VoIP 해킹의 진수를 보여주마!

“1년 전부터, 전 세계 해커 80% 한국을 노린다”

지난 9월 18일에서 21일간 말레이시아 쿠알라룸프에서 개최된 보안ㆍ해킹 컨퍼런스인 ┖HITBSecConf2006┖에서 화제를 모았던 강연 내용이 바로 VoIP 기술의 취약점 해킹이었다. 이 강연을 맡았던 ┖Grugq┖는 이 자리에서 VoIP의 취약점을 찾아내 이를 해킹하는 장면을 시연해 참가자들에게 큰 호응을 받은 바 있다.

Grugq는 특히 포렌식과 VoIP 안전분야의 기술력을 세계적으로 인정받고 있고, 이번 16일부터 개최될 POC 2006 컨퍼런스에서도 VoIP 취약점을 적나라하게 파헤치고 이를 해킹하는 시연을 보일 예정이다. 그의 강연은 16일 마지막 세션에서 들을 수 있을 것이다. <보안뉴스>는 14일 여의도 렉싱턴호텔에서 그와 단독 인터뷰 시간을 마련했다. 다음은 Grugq와의 인터뷰 내용이다. 

Interview

해커 Grugq

한국은 처음인가?

그렇다. 하지만 한국 영화를 200편 이상 볼 정도로 한국에 대한 관심이 높았다. 특히 박찬욱 감독의 팬이다. 그의 영화는 빼놓지 않고 다 봤던것 같다. 그리고 한국의 IT 산업이 급속도로 발전하고 있어 꼭 한번 와보고 싶었다.

POC 2006 컨퍼런스에 초청받게 된 계기가 있다면?

시큐리티프루프 운영자인 반젤리스와 2년 전부터 알고 지냈다. 해외 컨퍼런스에서 만나 친분을 쌓고 있던 차에, 이번에 강사로 초청을 해줘 함께하게 됐다. 특히, 미국 블랙햇이나 데프콘은 조금 형식적인 토론에 많이 치우치는 반면, 아시아에서 개최되는 컨퍼런스들은 공격적이면서도 색다른 주제들이 많아 재미있다. POC 컨퍼런스도 형식에 얽매이지 않고 실전적이면서 자유롭게 시연하고 교류하는 장이 될 것으로 본다.

간략하게 이력을 소개한다면?

나이는 말할 수 없고(웃음) 이전부터 포렌식에 관심이 있었다. 그리고 최근에는 VoIP에 대해 관심이 있다. 2년 전쯤 ┖@STAKE┖라는 곳에 근무하면서 안티 포렌식과 관련된 글을 유명 해킹잡지에 게재한 적이 있다. 잡지에 발표되고 그 다음날 바로 해고됐다. 해고이유는 발표한 안티 포렌식 글이 경찰들로 하여금 해커들을 잡을 수 없도록 하는 내용이었기 때문이다. 이외에도 금융정보보호를 위한 컨설팅회사를 설립해 운영한 적도 있고, 프리랜서로 활동해오다 최근에는 ‘TACTICAL VoIP┖라는 회사에서 보안업무를 담당하고 있다.   

미국에서는 해커를 어떻게 보고 있나?

해커에 대한 부정적 이미지는 어느 나라든 가지고 있다고 생각한다. 주로 20대 초반 해커들이 문제를 일으키는 경우가 있지만, 대부분의 해커들은 다양한 자신의 직업을 가지고 있고 순수한 해킹 공부를 해나간다. 무조건 컴퓨터만 가지고 노는 것이 아니라 각자의 다양한 일들을 하면서 해킹 실력을 스스로 키워나가고 있다. 특히, 커뮤니티가 발달해 서로 교류하고 내가 알고 있는 부분을 다른 사람들에게 알려주고 또 다른 사람들에게 모르는 부분을 배워나가는 과정에서 같이 성장해 나가고 있다. 그래서 해킹 그룹간 커뮤니티 활동이 활발하다.

왜 해킹에 대해 관심을 갖게 되었나?

‘재미’(Fun!) 때문이다. 흥미롭고 재미있지 않으면 할 수 없다. 대부분의 해커들이 다 그럴 것이다. 새로운 취약점을 찾고 조언해주는 일들이 재미있다. 또한 재미있게 일을 하다보면 ‘돈’은 저절로 따라오는 것 같다. 일의 모든 기준은 재미가 ‘있다’ ‘없다’에 달려있다. 해킹의 매력은 ┖Fun┖에 있다.

한국 해킹ㆍ보안을 공부하는 친구들에게 한마디

영어공부를 좀 더 했으면 한다. 그렇지 않으면 해외 전문가들과 정보공유가 안된다. 소통이 없으면 발전도 없다. 고립되는 것은 발전을 막는 가장 큰 저해요인이다. 중국이나 러시아, 일본 등등 모든 나라의 친구들이 영어로 의사소통을 하고 해킹과 보안에 대해 의견을 주고받고 있다. 그리고 영문 커뮤니티에 들어와 서로 정보를 공유하기도 한다. 그런 과정에서 그들의 실력도 늘고 있다. 해킹과 보안공부 이외에도 커뮤니케이션을 위해 영어공부에 투자해야 한다. 나 역시 당신들과 ‘대화’를 하고 싶다.

한국 보안담당자들에게 해주고 싶은 말은 없나?

보안담당자들은 할 일이 무척 많을 것이다. 그것도 지루한 일을. 하지만 그들도 분명 해커가 할 수 있는 모든 것을 할 줄 알아야 한다고 생각한다. 보안담당자가 최근 해커들이 어떤 공격방법을 알고 있고 어떻게 공격하는지를 모른다면 아무런 대처도 할 수 없게 된다. 보안을 위해 해킹 공부를 좀 더 해야 한다고 생각한다. 특히, 이번에 발표할 VoIP 해킹 문제도 보안담당자들이 알아야만 대처할 수 있을 것이다.

1년 전부터 한국은 국제 해커들의 타깃이 되고 있다. 세계 각국의 해커들의 80% 정도가 한국을 상대로 해킹 공격을 시도하고 있다는 것을 알아야 할 것이다. 한국의 인터넷 환경의 발달로 해커들의 주요 타깃이 되고 있는 마당에 보안담당자들이 보안만 알아서는 아무런 해결책을 찾을 수 없을 것이다.

1주일 뒤, 결혼을 한다고 들었는데...

만약 당신의 아들이 커서 당신의 PC를 해킹해 정보를 빼간다면 어떻게 할 것인가?

우선 아들이 해커가 되고 싶어한다면, 해커가 되기 위해 준비해야 할 것들에 대해 조언도 아끼지 않을 것이다. 하지만 만약 내 PC를 해킹해 나쁜 짓을 한다면 당연히 화를 낼 것이다. 그런데 다행히도 내 모든 정보는 네트워크와 연결된 PC에는 저장해놓지 않는다. 따로 보관을 하고 있기 때문에 해킹을 당할 염려도 없다.

한국 보안제품에 대해 알고 있나?

외국에 발표된 것들이 거의 없기 때문에 잘 모르겠다. 그래서 사용해본 경험도 없다. 국제적인 검증을 받기 위해서는 국제 해커들과 전문가들에 의한 정확한 평가가 이루어져야 하는데, 아직은 부족한 듯하다.

한국에서 일정은 어떻게 되나?

16일 컨퍼런스에서 해킹 시연을 하고 17일 컨퍼런스 참관, 그리고 18일 컨퍼런스 발표자들과 서울 투어를 할 예정이다. 20일 한국을 떠난다. 

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>