최근 △KT 무단 소액결제 사건 △SKT 유심 정보 유출 △쿠팡의 개인정보 유출 등 대기업에서 연이어 보안 사고가 발생하고 있다. 일상생활과 밀접하게 연관된 분야에서 해킹이 일어나면서 국민적 불안감이 커지는 가운데, 이에 대한 근본적 대응과 보안 기술 강화의 필요성이 제기되고 있다.
근래의 해킹 공격 방식은 크게 두 가지 유형으로 나눌 수 있다. 첫 번째는 시스템의 보안 취약점을 공격하는 기술적 해킹이다. 기술적 해킹의 예시로는 △취약한 서버나 네트워크 장비에 대한 공격 △웹 애플리케이션의 취약점 악용 △소프트웨어 공급망을 통한 침투 등이 있다. 두 번째는 피싱이나 내부자 실수 등을 노리는 사회공학적 해킹이다. △이메일 피싱 △악성 첨부파일을 통한 악성코드 유포 △관리자 권한 탈취 등 사람과 조직의 보안 정책을 우회하는 방식이 주를 이룬다. 주목할 점은 많은 보안 기술이 보안 취약점을 제거해 기술적 해킹을 방지하는 데에 초점이 맞춰져 있지만, 실제 피해 사례의 상당수는 사회공학적 해킹을 시발점으로 발생한다는 것이다.
대기업 해킹이 이뤄진 방식
그렇다면 앞서 언급한 대기업들은 어떤 방식으로 공격받은 것일까? SKT 유심 정보 유출 사건의 경우, 공식 조사 결과 해킹에서 BPF(Berkeley Packet Filter)를 악용한 BPF도어 계열 악성코드가 사용된 것으로 드러났다. BPF도어란, 평소에는 악성코드가 잠복하지만 특정 신호를 받으면 원격으로 명령이 실행되는 기술이다. 즉, 해커가 초기에 서버의 취약점을 공격하거나 계정 탈취 등의 방법으로 서버에 접근한 뒤 BPF도어를 심어 유심의 개인정보를 탈취한 것이다.
쿠팡 개인정보 유출 사고의 경우, 공개적으로 알려진 정보에 의하면 인증 우회와 관련된 문제로 설명할 수 있다. 시스템에 접근하기 위해선 반드시 인증 절차가 필요하다. 사용자 편의를 위해 요청마다 비밀번호를 입력하는 대신, 서버가 발급한 ‘토큰’을 통해 사용자의 신원을 확인한다. 이 토큰은 서버만 알고 있는 ‘서명 키’를 이용해 생성되며, 서버는 토큰의 서명을 검증함으로써 정당한 사용자인지를 판단한다. 이 서명 키가 유출될 경우, 해커가 임의의 유효한 토큰을 생성할 수 있게 돼 인증 체계가 무력화될 수 있다. 이 사건은 내부에서 사용된 서명 키를 알고 있던 사람이 이를 악용해 인증을 우회한 공격으로 파악된다.
본지는 이런 해킹 문제와 관련해 우리대학 김슬배(컴공) 교수와 인터뷰를 진행했다. 김 교수가 이끄는 Computer Security Lab에서는 사이버 보안 문제를 해결하며, 드론이나 자율 주행 차량 등을 포함해 광범위한 컴퓨터 시스템의 보안과 안정성을 향상하는 것을 목표로 연구를 진행 중이다.
최근 발생한 통신사 해킹 사례에서 기존 보안 체계가 놓쳤던 가장 큰 허점은 무엇이라고 보는가?
일반적으로 많은 보안 사고는 첨단 보안 기술의 문제라기보다는, 기본적인 보안 원칙이나 운영상의 허점에서 비롯되는 경우가 많다. 비유하자면, 집에 튼튼한 철문을 설치하고 비싼 도어락을 달아 32자리 비밀번호를 설정해 놓은 뒤, 그 비밀번호를 적어놓은 종이를 길에 흘리는 상황과 비슷하다. 기술 자체는 충분히 강력하더라도, 운영 과정에서의 작은 허점이 전체 보안을 무너뜨릴 수 있다.
최근 알려진 통신사 해킹 사례는 해커가 관리망(시스템의 바깥쪽) 서버에 사회공학적 해킹을 통해 악성코드를 설치하고, 해당 악성코드를 통해 관리망에 침투하는 것이 발단이라고 알려져 있다. 하지만, 초기 침투 이후에 대규모 개인정보 유출까지 공격이 이어질 수 있었던 배경은, 관리망 서버에 누군가 편의를 위해 코어망(시스템 안쪽) 서버의 계정 정보를 저장해 놓았기 때문이다. 이를 이용해 해커는 서버 간 이동을 어렵지 않게 할 수 있었다.
BPF도어와 같은 악성코드에 대응하기 위해 현재 연구 중인 기술적 접근법은 어떤 것들이 있는가?
전통적인 백신이나 안티바이러스는 과거에 발견된 악성코드와의 유사성을 기반으로 악성코드를 탐지하는 방식을 주로 사용해 왔다. 그러나 악성코드들은 실행 도중에 코드를 동적으로 변경하는 메타모피즘(Metamorphism) 등의 기법을 활용해 이런 탐지를 우회한다.
이 때문에 악성코드의 형태보다는 실제 행위를 관찰하는 행위 기반 탐지가 중요해지고 있다. 다만 이 방식은 지속적으로 모든 프로그램의 행위를 감시해야 하므로 시스템 자원을 많이 소모하며, 정상 행위와 교묘한 악성 행위를 구분하기 어렵다는 한계가 있다. 예를 들어, 개인정보 유출을 탐지하기 위해 ‘네트워크로 데이터를 전송하는 행위’를 단순히 악성 행위로 간주한다면, 카카오톡 역시 악성코드로 탐지된다.
그렇기 때문에 정확도와 실용성의 균형을 맞추는 것이 악성코드 탐지 및 대응 연구의 핵심 과제라고 할 수 있다.
현재 연구실에서 사이버 보안과 관련해 어떤 목표를 가지고 있는가?
언급한 사태를 포함해 많은 조직에서 보안 사고가 발생한 이후에야 대응에 나서는, 이른바 ‘소를 잃고 외양간을 고치는’ 관행이 남아 있다. 우리 연구실은 이러한 인식을 바꾸기 위해, 사고 이후의 대응이 아니라 사고를 전제로 한 선제적 보안의 중요성을 꾸준히 알리고, 이를 실제로 구현할 수 있는 자동화된 보안 체계를 연구·도입하는 데 집중하고 있다.
연이은 해킹 문제가 시사하는 것은, 신종 악성코드와 같은 정교한 공격에 대비하기 위한 보안 기술 강화에 더불어, 사회공학적 해킹을 방지하기 위한 보안 인증·관리 제도의 재정비가 병행돼야 한다는 것이다. 지금의 대응이 ‘소를 잃고 외양간을 고치는’ 수준에 머무른다면, 다음 피해자는 또 다른 기업이 아니라 국민 전체가 될 수 있다.
