백신SW '안티스탑' 놓고 업계 이견… 새로운 기준 마련 등 시급
보안업체들이 스파이웨어에 대한 판정을 놓고 논란을 벌이고 있다. 이는 스파이웨어에 대한 명확한 기준이 없기 때문이라는 지적이다.
안철수연구소는 5일 방송통신위원회의 백신 평가에서 상위권을 차지한 백신 소프트웨어(SW) 안티스탑을 스파이웨어로 등록했다. 안철수연구소는 안티스탑을 설치하는 `Win-Downloader/Xema.28672.BX' 파일이 한번의 실행으로 사용자 동의 없이(UI 없이) 두 개 다른 프로그램을 설치하기 때문에 이같이 판정했다고 밝혔다.
이에 대해 안티스탑의 개발사인 시젠네트웍스는 자체 분석결과 안티스탑이 스파이웨어로 판정될 근거를 찾지 못했으며 안철수연구소의 행동도 납득할 수 없다며 해명을 요구하는 공문을 보냈다고 밝혔다.
이 판정을 놓고 업계에서조차 의견이 분분한 상황이다. 보안업체 2곳은 스파이웨어로 규정할 수 없다고 분석했으며 다른 보안업체 1곳은 인스톨 과정에서 1개의 프로그램 설치가 문제가 됐을 가능성이 있다며 의견을 달리 했다.
이처럼 보안업체들이 스파이웨어 정의와 판정을 놓고 각기 다른 입장을 보이는 것은 각 기업마다 스파이웨어 등에 대한 판정 기준이 다르기 때문으로 앞으로도 유사한 문제가 발생할 가능성이 높다는 지적이다. 한 보안업계 관계자는 "스파이웨어를 판정하는 기준이 기업들마다 다르기 때문 보안업체들의 해석이 제각각일 수밖에 없다"며 "스파이웨어 기준이 모호해 이런 분쟁들이 종종 발생하고 있다"고 말했다.
이전에는 닥터바이러스가 진단하는 파일들이 악성코드와 스파이웨어인지 아닌지에 대한 논란이 일기도 했었다. 일부 보안업체에서는 닥터바이러스가 진단하는 파일이 유해한 것이 아니라고 했지만 다른 일부에서는 유해 파일로 볼 수도 있다고 반박한 바 있다.
보안기업들은 구 정보통신부가 마련했던 `스파이웨어 기준'과 구 한국정보보호진흥원 `스파이웨어 사례집' 등에 의거해 기준을 정하고 있다. 하지만 이들 기준은 마련된 지 오래되고 해석의 차이가 있을 수 있어 개선이 필요하다는 지적이다.
이에 대해 한국인터넷진흥원은 스파이웨어와 악성코드 기준에 대한 의견이 다양해 업체 간 자율적인 조정이 우선 돼야한다며 섣불리 기준을 정하고 판정하는 데 부담감을 표했다. 업계는 전문가들이 함께 참여해 현 상황에 적합한 악성코드, 스파이웨어 기준을 마련, 이번 사건과 같은 혼란을 줄여야 한다고 지적하고 있다. 또 방송통신위원회가 추진 중인 우수 백신 프로그램 활성화와 악성 프로그램 확산 방지를 위해서도 기준 마련이 더욱 절실하다고 강조하고 있다.
강진규기자 kjk@
안철수연구소는 5일 방송통신위원회의 백신 평가에서 상위권을 차지한 백신 소프트웨어(SW) 안티스탑을 스파이웨어로 등록했다. 안철수연구소는 안티스탑을 설치하는 `Win-Downloader/Xema.28672.BX' 파일이 한번의 실행으로 사용자 동의 없이(UI 없이) 두 개 다른 프로그램을 설치하기 때문에 이같이 판정했다고 밝혔다.
이에 대해 안티스탑의 개발사인 시젠네트웍스는 자체 분석결과 안티스탑이 스파이웨어로 판정될 근거를 찾지 못했으며 안철수연구소의 행동도 납득할 수 없다며 해명을 요구하는 공문을 보냈다고 밝혔다.
이 판정을 놓고 업계에서조차 의견이 분분한 상황이다. 보안업체 2곳은 스파이웨어로 규정할 수 없다고 분석했으며 다른 보안업체 1곳은 인스톨 과정에서 1개의 프로그램 설치가 문제가 됐을 가능성이 있다며 의견을 달리 했다.
이처럼 보안업체들이 스파이웨어 정의와 판정을 놓고 각기 다른 입장을 보이는 것은 각 기업마다 스파이웨어 등에 대한 판정 기준이 다르기 때문으로 앞으로도 유사한 문제가 발생할 가능성이 높다는 지적이다. 한 보안업계 관계자는 "스파이웨어를 판정하는 기준이 기업들마다 다르기 때문 보안업체들의 해석이 제각각일 수밖에 없다"며 "스파이웨어 기준이 모호해 이런 분쟁들이 종종 발생하고 있다"고 말했다.
이전에는 닥터바이러스가 진단하는 파일들이 악성코드와 스파이웨어인지 아닌지에 대한 논란이 일기도 했었다. 일부 보안업체에서는 닥터바이러스가 진단하는 파일이 유해한 것이 아니라고 했지만 다른 일부에서는 유해 파일로 볼 수도 있다고 반박한 바 있다.
보안기업들은 구 정보통신부가 마련했던 `스파이웨어 기준'과 구 한국정보보호진흥원 `스파이웨어 사례집' 등에 의거해 기준을 정하고 있다. 하지만 이들 기준은 마련된 지 오래되고 해석의 차이가 있을 수 있어 개선이 필요하다는 지적이다.
이에 대해 한국인터넷진흥원은 스파이웨어와 악성코드 기준에 대한 의견이 다양해 업체 간 자율적인 조정이 우선 돼야한다며 섣불리 기준을 정하고 판정하는 데 부담감을 표했다. 업계는 전문가들이 함께 참여해 현 상황에 적합한 악성코드, 스파이웨어 기준을 마련, 이번 사건과 같은 혼란을 줄여야 한다고 지적하고 있다. 또 방송통신위원회가 추진 중인 우수 백신 프로그램 활성화와 악성 프로그램 확산 방지를 위해서도 기준 마련이 더욱 절실하다고 강조하고 있다.
강진규기자 kjk@
