정부ㆍ금융시스템 해킹 총체적 위기… IT인프라 발달해 상대적으로 큰 타격
■ 긴급진단 오픈SSL 취약점 발견
인터넷 서비스를 위한 `웹서버' 대부분에서 채택하고 있는 네트워크 보안 기술 오픈SSL에서 치명적인 취약점이 발견됐다. 전문가들은 세계 어느 국가보다 인터넷 인프라가 발달한 우리나라가 상대적으로 더 큰 타격을 입을 것이라며 우려를 나타내고 있다.
13일 정부와 보안 전문가들에 따르면 오픈SSL 취약점으로 인한 버그가 생각보다 더 심각한 상태인 것으로 나타났다. 특히 전자정부 등 온라인 대국민 서비스가 발달해 있고, 인터넷 뱅킹 등 전자금융거래가 활발한 우리나라의 경우 오픈SSL 취약점으로 인한 정보유출이나 사이버공격을 받을 확률도 더 높다고 전문가들은 경고했다.
정현철 한국인터넷진흥원 침해사고분석단장은 "이번 취약점을 악용하는 공격 코드가 공개돼 당분간 공격이 증가할 것으로 보인다"면서 주의를 당부했다.
임종인 고려대 정보보호대학원장도 "오픈SSL은 온라인 서비스를 위한 웹서버인 `아파치'서버에 연계돼 있어 정부 시스템과 금융인프라, 각종 민간 기업 시스템 등 광범위한 분야에서 심각한 위험을 초래할 수 있다"고 우려를 나타냈다.
이 취약점은 하트블리드(HeartBleed)라는 이름으로 불리고 있다. 데이터 송수신 과정에서 소량(64kbyte)의 데이터가 새기 때문에 이같은 이름으로 불리는데, 이 취약점을 악용할 경우 개인정보나 비밀번호 등 고도의 보안 암호화가 적용된 정보까지 일거에 해독할 수 있는 `암호 키'를 빼낼 수 있다. 정보유출을 하거나 해킹을 해도 흔적을 남기지 않는다는 특징도 갖고 있어 피해여부를 알아낼 수 없다는 것도 문제다.
현재 정부와 국내 보안 전문가들은 이 취약점이 가장 심각한 피해를 초래할 만한 분야가 어느 곳인지 긴급 현황 파악에 돌입했다.
임 원장은 "최근 몇 년간 우리 정부는 적지 않은 사이버테러를 당해왔는데, 취약점이 그대로 노출된 정부 시스템을 운영한다는 것은 국가 안보에 심각한 위협이 되는 요소"라면서 "국방분야부터 시작해 정부통합전산센터 등 주요 정부 자원에 대한 오픈SSL 적용 여부 전수조사를 실시해 취약점을 신속히 해결해야 한다"고 강조했다.
온라인 전자상거래 및 인터넷뱅킹 등 전자금융거래가 압도적으로 높은 금융분야도 요주의 대상이다. 이경호 고려대 금융보안연구센터장은 "정부나 은행 자체 시스템에 이 취약점이 없어도 여기에 신경망처럼 얽혀있는 수많은 연계 시스템은 대다수가 아파치 서버 기반의 오픈SSL 보안인증을 채택하고 있기 때문에 그 취약점이 기간시스템까지 영향을 줄 수 있다"고 우려를 나타냈다.
인터넷이 연결된 시스템이라면 대부분 이 취약점의 영향을 받는다는 의미에서, 국내 보급량 3000만대를 훌쩍 넘긴 안드로이드 스마트폰과 태블릿PC에서도 동일한 위협이 감지되고 있다. 구글은 9일 자사 보안블로그에 "구글 검색엔진과 G메일, 유튜브 그리고 안드로이드 4.1.1등이 오픈SSL 취약점의 영향을 받을 수 있다"고 공개했다.
현재 구글은 해당 취약점 정보를 단말 제조사들에게 전달했으며 제조사, 오픈소스 프로젝트(AOSP)팀들과 함께 취약점 제거 작업을 진행하고 있다.
화이트해커 출신인 김경곤 딜로이트안진회계법인 보안컨설팅 매니저는 "오픈SSL 취약점에 대해 긴급 테스트를 해봤는데 일단 패치를 적용하면 위험성을 메울 수 있는 것으로 보인다"면서 "속히 패치를 업데이트를 하는 것이 중요하지만 서비스 안정성과 내부 시스템 영향도 평가 등 고려해야 할 사안도 적지 않기 때문에 침착하게 대응하는 것이 중요하다"고 조언했다.
