인터넷 중대결함 경고「괜한 호들갑」논란

인터넷에서 데이터를 보내는데 가장 광범위하게 사용되는 통신 프로토콜인 TCP에서 심각한 결함이 발견됐다. 악의를 가진 해커가 이 결함을 이용하면 전송장비인 라우터와 서버간 연결을 끊을 수 있어 전체 인터넷에 상당한 피해를 입힐 수 있다고 영국 정부산하 조사기관이 경고하고 나섰다. 하지만 이 주장에 대해 일부 보안 전문가들이 이의를 제기하면서 TCP 결함의 위험도를 둘러싸고 논란이 일고있다.

영국 국립인프라보안센터(NISCC)는 20일 TCP 결함에 대한 경고성 보고서를 발표하며 “라우터 판매업체와 애플리케이션에 따라 차이는 있지만 특정 조건에서는 최고 등급의 심각한 문제가 발생할 수 있다”고 경고했다. 통신장비 업체 시스코 시스템즈, 주니퍼 네트웍스, 히타치, NEC 등이 이번 문제와 관련한 조사에 착수했다.

TCP 결함은 일명 ‘리셋(reset) 공격’에 대한 취약성을 유발시킨다. 많은 네트워크 어플라이언스와 소프트웨어들은 단일 소스로부터의 지속적인 데이터 스트림인 '세션’을 이용하는데, 리셋 공격에 의해 이 세션이 끊어지게 되면 여러가지 문제가 발생하게 된다는 것이다.

NISCC에서 발포한 경고문은 이번주 캔섹웨스트(CanSecWest) 2004 컨퍼런스에서 보안 전문가 폴 왓슨이 발표할 예정이었던 연구 주제를 기반으로 한 것이다.

TCP와 관련한 리셋 공격 문제는 이미 전부터 있었지만 이러한 공격을 위해서는 해커가 세션상에서 다음 데이터 패킷의 ‘시퀀스 넘버’를 추측해야 한다. 시퀀스 넘버를 맞출 확률은 43억분의 1. 하지만 이번에 NISCC는 왓슨이 연구한 내용을 인용해 이 확률이 훨씬 높은 것으로 나타났고 따라서 공격이 성공할 가능성도 그만큼 크다고 주장했다.

경고문에 따르면 특정 상황에서 (TCP 결함을 이용한) 리셋 공격은 라우터에 상당 규모의 혼란을 불러 일으킬 수 있다. 라우터는 인터넷을 구성하는 기본적인 장비로, 한 서버에서 다른 서버로의 가장 효율적인 데이터 경로를 찾아내 지정하는 역할을 한다. 경고문은 특히 BGP를 이용한 연결에 공격이 가해지면 ‘위험도 중급 정도의 인터넷 접속불능사태’가 발생할 수 있다고 밝혔다.

이 취약점은 또한 네임 서버의 기능에도 영향을 미칠 수 있으며 사용자 브라우저와 e커머스 사이트간 보안 채널을 리셋함으로써 전자상거래에도 지장을 일으킬 수 있다.

한편 TCP 결함이 심각한 문제를 일으킬 수 있다는 NISCC 경고가 급속히 파급되고 각국 보안 연구가들도 동조하면서 ‘인터넷 대란’에 대한 공포심이 확산되자 일부 보안 전문가들이 “위험이 과장됐다”며 반박하고 나섰다.

록웰 오토메이션의 보안 전문가이며 이번 TCP 결함에 대한 연구를 진행했던 폴 왓슨은 경고문이 발송된 이튿날인 21일 “물론 이 문제를 그대로 방치했다면 리셋 공격에 취약했겠지만 지난 2주동안 대부분의 주요 ISP들이 이 문제에 대한 대책을 마련했다”면서 “현 시점에서 이 결함이 인터넷에 심각한 위협이 될 가능성은 희박하다”고 말했다.

그는 “실제 위험에 직면한 것은 아직 결함 수정을 적용하지 않은 자체 라우터 운영회사들”이라며 ISP 공격을 통한 대규모 피해는 없을 것이라고 주장했다.

