▲

미국 정부의 TP-Link 판매 금지 추진 분석

 (krebsonsecurity.com)
1P by GN⁺ 6시간전 | ★ favorite | 댓글 1개
  • 미국 정부가 TP-Link Systems의 무선 라우터 및 네트워크 장비 판매를 금지하는 방안을 검토 중이며, 이는 중국과의 연계 우려가 주요 이유로 제시됨
  • 상무부는 TP-Link 제품이 미국 내 민감한 데이터를 처리하며, 중국 정부의 영향권 아래 있을 가능성이 있다고 판단
  • TP-Link는 중국 법인과의 완전 분리, 베트남 제조, 캘리포니아 본사 등을 근거로 안보 위험을 부인하고, 시장점유율이 과장되었다고 반박
  • Check Point Research와 Microsoft는 TP-Link 라우터가 중국 해킹 조직에 의해 악용된 사례를 보고했으며, Camaro Dragon 등 국가 지원 해커 활동이 언급됨
  • 소비자 입장에서는 보안 우려와 별개로 저가·고성능 제품 접근성이 제한될 가능성이 있어, 보안과 기술 접근성의 균형이 핵심 쟁점으로 부상

미국 정부의 TP-Link 판매 금지 추진

  • 미국 정부는 TP-Link Systems의 라우터 및 네트워크 장비 판매 금지를 준비 중이며, 이는 가정용 및 중소기업 시장의 약 50% 점유율을 가진 기업에 대한 조치로 보도됨

    • 전문가들은 이번 조치가 기술적 위협보다는 중국과의 연계 우려에 기반한다고 평가
    • 업계 전반이 중국산 부품을 사용하고 있어, 보안 취약성은 TP-Link에 국한되지 않음

  • 워싱턴포스트는 6개 이상의 연방 부처가 금지안을 지지하고 있으며, 상무부가 TP-Link 제품이 중국 정부의 영향권에 있다고 결론 내렸다고 보도

TP-Link의 반박과 기업 구조

  • TP-Link는 중국 TP-Link Technologies와의 완전 분리를 주장하며, 미국 본사(캘리포니아) 와 싱가포르 지사, 베트남 제조시설을 운영 중이라고 설명
    • 칩셋을 제외한 대부분의 연구·설계·제조를 자체 수행
    • 중국 내 일부 엔지니어링 자산은 독립적으로 운영되고 있으며, 중국 정부의 감독을 받지 않는다고 명시
  • 대변인 Ricca Silverio는 “TP-Link는 미국 기업으로서 고품질·보안 제품 공급에 전념하고 있다”고 발표

보안 우려와 해킹 사례

  • 하원 미·중 전략경쟁 특별위원회는 2024년 8월 TP-Link 장비가 미군 기지 및 군 교환소에서 판매되고 있다며 조사를 요청
    • 서한에서는 TP-Link의 취약점과 중국 법률 준수 의무를 우려하며, 중국 정부가 SOHO 라우터를 이용한 사이버 공격을 수행했다고 경고
  • Check Point Research(2023) 는 중국 해킹 조직 Camaro Dragon이 TP-Link 라우터용 악성 펌웨어를 이용해 유럽 외교기관 공격을 수행했다고 보고
    • 해당 악성코드는 TP-Link 장비에서만 발견되었으나, 다른 제조사 장비도 위험할 수 있음을 지적
  • Microsoft(2024) 는 2021년 이후 중국 해커 그룹들이 TP-Link SOHO 라우터를 악용해 비밀번호 스프레이 공격을 수행했다고 발표