강은성기자 esther@
인터넷 서비스를 위한 `웹서버' 대부분에서 채택하고 있는 네트워크 보안 기술 오픈SSL에서 치명적인 취약점이 발견됐다. 전문가들은 세계 어느 국가보다 인터넷 인프라가 발달한 우리나라가 상대적으로 더 큰 타격을 입을 것이라며 우려를 나타내고 있다.
13일 정부와 보안 전문가들에 따르면 오픈SSL 취약점으로 인한 버그가 생각보다 더 심각한 상태인 것으로 나타났다. 특히 전자정부 등 온라인 대국민 서비스가 발달해 있고, 인터넷 뱅킹 등 전자금융거래가 활발한 우리나라의 경우 오픈SSL 취약점으로 인한 정보유출이나 사이버공격을 받을 확률도 더 높다고 전문가들은 경고했다.
정현철 한국인터넷진흥원 침해사고분석단장은 "이번 취약점을 악용하는 공격 코드가 공개돼 당분간 공격이 증가할 것으로 보인다"면서 주의를 당부했다.
임종인 고려대 정보보호대학원장도 "오픈SSL은 온라인 서비스를 위한 웹서버인 `아파치'서버에 연계돼 있어 정부 시스템과 금융인프라, 각종 민간 기업 시스템 등 광범위한 분야에서 심각한 위험을 초래할 수 있다"고 우려를 나타냈다.
이 취약점은 하트블리드(HeartBleed)라는 이름으로 불리고 있다. 데이터 송수신 과정에서 소량(64kbyte)의 데이터가 새기 때문에 이같은 이름으로 불리는데, 이 취약점을 악용할 경우 개인정보나 비밀번호 등 고도의 보안 암호화가 적용된 정보까지 일거에 해독할 수 있는 `암호 키'를 빼낼 수 있다. 정보유출을 하거나 해킹을 해도 흔적을 남기지 않는다는 특징도 갖고 있어 피해여부를 알아낼 수 없다는 것도 문제다.
현재 정부와 국내 보안 전문가들은 이 취약점이 가장 심각한 피해를 초래할 만한 분야가 어느 곳인지 긴급 현황 파악에 돌입했다.
임 원장은 "최근 몇 년간 우리 정부는 적지 않은 사이버테러를 당해왔는데, 취약점이 그대로 노출된 정부 시스템을 운영한다는 것은 국가 안보에 심각한 위협이 되는 요소"라면서 "국방분야부터 시작해 정부통합전산센터 등 주요 정부 자원에 대한 오픈SSL 적용 여부 전수조사를 실시해 취약점을 신속히 해결해야 한다"고 강조했다.
온라인 전자상거래 및 인터넷뱅킹 등 전자금융거래가 압도적으로 높은 금융분야도 요주의 대상이다. 이경호 고려대 금융보안연구센터장은 "정부나 은행 자체 시스템에 이 취약점이 없어도 여기에 신경망처럼 얽혀있는 수많은 연계 시스템은 대다수가 아파치 서버 기반의 오픈SSL 보안인증을 채택하고 있기 때문에 그 취약점이 기간시스템까지 영향을 줄 수 있다"고 우려를 나타냈다.
인터넷이 연결된 시스템이라면 대부분 이 취약점의 영향을 받는다는 의미에서, 국내 보급량 3000만대를 훌쩍 넘긴 안드로이드 스마트폰과 태블릿PC에서도 동일한 위협이 감지되고 있다. 구글은 9일 자사 보안블로그에 "구글 검색엔진과 G메일, 유튜브 그리고 안드로이드 4.1.1등이 오픈SSL 취약점의 영향을 받을 수 있다"고 공개했다.
현재 구글은 해당 취약점 정보를 단말 제조사들에게 전달했으며 제조사, 오픈소스 프로젝트(AOSP)팀들과 함께 취약점 제거 작업을 진행하고 있다.
화이트해커 출신인 김경곤 딜로이트안진회계법인 보안컨설팅 매니저는 "오픈SSL 취약점에 대해 긴급 테스트를 해봤는데 일단 패치를 적용하면 위험성을 메울 수 있는 것으로 보인다"면서 "속히 패치를 업데이트를 하는 것이 중요하지만 서비스 안정성과 내부 시스템 영향도 평가 등 고려해야 할 사안도 적지 않기 때문에 침착하게 대응하는 것이 중요하다"고 조언했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
