많은 기업들, 엉성한 DB암호화...마음은 조마조마

온 나라를 떠들썩하게 했던 옥션과 하나로텔레콤의 개인정보DB 유출사건이 일어난지 얼마 되지 않은 이 시점에서 또 다시 모 대형 포털사의 고객DB가 해커의 수중에 넘어 갔다는 의혹 보도가 나왔다.

이렇게 여기저기서 개인정보DB가 유출됨으로 인해 유출 사고를 낸 업체들이 집단으로 책임의식이 희석될 것이 우려 된다. 왜 자꾸 이런 일이 생겨나는 것일까?  모두들 답답할 것이다.

필자는 그동안 이런 사이트들에서 사고가 안 터지는 것이 이상하다고 생각하고 있었다. 왜냐하면 포털, 쇼핑몰 등의 보안에 대한 정책 및 경영층의 인식에 문제가 있었기 때문이다. 몇 가지 심각한 문제점 들을 지적하지 않을 수 없다.

DB보안의 이해 부족

포털과 쇼핑몰, 통신사 등은 엄청나게 많은 고객정보를 보유하고 있고 또 매우 많은 개인정보의 검색이 이루어진다. 따라서 근본적인 DB암호화와 같은 근본적인 보안이 이루어지지 않으면 기존의 경로상의 보안책들 만으로는 한계가 있다.

접근 경로상에서의 제어와 감사는 한계가 있기 때문이다. 즉 DB서버내에서 이루어지는 작업들과 WAS를 거쳐 XA Session을 통하는 경우에는 전혀 통제가 불가능하기 때문이다.

아래 그림은 이러한 보안 솔루션간의 보안경계를 고려한 바람직한 구성 방안 이다.

위 그림은 중요 개인정보(주민번호)가 인덱스와 테이블에 암호화되어 있어 안전한 상태이며 Ordering이 유지되지 않으면 그림처럼 Full Table Scan이 발생된다는 내용이다.

첫째, 기업의 DB보안에 대한 인식 문제

지금껏 유출된 대부분의 DB가 암호화되어 있지 않았기 때문에 피해가 생기고 있으며 집단소송이 발생하고 있다. DB의 중요 개인정보가 암호화되어 있었다면 DB가 해킹당해 유출이 되더라도 피해는 거의 없을 것이다.

그럼에도 불구하고 개인정보보호에 대한 전산담당 및 보안 담당자들의 의식은 아직도 미온적이다. 즉 마지못해 도입하는 입장이다 보니 제대로 개인정보 보호대책이 이루어 질 리 없다.

또한 H/W, S/W 및 서비스는 절대로 변경할 수 없다는 전제하에 보안제품 도입 검토를 한다. 그 결과 얼마나 안전한 제품을 도입하여 완벽히 보호할 수 있는지 보다는 감사에 대비하기 위한 목적이 더 크다 보니 기능과 보안성 보다는 가격만을 중요시 하게 된다.

더구나 기존 인프라 및 서비스는 전혀 바꿀 생각이 없는 상태에서는 효과적인 보안이 이루어질 리 없다. 기존 인프라의 변경 및 서비스가 제약이 동반 된다면 법규에 의무화된 보호조치 일지라도 하지 않던가 흉내만 내겠다는 입장이다.

또 SQL Injection에 취약한 상태의 애플리케이션을 운영하면서도 이를 수정할 생각은 없이 보안 솔루션으로만 해결하려 든다. 결국 아직도 설마 우리 사이트가 공격 대상은 아니겠지 하며 공격당하지 않기만을 바랄 뿐이며 고객정보 보호는 뒷전이라는 이야기이다. 얼마나 많은 유출사고를 더 경험하고 나서야 이런 의식이 바뀔지 답답하다.

또 하나의 문제는 법규가 어떻게 되어 있는지 보안담당자 조차 모르는 경우가 허다하다. 이러니 경영층은 말할 나위도 없을 수밖에 없다. 이미 여러 번 지상에 소개된 바와 같이 관련 법규들에서 개인정보에 대한 보호조치는 암호화를 의무화 하고 있으나, 아직도 DB 접근제어만 하면 되는 것으로 아는 기업이 많다.

