시사저널


▲ 7월8일 한국정보보호진흥원(KISA) 내 인터넷침해사고대응지원센터 상황실에서 관계자들이 분주하게 움직이고 있다. ⓒ연합뉴스

지금까지 DDoS의 배후에 누가 있는지에 대해서 관심이 집중되었다. 이제는 3차 공격까지 큰 피해 없이 마무리되자 기술적인 분석으로 눈을 돌리는 분위기가 감지된다. 보안업계가 DDoS 공격과 관련해 주목하는 부분은 다름 아닌 ‘액티브X(ActiveX)’이다. 한 보안업계의 관계자는 “이번 DDoS의 공격에 한국이 유독 큰 피해를 입는 것은 액티브X 탓이다”라고 주장했다.

액티브X는 인터넷 이용자를 보호하기 위해 설치하는 프로그램이다. 이것은 일반 응용프로그램과 웹사이트를 연결하는 역할을 한다. 국내 인터넷 이용자들은 로그인, 채팅, 파일 첨부, 광고, 게임, 카드 결제, 인터넷 뱅킹, 사이버 트레이딩 같은 전자상거래 분야에서 거의 모든 업무를 처리할 때 액티브X를 설치한다. 국내 이용자들은 웹서핑을 하다가 경고창이 뜨면 습관적으로 ‘설치’를 누르는 일이 잦다. 이럴 경우 이용자 컴퓨터에 어떤 영향을 줄지에 대한 경고나 주의 없이 액티브X(ActiveX)가 사용자의 컴퓨터에 설치된다.

사용자는 컴퓨터에 무엇인가 깔렸다는 사실은 알지만 그것이 어떤 기능을 수행하는 프로그램인지는 그다지 궁금해하지 않는다. 다만, 액티브X를 설치하지 않는다면 웹사이트를 이용하는 것 자체가 불가능하다는 것을 경험적으로 알고 있을 뿐이다. 액티브X는 종류에 따라 사용자의 동의를 구하기도 하고, 강제적으로 설치되기도 한다. 동의를 구하는 경우라도 액티브X가 없을 경우 웹사이트를 완전히 이용할 수 없다는 점에서 어느 정도 강제적인 의도를 내포하고 있다고 볼 수 있다.

악성코드 이용해 개인 컴퓨터 원격 조정

액티브X는 윈도우즈 사용자들이 인터넷을 편리하고 쉽게 이용하도록 마이크로소프트(MS) 사에서 개발했다. 다시 말해 MS의 웹브라우저인 인터넷 익스플로러(IE)만을 위해 고안된 기술이다. 액티브X가 DDoS와 어떤 관련이 있는 것일까? 류상훈 G2CNI 이사는 “국내 웹사이트는 거의 모든 액티브X를 사용하는 탓에, 해커의 입장에서 액티브X에 악성코드를 설치해 좀비 컴퓨터를 확보하기 쉬운 환경이다”라고 설명했다.

이번 DDoS의 공격과 맞물려 새롭게 등장한 개념이 일명 ‘좀비 컴퓨터’이다. 좀비 컴퓨터는 DDoS 공격에서 총대를 메고 있는 보병이다. 공격 대상 사이트에 의미 없는 트래픽을 보내서 서버에 과부하를 걸리게 하는 역할을 한다. 원격 조정이 가능하게 하는 것은 좀비 컴퓨터에 있는 악성코드이다. 보안 전문가들에 따르면 현재 유포되고 있는 대다수의 악성코드는 키 입력, 화면 캡처 등 개인 컴퓨터를 원격으로 좌지우지할 수 있다. 컨트롤타워가 공격 명령을 내리면 악성코드가 작동하고 자동으로 다른 사람을 공격하는 시스템이다.

