ID와 PW만의 문제 아니라...모든 입력정보가 노출 위험성 커

키보드보안SW 자체 문제라기 보다 하드웨어와 OS의 근본 문제

보안뉴스는 앞서 3건의 기사를 통해 키보드 보안의 문제점을 지적한 바 있다. 공공기관을 비롯한 금융사이트, 전자결제를 동반하는 모든 사이트들, 그리고 대형 포털들에서 입력되는 아이디와 패스워드 그리고 모든 키보드 정보가 노출될 수 있다는 가능성을 공개한 것이다.

많은 보안담당자들은 그동안 키보드 입력에 의한 아이디와 패스워드 인증방식이 불안하다는 것에 공감하고 있는 상태였다. 또 그 전에 그러한 문제점이 몇 번 이슈화된 사례도 있었다.

모 사이트 보안담당자는 “이번에 제기된 문제는 키보드보안프로그램 자체의 문제점이라기보다는 하드웨어상의 근본적인 문제점이라고 생각한다. 하드웨어에 보안성이 전혀 없었기 때문에 생겨난 문제점으로 보인다”며 “그동안 하드웨어는 보안에 대한 고려없이 설계돼 왔고 지금까지도 비슷한 상황이기 때문에 이 부분에 대한 개선이 필요할 것”이라고 말했다.

또 다른 보안담당자는 “OS상의 문제점이라고 볼 수도 있다. 인증받지 않은 드라이버가 PC에 설치될 때 이를 OS가 차단해 줘야하는데 이를 허용하고 있기 때문에 스니핑에 의해 정보가 유출될 수 있는 빌미를 제공하고 있는데서 문제점을 찾을 수 있다”고 말했다.

즉 현재 도입된 키보드보안프로그램들은 소프트웨어적으로 최대한 방지를 하고자 도입된 것들로 하드웨어와 OS 문제를 제외하면 최선의 방법이라고 볼 수 있다.

이 문제를 제기한 모대학교 A 교수도 “이 문제는 키보드보안프로그램 자체에 문제라기보다는 하드웨어와 OS에서 보안성이 떨어지기 때문에 발생하는 문제”라고 거듭 언급한 바 있다. 하지만 결국 공공기관 이용자들의 아이디와 패스워드가 그대로 노출될 수 있고 심지어 인터넷뱅킹을 이용하는 이용자들의 공인인증서 비밀번호와 계좌비밀 번호까지 그대로 노출될 수 있다는 보안홀은 틀림없이 존재한다고 볼 수 있다.

한편 모 업체 보안담당자는 “이번 문제는 아이디와 패스워드에 초점이 맞춰진다면 단순히 키보드보안프로그램 업체들만의 문제로 비쳐질 수 있다”며 “키보드로 입력되는 모든 정보가 노출될 수 있다는 점이 더 위험하다. 이 공격방법을 여러 크래킹 기법과 혼용한다면 메신저 스니핑은 물론 주요 공공기관에서 사용되는 모든 키보드 정보들이 크래커에게 노출될 수 있다는 점에 더 포커스가 맞춰져야 한다”고 강조했다.

현재 키보드보안프로그램은 대부분 패스워드 입력창이 클릭될 때만 구동되는 것으로 알려져 있다. 즉 패스워드 정도만 암호화할 뿐 다른 모든 키보드 입력 정보는 무방비로 노출 될 수 있다는 점을 알아야 한다.

대통령이 사용하는 PC의 키보드 입력 자료가 모두 노출된다면 어떻게 할 것인가. 국방부나 국정원에서 사용하는 PC의 키보드 입력 정보가 타국가 정보기관으로 유출된다면 심각한 상황이 발생할 수도 있다. 물론 기업도 마찬가지다. 기업의 핵심 부서에서 사용하는 PC의 키보드 정보가 공격자에 의해 노출된다면 기업정보유출은 쉽게 이루어질 수 있는 문제라는 것이다.

   

단순히 아이디와 패스워드 노출문제를 지적한 것은 공론화를 위한 것으로 이해되어야 한다. 더 중요하고 위험한 것은 모든 키보드 입력 정보가 공격자에 의해 유출 될 수 있다는 점을 간과해서는 안된다.

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>