소비자용 라우터의 보안 현실

  • 대부분의 소비자용 라우터는 출고 시 기본 설정이 취약하며, 기본 계정·비밀번호를 변경하지 않으면 수분 내에 IoT 봇넷 공격 대상이 될 수 있음
    • 신제품조차 출시 시점에 펌웨어가 구버전인 경우가 많음
  • 최근 몇 년간 주요 제조사들은 기본 보안 절차(비밀번호 변경, 펌웨어 업데이트) 를 강제하는 방향으로 전환
    • Eero, Orbi, ZenWifi 등 메시 라우터는 온라인 등록을 통해 자동 업데이트를 지원
    • Belkin, Linksys 등은 모바일 앱 기반 설치를 유도하지만, 여전히 사용자가 수동으로 업데이트해야 하는 경우가 많음

오픈소스 펌웨어와 대안

  • OpenWrt, DD-WRT 같은 오픈소스 펌웨어는 다양한 라우터에서 사용 가능하며, 기능 확장성과 수명 연장을 제공
    • TP-Link 라우터 중 상당수도 OpenWrt 호환
    • 하드웨어 수준의 결함은 해결하지 못하지만, 하드코딩 계정·인증 우회 취약점 등 벤더 특유의 보안 문제 완화 가능
  • 라우터가 4~5년 이상 된 경우, 성능 및 보안 측면에서 교체 권장

ISP 관리 장비 관련 주의사항

  • 많은 TP-Link 및 경쟁사 라우터는 ISP를 통해 임대·관리되며, 원격 업데이트 및 인증 프로필이 포함됨
    • 이 경우 사용자가 임의로 펌웨어를 교체하거나 수정하지 말고, ISP와 사전 협의 필요

독자 의견 및 논쟁

  • 일부 독자들은 중국산 제품에 대한 과도한 공포 조장을 비판하며, 다른 제조사도 동일한 취약점을 가진다고 지적
  • 반면 다른 의견에서는 중국 정부와의 연계 가능성을 이유로 TP-Link 제품의 보안 위험성을 강조
  • 여러 댓글에서 앱 기반 설정의 불편함, 개인정보 노출 우려, 미국 내 대체 제품 부재 등이 논의됨
  • 일부 사용자는 TP-Link의 저가·고성능 장점을 인정하면서도, 장기적 보안 리스크를 이유로 교체를 진행 중이라고 언급

결론적 맥락

  • TP-Link 금지 추진은 국가 안보와 기술 접근성 간의 충돌을 드러내는 사례
  • 보안 위협의 실체와 범위에 대한 명확한 정보 공개가 요구되며,
    소비자·ISP·정부 간 책임 분담이 향후 논의의 핵심으로 부상
▲
GN⁺ 6시간전  [-]
Hacker News 의견

  • 나는 사람들이 TP-Link 펌웨어 업데이트가 없다고 말하는 걸 이해하지 못함
    우리 집, 부모님 집, 여자친구 부모님 집까지 총 4종류의 TP-Link 라우터를 쓰고 있는데, 출시된 지 몇 년이 지나도 꾸준히 업데이트를 받음. 심지어 지난달에도 일부 모델이 업데이트됨
    가격 대비 성능이 좋고, 기본적인 보안 기능도 있어서 가정용으로 충분하다고 생각함
    완벽하진 않지만, 이 가격대에서 뭘 더 바라겠음

    • 동의함. TP-Link가 첨단 보안이나 미래지향적 기능의 상징은 아니지만, 기본 기능을 안정적으로 수행함
      요즘은 비싼 제품도 신뢰하기 어려운데, TP-Link는 가격 대비 훌륭한 선택임
      경쟁사보다 훨씬 오래 지원과 업데이트를 받는 점도 큰 장점임
    • 내 m4R 라우터는 15년이 넘었는데 지난달에도 펌웨어 업데이트를 받았음
    • 나도 세 집에서 TP-Link 장비를 여러 대 운영 중인데, 전부 정기적으로 업데이트를 받음
    • TP-Link에 대한 ‘혐오’가 있다는 걸 몰랐음. 소비자용 네트워킹 장비 중에서는 꽤 신뢰할 만한 브랜드라고 생각함
      예전엔 ‘중국산 저가 브랜드’ 이미지였지만, 지금은 Anker처럼 탄탄한 중견 브랜드로 자리 잡은 느낌임
      개인적으로는 D-Link의 자리를 이어받은 듯한 인상임
    • 이런 ‘혐오’는 Huawei 때와 비슷한 중국 정부 백도어 의혹 때문임
      하지만 지금까지 실제 증거는 발견되지 않았음. 여러 나라의 보안 전문가와 해커들이 이미 장비를 완전히 분석했을 텐데, 뭔가 나왔다면 벌써 밝혀졌을 것임
      나는 백도어가 있다면 결국 드러날 것이라는 믿음이 있음