액티브X와 DDoS의 연관성을 말해주는 것이 바로 이 좀비 컴퓨터이다. 보안업체인 ‘시만텍’이 스팸 동향을 분석해 발표한 ‘시만텍 월간 스팸 보고서’에 따르면, 국내 좀비 컴퓨터 증가율은 세계 최고 수준이다. 한국은 지난해 10월에만 전월 대비 4천2백36% 증가율을 기록했다. 같은 기간 카자흐스탄(7백61%), 루마니아(6백7%), 사우디아라비아(5백55%), 베트남(5백40%) 등 뒤를 따르고 있는 국가들에 비해서도 월등히 높다. 보안업계의 전문가들은 국내에서 좀비 컴퓨터가 급증하는 이유로 액티브X를 꼽는다. 반면, MS는 억울해한다. 김홍석 MS 보안프로그램 매니저는 “이번 공격에 동원된 좀비 컴퓨터의 악성코드를 모두 모아 이미 본사로 보내 실험을 마쳤는데, 액티브X의 취약성 때문은 아니라는 것을 확인했다”라고 말했다. MS가 7월7일 운영체제 윈도우즈 내에 탑재된 액티브X의 보안상 문제를 보완하겠다는 요지의 보안 권고문을 발표한 것이 DDoS 공격과 맞물리면서 오해가 빚어졌다는 것이다.

하지만 액티브 X의 취약성은 보안업계에서 줄곧 제기되었다. 액티브X에 악성코드가 포함되어 컴퓨터에 설치되는 경우가 많다는 지적이 있었다. 컴퓨터 보안 전문업체인 ‘시큐니아(Secunia)’에서 발간한 최신 연례 보고서에 따르면, 액티브X의 문제점이 드러난다. 인터넷 뱅킹과 공인인증서를 컴퓨터에 설치할 때 사용되는 기술은 플러그인이다. 각 브라우저에는 나름의 플러그인 기술이 적용되어 있다. 액티브X는 MS가 개발한 웹브라우저 익스플로러의 플러그인 기술이다. 시큐니아의 보고서에 따르면 웹브라우저의 플러그인에서 보안이 취약하다고 보고된 4백70건 중 액티브X는 3백66건을 차지했다. 다음으로 많은 자바의 54건과 비교해도 압도적이다.

보안업계, 액티브X 취약성 줄곧 경고

취약점을 발견하면 수정하면 된다. 하지만 약점이 있는데도 쓸 수밖에 없다는 것도 문제이다. 인터넷 통계데이터를 제공하는 ‘인터넷 동향’의 자료(6월10일~7월8일)에 따르면 MS 익스플로러를 사용하는 비율은 98.48%로 편중 현상이 극심하다. 해외에서 20% 이상을 차지하는 ‘파이어폭스’를 국내에서 사용하는 비중은 0.93%에 불과했다. 이런 환경에서는 개발자나 사용자나 모두 액티브X에 의존할 수밖에 없다. 한 보안업계의 관계자는 “외환위기 당시 정부에서 IT 인력을 대규모로 양성하면서 삼성SDS나 LG-CNS 등이 프로그래머 교육에 뛰어 들었는데 당시 교육생들은 액티브X에 대한 편리함을 강조하는 교육을 받았다. 그 학생들이 사회로 나가고 액티브X를 활용한 프로그램을 짜면서 더욱 확산된 측면이 있다”라고 말했다.

사용자 역시 마찬가지이다. 지난 3월 익스플로러8이 출시되었을 때 일부 은행의 인터넷 뱅킹 서비스에서 액티브X의 문제가 발견되었다. 조달청의 ‘나라장터’도 비슷한 곤란을 겪었다. MS 익스플로러가 새로운 버전을 발표할 때마다 정부 부처, 주요 금융 기관 등이 자신들의 웹사이트를 점검해야 하는 사태가 벌어지는 것도 이런 편중에서 비롯된다. 일반인들이라고 다를 바 없다. 인터넷 뱅킹을 한 번 하는 데도 보안 프로그램이나 공인인증서에 액티브X가 필수적으로 깔려야 한다. 류상훈 이사는 “액티브X 인증서를 8백개나 발행하는 나라는 한국밖에 없다. 파이어폭스나 사파리 등 다른 프로그램을 설치할 수 있는 환경을 조성해야 한다”라고 해법을 제시했다. 보안업체 하우리의 장상근 연구원도 “액티브X의 의존성과 DDoS의 연관성은 밝혀진 부분이 없지만 액티브X의 취약점을 노린 공격이 많으므로 주의가 필요하다”라고 말했다. 전문가들은 공통적으로 “다양성도 보안에서 중요한 요소이다”라고 지적했다. 한 가지 브라우저로 통일되어 있다면 한 가지 공격만으로도 속수무책이 될 수밖에 없기 때문이다.

