[디지털투데이 석대건 기자] 시끄러우면 문제요, 조용하게 지나가야 성공적인 보안 업계. 그럼에도 화두는 있었다. 2018년 보안 업계를 정의하는 키워드는 무엇이었을까? 

보안 기업 노르마는 ▲스펙터와 멜트다운 ▲ 쇼단과 인세캠 ▲ 제로 트러스트 ▲ 양자내성암호(PQC)  ▲ 크립토재킹을 2018년 보안 키워드로 꼽았다.

취약점, 보안 업계의 영원한 숙제

취약점이라는 세글자는 보안 종사자라면 신물이 날 만한 단어이지만, 영원히 안고 가야 할 숙명이기도 하다. 2018년에도 취약점을 방어하려는 보안 종사자들을 노력은 계속됐다.

'스펙터와 멜트다운’와 ‘쇼단과 인세캠’은 보안 취약점으로부터 파생된 키워드다. 

스펙터(Spectre)와 멜트다운(Meltdown)의 해결은 올해 마이크로 프로세서 업계의 최고 화제였다. 

대다수 인텔, AMD, ARM CPU에서 캐시메모리 데이터를 노출시켜 현존 CPU 대부분에 악영향을 주는 것으로 알려진 두 취약점은 올해 초 구글의 CPU 취약점 공격 기법 분석 결과 알려지게 됐다. 인텔 CPU에서만 발견된 1가지 취약점은 '멜트다운', 인텔, AMD, ARM CPU에서 발견된 2가지 취약점은 '스펙터'로 명명됐다. 

관련 업체들이 일제히 패치 또는 업데이트를 내놨으나, 6세대 코어 프로세서부터 탑재된 보안 기술인 SGX를 무력화하는 버그인 포어셰도우, 공격자가 익스플로잇에 성공할 경우 하이퍼쓰레딩이 활성화된 인텔 CPU의 TLB(변환 색인 버퍼, Translation Lookaside Buffer)를 통해 정보를 빼돌리는 TL블리드(TLBleed)도 추가로 발견되면서 하드웨어와 소프트웨어 개발사의 연합을 통해 현재의 마이크로프로세서를 완전히 재설계해야 한다는 주장도 제기됐다.

네트워크 보안에서도 취약점은 2018년의 화두였다. 늘어나는 IoT 디바이스만큼 취약점이 늘어났다고 볼 수 있다.

지난 과학기술정보통신부 국정감사에서는 쇼단에서 웹캠을 검색해 국내 사무실이나 수영장의 모습을 실시간으로 볼 수 있음을 직접 시연하는 장면이 연출됐다. 

쇼단(Shodan)은 본래 IoT 기기 취약점 정보 공유를 위한 검색 엔진을 뜻하지만, 해커들이 이를 악용해 '어둠의 구글', '해커들의 놀이터'로 불린다. 쇼단과 유사한 웹캠 해킹사이트로 인세캠이 있으며 인증절차가 없어 해커의 접근이 용이하다.

(사진=플리커)
취약점이라는 보안 종사자라면 영원히 안고 가야 할 숙명이기도 하다. (사진=플리커)

제로 트러스트 역시 2018년의 보안 화두였다. 클라우드를 사용하는 기업이 기하급수적으로 늘어나면서 그에 따른 클라우드 보안 또한 이슈가 됐기 대문이다. 

제로 트러스트(Zero-Trust)는 네트워크 경계가 모호해진 멀티 클라우드 환경에서 모든 네트워크를 의심하고 검증하는 보안 방식을 의미한다. ‘신뢰하되 검증’하는 것이 아니라 ‘모든 것을 검증하고 아무것도 신뢰하지 않는’ 방식이라 볼 수 있다.

제로 트러스트 방식을 통해 클라우드로 접근하는 모든 사용자를 엣지에서 통제해 직접 클라우드나 온프레미스 시스템로 연결된 단말기기의 무결성을 확인하며, 위협 인텔리전스를 이용해 공격에 이용당하거나 공격당할 가능성이 있는 상황인지 점검한다.

양자컴퓨팅, 해킹에서도 쓰일 수 있다

클라우드는 컴퓨팅의 확장으로, 컴퓨팅 기술이 발전하는 만큼 그에 따른 공격과 방어 기술도 주목받았다. 2018년은 양자컴퓨터를 이용한 공격에 대해 안전한 내성을 갖는 암호기술, 즉 양자내성암호(PQC, Post Q uantum Cryptography) 기술의 필요성이 강조됐다.

기존 PC로는 100만년 걸리던 연산을 양자컴퓨팅으로는 10분이면 처리할 수 있어 일상적으로 사용하는 공개키 암호방식은 무력해졌기 때문이다. 양자컴퓨터의 초고속 연산 기능을 활용해 암호를 풀어 정보를 탈취하는 공격은 말 그대로 시간 문제가 됐다.

인텔은 49 큐비트, 구글에서는 72 큐비트 컴퓨터를 발표했으며 캐나다의 D-웨이브시스템(D-Wave Systems)는 2000 큐비트 성능의 컴퓨팅 시연에 성공했다. 지난 5월 IBM 리서치 책임자는 미국 실리콘밸리에서 열린 연례 기술 포럼 처칠 클럽에서 5년 내 양자컴퓨터가 현존하는 암호화 기술을 뚫을 수 있을 것이라고 밝히기도 했다.

이에 새로운 암호화 알고리즘의 개발 요구가 대두하고 있으며, 최근 한국인터넷진흥원(KISA)은 서울대, 울산과기대와 긴밀히 협력해 양자내성암호인 ‘리자드(Lizard)’를 개발하여 NIST 프로젝트에 제출, 국내 표준화를 추진 중이다.

카페에서까지 노린다, '커피 마이닝'도 등장

2018년 보안업계에서 가상화폐 역시 빼놓을 수 없는 이슈였다. 다름 아닌 크립토재킹 때문이다. 아이러니하게도 가상화폐 시장은 다소 침체기에 들어갔지만, 크립토재킹은 성황이다. 

크립토재킹은 암호화폐(cryptocurrency)와 하이재킹(hijacking)의 합성어, 암호화폐를 채굴하려면 고성능의 PC로 암호화 과정을 풀어야 하는데 이 과정에서 공격자는 타인의 PC 리소스와 프로세스파워를 몰래 끌어와 채굴에 동원한다. 

최근에는 카페와 같은 곳에서 무료 공용 와이파이를 쓰는 PC나 스마트폰을 악성 코드로 공격해 백그라운드로 암호화폐를 채굴하는 데 악용하는 ‘커피 마이닝’까지 등장했다.

정현철 노르마 대표는 “점차 공격방법이 지능화 자동화 고도화되어 가고 있고 내부자의 관리 소홀도 꾸준히 문제점으로 지적되고 있는 만큼 이에 대응하는 보안 대책의 중요성도 더욱 커지고 있다”고 전했다. 

저작권자 © 디지털투데이 (DigitalToday) 무단전재 및 재배포 금지

관련기사