엑티브 엑스는 뻥 뚫렸는데... 열 사람이 한 도둑 막을 수 있나.
분산 서비스 거부, 이른바 DDoS 공격이 청와대와 네이버, 국민은행 등의 사이트를 집중 공격해 사이트 접속을 마비시킨데 이어 10일부터는 악성코드에 감염된 이른바 좀비 PC들이 자체적으로 하드 디스크를 포맷하고 데이터를 파괴할 거라는 분석까지 나왔다. 다행히 9일 저녁 예고됐던 3차 공격은 큰 피해 없이 마무리 됐지만 변종 악성코드가 나타날 가능성도 배제할 수 없는 상황이다.
경찰청 사이버테러 대응센터에 따르면 좀비 PC는 최소 5만대로 추산되는데 이 가운데 90% 이상이 국내 PC인 것으로 f확인됐다. 배후에 북한이 있다 없다로 논란이 계속되고 있고 정부의 보안 불감증을 질타하는 목소리도 높다. 한국일보는 "조직적이고 장기적으로 계획된 사이버 전쟁"이라는 최시중 방송통신위원회 위원장의 말을 제목으로 뽑아 올렸다. 일부에서는 좀비 PC들의 인터넷 접속을 강제로 차단해야 한다는 주장까지 나오기도 했다.
주목할 부분은 과연 이번 DDos 공격을 사전에 막을 방법이 없었느냐다. 안철수 한국과학기술연구원 석좌교수는 자신의 블로그에 올린 글에서 "그동안 인터넷 대란과 개인정보 유출이 계속돼도 별다른 조치가 없었다"면서 "이번 사태는 우리 스스로 자초한 측면이 있다"고 지적했다. "네티즌이 자발적으로 참여하지 않으면 국가 전체의 사이버 안전을 담보할 수 없다"는 이야기다.
그렇다면 과연 무슨 대책을 세울 수 있었을까. 좀비 PC가 되지 않도록 대비하는 방법과 좀비 PC의 공격을 방어하는 방법이 있겠지만 둘 다 쉽지 않다. 수백만대의 PC를 모두 관리하기가 불가능한데다 그 가운데 몇만대만 뚫려도 속수무책이다. DDoS 공격의 경우 정상적인 트래픽과 구분이 되지 않기 때문에 선별적으로 차단하는 것도 쉽지 않다. 공격을 당한 사이트들도 대부분 별도의 우회 f접속 주소를 만드는 것 이상의 대책을 내놓지 못했다.
일부에서는 포털 사이트에 접속할 때 강제로 백신 프로그램을 설치하도록 해야 한다는 주장까지 나오고 있지만 과연 백신만 설치하면 해결되는 것일까. 전문가들은 변종 악성코드가 늘어나면서 백신으로도 잡히지 않는 경우가 많다고 지적한다. 악성코드가 발견되고 나서야 백신이 업데이트 되기 때문이다. 주기적으로 백신을 업데이트하더라도 최신 악성코드에 감염될 가능성이 있다는 이야기다.
좀 더 근본적인 원인은 우리나라의 과도한 마이크로소프트 편향에 있다는 지적도 나오고 있다. 우리나라는 마이크로소프트 윈도우즈 점유율이 99%가 넘고 웹 브라우저도 인터넷 익스플로러의 점유율이 90% 이상인 것으로 추산된다. 대부분 웹 사이트들이 인터넷 익스플로러에 최적화 돼 있고 맥이나 리눅스 사용자는 인터넷 쇼핑이나 뱅킹을 이용할 수 없다. 세계적으로도 우리나라만큼 마이크로소프트 점유율이 높은 나라는 많지 않다.
액티브 엑스를 남발하는 국내 웹 사이트들이 보안 위험을 부추겼다는 지적도 나온다. 국내 웹 사이트들은 포털 사이트는 물론이고 은행이나 정부 기관들까지 액티브 엑스를 설치하지 않으면 정상적으로 서비스를 이용할 수 없는 곳이 많다. 안철수연구소는 "웹 서핑 도중 액티브 엑스를 설치를 묻는 보안 경고창이 뜰 때 무조건 YES를 누르지 말라"고 당부하지만 대부분의 경우 설치하지 않을 도리가 없다.
이번 DDoS 공격의 숙주가 된 좀비 PC들은 대부분 이 액티브 엑스를 통해 악성코드에 감염됐을 것으로 추산된다. 만약 새로운 악성코드가 나타나고 백신이 이를 잡아내지 못할 경우 언제라도 이런 사이버테러가 재연될 가능성이 있다는 이야기다. 세계적으로도 액티브 엑스를 사용하지 않는 추세지만 우리나라 웹 사이트들은 유독 액티브 엑스로 '떡칠'이 돼 있다. 심지어 악성코드를 막겠다는 은행 보안 프로그램들까지 액티브 엑스로 돼 있는 현실이다.
열 사람이 지켜도 도둑 하나 못 막는다. 대부분 언론이 보안의식을 강화해야 한다, 예산을 늘려야 한다, 국가적인 위험관리 체계가 필요하다는 지적을 쏟아내고 있지만 정작 뻥 뚫린 액티브 엑스를 내버려두고는 아무리 천문학적인 비용을 쏟아부은들 언제라도 속수무책으로 당할 수밖에 없다. 애초에 웹 사이트가 사용자의 PC를 제어하지 못하도록 액티브 엑스를 뿌리 뽑는 것이 가장 시급한 선결과제다.
