[IT산업 20년 전] 취약점 공개인가 폭로인가…2006년 보안 리서치가 남긴...

컴퓨터월드 2006년 5월호

[아이티데일리] 2006년 보안 리서치 업계는 소프트웨어(SW) 결함을 찾아내 보안성을 높이는 공로를 세웠으나, 동시에 비도덕적인 ‘폭로’를 한다는 오명을 쓰기도 했다. 일부 회사들이 취약점 정보를 미리 공개해 공격 위험을 조장하며 금전적 이득을 취하려 했기 때문이다. 이에 대응하는 마이크로소프트(MS), 오라클 등 빅테크의 미온적 태도 역시 갈등을 키우는 불씨가 됐다.

지적 우수성을 경제적으로 악용

보안 담당자는 시스템 내 보안 문제를 알고 있어야 한다. 하지만 매번 그럴 수만은 없는 법. 알지 못했던 결함이 시스템 해킹으로 이어지기도 한다. 많은 보안 담당자는 취약점에 대해 더 자세한 정보를 확보한다면 더 잘 대비할 수 있을 것이라 믿는다. 2006년 당시 보안 관리자들은 이러한 이유로 SW 공급업체가 제공하는 권고 사항뿐 아니라 보안 리서치 회사가 제공하는 결함 분석에도 의존했다.

보안 리서치 회사는 제품 내 심각한 결함을 찾아 이 결함이 수정될 수 있도록 했다. 그러나 당시 일부 회사는 공급업체가 제품을 패치할 기회를 얻기도 전에 취약점을 대중에 공개하거나 폭로함으로써 경제적 이득을 얻으려 했다. 결정적인 취약점을 미리 공개함으로써 명성은 물론 거액의 컨설팅 계약 체결에 유리한 고지를 차지하려 한 것이다.

일부 리서치 회사는 결함을 찾아내는 해커들에게 금전을 보상하기도 했다. 최악의 결함에 대해서는 특별한 보상을 제공했다. 하지만 비도덕적으로 공개된 취약점은 악성 해커가 노리는 먹잇감이 됐다. 이로 인해 IT 부서는 추진 중인 프로젝트 대신 대형 웜(Worm)이나 트로이목마에 대비한 준비에 모든 역량을 쏟아부어야 했다.

이러한 리서치 회사들은 초일류 업체들을 압박하며 영향력을 행사했다. 2006년 당시 ISP넷링크 서비스사의 인터넷 보안 전문가 조지 뢰티커는 이메일 인터뷰에서 SW 제품이 공급업체에 대한 공개된 위협으로 보안성이 높아지고 있다며 “분석가(Researcher)는 큰 영향력을 가졌다. 충분한 지식이 없는 초급 해커에 의해 오히려 위험하게 악용될 수 있기 때문”이라고 말했다.

윈도 메타파일이 남긴 교훈

2006년 초 윈도 메타파일(WMF)에 대한 이야기는 보안 리서치 회사가 논쟁을 야기하고 막강한 힘을 지녔음을 보여주는 사례다. 그해 1월 공격자가 WMF 이미지를 처리하는 윈도의 그래픽 렌더링 엔진을 이용, 사용자 컴퓨터에 악성코드를 실행시킬 수 있는 취약점이 드러났다. 몇몇 보안 리서치 회사는 메일링을 통해 취약점 정보를 공유했다.

불과 몇 시간 후 연구자 H.D. 무어는 그가 속한 메타스플로이트 웹 사이트에 해당 취약점을 이용해 만든 코드 샘플을 게재했다. 일각에서는 침입 탐지 시스템 보강에 필요한 인사이트를 제공한다는 점에서 이를 옹호했지만, 다른 이들은 무어가 해커들이 그 취약점을 이용할 수 있도록 도와준 꼴이라고 비난했다.

이를 두고 이스라엘 IT 보안 교육 회사인 시큐리티테크놀로지스 마티 아하로니 선임 테스터는 “둘 다 맞는 의견이다. 실질적인 차이는 ‘보안 전문가’의 의도에 달려 있다”고 당시 이메일 인터뷰에서 밝혔다.