한국은 MS 소프트웨어에 대한 의존도가 지나치게 높다. 액티브X도 MS 소프트웨어 제품에서만 사용하는 기술이다. 웹브라우저가 다르다는 이유로 인터넷 사용이 제한되면 웹 접근성이나 선택권이 존중되지 못한다. 따라서 정부가 개입해 다른 운영체제나 웹브라우저에서도 사용할 수 있는 호환성 있는 웹 기술을 확보해야 한다. 예를 들면, XPCOM 같은 플러그인 기술을 이용하면 MS 익스플로러뿐만 아니라 모든 웹 브라우저를 지원할 수 있다.

전자금융거래, 액티브X 설치는 불가피?

액티브X의 문제점을 줄기차게 제기해 온 곳이 있다. 웹 표준운동 시민단체인 ‘오픈웹
(www.openweb.or.kr)’이라는 곳이다. 오픈웹은 지난 2007년 공인인증 기관인 금융결제원을 대상으로 소송을 냈다. 인터넷 뱅킹 등 온라인 금융을 이용할 때 설치되는 액티브X는 오직 인터넷 익스플로러에서만 지원된다. 오픈웹은 이런 환경이 파이어폭스 등 MS 운영체제 및 웹 브라우저를 사용하지 않는 사람들의 선택권을 제한한다며 손해배상 소송을 제기했다. 지난 3월 서울고등법원은 항소심에서 항소 기각 결정을 내렸다. 비중 있는 사건이 아닌 탓인지 기사로 다룬 언론사도 거의 없었다. 하지만 당시 이 결정을 금융권 일각에서는 주의 깊게 지켜봤다. 판결에 따라 온라인 뱅킹 솔루션을 바꿔야 하는 경우도 생길 수 있었기 때문이다. 한 은행의 정보기술(IT) 기획부 관계자는 “의미 있는 소송인 것은 알지만 지금의 현실에서는 어쩔 수 없지 않겠느냐”라고 말했다.

액티브X의 영향이 가장 큰 곳은 금융권이다. 인터넷 뱅킹 등을 사용하기 위해서는 필수적으로 액티브X를 설치해야 한다. 웹 환경을 비판하는 측이 집중적으로 노리는 곳도 자연스레 금융권이 될 수밖에 없다. 오픈웹이 금융결제원을 상대로 소송을 낸 것도 이런 맥락으로 풀이된다. 현재 국내 전자금융거래에서 액티브X는 보안접속(128bit 암호화 접속)과 전자서명, 그리고 사용자의 컴퓨터에 키보드 해킹을 방지하거나 바이러스를 감시하고 치료 프로그램을 의무적으로 설치하는 데 사용된다. 반면, 비판론자들은 파이어폭스, 오페라, 사파리 등의 비MS 브라우저는 256bit 암호화 보안접속 기능을 기본으로 장착하고 있다며 굳이 액티브X를 강제할 이유가 없다고 주장한다.

금융권에서는 ‘보수적으로 움직일 수밖에 없다’라고 강변한다. 전자금융거래법에 따르면 개인용 침입차단시스템과 키보드 해킹방지 시스템을 설치하도록 지시했다. 하지만 그런다고 해킹이 원천 봉쇄되는 것은 아니다. 한 지방은행 IT 부서 책임자는 “보안 문제로 고객과 분쟁이 생길 경우를 감안하면 은행 잘못이 아니라는 점을 입증하기 위해서라도 강제적으로 설치하는 것이 낫다”라고 설명했다. 금융권의 입장에서는 액티브X로 보안 프로그램을 강제적으로 설치하면 최소한의 안전을 유지할 수 있다. 하지만 고객에게 프로그램의 설치를 맡겼다가 해킹 등으로 문제가 발생할 경우 누구의 잘못인지 알아내기가 어렵다. 은행 관계자는 “고객의 PC에서 백신프로그램이 구동 중인지 원격으로 알아내는 것은 현재 어렵다. 현재 단계에서는 차라리 액티브X를 이용해서 강제적으로 설치하는 것이 가장 확실한 방법이고, 기업의 의무를 다하는 것이다”라고 말했다.

