옥션 해킹

옥션의 해킹 사건으로 유출된 개인정보가 천만명에 달한다고 한다. 또 지난 2월 청와대도 해킹됐다고 한다. 이런 연이은 해킹으로 중국에서는 옥션과 네이버의 아이디를 팔고 있으며 한국 통장까지 거래되고 있다고 한다. 우리나라 IDC는 예전부터 해커 천국이라는 이야기가 돌았다. 우리나라 IDC는 다른 나라를 해킹하기 위한 경유지로 널리 사용된지 이미 오래다.

Q: IT 강국이라는 우리나라가 이토록 해킹에 취약한 이유는 무엇일까?
A: 우리나라는 보안을 전적으로 시스템에 의존하기 때문이다.

차단 - 관공서 보안의 제1원칙

관공서에 납품해본 사람들은 잘 알겠지만 관공서에서는 인터넷과 인트라넷 회선을 따로 이용한다. 해킹을 막기위한 것이다. 아울러 인터넷을 통해서 사용할 수 있는 포트는 웹에 사용되는 80번 포트와 메일 전송에 사용되는 25번 포트만 가능하다. 25번 포트까지 막은 곳도 있다. 인터넷에서 가장 중요한 소통을 보안이라는 명목으로 단절하는 셈이다.

따라서 관공서에 프로그램을 납품하는 것 까지는 큰 어려움은 없지만 관리하는 것은 아주 골치아프다. 그 이유는 간단하다. 웹 기반 프로그램을 납품했지만 외부에서는 접속할 수 있는 방법이 없기 때문에 프로그램을 유지, 보수하려면 항상 관공서를 방문해야 하기 때문이다.

그러나 아주 간단히 뚫린다

그런데 이렇게 유지, 보수하는 것은 너무 불편하다. 그래서 관공서에 납품하는 개발자 중 상당수는 매번 가서 유지 보수하는 것이 귀찮기 때문에 관공서 직원 몰래 백도어 프로그램을 설치한다. 고가의 시스템을 이용해서 보안 장비를 사들인다. 인터넷과 인트라넷을 분리한다. 사용할 수 있는 포트도 딱 두개만 열어 둔다. 그러나 이렇게 해도 백도어 하나면 이 모든 보안이 한순간에 무너진다.

현재 관공서의 보안 시스템은 개발자가 백도어를 설치할 수 밖에 없는 구조로 되어있다. 유지, 보수 계약을 맺고 진행한다고 해도 코드 한줄을 바꾸기 위해 몇시간을 투자해야 한다. 그러나 백도어 하나면 이 모든 고민이 한 순간에 해결된다. 이렇게 하지 않을 개발자가 몇이나 될까? 걸리면 큰일이 나지만 걸릴 확률은 0에 가깝다. 그 이유는 관공서에는 이런 것을 잡아낼 전문가가 없기 때문이다.

고가 시스템 - 관공서 보안의 제2원칙

이부분은 개발자가 보안 담당자에게 접근을 요청하고 보안 담당자의 감시하에 시스템에 접근해서 작업을 하는 것이 가장 현실적이다. 그러나 우리나라에서는 이런 방법을 택하지 않는다. 제일 원칙은 무조건 차단이고 두번째 원칙은 고가 시스템 도입이기 때문이다. 장비만 좋으면 다된다는 생각은 비단 관공서만의 사고는 아니다. 우리사회 전반에 걸쳐있는 사고다. 그러나 앞의 예에서 설명했듯이 아무리 차단하고, 고가의 시스템을 도입해도 지속적으로 감시하지 않으면 아주 간단하게 뚫린다.

그러나 바이러스 천국

모 기관에 납품한 프로그램 때문에 모 기관을 다시 방문했을 때 일이다. 서버가 너무 느리다고 해서 서버를 확인해 보니 총 500여종의 바이러스에 2만개가 넘는 파일이 바이러스에 감염되어 있었다. 이렇게 된 이유는 간단하다. 해당 서버를 사용하는 사람들이 인터넷으로 아무 프로그램이나 내려받아 실행했기 때문이다. 방화벽도 있고 방화벽에 바이러스 검사 기능도 있다. 서버에 바이러스 검사 프로그램까지 설치되어 있지만 수없이 많은 바이러스에 걸려있었다. 이 관공서도 보안 장비 구입에 상당히 많은 돈을 매년 투자하는 것으로 알고 있다.

감시 - 최고의 보안

나도 꽤 오랜 시간 서버를 관리해 왔다. 내가 서버를 관리할 때 가장 먼저하는 일은 프로세스 관리자를 띄우고 떠있는 프로세스를 확인한다. 트래픽 감시기를 이용해서 과도한 트래픽을 유발하는 프로세스를 감시한다. 이 간단한 작업으로도 수없이 많은 해킹 시도를 막을 수 있으며 바이러스와 백도어를 차단할 수 있었다. 백신을 전혀 사용하지 않으면서도 바이러스에 걸리지 않는 이유도 똑 같다.

옥션 해킹 사건이나 청와대 해킹 사건. 앞으로도 비슷한 일이 계속 발생할 수 밖에 없다. 그 이유는 간단하다. 시스템이 아무리 우수해도 그 시스템을 사용하는 사람이 우수하지 못하면 우수한 시스템은 개나 소나 다닐 수 있는 개구멍(백도어)이 나는 것은 아주 쉽기 때문이다.

우리나라는 사회전체에서 사람보다는 시스템을 더 믿는 경향이 있다. 윗 물부터 썩어 있으니 믿을 수 있는 사람이 많지 않은 것도 사실이다. 또 "사람은 속여도 컴퓨터는 속이지 않는다"는 믿음 때문이다. 그러나 내가 해주고 싶은 말이 있다.

사람은 믿어도 컴퓨터는 믿지 마라