현재 인터넷은 해킹 공격자들 활동하기 너무나 좋은 환경
보안 업계가 나서지 않으면 권력자들 나서고 인터넷 본 모습 잃을 것

[보안뉴스 문가용] 보안 전문가 댄 카민스키(Dan Kaminsky)가 보안 산업 전체에 최종 사용자와 온라인 데이터 보호를 위한 가상기기와 클라우드 기술의 ‘고립’ 아키텍처라는 화두를 던졌다. 블랙햇의 키노트 강연에서 자신이 개발한 아이언프레임(IronFrame) 브라우저와 새로운 방화벽 기술인 오토클레이브(Autoclave)를 선보이면서였다.


“지금 인터넷에서는 정말 많은 사람들이 해킹 공격을 당하고, 많은 업체들이 이 때문에 무너져 내리고 있죠. 그래서 정보보안에 대한 수요가 높아지고 있고요. 그런 상황에서 정부는 암호화 기술에 대한 논쟁을 벌이느라 정신이 없다는 게 참 답답한 노릇입니다. 지금 우리가 집중해야 할 건 암호화가 아니죠. ‘어떻게 해야 사람들이 보안 기술을 사용할까?’입니다. 그리고 그 답은, 더 쉽고 더 간단하게 만든다는 것이고요.” 카민스키의 주장이다.

“이게 다만 산업의 중흥을 위해서일까요? 보안 솔루션 많이 팔아서 우리 배 불리자고 하는 고민일까요? 아니요. 사람들이 보안을 자기들 삶에 적용하도록 하지 않으면 우리는 엄청난 대가를 치르게 될 것이기 때문입니다. 그리고 그건 아마도 인터넷 그 자체일 겁니다.” 사용자 한 사람 한 사람이 행동하지 않으면 인터넷 전체가 해커와 규제자들에게 먹힐 것이라는 발언이다.

보안은 더 이상 개인 혹은 사업자의 ‘장사 아이템’만은 아니라는 것. “지금 인터넷에서 벌어지는 이 난잡하고 무질서한 보안 상태를 우리가 다잡아, 우리가 좋아하는 자유로운 인터넷 환경을 존속시키는 것이 보안 산업 종사자들의 역할입니다.”

카민스키의 프로토타입 솔루션 중 하나인 아이언프레임 브라우저는 가상화된 환경에서 호스팅 되기 때문에 공격의 루트가 크게 줄어드는 것이 핵심이다. 이 가상화된 환경과 브라우저는 오토클레이브라는 방화벽의 보호를 받고 말이다. “크롬에게 크롬만의 커널을 할당하고, 모든 시스템 호출을 포함한 커널 전체에 대한 권한도 줍니다. 그 다음 거기에 방화벽을 치는 것이죠.”

카민스키는 지난 1년 동안 클릭재킹을 원천 차단하는 브라우저인 아이언프레임 개발에 몰두해 왔다. 즉, 사용자가 악성 광고나 링크를 클릭해도 다른 악성 웹 사이트로 우회되지 않도록 하는 방법을 고민해왔다는 것이다. 클릭재킹은 웹 사이트 상 합법적인 콘텐츠 위에 보이지 않게 악성 링크나 콘텐츠를 덮어씌워 사용자가 아무런 의심 없이 클릭을 하도록 유도하는 것이다.

아이언프레임 브라우저는 젱가 블록처럼 운영된다. 맨 밑바닥 층위에 있는 그래픽 콘텐츠를 가장 위 층위로 올려 사용자가 아예 악성 링크나 콘텐츠가 포함되어 있는 층위를 아예 건드리지도 않도록 하는 것이다. “설계를 살짝 바꿈으로써 클릭재킹 공격이 아예 성립하지 않도록 해봤습니다”라고 카민스키는 1년 전 아이언프레임을 공개하며 설명한 바 있다. 사용자가 딱히 뭘 더 하거나 공부하지 않아도 된다.

여기에 오토클레이브라는 강력한 샌드박스형 방화벽을 사용해 온라인 애플리케이션을 보호하도록 했다. 온라인 애플리케이션도 해커들의 주력 익스플로잇 루트 중 하나다. “콘텐츠를 온라인에 안전하게 호스팅하고자 하는 사람들을 위한 것”이라며 “지금의 흔한 호스팅 방식은 우리가 애써 개발한 것을 해커들에게 가져다 바치는 꼴이며, 이제는 이 ‘조공’을 멈춰야 할 때”라고 강조했다. “문을 잠그고 믿을 수 있는 사람들에게만 열어줘야죠. 인터넷에서나 오프라인에서나.”

“보안 업계가 안전한 인터넷 환경 만들기에 성공하지 않으면 해커들이 더 날뛸 것이고, 이를 막지 못하면 언젠가 정부나 그것보다 더 큰 권력이 나설 것입니다. 그리고 그 시점에는 우리가 아는 인터넷은 온데간데없을 것입니다.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>