윈도 메타파일을 둘러싼 소란은 보안 관리자들을 힘들게 했다. 브라운대학교 코니 새들러 보안 담당 이사는 “아무것도 하지 않으면 재앙이 닥치리라 예측하는 사람이 있었다”며 “며칠을 정규 업무에서 뒤로한 채 만약의 경우에 대비해 여러 사이트를 살펴보는 데 시간을 보내야 했다”고 말했다.

연구자들이 소동을 피우는 동안 시스템 방어와 관련해 기업에는 선택지가 별로 없었다. MS를 사용하는 기업은 공식 패치를 기다리거나 벨기에 소프트웨어 회사 데이터레스큐의 선임 개발자인 일파크 길파노프가 개발한 대안 패치를 설치해야 했다.

길파노프가 만든 대안 패치는 산스(SANS) 인스티튜트의 인터넷 스톰 센터와 보안 기술 회사 ‘F-시큐어’로부터 승인을 받았다. 하지만 여러 관리자들은 딜레마에 빠지기도 했다. 브라운대학교 코니 새들러 이사는 “사용자에게 대안 패치를 설치하라고 요청하면 서드파티 패치를 설치하는 일이 아무 문제가 없다고 이야기하는 셈”이라며 “이는 불순한 의도를 가진 이들이 사용자들을 공격할 빌미를 제공할 수도 있다”고 설명했다.

이런 상황에 놓이자 MS는 WMF 취약점을 빠르게 패치하지 않는다는 비난에 처했다. 그러자 매주 화요일에 정기적으로 패치를 내놓는 ‘패치 튜즈데이(Patch Tuesday)’보다 닷새나 앞서 WMF 취약점 패치를 공개했다.

이에 앞서 MS는 취약점의 전파 속도가 느리고 위험도가 낮다는 점을 들어 긴급 패치를 내놓지 않을 것이라고 발표한 바 있다. 패치 테스트를 위해 더 많은 시간이 필요하다고도 밝혔다. 하지만 WMF 취약점을 악용한 악성코드가 이미 만들어져 돌기 시작했다는 보도가 나오자 MS는 입장을 바꿔 길파노프의 대안 패치까지 승인하기에 이르렀다.

‘책임 있는 공개’의 원칙

보안 리서치 회사가 민감 정보를 다룰 때 지켜야 할 규칙은 ‘책임 있는 공개’였다. 취약점에 관한 세부 정보가 공개되기 전에 SW 공급업체에 패치를 만들 기회를 주고 사용자가 시스템을 패치할 시간을 주는 것이다.

리서치 회사들은 그러나 ‘책임 있는 공개’라는 규칙을 지키지 않기도 했다. 취약점 정보를 인터넷에 바로 공개한다면 더 많은 주목을 받고 경제적 이득을 얻을 수 있다고 여기는 곳도 있었다. 더욱이 공개된 내용으로 개념증명(PoC) 코드가 나오면 공급업체가 더 신속히 SW 버그 수정에 나선다는 점도 알고 있었다. 물론 이러한 PoC는 경험이 적은 해커도 악성코드 제작에 나설 수 있는 빌미를 제공하기도 했다.

MS 외에 다른 회사들도 리서치 커뮤니티를 주목했다. 애플의 아이챗(iChat)은 신원 불명인 사용자가 맥루머스닷컴 사이트에 트로이목마 링크를 올린 바로 다음인 2006년 2월 이 악성코드로 인한 공격을 받았다. 오라클 역시 자사 SW에서 취약점을 찾아다니는 사냥꾼의 표적이 됐다. 이들은 오라클 SW의 결함을 토론하고 논쟁거리가 되는 대안 코드를 내놓는 등 소동을 일으켰다.

시스코도 취약점 공개로 곤욕을 치렀다. 인터넷 시큐리티 시스템즈의 연구원이었던 마이클 린은 2005년 7월 블랙햇 컨퍼런스에서 해커들이 시스코의 IOS(Internetwork Operating System)에 침입해 네트워크 트래픽을 조정할 수 있다는 사실을 입증했다.