이번 문제와 관련, 전세계 주요 ISP를 고객으로 둔 대표적 라우터 판매업체인 시스코는 21일 결함을 수정한 라우터 소프트웨어 업데이트 버전을 발표했으며 주니퍼, 히타치, NEC 등 여타 통신장비 업체들도 조사를 진행하고 있다. TCP 취약점 문제에 대한 각 장비업체들의 현황은 이곳에서 확인할 수 있다.

왓슨에 따르면 인터넷 상에서 전송된 데이터 패킷은 시퀀스 넘버에 따라 확인(identify)되고 그룹화 된다. 따라서 이론적으로 누군가 다음 패킷의 시퀀스 넘버를 알아낸다면 정식 패킷을 가로막고 승인받지 않은 패킷을 보낼 수 있는 것이다.

시퀀스 넘버 추측을 이용한 공격이 성공하려면 43억개 경우의 수로 공격을 시도해야 하지만 BGP 연결에 대한 공격은 26만회만으로 성공할 수 있으며, 해커가 26만회의 공격을 가하는 데는 약 15초면 충분하기 때문에 공격 성공 가능성은 급격히 높아진다.

왓슨은 “이러한 공격은 세련된 방식은 아니지만 효과는 확실하다”고 말했다. TCP 결함을 이용한 리셋 공격은 서비스거부(DoS) 공격보다 훨씬 적은 양의 패킷 공격으로 DoS 공격과 똑같은 효과를 볼 수 있다는 설명이다.

미컴퓨터응급대책본부(US-CERT)의 숀 허난은 “자체 네트워크 라우터를 운영하는 대기업 및 중견기업들도 이 취약점을 확실히 수정해둘 필요가 있다”고 말했다.

CERT와 왓슨은 세션 패킷에 랜덤 128비트 시퀀스 넘버를 사용할 것을 권고했으며 이미 많은 주요 ISP들이 이 권고를 실행에 옮긴 것으로 알려졌다.
 　

2004.04.23

악성코드 전성시대「기업의 원죄」

기업 활동를 방해하는 최근의 악성코드들을 보면 흥미로운 사실을 발견할 수 있다. 웜의 주요 확산 수단은 현재까지도 대량 메일 송신에 의존하기 때문에 감염과 전파 방식은 크게 변하지 않았지만, 메일을 이용한 공격 대상자는 과거와 큰 차이가 있는 것이다.

지난 수년간 대부분의 악성 코드는 일반 인터넷 사용자를 겨냥했다. 그러나 최근에는 이런 경향이 변하고 있다. 악성 코드는 바이러스 작성자와 기업사이, 혹은 경쟁 기업들 간의 전쟁의 무기가 됐다.

예를 들어 지난 1월에 창궐한 마이둠 웜을 보면, 이 웜 역시 대부분의 악성코드처럼 첨부파일을 클릭해야 실행된다. 그러나 이 웜에 포함된 명령은 SCO그룹을 겨냥한 DDoS 공격이었다. DDoS 공격은 수백~수천대의 컴퓨터를 이용해 서버를 다운시킬만큼 대규모 정보 패킷을 전송하는 것을 말한다.

이후 출현한 마이둠 변종들은 DDoS와 유사한 기법으로, MS와 미음반협회(RIAA)를 겨냥했다. 정치적 목적에 따라 특정 목표가 있었음을 시사하는 것이다. 반면 이들 웜에 감염된 기업 시스템들은 공격을 위해 활용된 인질이었으며, 악성코드 개발자와 특정 목표 기업 사이에 벌어진 전쟁의 무고한 희생자이기도 했다.