  • 미국 정부가 Intel 지분을 직접 사는 건 괜찮고, 중국 공산당이 기업에 조금이라도 관여하면 안 된다는 건 이중잣대라고 생각함
    보안이 문제라면, 통신사들이 지속적인 펌웨어 지원 비용을 부담하도록 하는 등 실질적인 해결책이 있을 텐데
    이런 식의 정치적 대응은 결국 15년 뒤 미국 자신에게 부메랑이 될 것임

    • “미국은 괜찮고, 중국은 안 된다”는 식의 태도임. 결국 위선적인 게임일 뿐임
    • 단순히 주식을 사는 것과 지배 지분을 갖는 것은 다름
      중국의 기업 통제 방식은 서방과 전혀 다르기 때문에 단순 비교는 허위 등가임
    • “미국은 괜찮고 중국은 안 된다”는 말에 단순히 “맞음”이라고 답하고 싶음
    • 중국도 오랫동안 미국 제품을 제한해왔음. 양쪽 다 유치한 싸움임
    • 경쟁 국가들이 공정할 거라고 믿는 건 순진함. 결국 양쪽 모두 선전(propaganda) 을 하고 있을 뿐임

  • 이번 사건의 진짜 교훈은, 성공했다고 보안 투자를 줄이지 말라는 것임
    TP-Link라면 수만 대의 자사 라우터가 해킹됐다는 소식을 듣고 분노해야 했을 것임
    즉시 소프트웨어 품질 개선과 취약점 점검 체계 강화에 나섰어야 함
    하지만 현실은 이익률만 신경 쓰는 듯함

    • 진짜 교훈은 “미국 대통령에게 뇌물을 잊지 말라”는 것 같음
    • AirPort가 그립음. 완벽하고 단순한 소프트웨어였고, 메쉬 기능도 일찍 구현했음
      요즘 제품들은 여전히 온라인 등록 등 귀찮은 절차가 많음
    • 매일 같은 시간대에 교통이 마비되는 걸 보며, 이런 현상이 소프트웨어라면 부끄러워해야 할 버그라고 생각했음
      그런데 현실의 많은 산업은 이런 문제를 그냥 ‘정상’으로 받아들이는 게 인간 심리인 듯함
    • 만약 진짜 보안이 문제라면 Fortinet도 금지됐어야 함. 결국 미국 기업에는 관대한 셈임
    • Microsoft나 Cisco도 보안을 소홀히 하는데, 왜 TP-Link만 문제 삼는지 모르겠음

  • TP-Link 제품은 튼튼하고, 원하면 대부분 OpenWRT로 펌웨어 교체도 가능함
    부모님 댁에 메쉬 Wi-Fi를 설치했는데, 과정이 매우 매끄러웠음
    다만 클라우드 계정 등록이 필요한 점은 아쉬웠음