막을 수 있었는데…

한국정보보호진흥원 “대응시스템 시범운영 중이었다”

▲ 서울 송파구 가락동에 위치한 인터넷침해사고대응지원센터.
ⓒ연합뉴스

정보보호 정책 연구를 담당하고 있는 한국정보보호진흥원(KISA)은 지난해부터 DDoS 공격에 대응하는 체계를 구축하는 사업을 시범적으로 운영하고 있다. 주요 인터넷서비스사업자(ISP)의 인터넷망 연동 구간에 DDoS 대응시스템을 구축하는 것이다. 정부가 연결망 구축에 대한 예산을 지원하고 각 업체와 이상 동향에 대한 정보를 공유하는 방식이다. 지난해 12월 SK브로드밴드, LG데이콤, SK네트웍스 등 인터넷서비스프로바이더(ISP) 3개사를 대상으로 대응시스템을 구축해 시범운영에 들어갔고, 2009년에는 네 개 업체를 추가해 모두 7개 ISP가 참여하는 대응시스템이 가동되고 있다.

사업 예산으로 2008년 20억원이 집행되었고, 2009년에는 29억원의 예산을 편성해 집행하고 있다. 해킹바이러스 대응 체계를 위한 KISA의 총 예산이 2008년 1백1억9천4백만원, 2009년 1백33억7백만원이니 전체의 20%가 넘는 예산을 DDoS 공격을 막아내는 데 사용한 것이다. 정부가 DDoS를 이용한 사이버 테러의 가능성과 위험성에 대해 인지하고 이를 막아낼 체계의 필요성에 공감하고 있었다는 것을 보여준다.

7개 ISP와 이상 동향 정보 공유해

하지만 막상 DDoS 공격이 현실로 닥치게 되자 정부와 민간 모두 적절한 대응을 해내지 못했다. DDoS 대응체계 시스템이 문제가 있거나, 사이버 공격을 막아내기에 충분하지 못한 것이다. 방송통신위원회 네트워크정보보호팀의 정재훈 사무관은 “각 ISP들의 전 연동구간에 DDoS 대응시스템을 구축했다면 이번 사이버 테러에 대한 대응과 통제가 가능하겠지만 DDoS 대응체계 시범 사업은 일부에 국한된 것이었기 때문에 완전 봉쇄는 어렵다. 그래도 이번에 이상 징후를 탐지하는 데 일정 부분 기여를 한 것으로 알고 있다”라고 말했다.

DDoS 대응시스템을 완벽히 구축하기 위해서는 막대한 비용이 필요하다. KISA의 시범 사업 대상이 7개 ISP에 불과하고 그나마도 일부 연결망에 국한된 것은 이 때문이다. 정부의 예산이 투입되는 것은 각 ISP사의 장비를 연결하는 부분에 국한되고 실제 장비를 갖추고 소유하는 것은 ISP의 몫이다. 설비투자에 적극적인 민간업체들의 동참이 필요하다. 정재훈 사무관은 “시스템 구축비용을 국가가 전부 지원해야 하는지에 대한 문제는 의문이다. 정부 차원에서 시드머니를 줘 효과성을 입증하면 민간업체가 자연스럽게 따라올 것이라는 것이 시범 사업의 취지이다. 직접적인 투자설비가 어려운 영세업체들에 대해서는 지원을 유도할 수 있을 것이다”라고 말했다.

이번 사이버 테러로 인해 정보 보호의 중요성에 대한 인식이 높아졌다. 정부와 민간 모두 정보 보호를 위한 투자를 늘려야 한다. DDoS 대응시스템 구축에 연간 20억원을 조금 웃도는 예산만이 투입되는 것으로는 부족하다. 그나마 DDoS를 위한 예산은 KISA 예산의 20% 정도라도 되었다. DDoS 말고도 정보 보호를 위협하는 요소가 많이 있는 상황에서 사이버 테러 대응책 전반에 대한 예산 확충이 필요하다. 보안업체 하우리(www.hauri.co.kr) 기술연구소의 장상근 연구원은 “네트워크가 잘 발달되어 있는 한국의 현실에서 이 정도의 예산으로는 부족하다. 앞으로도 다양한 공격 기술 등을 통해 더 많은 사이버 테러가 일어날 것이 예측되므로 더 많은 예산이 확충되어야 한다”라고 지적했다.