국내 주요 30개 사이트 보안서버, 대부분 취약해
SSL MITM 우회공격에 ID와 패스워드 그대로 노출
특별한 대책없어 사이트 관리자와 이용자 주의해야
지난 9월 5일 여의도 63빌딩에서 개최된 ‘통합정보보호 구축전략 컨퍼런스 ISEC 2007’행사에서 참관객들의 가장 많은 관심을 끌었던 시간중의 하나가 바로 해킹시연이었다. 이날 해킹시연은 네트워크 보안 프리랜서 이경문 씨가 맡았고 제목은 ‘SSL 기반의 보안서버의 무력화’였다.
한편 정보통신부는 지난 2월초부터 인터넷 이용자의 개인정보보호를 위해 웹사이트 운영자들은 이용자의 개인정보나 인증정보를 정보통신망으로 송·수신할 때 반드시 보안서버를 통해 암호화해야 한다고 규정하고 있다.
지난 1월 말, 정통부는 인터넷 이용자의 개인정보보호를 위해 필요한 조치를 구체적으로 정하고 개인정보의 기술적·관리적 보호조치 기준 고시를 개정했다. 그 주요 골자가 바로 개인정보를 송·수신할 때 보안서버 구축 등을 통해 암호화하도록 규정하는 것이었다.
“보안서버 무력화?... 그럼 설치하지 말란 말이냐”
이후 보안서버 문제는 모 기관 정책개발단 기술정책팀에서 관련된 문제해결과 확산에 대해 주무부처 역할을 담당해오고 있다. 당시 보안서버 취약점에 관한 해킹시연 계획이 발표되자 관련업무담당자들은 해킹 스토리 조정을 요구하며, “그렇다면 보안서버 설치하지 말라는 말이냐?"며 흥분했다.
그러나 이미 외국 해커들에겐 공공연하게 알려져있는 취약점을 그저 숨긴다고 해결될 일이 아니지 않는가. 이처럼 보안서버에 취약점이 있다는 사실을 알게 되었다면, 어떻게든 막을 수 있는 방법과 조치를 먼저 취해야 하는 것이 순서일텐데, 그보다는 다가오는 국정감사를 걱정하는 담당자를 보면서 안타까울 뿐이었다.
보안서버, SSL MITM 우회공격엔 대책없다!
우선 정보통신부는 지난해 하반기 2만여 웹사이트 운영자들을 대상으로 안내 전화와 메일 발송을 통해 보안서버 자율 구축을 유도해 민간부문의 보안서버 보급률을 상당히 끌어올렸고 올해 의무화를 통해 대부분의 사이트에서 보안서버를 구축한 상태다. 하지만 보안서버에는 심각한 취약점이 존재한다.
<해킹시연이 끝난 후 여러 참관자들이 보안서버의 취약점에 대해 다양한 질문들을 하고 있다. 좌측 이경문씨.> 보안뉴스
이경문 씨는 이날 해킹시연에 대해 “암호화 통신을 하는 구조에서 패킷이 스니핑되더라도 원문을 알아낼 수 없도록 하는 것이 SSL 통신이며, SSL MITM은 이러한 SSL 구조에서 송수신되는 내용을 볼 수 있도록 우회시키는 기법을 사용했다”고 말했다.
네이버 제외한 대부분 Top사이트들 취약
다시말해 SSL MITM 및 SSL Proxy를 이용해 중간에서 SSL 인증서를 바꿔치기 하는 기법을 사용한 것이다. 그의 말에 따르면 “랭키에 등록된 국내 Top 사이트 20~30여개를 무작위로 조사했다. 그랬더니 국내외 상관없이 일부 사이트를 제외하곤 대부분 취약한 상황”이라고 설명했다. 즉 보안서버를 구축했다 하더라도 우회공격을 시도하면 이용자의 ID와 패스워드를 빼내갈 수 있다는 것이다.
<컨퍼런스에 참석한 많은 참관자들이 해킹시연시에 있었던 아이디와 패스워드를 가로채는 장면을 심각한 표정으로 바라보고 있다.> 보안뉴스
그는 또 “랭키 순위 30위 내 사이트들을 대부분 조사한 결과 네이버 사이트는 스니핑이 안됐다”며 “네이버는 자체적인 암호 통신을 사용하는 것 같다”고 밝혔다. 이렇게 볼 때, 이번 해킹시연에서 사용한 기법으로 보안서버를 우회할 경우 네이버를 제외한 대부분의 사이트들이 취약하다는 것이 밝혀졌다. 그렇다면 이러한 공격에 의해 어떤 피해들이 발생할 수 있을까.