사이트 관리자 입장에서는 웹에서 처리하기 곤란한 기능들을 별도의 프로그램으로 처리할 수 있어서 편리하겠지만 사용자 입장에서는 이 안에 어떤 악성코드가 들어있는지 알 수가 없다. 국내 웹 사이트들은 굳이 액티브 엑스가 아니라도 얼마든지 웹에서 구현할 수 있는 기능들을 손쉽게 액티브 엑스로 해결해 왔다. 웹 서핑을 하다보면 수많은 액티브 엑스를 반강제적으로 설치하게 되는데 그게 결국 보안의 커다란 구멍이 되는 셈이다.
진짜 엑티스 엑스 좀 어찌 해줬으면 좋겠네요..
외국 은행 사이트들은 엑티브엑스 없이 보안 잘되던데;
은행에 지점 위치 보려고 들어갔다가 ActiveX를 깔지 않으면 아무 페이지도 볼 수 없도록 되어 있는 것을 것을 보고 기겁을 한 적이 있죠. 기본적으로 디자인/엔지니어링 마인드가 없는 사람들이 시스템을 설계하는데서부터 문제가 시작된다고 생각합니다. 도데체 상품 정보 보고, 지점 정보 보는데 왜 ActiveX 보안 모듈이 필요한지...
인천공항 진입로에서 차를 다 막고 사람 내리라고 해서 X-ray 검색대 통과하는 꼴이죠? 비행기를 타건 말건...
이거 정말 한동안 IE 쓰지 말아야겠군요. 하긴 많이 쓰지도 않지만..
보안 면에서 취약한 ActiveX는 빨리 없어져야 할 기술입니다. 한국의 웹환경을 보면 정말 한심하죠. 하지만 이번 DDoS 사건과 연관성이 있다는 이야기는 처음 듣습니다. 어떤 근거로 그런 말씀을 하시는지요?
그리고 백신만 제대로 운영해도 예방 효과는 있습니다. 제로데이 공격이 일어나는 경우가 많기 때문에 최신 백신들은 휴리스틱 엔진 같은 미식별 바이러스 예방 기술을 많이 가지고 있거든요(백신에 따라 다름).
전에도 한번 얘기했지만 액티브엑스에 올인하고 있는 한국 인터넷은 참 할말이 없습니다.
익스... 사이트에 악성 코드가 있어도 잡아주지 못하고... 개인적으로 알아서 좋은 백신과 개인 방화벽, 그리고 익스 말고, 모질라나 크롬 깔아서 써야겠죠...
기업들은 엑티브 엑스에서 벗어나야 할 것이고...
RSS독자님/ 그저 환율정보 보는데도 은행들은 액티브 엑스 보안모듈 깔아야 한답니다. 은행마다 환율 다른데... 포탈에 올라오는 것만 보는건 힘들고.. 거래 은행 들어가서 환율만 보고 오려해도, 꼭 익스를 실행하는게 사실 많이 짜증납니다.
서비스들 다운되는 것 보면서...
ActiveX만 없었어도 Ubuntu 쓰는 사람들 많을텐데... 생각했답니다.
모 은행 사이트 구축 관련으로 일했던 지인의 말에 따르면,
클라이언트들이 액티브 엑스 설치를 요구하는 경우도 많다고 하더군요.
액티브 엑스의 효과가 있든 없든 간에,
일단 뭔가가 촤르륵 올라가며 업데이트 되는 모습이
고객들에게 신뢰감을 준다고 여긴다면서요.
이런 인식이 바뀌지 않는 한 액티브 엑스 사용수는 쉽사리 줄지 않을 것 같습니다.
한 10년전 즈음에 어떤 강의에서 초기 네트워크 시대의 초보적 해킹 수단으로
디오에스라는 것이 있었다는 설명을 들었던 기억입니다.
90년대에 인터넷 관련서적(놀랍지만 그때는 인터넷을 주제/제목으로 하는 책도
많았습니다)의 서두에 미 국방성의 알파넷 이야기가 나오듯 '그때 그시절'
을 잠시 짚어보고 가자는 취지로 나오는 이야기였습니다.
"물론 이런식의 공격은 먹혀들지 않게 된지 오래다" 라는 것이 강의자의
말이었는데 의외로 2009년에도 빛을 발하는 군요.
대한민국은 인프라스트럭쳐 관련산업 강국입니다. 인터넷 강국이 아니라.
activex 기술 자체가 보안에 취약한 것은 아닙니다. 안철수 교수 말대로 '뭐가 뜨면 무작정 yes를 누르라고 세뇌하는' activex 배포 업체들의 행정편의적인 작태가 문제인거죠.
제가 최근에 xp에서 비스타로 바뀌었는데, 좀 불편하긴 해도 UAC기능을 끄지 않고 사용하고 있습니다. 확실히 xp보다는 이런 식으로 강제하는 것이 보안사고를 줄일 수 있거든요.
그런데 국민은행 인터넷 뱅킹을 위해서 몇개의 activex를 깔다보니 UAC Control 이라는 이름의 프로그램을 깔려고 하더군요. 다른건 깔고 그건 안깔았는데 (아예 기능 못하도록 block 해버렸습니다.) 이름을 보아하니 귀찮게 UAC 끄고 어쩌고 할 필요 없이 그 프로그램이 해당 기능을 자동으로 꺼버리는 것으로 보였습니다.
기가 막혔습니다. 아마 대다수의 사용자들은 UAC가 뭐하는 건지도 모르고 그 프로그램을 깔겁니다. 그럼 그때부터 다른 악성코드들도 여과없이 같이 깔리는겁니다.
아니 왜 이 지X 하면서 죽어라고 web-base 인터넷 뱅킹에 목을 메는지 모르겠어요. 그정도로 보안이 문제라면, 그냥 vm 어플리케이션 하나 만들어서 배포하면 될 일입니다. 사용도 편하고, 안전하게 말이죠. 농협(인가 어딘가가) 아마 그렇게 하고 있다는 이야길 들었는데..
'싸이버 테러법'으로 또 블랙 코메디 찍는구만..~..//