구식 악성코드에 속는 기업은 바보다
이런 사례는 마이둠뿐만이 아니다. 최근에 발생한 넷스카이와 베이글의 변종 웜 두 가지는 빠른 전파속도와 이해할 수 없는 개발 목적으로 언론의 주목을 받았다. 이 웜들은 서로 경쟁하는 상대방 바이러스 개발 그룹을 겨냥한 것으로 단지 어떤 그룹이 더 우월한가, 자존심 싸움을 위해 개발된 것이었다. 기업과 인터넷 사용자들은 또다시 무고한 희생자가 됐다.

일부 이들을 옹호하는 사람들도 있기는 하지만, 대부분은 마이둠, 넷스카이, 베이글 등 악성 코드 작성자와 소프트웨어 개발자를 비난하고 있다. 그러나 이와 같은 사태에는 일정 부분 기업의 책임도 있는 것이 아닐까. 과연 기업들은 자사 시스템을 보호하고 악성코드가 고객과 협력사 그리고 인터넷 커뮤니티 전체에 확산되지 않도록 가능한 모든 조치를 취한 것일까.

악성코드에 관한한 두 가지 부인할 수 있는 보안상의 진실이 존재한다. 하나는 현실의 악당처럼 사이버 악당들은 언제나 존재하며, 그 결과 악성코드 역시 상존한다는 사실이며, 또 하나는 모든 소프트웨어를 인간이 프로그래밍하는 한 보안 결함이 포함될 수 밖에 없다는 사실이다.

여기에는 보안상의 진실을 하나더 추가할 수 있다. 불행하게도 기업들은 일년에 몇번씩 광범위하게 웜에 감염된다는 사실이다. 왜일까?

앞서 언급한 코드들은 혁신적인 전파기법이나 새로운 공격 매개체를 이용하는 것이 아니다. 이 코드들은 기업들이 일상적인 기업 활동을 제한하지 않을 몇가지 쉽고 필수적인 관행을 따르기만 했어도 충분히 막을 수 있었다. 웜의 창궐에 대해 기업들에게 일부 책임이 있다는 사실은 피해갈 수 없는 결론인 셈이다.

실제로 기업들은 감염과 전파에 사용되는 오래된 방식을 막는데도 연속해서 실패하고 있다. 마치 ‘누군가 자신을 한번 속이면 그를 욕하고, 그가 나를 또 속이면 스스로를 탓하라(Fool me once, shame on you. Fool me twice, shame on me)’라는 격언과 같다. 속는 사람이 바보인 셈이다.

패치와 바이러스 업데이트만으론 부족
기업들이 반드시 명심해야 할 사실은, 세번째 보안상의 진실은 기업들 스스로 보안 강화를 위한 사전노력에 힘쓸수록 정보보호전쟁에서 무고한 인질이 될 가능성이 낮아진다는 점이다. 이메일 첨부파일 필터링, 불필요한 포트 폐쇄, 기업 PC 보호를 위한 방화벽 사용 등 기초적인 조치들 만으로도 보안 위협을 크게 줄일 수 있다. 또한 수상한 이메일 첨부파일에 대해 교육을 강화하고 기업 보안 정책이 확고함을 확인시켜 주면, 직원들은 이런 파일을 클릭할 때 더욱 조심하게 될 것이다.

거의 대부분의 조직이 악성코드에 대한 제1의 방어수단으로 패치와 바이러스 정의 업데이트에 의존하고 있다. 그러나 불행하게도 이러한 조치들은 알려지지 않은 보안 위협에는 속수무책인 수동적 해법이다. 예를 들어 지난 2002년 SQL 슬래머 웜에 대항하기 위한 7가지 보호 조치 가운데, ‘적극적인 패치’는 꼴찌를 기록했다. 다른 6개의 보호조치는 모두 예비적이고 일반적인 것이었으며, 대부분이 악성코드 공격에 대해 훨씬 쉽고 저렴하고 효과적으로 대응할 수 있는 것이었다.

기업들은 자신의 죄과에 대해 책임을 져야 하며, 보안에 대해 미리 준비해야 한다. 악성코드라는 ‘적들의 손’에 넘어갈 인질의 수를 줄일 수 있다면, 악성코드의 피해도 크게 감소시킬 수 있을 것이다.