미국 애국법, 6월 1일이라는 시한 막지 못한 채 종료돼

익명 서버 토르, 여러 가지 사건으로 끝을 고하게 되나

샐리뷰티 사건으로 드러난 중소기업 POS 멀웨어 : 속수무책

[보안뉴스 문가용] 미국의 대 테러 수단이 당분간 표류하게 되었습니다. 말 그대로 패치 실패로 ‘취약점’이 생기게 된 것입니다. 앞으로 테러 행위가 늘어날 것이라는 전망이 있는데, 과연 여러 나라에서 유사 내용으로 논란에 휩싸인 애국법이 정말로 없어질 경우 무슨 일어나는지 선례가 남게 되었습니다.

토르의 실크로드 운영자가 종신형에 처했습니다. 비슷한 시기에 보안연구원들이 토르 뚫는 게 소문만큼 어렵지 않다는 발표도 했습니다. 진실은 무엇일까요? 이 결과에 따라 과연 안전하게 숨을 수 있는 공간이 인터넷에 성립할 수 있는지를 예상해볼 수 있을 것 같습니다. 그 와중에 미국 NSA는 북한 핵 시설을 해킹하려 했다고 합니다. 이란에서 썼던 바로 그 스턱스넷을 활용해서요.

1. 미국 애국법

美 의회, 애국법 관련하여 이례적으로 일요일에도 국회 열어(Infosecurity Magazine)

미국 의회, 애국법 종료 앞두고 어떻게 할 지 몰라(Security Week)

CIA 국장, “NSA의 업무 제한하면 테러 늘어날 것”(Security Week)

애국법 항거하기 위해 국회 IP를 시위 사이트로 우회시켜(SC Magazine)

9/11 사건으로 생긴 미국의 애국법이 만기를 코앞에 두고 있습니다. 자유법이라는 이름으로 조금 완화된 내용이 적용될 것으로 보였으나 주초에 예상 밖으로 통과되지 못하면서 별다른 대책 없이 애국법의 소멸을 맞이하게 되었습니다. 즉, NSA의 감시행위를 법리적으로 용인하는 해석을 할 여지가 완전히 없어진다는 것인데요, 이를 위해 국회들 및 국장들의 움직임이 바빠지고 있습니다. 그에 대해 애국법에 반대하는 단체들이 자신들이 만들어놓은 시위 사이트로 국회 IP를 가진 사용자를 우회시키는 것이 포착되기도 했습니다.

2. 실크로드 운영자, 결국 종신형

실크로드 운영자, 결국 종신형(Security Week)

실크로드의 보스, 평생 감옥에 갇힌 운명(The Register)

토르라는 익명 서버에서 실크로드라는 사이트를 통해 불법 마약을 거래하는 중계하던 관리자가 결국 종신형을 선고받았습니다. 토르의 운명은 어떻게 될까요?

3. 토르의 아성 무너지나

익명성의 토르? 풀어내가 생각보다 간단해(The Register)

사용자 철저히 감춰준다던 토르, 파훼법 드러나나(CSOOnline)

토르가 여러 범죄자들이나 프라이버시 옹호 단체에게 사랑을 받는 것은 그 철저한 익명성 때문입니다. 그러나 몇몇 보안전문가들이 충분한 돈과 시간을 투자하면 이 역시 ‘간단하게’ 뚫어낼 수 있다고 공언하고 나섰습니다. 물론 ‘돈과 시간’만 있으면 못할 게 없겠죠. 문제는 ‘간단하게’라는 건데, 이게 정말 많은 사람들의 동의를 얻는다면 실크로드 관리자 색출을 위해 정부 기관이 이를 뚫어낸 사실이 그다지 큰 논란거리가 되지 않게 되거든요. 게다가 더 이상 인터넷에는 믿을만한 안전처가 없다는 사실도 되고요. 이 기사는 금방 전모가 드러날 거 같지는 않고, 마음 구석 한 편에 저장해 둡니다.

