데프콘 CTF참가...‘Song of Freedom’팀 힘든 여건속 쾌거 이뤄
국내 보안기술 발전의 밑거름...
지난 8월 3일부터 5일까지 3일간 미국 라스베가스 Riviera 호텔에서 ‘데프콘(Defcon)15’가 개최됐다. 데프콘(www.defcon.org)은 세계에서 가장 유명한 해킹·보안 컨퍼런스이며 규모와 내용면에서도 세계 최대라고 할 수 있는 보안·해킹 축제의 한마당이다.
데프콘에는 국내 해킹·보안 컨퍼런스와는 달리 다양한 이벤트들과 콘테스트들도 함께 열리며, 이를 통해 보안에 대한 다양한 접근들을 제시하고 있다. 다소 기업 중심의 컨퍼런스인 블랙햇(Black Hat)과 연계되어 열리고 있는 데프콘은 세계 각국에서 수많은 사람들이 찾아오는 행사다.
데프콘의 각종 발표, 이벤트, 콘테스트들을 통해 얻어지는 수익은 디지털 권리(digital right)를 위해 존재하는 EFF(Electronic Frontier Foundation, www.eff.org)에 기부된다.
또한 블랙햇과 데프콘이 열리는 기간 동안은 미국의 보안 관련 기업과 일반 기업의 보안 관계자들이 이 두 컨퍼런스에 참가할 수 있도록 기업 차원에서 적극 지원을 해주고 있다. 그만큼 중요한 보안·해킹 컨퍼런스로 국제적인 명성이 높은 이유 때문이다.
데프콘은 미국이 왜 강해질 수밖에 없는지를 보여주는 하나의 본보기라고 데프콘 참가자들은 말하고 있다. 그 이유는 상상력과 독창성이 방종과 구분되는 자유 속에서 마음껏 발휘되는 곳이기 때문이다. 이를 통해 새로운 것이 창조되고 이는 다시 미국의 다양한 분야에서 막강한 국력으로 승화되고 있다고 말하고 있다.
우리나라에도 건강한 해킹 및 해커 문화를 지원할 수 있는 분위기 조성이 필요하다. 건강한 해커들의 양성은 강력한 보안 능력을 가진 국가를 만드는데 도움이 되기 때문이다.
국내의 경우는 건전한 해커를 양성시켜 이들을 보안인력으로 성장시켜나가는 과정이 아직은 선진국에 비해 뒤쳐진 편이다. 하지만 최근들어 한국정보보호진흥원과 국방부, 정보통신부 등 국가기관에서 보안기술 향상을 위한 해킹 및 방어실력을 겨룰 수 있는 장을 마련하는 등 긍정적인 방향으로 개선되고 있는 것은 다행스러운 일이다.
한편 일부 언론이 문제다. 해킹에 대한 적절한 관점도 없이 해킹사건을 선정적으로 다루는 데만 급급해 왔다. 이들이 말하는 해커는 엄밀히 말해 크래커들이다. 크래커란 자신들의 이익을 위해 해킹기술을 이용해 다른 조직에 피해를 주는 자들을 말한다. 하지만 일부 크래커들로 인해 대다수의 해커들은 사회적 지탄을 함께 받고 있다.
그런 연유로 최근 해커들의 커뮤니티활동이나 활발한 연구활동은 좀처럼 찾아보기 힘든 실정이다. 이러한 현상은 결국 해외해커들의 국내 공격을 막을 수 없게 되는 결과를 가져올 것이다. 국내 해커 대부분은 보안을 위해 해킹을 공부하고 있다. 해킹을 모르면 보안을 할 수 없기 때문이다. 많은 기업들이 보안부서에서 해커출신 인력들을 모집하는 이유도 여기에 있다. 공격을 해보지 못한 자들은 방어도 할 수 없기 때문이다.