여러 가지 피해들이 발생할 수 있겠지만 우선은 해당 사이트를 이용하는 이용자들의 아이디와 비밀번호가 유출되는 심각한 문제가 발생할 수 있다. 이는 곳 사이트 내에서 사용하는 이메일 내용을 모두 볼 수 있기 때문에 심각한 개인정보 유출 문제를 야기할 수 있다.
한편 일반 사이트에 비해 금융권 사이트는 안전한 상황이다. 이에 대해 이 씨는 “국내의 경우 은행 계좌 이체에서는 SSL의 가장 상위 통신기법을 사용하기 때문에 이러한 MITM 공격에 안전하다”고 말했다. 이러한 공격을 막기 위해서는 어떤 방법들이 있을까.
보안서버 취약점 공격, 막을 방법 없나?
우선 사이트 관리자는 어떤 조치를 취해야 하는가. 예전에는 웹브라우저에서 암호 통신을 지원하지 못하는 경우가 많았기 때문에 보안접속과 일반접속의 두 가지 옵션을 제공하는 것이 일반적이었다. 하지만 요즘은 암호 통신을 지원하지 않는 웹브라우저가 거의 없기 때문에 반드시 보안접속만을 사용하도록 해야 한다. 일반접속 기능을 웹서버 입장에서 사용하지 않도록 해야 한다.
일반사용자들이 주의해야 할 사항에는 어떤 것들이 있을까. 그는 이렇게 말하고 있다. “현재의 상태에서 개인 사용자들은 특정 사이트에서 인증서 경고창(ActiveX 인증서가 아닌 인증서 경고창을 말함)이 뜨면 본인이 크래킹을 당할 수 있다는 것을 염두에 둬야 한다”고 강조했다. 즉 인증서 경고창이 뜰 때 무턱대고 ‘예’를 클릭하면 크래킹을 당할 수 있기 때문에 인증서를 면밀히 살펴봐야 한다는 것이다. 하지만 일반인들이 이러한 인증서 검토를 면밀히 할 수 있을지는 의문이다.
해외 해커들 이미 알고 있어...대책 시급
사이트 담당자들은 SSL을 도입했다고 해서 안전하다고만 생각하면 오산이다. 불완전한 존재인 인간에 의해 만들어진 솔루션이기 때문에 허점이 있게 마련. 누군가 이렇게 말할 수도 있다. “왜 이렇게 심각한 취약점을 해킹시연을 통해 공개를 해야 하는가? 공개하지 않으면 공격도 없을 것 아닌가.”
하지만 이러한 발상은 너무도 무지한 발상이다. 이미 해외에서는 ‘dugsong’이라는 한국계 외국인 해커에 의해 이와 유사한 해킹취약점이 공개됐고 ‘cain’이라는 외국툴에서도 이와 유사한 기능들이 포함돼있는 상황이다. 우리나라에서 이러한 문제점이 발표가 안됐다고 하더라도 과연 외국 해커들의 공격이 없다고 장담할 수 있을까. 우리만 타조가 땅속에 얼굴을 처박고 마치 위기를 모면하려는 것처럼 쉬쉬하고 있다고 해서 문제가 해결되는 것은 아니다.
이 씨는 “현재까지는 이 우회공격을 막을 길은 없다. 하지만 인증서 경고창이 뜰 때 주의만 하면 상관없다. 즉 이러한 취약점을 알고 사이트 관리자와 개개인이 보안의식을 가지고 대처해 나가도록 계도하는 것이 중요한 것”이라고 말했다.
사이트 관리자-이용자 모두가 주의해야
한편 그는 또 “SSL 취약점이라는 용어가 단순히 SSL을 도입하면 별 소용이 없다는 것이 아니라 정반대 입장”이라며 “SSL 통신은 그 자체만으로도 매우 훌륭한 보안정책이 될 수 있으며 앞으로 더욱 보급돼야 한다”고 강조했다.
다시말해 취약점이 있다고해서 SSL을 도입하지 않는 것은 더욱 위험한 생각이라는 것이다. 더욱 적극적으로 도입해야 하고 취약점에 대한 부분에 대해서는 해당 정부기관과 사이트 관리자, 이용자 모두가 관심을 가지고 주의를 기울여야 할 것이다.
[길민권 기자(reporter21@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
길민권기자 기사보기
[2024-04-24] 
.jpg)
