「직업해킹 시대」최대 취약점은 이메일

과거 인터넷 공격은 단순히 ‘파괴를 위한 파괴’였다. 하지만 1990년대 이후 인터넷 공격은 ‘금전적 소득을 위한 행위’ 측면에 강해지고 있다.

그 예중 하나가 스팸메일이다. ‘나이지리아 사기 메일’을 받지 않은 사람이 있을까? 이 메일에 답장한 사람들은 조직적인 사기범죄에 걸려들어 돈을 날렸다.

최근 많은 스패머들이 신용카드 번호 ‘피싱(phishing)’을 노린다. 인터넷을 떠도는 메일들은 마치 신뢰할만한 금융회사에서 발송된 것처럼 위장해 사용자에게 ‘계좌를 확인하라’고 요구한다. 사람들을 유인하는 사이트는 진짜처럼 보이지만 사실 사기조직에 의해 운영되는 가짜 사이트다. 이러한 사기극은 인터넷 보안에 대한 불신감을 증폭시키고 있다.

이러한 것들이 사이버 범죄의 새로운 현상이다. 과거 해커들은 단순히 실력 과시를 위해 해킹을 했지만, 이제 '직업적인' 전문 해커들은 수익을 목표로 공격을 가한다. 특히 전문 직업 해커들은 과거 해커보다 더 대담하며 활용할 수 있는 기반 지식도 풍부하다. 따라서 해킹에 대한 대응에도 새로운 접근방법이 필요하다.

고전적인 의미의 해킹으로 인해 자리잡은 생각중의 하나는 ‘취약한 만큼 안전하다’라는 것이다. 왜냐하면 고전적인 해커들은 ‘가장 해킹하기 어려운 시스템’을 뚫는데 몰두했기 때문이다. 그렇게 해야만 자신의 실력을 과시할 수 있었으므로.

하지만 직업 해커들은 그런 것에 연연하지 않는다. ‘왜 거대 은행의 최고 실력을 보유한 아키텍트가 구축한 철벽 방어막을 뚫느라 몇개월씩 머리를 짜내야 하는가’라고 이들은 반문한다. 그냥 계좌 주인한테 ‘계좌번호와 비밀번호가 뭐냐’고 물어서 알아낼 수 있는 이들에게, 직접 방어막을 뚫는 것은 너무나 비효율적인 방법인 것이다.

방어막에 틈새를 제공하는 것은 이메일이다. 모든 이메일 클라이언트는 사실 보안을 적용해 송수신할 수 있지만 이 기능은 거의 사용되지 않고 있다. 피싱은 이메일 보안에 대한 필요성을 부각시키고 있다. 하지만 우리는 이러한 위기상황을 세상 모든 사람들이 동의할 때까지 기다리고 있을 시간이 없다.

고급 사용자들이 가끔 필요할 경우 쓰는 시스템이 아니라, 모든 사람들이 항상 사용하는 이메일 보안 시스템이 우리에게 진정 필요한 것이다. 은행에서 발송하는 오프라인 우편물에는 은행 로고가 양각 인쇄돼있다. 이처럼 사용자가 쉽게 진위를 구별할 수 있는 방법이 이메일 보안 솔루션에도 필요하다.

IETF 산하 MARID 워킹그룹은 현재 이메일 인증을 위한 간단한 방법인 ‘센더(sender)-ID’를 연구하고 있다. 컴퓨터 보안 전문가들은 그동안 “이같은 종류의 인증은 전문적인 기술만 갖추면 회피할 수 있다”고 지적해왔다. 하지만 그 지적대로 회피할 수 있다고 해도 제한된 시간 동안, 그것도 제한된 숫자의 메일만 보낼 수 있을 뿐이다. 따라서 대량으로 이메일을 발송하는 스패머들에게 그 단점은 이용 가치가 없다고 할 수 있다.

또다른 방법으로는 ‘역(reverse) 방화벽’이 있다. 기존 방화벽은 외부에서 내부로 들어오는 공격을 차단한다. 역 방화벽은 반대로 내부에서 외부로의 공격을 차단하는 기능을 한다. 이는 사용자의 PC가 ‘좀비 공격’의 일원이 되는 것을 방지할 수 있다.

필자는 모든 사용자의 케이블 모뎀과 무선 액세스 포인트(AP)에 이 역 방화벽 기능이 탑재돼야 한다고 생각한다. 역 방화벽은 대량 이메일 발송을 막는데, 사실 대부분의 일반적인 이용자들은 역 방화벽이 막을 정도의 대량 메일을 발송할 일이 없다. 물론 정상적인 메일 송수신에는 아무 영향이 없다.

베리사인이 제공하는 피싱 방지 솔루션은 공격의 근원지를 추적해 ISP에 봉쇄를 요청하는 기능을 한다. 베리사인은 5년 전만 해도 이 같은 서비스를 고려하지 않았다.

한편 돈을 노리는 직업 해커는 ‘돈이 벌리는 한’ 똑같은 행위를 계속 반복한다. 이는 탐지가 가능한 일련의 해킹 과정이 성립함을 의미한다. 즉 사용된 툴, 목표물, 좀비, 언어와 같은 정보들을 조합해 해커의 상세한 윤곽을 잡을 수 있다. 장기적인 목표이지만 우리가 접근할 수 있는 모든 정보 소스(방화벽, DNS 인프라, 지불 서비스 등)에서 도출된 데이터를 취합함으로써 앞으로의 공격을 미리 감지해 막을 수도 있을 것이다.

직업 해커들의 득세는 우려할만한 일이지만, 동시에 필자와 같은 보안 전문가들에게는 도전이자 기회이기도 하다. 필자를 비롯한 많은 보안 전문가들이 그들과 맞설 것이다.

2004.07.25

인터넷 최고의 보안「익스플로러만 쓰지 않기」