이번 데프콘 CTF 본선참가를 위해 한국팀을 이끌고 간 시큐리티프루프 운영자 반젤리스는 “지금까지는 해커 문화에 부정적인 시선만을 보여주었을 뿐 정책적인 지원이 부족했다. 강국일수록 건강한 해커와 해커 문화를 만드는데 노력하고 있다”며 한국의 상황에 대해 아쉬움을 표현했다.
데프콘에는 많은 이벤트들과 콘테스트들이 있다. 그 중에서도 가장 중요한 콘테스트는 CTF이다. CTF는 Capture the Flag의 약자이며, 세계 최대 해킹 대회로 전세계 보안담당자과 해커들의 이목이 집중되는 대회이기도 하다. CTF는 캔쇼토(Kenshoto)라는 미국 보안 커뮤니티에서 진행한다.
CTF는 전세계의 해커들이 참가하는 예선전과 본선으로 나누어지며, 올해는 국내 시간으로 지난 6월 1일부터 3일까지 예선전이 열렸고, 본선은 데프콘 기간 동안 열렸다. 예선전에는 세계 각국의 약 150 여 개 팀이 참가했다. 본선에 진출할 수 있는 팀의 수는 7개 팀이다. 본선에서는 예선 상위 7개 팀과 자동 출전한 지난해 본선 우승팀을 비롯한 8개 팀이 경쟁했다.
올해 예선전에도 국내 보안 동호회, 동아리 등이 참가를 했으며, 이 중 시큐리티프루프(www.securityproof.org)의 반젤리스가 이끄는 ‘Song of Freedom’ 팀이 예선전에서 3위를 차지하여 본선에 2년 연속 진출하는 쾌거를 달성했다.
팀 이름을 ‘Song of Freedom’으로 한 것은 국내 보안계가 안고 있는 두 가지 주요 문제를 극복하고자 하는 마음에서 였다고 한다.
그 두 가지 주요 문제점은 첫째, 국내 보안을 위해 해킹을 공부하는 선의의 해커들에 대한 부정적 인식과 그들에 대한 비합리적 평가, 둘째 해킹·보안 동아리 및 동호회, 단체 등이 서로에 대해 가지고 있는 편견과 폐쇄성이다.
팀 관계자는 “이 두 가지 문제를 극복하는 것을 통해 스스로 자유로워지자는 의미에서 ‘Song of Freedom’이란 이름을 팀명으로 사용했다”고 밝혔다.
예선이 끝난 후 반젤리스는 Song of Freedom의 팀 멤버를 다시 구성했다. 인원도 보강하여 14명으로 최종 구성했다. 이는 지난해 본선에서 장비와 인원 부족으로 힘들었던 것을 감안해서였다.
반젤리스는 “특정 개인, 해킹 커뮤니티나 동아리 등 개별 성격을 없애고 하나된 대한민국 해커들로 구성된 단일팀으로 출전하여 새로운 문화를 접하고 세계적인 해킹ㆍ보안 관계자들과 토론도 할 수 있고 지금까지 접해보지 못했던 여러 가지 것들을 보면서 스스로가 발전할 수 있는 기회를 가지는 것을 더 중요했기 때문”이라며 “이것은 각 멤버가 속한 커뮤니티와 동아리가 함께 발전하는 길이며 나아가서는 대한민국 보안에 힘이 될 것”이라고 밝혔다.
본선에 진출한 최종 멤버들(가나다순)은 다음과 같다. 김경곤(숭실대, 보안 컨설턴트), 박영호(파워해커 운영자, Panicsecurity 소속), 박종섭(부경대, KISA 해킹방어대회 입상), 박종현(포항공대 PLUS 소속), 박찬암(남산고), 반젤리스(시큐리티프루프 운영자, 대회 리더), 이강석(어셈러브 운영자), 이용일(인제대), 이재서(전남대 시스템보안 연구센터 박사과정), 조국현(포항공대 PLUS 소속), 조주봉(안철수 연구소 소속), 최상명(순천향대 정보보호학과 석사, KISA 해킹방어대회 입상), 태인규(동명대), 하동주(순천향대 정보보호학과 석사과정, KISA 해킹방어대회 입상), 홍순열(부경대, KISA 해킹방어대회 입상) 등 총 14명이다.
