H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
비상! 산업스파이..철통보안 24시
|
'3불(三不)원칙을 지켜라'. 삼성전자에선 신기술프로젝트를 진행할 때 안되는 세 가지가 있다. 첫째 복사가 불가능하다. 특수종이로 작성돼서다. 둘째 프린터 출력도 안된다. 셋째는 연구원들의 컴퓨터는 개인별 스마트카드가 없으면 작동되지 않는다. LG전자는 임직원들의 동의 아래 외부로 나가는 모든 e메일을 검색하고 있다. 극비 문서의 원본 파일은 컴퓨터나 디스켓에 절대 담을 수 없다. 문서 자체를 암호화해 CEO와 해당 임원만 볼 수 있도록 해놓았다. 현대자동차 연구원들은 퇴근때 반드시 차량 트렁크 검사를 받아야 한다. 기밀 정보를 들여다본 사람의 명단과 열람 내용은 온.오프라인에 동시에 기록된다. 이처럼 국내 대기업들의 문서 및 컴퓨터 보안 수준은 첨단을 달리고 있다. 보안검색을 위해 X-레이 투시기와 금속탐지기가 동원되고 전자감응장치(EAS)와 홍채.지문인식 시스템도 도입하고 있다. 하지만 이 정도로 안심할 수 있을까. 지난 6월 LG전자의 연구원 A씨는 밤 늦은 시간에 본인 소유의 하드디스크를 들고 연구소에 들어왔다. 정보저장매체의 연구소 반입은 금지돼 있었지만 야간에 전자감응장치는 작동하지 않았다. 당시 수행중인 프로젝트의 프로그램과 관련 파일들을 복사한 A씨는 이를 만화책에 숨겨 퇴근하다 경비원들에게 붙들렸다. 조사결과 A씨는 집에서 야근을 하기 위해 파일 유출을 시도한 것으로 드러났지만 사규 위반으로 징계를 받았다. 이같은 사례는 아무리 좋은 보안시스템을 갖추고 있더라도 생각지도 않은 곳에서 허점이 생길 수 있다는 사실을 잘 보여주고 있다. 중견 IT업체의 연구실장 B씨. 요즘도 몇달 전의 일을 떠올리면 가슴이 철렁 내려앉는다. B씨는 지난 8월 회사의 핵심 연구활동을 수행하던 외국인 연구원이 해외 본사로 돌아가겠다는 얘기를 접하고 고민에 빠졌다. 기술제휴 관계에 있던 해외 기업이 1년전 파견한 연구원이었던 만큼 복귀를 말릴 명분이 없었다. 하지만 너무도 많은 회사기밀을 알고 있는 그를 무작정 놓아줄 수도 없었다. 한참을 망설인 끝에 그는 2만원짜리 케익 하나와 포도주 한 병을 사들고 연구원의 집을 방문했다. B씨는 "함께 일하는 동안 즐거웠는데 이렇게 헤어지게 돼 섭섭하다"고 말했고 연구원과 그 가족들도 아쉽다는 인사말로 '화답'했다. 분위기가 무르익자 B씨는 자연스럽게 연구원의 서재와 컴퓨터에 접근할 수 있었다. "아이고, 이 자료가 여기 있었네. 이거는 당신이 갖고 있으면 (산업스파이로)오해 받아. 내가 가져가는 것이 좋겠네. 저것도 나중에 문제가 될 수있는 자료야."B씨는 이런 식으로 상당한 분량의 기밀자료들을 무사히(?) 갖고 나올 수 있었다. 금액으로 따지면 1백억원 이상의 가치가 있는 자료들이었다. 국가정보원 관계자는 "기업보안은 축구경기와 비슷한 측면이 많다"며 "수비를 하는 선수(보안 담당관)는 공의 방향과 상관없이 절대 공격수(산업스파이)를 놓치면 안된다"고 설명했다. 결국 첨단 시스템 구축도 필요하지만 사람 관리가 가장 중요하다는 얘기다. |
2003.12.21
브루투스를 믿지 마라「암호의 정치학」
|
