인터넷은 컨텐츠 안전 전제한 구식 프로토콜에 기초
브라우저 아이솔레이션, 현대에 적합한 새 보안 모델로 급부상

[보안뉴스 오다인 기자] 20년 전, 영국의 컴퓨터 과학자 팀 버너스 리(Tim Berners-Lee)는 컴퓨터 네크워크를 관통하는 문서 연결 시스템을 제안했다. 그 제안은 세계가 소통하고 사업을 진행하는 방식을 바꿔놓았다. 시작은 초라했으나 인터넷은 현재 복잡, 격동, 다채로운 환경으로 진화했다.

인터넷이 혁명적으로 발전할 수 있었던 것은 웹 브라우저 덕분이지만, 현재 사용자들은 바로 그 웹 브라우저 때문에 수없이 많은 악의성 컨텐츠에 노출돼 있고 통제 불가능한 수준에 처해 있다.

왜 브라우저가 문제일까? 브라우저는 아주 오래된 소통 규칙, 즉 컨텐츠와 그것들의 연결이 안전하다고 전제하는 프로토콜에 기초하기 때문이다. 프로토콜의 개방성과 유용성은 거대한 혁신을 이끌었지만, 그 프로토콜은 오늘날의 보안이나 회사 매니지먼트의 기반으로 쓰이기엔 부적절하다.


단순한 시작이 엄청난 위험이 되기까지
버너스 리는 자신의 아이디어가 지금처럼 성장할 줄 몰랐다고 말한다. 1990년대 초, 그는 현재 당연하게 보이는 것들을 설계했다. 멀리 있는 서버에 저장된 컨텐츠를 불러와 볼 수 있게 하는 클라이언트 애플리케이션 프로토콜과 프로그램을 만든 것이다. 그는 전 세계 각 서버에 흩어져 있는 과학 자료에 연구자들이 쉽게 접근할 수 있는 시스템을 머릿 속에 그렸다.

첫 번째 프로토콜은 두 개의 장치를 네트워크로 연결하는 것이었다. 오늘날, 버너스 리의 하이퍼텍스트 전송 규약(HTTP: Hypertext Transfer Protocol)은 인터넷으로 연결된 애플리케이션과 장치들이 서로 어떻게 소통하는지에 대한 사실상의 기준이 됐다.

두 번째 프로토콜인 하이퍼텍스트 기술용 언어(HTML: Hypertext Markup Language)는 웹 공통어가 됐다. HTML은 문서 내에서 단순 글자 기반 명령어를 어떻게 포맷, 연결, 수집하는지에 대한 기본적인 방법들을 정의했다. 이런 태그들은 교차 참조를 매끄럽게 만들었고, 연구자들 간 협력을 발전시켰다.

프로토콜이 애플리케이션을 통해 쓸모를 가지기 때문에 버너스 리는 각각의 솔루션을 만들 수 있는 관련 요소들을 구축했다. 그는 URL을 정의했으며 최초의 웹 서버와 월드와이드웹(WWW: World Wide Web)이라고 별명 붙은 최초의 브라우저를 만들었다.

보안이 아니라 단순함과 확장성을 위해 만들어졌다
모든 것이 준비되면, 사용자는 컴퓨터에서 브라우저를 열어 웹 서버에 연결하고 컨텐츠를 요청할 수 있다. 브라우저가 데이터를 꺼내고 로컬 사용을 위해 포맷해서 컨텐츠를 전달한다.

버너스 리가 스스로 말하길, 이런 시스템은 “친근한 학술적인 환경”을 위해 고안됐다. 하지만 몇 년 만에 WWW은 더 이상 버너스 리만의 애플리케이션이 아니라 디지털 혁명을 가리키는 동의어로 쓰이게 됐다. 국제표준 관련기관들에 의해 일부 조정된 뒤, WWW에는 사용자, 기술 벤더, 컨텐츠 제공자, 우호적이지 않은 사람들 등이 모두 참여하게 됐다.

1995년 말에는 거의 5천만 명의 사람들이 인터넷으로 연결됐고, 이런 폭발적인 성장은 이후 20년 이상 지속됐다.

웹은 통제할 수 있는 수준을 벗어났다
웹의 인기가 식을 줄 모르면서, 더 많은 기능에 대한 수요도 커졌다. 호환성을 유지하면서 일반 인프라 위에 구축할 수 있도록 만들려면 일련의 기준이 필요하다는 걸 인식하게 되면서, 인터넷 엔지니어링 태스크포스(Internet Engineering Task Force)나 월드와이드웹 컨소시엄(W3C: World Wide Web Consortium)과 같은 기관들이 빠르게 기본 프로토콜 문법들을 만들어 나갔다. 1996년, W3C는 브라우저 내 스크립트 실행에 대한 서포트 개요를 발표했다.