4. 플래시 취약점과 오류

앵글러 익스플로잇 킷, 플래시 오류 통해 크립토월 3.0 업로드(Infosecurity Magazine)

앵글러 익스플로잇 킷, 어도비 취약점 통해 크립토월 3.0 배포(Threat Post)

앵글러 익스플로잇 킷의 변화 적응 속도가 심상치 않습니다. 이게 이렇게 새로운 기능으로 매일 헤드라인에 올라오기도 쉽지 않은데요, 이번에는 어도비 플래시 플레이어의 취약점 익스플로잇까지 더해 크립토월 3.0을 배포하는 것으로 드러났습니다. 그러고보니 크립토월 시리즈도 자주 변하네요.

5. 샐리뷰티 사건

샐리뷰티 POS 멀웨어 감염 확실(SC Magazine)

샐리 뷰티 POS 멀웨어 해킹 사건 전모 드러나(CU Infosecurity)

지난 달이었나요, 미국의 뷰티 브랜드인 샐리뷰티에서 두 번째 똑같은 정보유출 범죄가 있는 것으로 추정된다는 소식이 시끄럽게 있었죠. 그게 이제 추정이 아니라 확실한 사실이 되었다고 합니다. POS 멀웨어 자체도 문제지만, 중소상인들 사이에서는 같은 멀웨어 반복해서 당한다는 건 또 다른 문제입니다.

6. 해외 정부와 해킹

NSA, 북한의 핵시설 해킹하려 했었다(The Register)

벨기에와 네덜란드, 독일에 스파잉 의혹 해명 요구(The Register)

남중국해 섬 감시한 미국, “중국 군 발견”(Wall Street Journal)

NSA가 스턱스넷을 사용해 북한의 핵 시설을 강제로 불능상태로 만드려는 시도를 했으나 실패했다는 소식이 여러 정보원들을 통해 접수되고 있다고 합니다. 미국과 협력하여 유럽 기관들을 감시했다는 독일에게 추가 해명을 요구하는 나라들이 생겼는데, 이 역시 만만치 않은 세력을 가진 나라들입니다. 또한 남중국해 문제로 점점 날카로운 각을 세우고 있는 중국과 미국에서는 인공섬 건조를 두고 또 다른 신경전을 벌이고 있습니다.

7. 민간에서의 해킹

인도의 음악 스트리밍 사이트 가나, 보안전문가가 해킹(Infosecurity Magazine)

뉴저지 중고등학생 20명, 섹스팅으로 기소(SC Magazine)

홀라의 VPN 클라이언트서 취약점 발견(CSOOnline)

뉴저지의 중고등학생 스무 명 정도가 여러 여학생의 나체 사진을 자신들끼리 소셜 미디어 등을 통해 공유한 것으로 기소를 당했습니다. 그중 당시 18세인 학생도 있었는데, 이 학생은 성인에게 적용되는 법이 그대로 적용될 것이라고 합니다.

지난 주 해킹으로 문을 닫은 인도의 음악 스트리밍 사이트인 가나(Ganaa)가 다시 서비스를 시작했는데요, 그때 있었던 해킹은 실제 해킹이 아니라 버그 리포트였다고 합니다. 파키스탄의 보안연구원의 소행이었다고 하는데요, 가나는 이에 그 연구원을 아예 영입하기로 했습니다.

이스라엘의 홀라(Hola)라는 브라우저 개발업체가 있습니다. 이 업체의 브라우저는 지역 락을 푸는 기능을 가진 것으로 유명한데요, 여기에 치명적인 취약점이 있어 이를 통해 사용자의 정보가 누수 되고 있는 것이 발견되었습니다.     

8. UN의 움직임

UN 보고서, “암호화는 인권 존중과 직결되는 요소”(The Hill)

UN, IS의 유적 및 유물 파괴에 대응하기로 결의(New York Times)

영국이나 미국, 프랑스의 정부 등 수많은 국가 조직에서 암호화 통신을 약화시키려고 노력하는 가운데, UN에서는 인권을 내세우며 이런 정부들의 움직임에 찬물을 끼얹었습니다. 인권 존중과 암호화 도입은 동의어라고 하면서요. 또한 IS가 자꾸만 파괴하는 역사 유물에 대해 조치를 취하겠다고도 발표를 했습니다. UN 보고서와 정부 움직임의 괴리가 도저히 닫히질 않습니다.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>