<북토피아>디지털보안의 비밀과 거짓말

◆브루스 슈나이어 지음, 채윤기 옮김, 나노미디어 펴냄

　

　우리가 매일 사용하는 e메일이 누군가에 의해 읽혀지고 도난당하고, 내용이 임의로 바뀌어져 누군가에게로 전달될 수 있음을 생각해 보았나. 이를 방지하기 위해 성능좋은 암호시스템을 컴퓨터에 올리기만 하면 문제는 해결될 수 있는가.

　브루스 슈나이어는 암호시스템만으로는 보안문제를 더이상 해결할 수 없다고 말한다. 하드웨어와 소프트웨어, 그리고 인간으로 이어지는 사슬 속에 암호시스템은 하나의 고리에 불과하다. 따라서 전체 사슬이 강해야 강력한 보안시스템이 될 수 있다고 주장한다.

　디지털보안은 컴퓨터와 네트워크 속에 있는 정보를 보호하는 보안수단이다. 디지털공격은 사회에서 발생하는 범죄와 비슷하지만 더 빈번하게 발생하며 그 결과의 파급효과가 더 크다. 위폐범은 잠을 자면서 10억개의 전자화폐를 자동으로 위조해 낼 수 있으며 러브바이러스는 순식간에 6만대의 컴퓨터를 다운시킬 수 있다.

　저자는 우선 디지털공격을 각 단계별로 면밀하게 고찰한다.

　우선 웹사이트에 대한 디지털공격은 4단계로 이뤄진다. 1단계는 공격을 감행할 사이트를 설정하고 정보를 수집한다. 2단계는 정보를 분석하고 공격대상의 취약점을 찿아낸다. 3단계는 공격대상에 대한 적절한 수준의 접근권한을 얻는 것이다. 그리고 공격을 수행한다. 웹서버를 뚫고 들어가 루트 권한을 얻고 그 권한을 이용해 다시 새로운 서버의 접근권한을 반복해서 얻는 식으로 공격을 개시한다.

　다음으로 컴퓨터에 대한 디지털공격이다. 이는 컴퓨터 바이러스, 트로이목마, 인터넷웜을 포함하는 악성소프트웨어에 의해 공격, 컴퓨터에 타격을 주게 된다. 인터넷이 사용되기 전까지는 컴퓨터통신이 국지적으로만 일어나기 때문에 퇴치가 쉬웠으며 플로피디스크에만 있었기 때문에 복구가 쉬웠다. 플로피 속도가 느리고 용량도 적었기 때문에 전파속도도 느릴 뿐 아니라 양도 적었다.

　인터넷 바이러스는 기억장치뿐 아니라 네트워크나 주변장치에 광범위하게 감염되며 그 전파속도가 빠르다. 바이러스는 현재 1만∼6만 종류가 활동중이며 매크로 바이러스가 주종을 이룬다.

　마이크로소프트의 워드나 엑셀은 강력한 매크로 기능을 갖고 있으며 실행파일과 데이터파일의 경계가 희미한 점 때문에 감염이 잘 된다. 아웃룩2000의 HTML지원 기능은 e메일을 받는 것만으로도 바이러스에 감염되기 때문에 바이러스 확산의 주범으로 지목된다. 또 러브바이러스 확산에 있어서는 아웃룩의 e메일 전달기능이 한몫했다.

　그렇다면 보안정책의 수립은 어떻게 세워야 하며 미래의 보안제품은 현재보다 기능이 좋아질 것인가.

　저자는 기술적 방편보다는 시스템 전체를 포함하는 대책을 세워야 한다고 주장한다. 방화벽과 VPN을 갖춘 네트워크라면 두 가지를 따로 분리해서 세울 것이 아니라 동시에, 그리고 주위환경을 포함한 대책을 세워야 한다.

　먼저 각종 지형도를 이용하는 것이 효율적이다. 위협 모델과 분석의 결과를 기반으로 작성된 취약점 지형도는 복잡한 공격과 대응수단을 알 수 있게 해 대책수립에 도움을 준다. 보안 e메일 지형도는 암호 알고리듬이나 프로토콜이 설계자의 의도대로 움직이는가를 체크할 수 있다. 그후 가장 취약한 고리를 보강하는 것이다.

　다음으로 보안제품을 생각해볼 수 있다. 보안제품의 테스트와 검증은 매우 어려운 문제다. 왜냐하면 보안 결함은 의도된 곳에서 의도대로 나타나지 않으며 베타테스트에서도 나타나지 않는다. 더욱이 하나의 결함만으로도 제품 자체가 무의미한 것이 될 수 있기 때문이다.

　이런 이유로 저자는 보안제품의 미래를 부정적으로 평가하고 있다. 기술의 진보 자체가 보안의 적이 되기 때문이다. 특히 소프트웨어는 복잡성이 증가함에 따라 포함되는 버그가 증가하며 버그는 보안능력을 현저히 감소시킨다. 윈도2000은 3.1버전에 비해 10배 이상의 코드가 추가됨으로써 보안에 대한 부담을 현저하게 증가시켰다.

　결론적으로 이 세상에 완벽한 보안기술이나 대책은 있을 수 없으며 보안의 근본문제는 기술이 아니라 기술을 사용하는 방법에 관한 과정(process)임을 강조하고 있다.

　<정정화 한양대 교수 jchong@email.hanyang.ac.kr>

　

　

　

　

　

　

　

　

　

　

　

　

　<성호철기자 hcsung@etnews.co.kr>