이 발표는 보안 분석가들로부터 크게 주목받았다. 시스코는 마이클 린이 고객 네트워크를 취약하게 만들었다고 고발했다. 린은 IOS에 대한 악성 해킹 가능성을 시스코 고객에게 경고하기 위함이었다고 주장했다.

불붙는 취약점 공개 경쟁

앞서 거론한 WMF가 2006년 보안 리서치 회사에 의해 밝혀진 MS의 유일한 취약점은 아니다. 시큐니아 리서치사의 보안 연구원인 안드레아 샌드블래드는 웹 브라우저 ‘인터넷 익스플로러’에서 공격자가 자바스크립트 처리 오류를 악용할 수 있도록 해주는 결함을 찾았다. 이 결함을 통해 해커는 키보드 입력을 탈취하는 키로거(Keylogger)를 비롯한 악성 SW를 설치할 수 있었다.

시큐니아는 즉각 이 문제를 MS에 알렸다. 그러나 MS는 또 다른 회사가 이 사실을 알리기 전에 공개적으로 이 취약성을 경고하는 글을 올렸다고 밝혔다. 이보다 앞서 컨설팅을 받은 이아이 디지털 시큐리티사에게 정보를 공개하고 문제를 고치기 위해 정기 패치 일정인 4월 11일 화요일까지 기다리기로 했다.

이 문제가 불거지기 불과 며칠 앞서 네덜란드 국적의 프로그래머 제프리 반 데어 스타트는 인터넷 브라우저가 HTML 애플리케이션 또는 HTA 파일을 처리하는 방식과 관련한 문제가 있다고 MS에 알렸다. 제프리는 취약점에 관한 세부 정보를 자신의 웹 사이트에 올렸다. 하지만 나중에 MS 요청에 따라 이 글은 내려졌다.

넥스트 제너레이션 시큐리티 소프트웨어사의 데이비드 리치필드는 오라클 PL(Procedural Languages) SQL 확장에 관한 취약점 분석 업무를 의뢰받았다. 그는 문제의 요약 보고를 버그트래크라는 메일링 목록에 게재했다. 리치필드가 ‘결정적’이라고 말하는 결함은 오라클 PL SQL 게이트웨이에 있었다. 이는 공격자가 취약한 웹 서버를 통해 오라클 데이터베이스(DB) 서버를 제어할 수 있게 해주는 것이었다.

리치필드는 사용자가 오라클의 취약점을 방어할 수 있는 대안 패치를 계속 공유했다. 그러나 오라클은 이 대안 패치가 특정 애플리케이션이 적절하게 동작하는 것을 막는다고 주장했다. 이에 리치필드는 문제를 야기하지 않았으며 공개는 사람들이 방어에 책임을 갖게 하기 위함이었다고 자신의 행동을 옹호했다. 그러면서 “많이 공개하건 조금 공개하건 항상 문제는 있는 것”이라고 말했다.

때때로 리치필드 같은 보안 연구자는 자신이 의식하지 못한 새 문제를 키우기도 했다. 2002년 IT 컨설턴트로 일하는 동안 리치필드는 MS SQL 서버 DB에서 장애를 유발하는 결함을 발견하고 이를 MS에 보고했다. 일주일 후 MS는 해당 취약점에 대한 패치를 발표했다.

리치필드는 미국에서 열린 블랙햇 컨퍼런스에서 이 문제를 소개하며 가능한 한 빨리 패치해야 한다고 경고했다. 그는 “패치를 하지 않을 경우 이 취약점이 웜으로 바뀔 수 있다고 경고했다”며 “하지만 MS는 이에 대응하지 않았고 우리는 ‘슬래머 웜’을 맞이하게 됐다”고 말했다. 이 사례를 통해 리치필드는 코드를 내놓는 일이 사람들에게 문제를 알리는 최상의 방법은 아니었음을 깨달았다.

