News 커뮤니티 토론: Bypassing Cricut machine deactivation