QHYHUWUXVWEUXWXV' 무의미한 알파벳의 나열처럼 보이지만 이것은 죽음을 앞둔 카이사르가 키케로에게 보냈던 중요한 메시지였다. '왔노라, 보았노라, 이겼노라', '주사위는 던져졌다' 등 전생애에 걸쳐 수많은 명언과 일화를 남긴 카이사르의 죽음은 역사의 한 페이지를 장식하는 대사건이었지만, 이 짧은 문장에 담긴 비밀도 만만히 보고 넘길 수 있는 것은 아니다. 카이사르의 메시지를 해독하는 작업은, 이것이 원래의 알파벳 대신 일정한 간격으로 이동한 알파벳을 적는 '카이사르식 암호'라는 것에서부터 시작한다. 이 일정한 간격을 나타내는 것이 바로 '키(key)'로, 이 메시지의 경우 키는 숫자 '3'이다. 즉 A를 D로, B를 E로 알파벳을 세개씩 밀려 쓴 것으로, 풀어쓰면 'NEVER TRUST BRUTUS(브루투스를 믿지 마라)'가 된다. 기원전부터 사용···1차 세계대전땐 전세 역전 시키기도 암호는 기원전 군대에서부터 사용됐다. 카이사르식 암호처럼 문자들을 다른 문자로 바꾸는 암호를 '치환암호'라고 하는데 문장 전체를 일정하게 밀려쓰는 것이 아니라 1-2-3-4식으로 여러가지 기준에 따라 다양하게 밀려쓰는 방식도 사용됐다. 원통형 막대에 리본을 감아 글을 쓴 후 이 리본을 풀면 문자의 위치를 바꿔 알아보기 힘들다는 것을 이용한 '전치암호'도 이미 기원전 450년경부터 군대에서 활용된 기술이다. 그러나 철자를 바꾸는 카이사르식 암호 체계는 키를 찾기만 하면 쉽게 풀리는 것이 단점이다. 기술이 발전하고 숨겨야 할 혹은 숨기고 싶은 비밀과 음모가 늘어나면서 암호 기술 역시 발전을 거듭했다. 특히 전쟁은 암호학의 비약적인 발전을 이끌었다. 정보에 따라 생명이 좌지우지되는 전쟁터에서 암호는 전세에 결정적인 영향을 끼치기도 했다. 역사적으로 가장 유명한 적국의 암호문 해독 사례는 1차 세계대전때였다. 전선이 고착상태에 빠져들던 1917년 1월 독일 외무장관 아서 치머만은 워싱턴 주재 독일 대사를 통해 만약 멕시코가 미국에게 선전포고를 한다면 텍사스, 뉴멕시코, 애리조나 등 멕시코가 미국에게 빼앗긴 영토를 돌려주겠다고 약속했다. 그러나 영국이 이 암호문을 중간에서 가로채 미국 윌슨 대통령에 알리면서 미국은 독일에게 총부리를 겨누게 된다. 1차 세계대전, 전세의 균형추가 무너지는 순간이었다. 2차 세계대전 이후에는 암호학에 컴퓨터를 활용하면서 복잡하고 치밀한 암호방식이 잇따라 선보였다. 이에 따라 현재의 암호체계는 키관리 측면에서 관용암호체계와 공개키암호체계로 나뉜다. 관용암호체계는 송·수신자가 동일한 키를 사용하기 때문에 키관리가 가장 중요하다. 지난 1977년 미국 표준기술협회(NIST)가 발표한 DES(Data Encryption Standard)가 대표적인 방식으로, 권한이 없는 사람이 해당키를 알고 있으면 무단으로 사용할 수 있는 것이 단점이다. 반면 지난 1976년 W.디피와 M.헬먼이 제기한 공개키암호체계는, 암호화와 복호화의 키가 다르고 암호화 키를 공개하므로 키관리가 편리한 것이 특징이다. 대표적인 공개키암호체계로는 RSA체계가 있다. RSA란 세명의 공동개발자 이름을 딴 것으로, '1과 그 자신 이외의 수로는 나누어지지 않는 수' 즉 소수를 이용한 간단하면서도 매우 유용한 방식이다. 원리는 간단하다. 두 개의 큰 소수를 서로 곱하는 것은 쉽지만, 곱해진 결과가 어떤 두 소수의 곱인지를 알아내는 데는 고성능 컴퓨터를 이용해도 상당히 긴 시간이 걸린다는데 착안한 것이다. 그러나 RSA 암호도 IT 기술의 비약적인 발전에 따라 하나씩 허물어지고 있다. 1999년 2월에 140자리 RSA 합성수가 인수분해된데 이어 같은해 8월에 155자리(512비트) RSA 합성수가 인수분해 됐다. 즉 512바이트짜리 암호도 풀 수 있음을 입증한 것이다. CDMA 도청 논란으로 보는 ‘암호의 정치학’ 카이사르의 예나 전쟁과 암호의 관계를 보지 않더라도 암호는 역사적으로 국가권력과 밀접한 관련을 맺고 있었다. '암호의 세계'의 저자 루돌프 키펜한은 지난 1991년 구소련 보수파의 쿠데타 실패의 이면에도 이런 비밀이 숨어 있었다고 말한다. 