이런 잘못된 의식은 대학교의 경우 더욱 심하다. 대학의 많은 전산 책임자들은 학생의 개인정보는 중요치 않다고 생각 한다. 단지 교육기술부에서 하라고 하니 마지못해 흉내만 내고 싶어 한다.

정말로 적극적으로 DB를 보안하고자 하는 학교는 단 한곳도 찾아 볼 수 없었다. 더구나 사각지대에 있는 입시신청 대행업체와 같은 경우는 더욱 더 심각하다고 할 수 있다. 그 학생들이 몇 년 후면 이 나라의 경제의 주역이 될 사람들인데 어떻게 중요치 않다는 것인지 참으로 개탄스럽다.

둘째는, 서비스와 보안 중 무엇이 우선인가 하는 문제이다.

많은 DB담당자 및 일부 보안담당자들의 경우 DB암호화의 특성을 잘 모르고 무턱대고 적용하려는 경향이 많다. 또 일부 기업들 외에는 아직도 보안보다는 서비스가 우선이라고 생각한다.

따라서 중요하지 않은 서비스의 경우 이것이 제대로 된 DB보안을 구축하는데 방해가 된다면 과감히 서비스 방법을 바꾸거나 혹은 존속여부를 재검토하는 자세가 필요하다.

예를 들어 비밀번호 찾아주기 같은 서비스는 꼭 필요한 것이 아니다. 잊은 경우 다시 등록할 수 있도록 해 주는 것이 더 안전하다. 왜냐하면 비밀번호를 이메일로 알려 주거나 일부를 마스킹하여 보여 주기 때문이다.

하지만 이를 위해서는 법규에서 요구하는 일방향 암호알고리즘을 쓸 수가 없고 복호가 가능한 알고리즘을 써야 한다. 따라서 DB가 유출된 경우 비밀번호도 고스란히 유출될 수밖에 없다.

이러한 일부 서비스가 제한된다면 사용자가 조금 불편해 할 것이지만 이런 불편쯤은 개인정보 유출 위험을 막기 위한 것이라면 기꺼이 받아들일 것 이라는 것과, 유출사고가 발생하면 기업이 엄청난 대가를 치뤄야 한다는 것을 명심해야 할 것이다.

셋째는, 제대로 완벽히 암호화 하여야 한다는 것이다.

많은 보안담당자들과 DB담당자들 조차도 암호화해야 할 법규상의 대상이 무엇인지를 잘 모르고 있으며 암호화에 있어서 일방향함수알고리즘을 어떤 데이터에 적용해야 하는지 또 테이블과 함께 인덱스도 반드시 암호화 되어야 한다는 것을 잘 모른다.

테이블에서 암호화 대상 컬럼을 암호화 하면 관련된 인덱스도 자동으로 암호화 되는 것으로 안다. 하지만 암호화된 인덱스를 이용한 색인검색을 가능하게 하는 기술이 쉽지 않아서 많은 제품들이 인덱스를 암호화 하지 않도록 구축하는 모드를 가지고 있다. 이런 방법으로 암호화된 경우 심각한 유출위험이 있다고 볼 수 있으며 보안 관계자들은 암호화 하지 않은 것 과 같다고 까지 이야기 한다.

암호화 되어 있지 않은 인덱스는 덤프(dump)를 뜨면 데이터가 보이기 때문이며, 따라서 중요개인정보는 테이블뿐만 아니라 반드시 인덱스까지 암호화 하여야 한다.

하루빨리 개인정보보호에 대한 바른 이해와 태도의 변화가 있기를 바라며 더욱 강화된 개인정보보호법이 제정되어 법 적용의 사각지역이 없어야 할 것이다. 또한 사업자들은 무분별하게 주민번호 등의 상세 개인정보를 수집하지 않는 문화가 정착 되어야 할 것이다.

[글·이글로벌시스템 조돈섭 이사]

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>