핵심 인프라를 노리는 위협들

2006년 당시 리치필드는 공급업체와 사용자 모두 힐책받을 점이 많다고 말했다. 그가 일하던 넥스트 제너레이션 시큐리티 소프트웨어는 당시 영국 국립 인프라 보안 코디네이션 센터에 SW 취약점에 관한 서비스를 제공했다. 이를 통해 핵심 IT 인프라를 운영하는 조직을 보호하고 있었다.

리치필드는 그해 1월 5일 ‘인시큐어(Insecure.org)’에 글을 게재하며 “많은 영국의 핵심 국가 인프라가 오라클에 의존하고 있다”며 “이는 다른 국가도 마찬가지다. 오라클 DB에는 나에 관한 많은 개인정보가 저장돼 있음을 안다”고 말했다. 이어 “그것이 오라클의 보안에 관심을 가져야 할 이유”라며 “오라클이 보안에 최선을 다하길 바란다. 그게 내 개인정보를 보호하는 진정한 방법이기 때문”이라고 덧붙였다.

리치필드의 바람과 달리 오라클은 해커들이 취약점을 노리는 대표적인 솔루션이었다. 그만큼 취약점 연구도 활발히 이뤄지고 있었다.

레드 데이터베이스 시큐리티사의 알렉산더 콘브러스트 최고경영자(CEO)는 2006년 1월 투명한 데이터 암호화라는 오라클 보안 기능이 마스터 키를 암호화하지 않은 채 시스템 글로벌 영역에 저장하는 문제를 밝혀냈다. 시스템 글로벌 영역은 클라이언트와 오라클 DB 사이에 데이터의 투명성을 도와주는 오라클의 구조화 메모리를 의미한다.

능숙한 공격자가 아니더라도 이 취약점으로 평문 형태의 마스터 키를 찾아 모든 데이터 암호를 해독할 수 있었다. 오라클은 취약점이 공개된 1월에 패치를 업데이트해 이 문제를 해결했다고 발표했다.

콘프러스트는 그와 다른 보안 연구자들이 오라클 SW 보안 개선에 핵심 역할을 맡고 있다고 주장했다. 그는 “오라클은 이전보다 노력하고 있다. 더 많은 사람이 오라클 보안과 관련한 내용을 공유하고 있기 때문”이라며 “내 작업 중 오라클 제품의 보안 문제를 발견한다면 이를 오라클에 보고해 보안이 우수한 제품을 만들도록 도울 것”이라고 말했다.

실제 콘브러스트는 2006년 4월 오라클이 고객 지원 포털에 패치가 안 된 오라클 DB 9i와 DB 10g의 취약점에 관한 세부 정보를 PoC 코드와 함께 실수로 올린 사실을 알아챘다. 이 취약점은 접근 권한을 높이는 데 악용될 수 있었다. 콘브러스트는 이 내용을 오라클에 알렸고 관련 정보는 사이트에서 삭제됐다.

이런 문제는 오라클로서는 고통스러운 부분이었다. 오라클은 당시 SW 버그에 모호한 입장을 취하는 편이었다. 보안 리서치 회사와 함께 취약점을 찾는다 해도 그 정보가 해커에게 도움이 될 거라 확신하면 취약점과 패치에 관한 많은 정보를 제공하는 것을 경계했다. 취약점을 발견하면 대개 패치가 나올 때까지 조용히 넘어갔다. 기업이 자체적으로 구현할 수 있는 대안 패치 등 많은 정보가 공개되지 않길 바랐다.

콘브러스트는 웹이나 메일링 목록으로 오라클 취약점이 공개되는 일을 그리 염려치 않았다. 그는 사용자가 겪을 위험에 초점을 맞췄다. 콘브러스트는 “대부분 DB 관리자와 보안 담당자는 오라클의 권고가 모호하기에 추가 정보를 원한다”고 말했다. 맥그로힐의 데니스 브릭시우스 부사장은 “모든 정보를 진지하게 고려한다”며 “100% 완벽한 보안을 갖춘 제품은 없음을 이해한다”고 말하며 콘브러스트의 의견에 동의를 표했다.