이들 대부분은 국내에서 유명한 해킹·보안 동호회와 동아리, 그리고 보안 회사에 소속되어 있는 멤버들이다.
전체 멤버들은 데프콘이 열리기 하루 전인 지난 8월 2일 오후 현지에 도착했고, 다들 12시간의 비행시간과 시차(17시간)를 극복하지 못해 너무도 피곤한 상태에서 3일 본선에 참가하였다.
CTF는 본선 경기가 열리는 테이블에는 8명만이 참가할 수 있는 제한이 있다. 그래서 8명을 제외한 다른 멤버들은 옆방에서 문제를 분석했으며, 직접 서버에 문제를 해결하기 위해 교체하는 방식을 취했다고 한다.
대회는 3일 동안 아침 10시부터 시작하여 저녁 8시에 끝났으며, 마지막 날은 오후 2시에 끝이 났다. 한국팀 Song of Freedom은 최종 결과 6위를 차지했다. 본선에서 6위라는 것은 사실상 150여 개 팀에서 6위를 차지한 것이나 마찬가지며, 본선 진출팀은 상위 2개 팀을 제외하고 비슷한 실력을 보여주었다. Token Overwrite 문제를 통해 약 20분의 시간만 더 있었다면 5위도 가능했었다. 점수가 올라가고 있었으며 곧 앞 팀을 추월할 수 있는 점수에 근접하고 있는 상태에서 대회가 끝이 나버렸다.
또한 난이도가 높은 문제를 한국팀이 풀었지만 주최측의 실수로 단 1점만 추가되는 것으로 끝이 나버렸다. 정상적이었다면 약 500점 이상의 점수도 가능했던 문제이다. 그리고 다른 팀들이 풀지 못한 문제를 한 문제 풀었지만 역시 주최측의 예상하지 못한 결과가 서버에 발생하여 문제 자체를 없애버리는 일도 발생했다. 정상적이었다면 3위까지도 가능했을 것이다. 1위는 미국팀인 l@stplace가 차지했다. 이 팀은 작년 우승팀이기도 하다. 참고로 CTF 본선에 진출한 팀의 나라는 대한민국, 미국(5개팀), 스페인, 프랑스이다.
한가지 아쉬운 것은 한국팀의 경우 시차와 피로 상태만 극복했다면 더 좋은 결과를 낼 수 있었을 것이다. 대회 전날 도착하여 대부분의 멤버들이 이틀 동안 잠을 약 3 ~ 4시간 정도밖에 자질 못했다고 한다. 대회 기간 중에는 문제 분석으로 밤을 뜬눈으로 보내기도 했다. 마지막 날 대부분의 멤버들은 거의 기진맥진한 상태였다. 심한 두통으로 힘들어하는 멤버들도 있었고 몇 명은 힘들어 저녁 식사마저 거르는 일이 생겼다.
반젤리스는 “애초 대회를 준비할 때부터 시차 문제를 극복하기 위해 적어도 이틀 전에는 도착하고자 했지만 경비 부족으로 이것은 성사되지 못했다. 본선 준비를 위해 기업들로부터 도움을 받기 위해 국내 대표적인 기업들에게 후원을 요청했지만 대부분 거절당했다”고 밝혔다.
전체 멤버들 중 4명은 KISA 해킹방어대회 입상자로서 KISA로부터 Defcon 참가비 전체 지원을 받을 수 있는 상태였다. 나머지 10명의 비용을 마련하는 것이 급했다. CTF 참가의 의미를 살리기 위해서는 비용 마련이 필수였기 때문이다.