    • 하지만 OpenWRT만으로는 충분하지 않음
      대부분의 Wi-Fi 칩셋은 폐쇄형 펌웨어 블롭을 사용하고, 자체 CPU에서 별도의 OS를 돌림
      즉, OpenWRT는 그 아래서 무슨 일이 일어나는지 모름. 완전한 해결책은 아님
    • 나는 카페를 운영하는데, Omada 시스템을 사용 중임
      여러 네트워크를 분리하고, 손님용 Wi-Fi를 자동으로 끄고, 대역폭 우선순위를 설정하는 등 기능이 풍부함
      Meraki보다 훨씬 저렴하고 성능도 만족스러움
      내 환경은 보안 위험이 낮아서 충분히 합리적인 선택이었음
    • 결국 OpenWRT를 써도 하드웨어 레벨의 제어권은 남아 있음
      마치 Linux를 써도 Intel ME나 SGX 같은 펌웨어 계층은 여전히 존재하는 것처럼
    • 예전에 TP-Link 휴대폰을 샀는데 지원이 끊겨 실망했음
      최근엔 OpenWRT 설치용으로 라우터를 샀지만, 리비전이 바뀌어 사양이 낮아져서 설치 불가였음
      그래도 가격 대비 품질은 괜찮음
    • 나도 부모님 댁에 메쉬 네트워크를 설치하려고 함
      안정적이고 원격 관리가 쉬운 장비 추천을 부탁하고 싶음

  • 소비자 라우터의 진짜 위협은 중국이 아니라 허술한 펌웨어임
    수많은 네트워크가 국가가 아닌 범죄자들의 공격으로 뚫림
    진짜 보안을 원한다면, 소프트웨어 건축 기준을 마련해야 함
    하지만 현실은 정치적 압박과 무역 협상용 카드일 뿐임

    • Cisco도 매년 하드코딩된 비밀번호 취약점이 터짐
      최근 보안 공지만 봐도 업계 전체가 YOLO식 개발을 하고 있음
    • 이번 기회에 Cyber Resilience Act (CRA) 같은 법으로 기업의 보안 책임을 강제했으면 좋겠음

  • TP-Link은 EOL(단종)이 아닌 제품에는 지속적으로 업데이트를 제공하고 있음
    미국 제품도 단종되면 똑같이 취약해짐
    이번 논란은 보안보다는 미국 시장 점유율을 빼앗으려는 로비전에 가까움
    게다가 Checkpoint가 언급한 악성코드는 펌웨어 비종속적이라 다른 하드웨어에도 적용 가능함

  • DJI에 이어 TP-Link까지 금지한다면, 결국 가성비 좋은 중국 제품이 사라진 미국 시장은 어떤 모습일까 궁금함
    이런 환경에서 자란 미국의 차세대 엔지니어들은 기술 접근성의 결핍을 겪게 될 것임

    • 미국 내에 여전히 많은 중국 제품이 허용되고 있음
      금지 이유는 국적이 아니라 실제 보안 리스크 때문임
      TP-Link는 백도어 설치와 보안 패치 포기 선언으로 신뢰를 잃었음
      1년 전부터 여러 기술 커뮤니티에서 이미 문제를 제기했음
    • Huawei도 잊지 말아야 함
    • 결국 미국의 EV 산업처럼 될 것임
      기술은 괜찮지만 가격은 비싸고 혁신은 부족한 시장이 될 가능성이 큼

  • 나는 Firewalla Gold 뒤에 TP-Link Deco를 두고 사용 중임
    지금까지 써본 홈 네트워크 중 가장 간단하고 안정적이었음
    TP-Link를 좋아하진 않지만, 가격 대비 목적 적합성이 최고였음
    만약 금지된다면, 미국 내 A/S·업데이트·시장 혼란이 걱정됨

    • 아마도 정부가 미국 내 사업부를 강제로 매각시키는 식으로 해결할 것 같음
      TikTok-Oracle 사례처럼

  • 미국이야말로 더 큰 위협이라고 생각함
    요즘 미국은 마피아식 국가 운영처럼 보임. 자신들의 백도어를 넣지 못하면 기업을 파괴함

    • 사실 대부분의 나라가 비슷함. 단지 미국이 정치적 영향력이 클 뿐임
      영국의 Online Safety Act나, 호주의 암호화 금지 법안이 그 예시임
    • 결국 이름만 다를 뿐, 제국의 행태임
답변달기