보안 리서치 회사들은 아무런 패치 없이 제로데이(Zero-day) 공격에 쓰일 수 있는 프로토콜과 정보를 제공하려 할 때 다른 연구자들과 충돌했다. 이러한 회사들은 보안보다는 자기 회사와 제품을 알리는 데 더 혈안이었다. 콘브러스트는 일부 회사에게 취약점이란 가장 저렴한 마케팅 수단이라고 꼬집었다.

2006년 당시 보안 리서치 회사 중 일부는 취약점을 외부에 선제 공개함으로써 유명세와 금전적 이득을 얻으려고 했다. (출처=컴퓨터월드 2006년 5월호)

현상금 사냥꾼

취약점에 대가를 지불하는 별난 곳에 들어가면 최고 1만 달러까지 가격표가 붙었다. 쓰리콤의 티핑포인트 네트워크 보안 사업부는 제로데이 이니셔티브를 통해 프리랜서 연구자가 다양한 애플리케이션에서 보안 결함을 찾아내면 대가를 지불했다. 연구자는 쓰리콤의 웹사이트에 등록해야 하며, 티핑포인트는 정보가 정확한지 검증하고 심각도를 측정하고 패치가 나올 때까지 관련 업체와만 정보를 공유했다.

티핑포인트는 제로데이 이니셔티브를 2005년 8월 출범시켰다. 자체 인력 25명을 포함해 300명 이상의 연구자가 작업에 참여했다. 프리랜서 연구자는 티핑포인트가 기대하는 것을 찾고 자신의 작업을 제출하고자 포털에 접속한다. 이들이 취약점을 보고하는 영역은 암호화된 상태로 운영되며 정보는 티핑포인트 연구원에게 전달된다. 티핑포인트 연구원은 그 취약점이 자사 고객 환경에 도입된 기술에 어떤 영향을 미치는지 판단한다.

티핑포인트의 보안 연구 담당 이사인 데이비드 엔들러는 “취약점 탐색이 악의적인 일이라는 오해가 있다”며 “합법적인 보안 리서치 회사들이 있다. 하지만 그들 모두가 발견한 정보로 무엇을 해야 하는지 알고 있지는 못하다”고 말했다.

티핑포인트가 제출된 정보를 평가하면 리서치 회사가 티핑포인트 고객사에 미치는 취약점의 가치를 평가해 지불할 비용을 산출한다. 가격이 합의되면 티핑포인트는 해당 리서치 회사에 정부 발행 사업자 등록증 사본이나 여타 정보를 보내줄 것을 요청한다.

일각에서는 대형 업체에 의해 무시됐을지 모르는 작업이 주목받기에 현상금이 가치 있다고 말했다. 아이디펜스(iDefence) 켄 턴햄 신속대응팀 이사는 “무명의 연구자가 MS에 취약점을 경고한다면 MS에서 대응하지 않을 것”이라고 말했다. 아이디펜스를 2005년 7월 인수한 베리사인의 경우 미공개된 취약점이나 악성코드를 신고하는 연구자에게 보상을 줬다. 2002년 만들어진 이 프로그램에는 독립 연구자 300여 명이 등록돼 있었다.

아이디펜스는 MS를 핵심 등급으로 분류하고 MS 제품의 취약점에 현상금 1만 달러를 지불했다. 회사는 MS WMF 취약점이 4천 달러에 암거래되는 문제를 보고 이 프로그램 운영을 시작했다. 당시 아이디펜스 조셉 펭린 사장은 “우리는 아웃렛을 제공하고 있는 셈”이라며 “이미 이러한 취약점을 거래하는 암시장이 존재한다”고 말했다.

MS는 자사 제품 취약점을 찾는 데 현상금 1만 달러가 걸려 있다는 사실에 관심을 두지 않았다. MS 스타샤코폴로스 보안 담당 선임 이사는 “우리는 이 일을 통해 경제적 이득 창출보다 커뮤니티와 협력하는 쪽을 선호한다”고 말했다. MS는 당시 아이디펜스에 이 보상 프로그램을 중단하라고 요청하지 않았다.