팀 관계자는 “데프콘 참가 비용 마련이 그렇게 쉽지 않았다. CTF 참가가 대한민국 홍보와 국력 신장에도 많은 도움이 될 수 있다는 것을 알고 있는 상태였기 때문에 후원금 마련을 위한 과정들에서 겪은 일들은 참으로 아쉬운 부분”이라고 토로했다.
순수한 의도의 스폰서를 받으려고 하다 보니 스폰서를 구하기가 힘들었다는 것. Song of Freedom 팀의 멤버들은 “CTF 참가를 통해 얻을 수 있는 경험과 지식은 우리나라 기업의 발전에 분명히 기여할 수 있을 것이며, CTF 참가를 통해 만날 수 있는 세계 각국의 사람들은 국내 기업의 발전에 결정적인 역할을 할 수 있을 것인데 당장 자신의 기업과 관련이 없는 것으로 판단하는 기업들의 인식이 안타까웠다”고 말했다.
후원 업체 모집 과정에서 CTF 참가 계획을 들은 안철수연구소, 소프트포럼, NSHC에서 전체 예상 비용중 일부를 후원해주기로 약속했다. 이 업체들의 도움이 없었다면 CTF 참가가 사실상 힘들었을 것이라고 말했다.
본선 대회 중 일본 보안 인력들이 단체로 한국팀의 테이블로 찾아와 한국팀의 본선 진출을 부러워했다. 이들 중에는 일본의 유명 해커들도 있었고, 기업 종사자도 있었으며, Black Hat Japan 운영진들도 있었다. CTF 예선전에 참가했다 본선진출에 실패했던 일본 해커는 한국팀의 선전을 빌어주기도 했다.
CTF가 진행되는 동안 CTF의 장소는 Defcon 모든 참가들에게 공개된다. 많은 사람들이 한국팀에 와서 어느 나라에서 왔는지 물었고, 한국팀은 ‘KOREA’에서 왔다고 자랑스럽게 말했다고 한다. 아시아권에서는 온 사람들은 특히 한국팀을 부러워했다. 한국팀은 팀 테이블에 ‘우리는 한국에서 왔으며, 우리와 친구가 되고 싶거든 우리에게 말을 걸거나 명함을 남겨라’’라고 적은 메모지를 부착했다. 한국팀 멤버들이 외국 친구들을 사귀는 것도 이번 행사 참가의 중요한 하나의 목적이었으며, 대한민국의 능력을 알리고자 하는 의도도 있었다고 한다.
이번 CTF 참가를 통해 한국팀의 멤버들은 Defcon이라는 새로운 문화를 접했으며, 이를 통해 한 차원 높은 생각으로 서로가 서로를 더 잘 이해하며, 자신을 바라보게 되었다. 또한 국내 해킹·보안 커뮤니티들이 국익을 위해 하나가 될 수 있음을 보여준 것은 큰 의미를 지닌다. 이번 CTF 참가 경험이 각 멤버들이 더욱 정진하는 기회를 갖게 해줄 것이며, 그들의 경험이 각자가 속한 보안 커뮤니티, 동호회, 동아리, 회사 발전에 도움이 될 것이다. 또한 그들의 경험은 대한민국 국력을 위해 소중하게 사용될 것이다.
다음은 이번 CTF 본선에 참가한 한 멤버의 후기의 일부이다.
“진짜 데프콘은 색다른 추억이었고 진짜 새로운 희망을 안겨준 것 같다는 생각을 합니다. 새로운 세상이 있다는 것을 알았고, 거기에서는 와우해커, 널루트, PLUS, 파도콘 이러한 어떤 종류의 그룹도 없었고, 오직 한국인들이 있었다는 것밖에 기억나지 않습니다. 거기엔 우리 한국인들이 갔었고 한국인들이 있었습니다. 그리고 한국인들이 데프콘에 가서 즐기고 왔습니다. 그것이 다인 것 같습니다.”
[길민권 기자(reporter21@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
길민권기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