당시 엘친이 신속하게 쿠데타를 진압할 수 있었던 비결은 미국 CIA가 쿠데타 세력의 암호를 해독해 그들의 계획을 미리 엘친에게 제공했기 때문이라는 것이다. 카이사르식 암호에서 RSA까지, 그동안 암호학이 진보해온 경로를 추적해 보면 암호의 사용이 점점 대중적으로 일반화되고 있음을 알 수 있다. 그러나 이 과정은 곧 개인과 국가, 국가와 국가간의 이해가 서로 충돌하는 과정이기도 했다. 전세계적으로 암호화 기술을 선도하고 있는 미국이 암호 관련 기술을 통제하고 있는 것은 이미 널리 알려진 사실이다. 특히 이런 배후에는 일반인에게 잘 알려져 있지 않은 국가안전보장국(NSA)라는 기관이 개입돼 있어 암호를 둘러싼 논쟁은 쉽게 온갖 음모론으로 연결되기도 한다. NSA는 직원 3만 8000명, 연 예산이 CIA의 두배인 37억달러로, 사실상 미국 정보기관 가운데 최상위 기관이다. 통신감청과 전자도청을 통해 정보를 수집하고 암호해독을 전문으로 하고 있다. 영국, 호주 등과 함께 전세계적인 도청망 '에셜론'을 운영하고 있는 것으로 알려져 있기도 하다. NSA라는 정보기관의 개입은 미국이 수퍼컴퓨터를 동원해 풀 수 있는 수준의 암호화 기술만을 수출하고 있다는 의혹의 근거가 되기도 한다. 또한 새로운 암호체계를 둘러싼 개인과 국가의 대립 사례들을 떠올려 보면, 국가는 모든 암호의 키를 쥐고 비밀을 풀려는 입장이고 개인은 자신만의 독특한 암호법을 이용해 개인정보를 보호하려는 입장이다. 국가와 개인을 서로 대립, 투쟁 관계로 보아도 무리가 없어 보인다. 최근에는 국내에서도 비슷한 논란이 있었다. CDMA 방식의 도청 가능 여부를 둘러싼 논쟁으로 그동안 이동통신 업체들과 정부는 'CDMA 기술은 암호화와 주파수 변경 과정을 거치기 때문에 첨단 도청장비를 이용해도 해독은 전혀 불가능하다'고 일관되게 주장해 왔다. 단말기 복제를 통한 도청이나 교환 기지국을 통한 감청 역시 어렵다는 입장이었다. 그러나 암호학자들은 CDMA가 통화내용을 보호하기 위해 음성을 디지털 코드로 바꿔주는 암호화 기술이 완벽한 것은 아니라고 지적해 왔다. 결국 얼마전 퀄컴 회장이 직접 도청 가능성을 인정하면서 CDMA의 도감청이 불가능하다는 논리가 허구임이 드러나게 됐다. 정부내에서는 이미 비화 단말기를 사용하고 있다는 사실이 공식 확인되면서 사람들의 공분을 사기도 했다. 현재 비화 단말기는 개발이 완료된 상태지만 이것이 시판될 가능성은 그리 높아 보이지 않는다. 다른 현실적인 요인들도 있겠지만 미국이 전세계 국가를 대상으로 암호키를 갖고자 하는 것처럼 정부 역시 암호와 비밀을 둘러싼 주도권을 놓기에는 그 매력이 너무 큰 까닭이다. 가끔 상상의 나래를 펼치는 소설이나 영화적 공간이 단순한 허구로 돌릴 수 없는 잔상을 남기곤 한다. 올해 초 국내에 발간된 닐 스티븐슨의 '크립토노미콘'이란 소설은 전쟁, 인터넷 해킹, 암호학 등을 소재로, 2차대전 당시 연합군 비밀정보부대와 해커집단의 싸움을 축으로 전개된다. 이 소설의 핵심은 '데이터 항구'였다. 데이터 항구란 어떤 제재나 감시 없이 정보를 저장·교환할 수 있게 하는 가상현실의 유토피아. 스티븐슨이 그린 '데이터 항구'는 암호와 정보를 둘러싼 실제 현실이 그의 이상과 크게 다르다는 것을 의미하는 반증일지도 모른다. 여전히 우리에겐 실현하기 쉽지 않은 '유토피아'인 것이다. |
박상훈 기자 (ZDNet Korea)
2003.12.16