H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
장사꾼 위한 보안법에 박탈당한「연구의 자유」
|
어떻게 만들어지는지, 그 과정을 차라리 모르는 것이 나을 때가 있다. 전통적인 관점에서 법과 소시지가 여기에 해당된다. 그런데 기술이 발달하면서 한가지가 추가됐다. 바로 컴퓨터 보안이다. 이 컴퓨터 보안과 법을 합쳐놓게 되면 문제는 한결 더 복잡해진다. ‘자유’와 ‘통제’라는 두가지 개념 중 ‘통제’가 인류의 발전에 보다 큰 위협이 된다고 생각하는 사람은 오늘날 이 시대에 대해 우려를 금치 못할 것이다. 미국의 법안, 특히 디지털 밀레니엄 저작권법(DCMA)때문에 정보의 암호화를 연구하는 사람들이 연구 내용을 출판하지 못하고 있으며, 심지어 연구 작업 자체도 못하게 되는 경우가 점점 더 증가하고 있다. 이번 주에 있었던 사건들을 몇 가지 짚어보자. MS X박스의 보안 결점을 자세히 밝힌 ‘X박스 해킹하기’라는 책을 서술한 MIT 학생 앤드루 후앙은 출판사로부터 계약을 취소당했다. 이와 유사한 정보를 웹 상에 공개했던 한 젊은이가 실형을 선고받았기 때문이다. 다른 두 학생은 한 대학 전자업무 시스템의 결점에 대한 강의를 진행하려고 했지만 그 시스템을 만든 회사에서 강의를 금지한다는 법정 명령서를 들고 나왔다. 가장 우려되는 점은 미시건 대학교 연구원인 닐스 프로보스가 자신의 모든 연구 관련 문서들과 소프트웨어를 네덜란드로 이전시켰다는 사실이다. 프로보스는 스테가노그래피(다른 정보 속에 정보를 숨겨놓는 기술)에 관한 연구를 하고 있으며, 해커들을 유인하는데 사용하는 가상 네트워크를 만들기도 한다. 프로보스가 연구하는 이 두가지 분야는 ‘전자통신의 존재 여부와 근원지를 감추는 어떠한 소프트웨어 및 하드웨어를 사용할 수 없다’는, 최근에 제정된 미시건주 정부 법에 따라 모두 불법으로 분류돼 있다. 것이다. 제정 과정에서 토론조차 거치지 않은 이 법은 또한 통신 회사의 허가 없이는 통신 서비스에 장비를 연결하는 것도 금지하고 있다. 이것은 무슨 의미인가? 이 말은 당신 마음대로 케이블 모뎀에 무선 게이트웨이를 연결해서는 안된다는 뜻이며 케이블 TV에 비디오 레코더같은 것을 연결해서도 안된다는 의미이다. 또한 컴퓨터에 통신 관련 장비를 설치하려면 인터넷 사업자의 허락을 받아야 한다는 뜻이다. 우체국에서 설치한 전화선에 전화를 연결시키고는 기껏 전화를 놔줘서 고맙다는 통화나 할 수 있었던, 우체국 민영화 이전의 시대로 되돌아간 셈이다. 인터넷을 사용하고 확장할 수 있는 권리는 이 법으로 크게 위협받고 있다. 더 기가막힌 것은 업계가 이 같은 통제와 권리의 범법화를 막기는커녕 오히려 열심히 부추기고 있다는 점이다. 독자들은 ‘팔라디움’을 기억할 것이다. MS는 PC 아키텍처를 잠궈두기 위해 팔라디움이라는 애매한 개념을 내세웠다. 독자들은 또한 TCPA(Trusted Computing Platform Alliance)도 기억할 것이다. TCPA는 PC 아키텍처를 보호하기 위한 보다 공개적인 방법을 만들어내고자 했던 200여개 회사들의 연합체였다. 하지만 TCPA의 이사회(이사회가 어떤 업체들이었는지 확인해보라)에서는 만장일치로 TCPA의 초기 목적을 내동댕이 치고 TCG(Trusted Computing Group)라는 그룹을 새로 설립했다. TCPA의 초기 멤버들은 이 같은 결정 과정에 참여하지도 못했으며 TCG는 이들에 대해 새로운 규정 하에서 활동하려면 가입하라는 식으로 나왔다. 팔라디움이 TCPA의 차기 표준이 될 것이라고 공공연히 말해온 MS는 회원 회사들의 동의 없이 소기의 목적을 달성할 수 있는 방법을 찾아낸 셈이다. 물론 우리 모두의 동의도 없이 말이다. TCG에는 독립적인 소비자나 학계의 어떠한 의견도 들어갈 여지가 없다. 저명한 암호학자 휘트필드 디피는 이 같은 MS의 행위에 대해 “시장을 독점하고 각 개인의 컴퓨터를 장악하려는 것”이라고 비난했으며, RSA 시큐리티의 설립자 로널드 라이베스트는 완전한 공개 토론을 촉구했다. 하지만 암호학을 연구하는 연구자들이 하루아침에 범법자가 되고있는 상황, MS와 인텔, IBM, HP 등의 거대 기업들이 자기네 마음대로 보안을 좌지우지하고 DCMA가 그 뒤를 받치고 있는 이 같은 상황에서 라이베스트가 요구하는 공개 토론이 가능할 것이라고 보기는 어렵다. 유럽에 살고 있다고 안심하는 것은 착각이다. 독일 의회에서는 미국과 비슷한 법안 제정을 눈앞에 두고있다. 이 분야에서 유럽도 그리 뒤쳐진 편은 아닌 것이다. 그게 뭐 대수냐고 반문하는 독자가 있다면, 미국의 전력공급 보안에 대해 한번 생각해 보라. 약 5년 전 미국에서 실시됐던 전국 전력공급 시스템에 대한 보안 상태 연구조사에서는 엄청난 문제점들이 드러난 바 있다. 전력 회사들의 LAN은 아무렇게나 연결돼 있었으며 암호는 아예 제조사들의 스위치에 고정 입력돼있었다. 게다가 공공 회선에 연결된 모뎀을 통해 모든 주요 장비를 제어하고 있었다. 요약하자면 엄청난 사고가 일어나는 것은 시간문제였던 것이다. 요즘에 와서야 미국은 보안수칙 표준을 만들고 위반하는 경우 벌금을 물도록 하고 있다. 영국은 어떤 상황이냐고 묻는다면 필자도 솔직히 잘 모르겠다. 궁금한 독자들은 직접 업계 규정에 관한 웹사이트를 찾아 조사해보기 바란다. 좋은 결과가 있기를 바란다. 상업적인 이익만을 추구하는 자들이 컴퓨터 보안을 손아귀에 쥐고 고객들을 범법자로 만들거나 겁에 질려 할 수 없이 그대로 따르도록 궁리할 동안 진정한 위협은 누구의 간섭도 받지 않고, 아무도 모르게 자라날 것이다.
|
