SW·시스템 '단점 찾기' 경진대회… 취약점 개선 등 도움
해커·개발자 대상 제품 테스트 과정
'완벽주의' 애플도 상금 20달러 대회
결함 발견땐 제품 업그레이드 효과
해커·개발자 대상 제품 테스트 과정
'완벽주의' 애플도 상금 20달러 대회
결함 발견땐 제품 업그레이드 효과
최근에는 애플이 이를 실시해 화제가 됐습니다. 원래 창업자인 고 스티브 잡스가 살아있는 동안에는 '완벽주의'를 추구하며 어떠한 결점도 없다고 자랑하던 애플이, 이제 외부 개발자들에게 '한 번 살펴보시죠'라며 최대 상금 20만달러(약 2억2000만원)를 걸었기 때문입니다.
애플 뿐만이 아닙니다. 러시아의 유명 보안업체 카스퍼스키랩을 비롯해 미국의 페이스북과 유나이티드항공, 이탈리아의 피아트 크라이슬러 그룹, 일본 파나소닉은 물론 우리나라의 삼성전자와 라인 등 세계적으로 유명한 기업체가 전 세계 해커와 개발자를 상대로 이 같은 대회를 열고 있습니다. 이유가 뭘까요?
그것은 이 대회가 일종의 '건강 검진'과 같은 역할을 하기 때문입니다.
원래 모든 전자 기기나 소프트웨어는 결함이나 취약점이 있기 마련입니다. 역시 인간이 만드는 것이기에 완벽할 수 없는 것이죠. 개발 과정에서 아무리 주의하고 여러 단계의 검증 과정을 거친다 해도, 결국은 어딘가에는 부족한 점이 있기 마련입니다.
마치 사람이 아무리 면역 체계를 갖추고 외부 위협으로부터 방어를 해도, 질병을 완전히 피할 수는 없으니 외부 전문가(의사)에게 내 건강 상태를 살펴달라고 하는 것과 비슷한 이치인 셈입니다.
최근에 만난 한 개발자는 "아무리 출시 전에 살피고 또 살펴봐도, 고객들은 어디선가 문제점을 발견해 고객센터에 전화를 한다"면서 "접수된 건을 보면 한 대 얻어 맞은 것처럼 느낄 정도로 예상 밖의 문제점이 나오는 일이 많다"고 전했습니다.
가령 스마트TV의 경우 아무리 완벽한 보안 체계를 만든다 해도, 여기에 새로 적용된 요소나 외부와 연결되는 기능을 고려하면 해커가 침투할 수 있는 구멍은 어디엔가 있기 마련입니다.
게다가 해커들은 새로 나온 기기나 소프트웨어를 자신이 가장 먼저 해킹하려는 속성이 있습니다. 실력을 과시하고 이름을 알리려는 목적이 과거에는 강했다면, 이제는 취약점에 대한 패치가 마련되기 전에 먼저 공격해 금전적인 이득을 취하려는 '제로데이(Zero-day)' 공격도 성행하고 있는 점이 이를 뒷받침합니다.
말 그대로 단 하루의 여유도 없이 곧장 공격해 들어온다는 의미의 제로데이 공격을 방지하기 위해서라도 외부 전문가들의 도움이 필요한 것이죠.
버그 바운티 대회 중 가장 유명한 형태는 폰투온(Pwn2Own) 해킹방어대회입니다. 사전에 정한 단시간 동안 보안 취약점을 찾아내 이를 공격해 해킹에 성공하면 상금과 부상을 받는 행사입니다. 해킹방어대회의 형식을 띄기 때문에 경쟁적으로 취약점을 발견하니 개발사 입장에서는 단시간에 많은 성과를 얻을 수 있습니다.
꼭 보안 취약점이 아니더라도, 특정 기능을 실행할 때 속도가 느려지거나, 혹은 일정한 조건에서 작동이 멈추는 일도 발생할 수 있습니다. 이런 점 또한 대상이 되기도 합니다.
국내에서는 아직 이렇다 할 버그 바운티 대회가 열리지 못하고 있습니다.
아무래도 취약점을 들키고 싶지 않아하는 사회·문화적 특성 때문에 그렇다는 해석이 많습니다.
하지만 세계 최고 수준의 해킹 실력을 자랑하는 북한과 러시아, 중국의 공격을 모두 받고 있는 우리나라의 현실을 고려한다면, 또 전 세계로 제품을 수출하는 우리나라 산업의 특성을 고려한다면 이제라도 시각을 바꿔 버그 바운티를 활성화해야 할 필요성이 충분하다고 보안 전문가들은 강조합니다.
이재운기자 jwlee@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