이를 기점으로 브라우저는 초기의 모습에서 완전히 탈바꿈했다. 포맷된 텍스트를 처리하는 대신, 이때부터는 제3서버로부터 프로그램 코트를 다운받아 로컬에서 실행하게 된 것이다.

이와 같은 발전에 힘입어 상업적인 벤더사들이 브라우저를 더 큰 범위에서 사용하기 시작했다. 영상을 처리하기 위해 Plug-ins가 개발됐고 Java나 ActiveX를 지원하기 위해 애플리케이션들이 다시 만들어졌으며, JavaScript의 출현으로 코드 실행이 완전히 정착하게 됐다.

1997년 말, 브라우저는 버너스 리의 초기 구상을 훨씬 뛰어넘는 수준으로 진화한다. 브라우저는 상호 연결된 서비스들을 포괄하는 거대한 집합체에 대해 계기판 역할을 하게 된다. 그러나 이것 또한, 멀리 있는 호스트에 접촉해 호스트가 보내는 어떤 종류의 자료도 실행해볼 수 있게 해주는 ‘친근한 환경’이라는 그의 초기 비전에 기초한 것이었다.

악의를 가진 자들도 기회를 보았다
컴퓨터 네트워크에서 바이러스가 번식하는 것에는 역사적인 유례가 있다. 시스템에 대한 공격은 컴퓨터가 처음 등장했을 때부터 상호 연결성과 함께 진화해 왔다.

모리스 웜(Morris Worm)은 인터넷으로 전파된 최초의 악의성 프로그램 가운데 하나다. 이것은 코넬대학교 대학원생 로버트 모리스(Robert Morris)에 의해 만들어져 1988년 11월 처음 등장했다. 모리스는 인터넷의 크기를 측정해보려고 웜을 만들었다고 주장했는데, 그런 의도와는 무관하게 이 웜은 네트워크 영역 대부분을 끊어놓는 등 엄청난 파장을 일으켰다.

상황은 계속 나빠져만 갔다. 인터넷 기반 익스플로잇의 정교함과 양이 계속해서 향상되고 커진 것이다. 의욕적인 해커들은 은행 크리덴셜, 보건 데이터, 납세 내역 등과 같은 개인정보를 캐기 시작했다. 그리고 정부나 기업이 첩보 차원에서 일반인 또는 정보원들을 겨냥해 공격하기 시작했다.

이 모든 것은 인터넷을 만든, 대중적이고 훌륭한 동시에 끔찍하게도 준비되지 않은 프로토콜을 이용하면서 벌어진 일이다.

지니를 마술램프로 돌려보낼 수 있을까?
40억 명에 달하는 온라인 사용자가 10억 개가 넘는 웹사이트에 연결돼 있는 지금, 보안 컨트롤을 장착시켜 근본적으로 프로토콜을 다시 만드는 것은 불가능하다. 그러나 이것은 기업들이 스스로를 보호할 수 없다는 걸 의미하진 않는다.

새로운 웹 접근 모델이 형태를 갖추고 있다. 이 모델은 사용자 환경을 공격에 노출시키지 않고 웹 기반 컨텐츠를 쓸 수 있게 하며, IT 기술을 통해 브라우저가 보안, 거버넌스, 컴플라이언스를 중심으로 관리될 수 있도록 한다.

새 모델은 브라우저 아이솔레이션(browser isolation)이라고 불린다. 모든 웹 컨텐츠가 안전한 일회성 환경에 보관된, 원거리 가상 호스트에서 브라우저를 작동시키기 때문이다. 이런 가상 브라우저는 암호화된 원거리 디스플레이 프로토콜을 통해 상호 작용된다. 바로 이런 점들이 웹의 위협요소들을 제거할 수 있다. 따라서 새 모델은, 단지 점 하나를 클릭했을 뿐인데 랜섬웨어나 악성코드가 드라이브 바이 다운로드(Drive-by-Download: 사용자 모르게 다운로드돼 실행되는 방식) 형태로 네트워크나 기기에 감염되는 사태를 원천적으로 방지할 수 있다.

점점 더 많은 전문가들이 위와 같은 접근 방식을 권고하고 있으며, 최근의 한 보고에서 역시 해당 부문의 강한 성장세가 나타났다. 기업들은 내부적인 피해를 방지하는 브라우저 아이솔레이션 플랫폼을 도입하고 있다. 아직 도입 전이라면, 지금 시작하라.

글: 스캇 페트리(Scott Petry)
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>