커뮤니티와의 협력으로 나아가는 길

MS는 오랜 기간 리서치 커뮤니티가 담당하는 비공식적인 영역을 인정했다. MS 스타샤코폴로스 이사는 “선과 악의 구분은 이 영역에서 무의미하다”며 커뮤니티를 이해하고 책임 있는 공개를 촉진하는 게 우리의 일”이라고 말했다.

MS는 2005년 있었던 윈도 2000 플러그 앤 플레이 같은 문제가 반복되는 일을 원치 않았다. ISS 연구원이 그해 4월 감염된 시스템을 제어하고 원격 코드 실행(RCE)이 가능한 취약점을 찾아냈다. 그런데 4개월 뒤인 2005년 8월 ‘조톱(Zotob)’ 웜 악성코드가 이 취약점을 악용하며 확산하는 사건이 발생했다.

1998년부터 MS는 정기 보안 보고서를 발행했다. 그렇지만 2001년에야 외부 연구자가 발견한 취약점을 보고서에서 인정하기 시작했다. 그다음 해인 2002년부터는 블랙햇 컨퍼런스에 참여하며 보안 커뮤니티와 손잡겠다는 의지를 표명했다.

2005년 3월부터 MS는 초청자를 대상으로 1년에 두 번 블루햇 시큐리티 브리핑을 개최했다. 이는 보안 연구자와 MS 프로그래머가 함께 보안상 취약점을 토론하고 피드백을 나누는 자리로 마련됐다.

물론 MS는 커뮤니티와 이해관계가 충돌하기도 했다. 여기에는 2006년 초 패치가 나오기 전에 인터넷 익스플로어와 WMF 문제에 경고한 보안 리서치 회사들도 포함됐다. 하지만 MS는 이들 연구자와 심대한 위협을 찾을 수 있을 것이라 믿으며 협력했다. 결함을 발견한 연구자가 제일 먼저 MS를 찾는다면 공적인 인정을 얻을 수 있었다.

레드 데이터베이스 시큐리티사의 알렉산더 콘브러스트 CEO는 “커뮤니티를 포용하고 끊임없는 검증을 받는 것이 MS 제품이 계속 나아지는 유일한 방법”이라고 말했다. 일부 극단적인 비판자들조차 MS가 커뮤니티로부터 평판을 얻고 있다고 평했다. 보안 연구자 H.D. 무어 역시 동료 연구자들에게 인터넷 익스플로러 취약점을 두고 더 이상 불필요한 공세를 이어가지 말 것을 촉구하기도 했다.

“항상 문제를 드러내자”

취약점을 공개할 때 지켜야 할 가이드라인이나 합의된 윤리 원칙이 있지는 않았다. 하지만 연구자가 성과를 어떻게 공유해야 하는가에 대한 표준 절차는 있었다. 일부 연구자는 보안 취약점 보고 및 대응에 관한 ‘OIS(Organization for Internet Safety)’ 가이드라인을 지켰다.

OIS 가이드라인은 기업을 위험에 빠뜨리지 않으면서 취약점을 발견하고 공개하기 위한 절차를 담았다. 다만 정보의 공개 범위나 수준은 규정하지 않고 있다. 이러한 연유로 티핑포인트는 이 가이드라인을 지키지 않고 있었다.

티핑포인트의 보안 연구 담당 이사인 데이비드 엔들러는 “OIS 가이드라인은 굉장히 복잡한 규칙을 담고 있다”며 “우리는 사례별로 접근해야 한다고 생각한다. 공급업체와 이를 논의하는 일도 필요하다”고 설명했다.

양이나 질적인 측면에서 모두 보안 연구는 담당자들에게 힘든 과제로 여겨졌다. 그러나 많은 전문가는 더 풍부한 정보를 원했다. 브라운대학교 코니 새들러 보안 담당 이사는 “항상 문제를 드러내야 한다”며 “물론 역풍이 때때로 불 수 있다. 하지만 더 높은 차원에서 볼 때 취약점 공개는 훌륭한 일”이라고 강조했다. 이어 “보안이 철저하지 못한 제품을 생산하는 업체를 추적하는 일 또한 결코 나쁜 일이 아니다”라고 덧붙였다.