염흥열 순천향대 정보보호학과 교수
![[포럼] 가상화폐 거래소 보안 강화 시급하다](http://contents.dt.co.kr/images/201801/2018012302102251607002[1].jpg "[포럼] 가상화폐 거래소 보안 강화 시급하다")
블록체인은 암호 체계를 활용하며, 데이터의 분산 저장, 데이터 무결성 보장, 거래 투명성 확보 등의 기술 특성을 갖는다. 가상화폐도 블록체인(분산원장 기술)에 기반을 두므로 거래 무결성과 투명성 그리고 거래의 익명성이 보장받는다. 가상화폐 거래 시 가상화폐를 소유 증명은 공개키 암호 체계에서 개인키 소지 여부를 증명하는 것으로 귀결된다. 가상화폐 가격이 지속적으로 상승하면서, 보안 체계 미흡으로 인해 가상화폐가 절취되는 등의 보안 사고가 빈번히 발생하고 있다.
거래소에 대한 가능한 대표적 사이버공격 시나리오를 살펴보자. 첫째는 공격자가 거래소에 대량의 트래픽을 보내 정상적인 서비스 제공을 막는 디도스(일명 분산서비스거부) 공격이다. 둘째는 공격자가 거래소 정보시스템에 랜섬웨어를 감염시키고 암호화된 데이터를 복구해 주는 대가로 금전을 요구하는 공격이다. 세 번째는 공격자가 투자자의 가상화폐 지갑의 보안 취약점을 이용해 투자자 지갑을 통제를 획득한 후 지갑 내에 가상화폐를 절취해 가는 공격이다. 네 번째는 아직 가능하지는 않지만 미래 양자 컴퓨터의 출현으로 인해 가상화폐 암호 체계를 공격해 데이터 무결성을 공격하는 것이다.
이러한 공격이 가능하게 하는 원인은 거래소 정보시스템의 정보보호 관리 및 공격 대응 능력 미흡, 가상화폐를 보관하는 지갑의 보안 취약성, 가상화폐 소유자 인증 강도 미흡, 그리고 가상화폐를 구현 시 안전하지 않는 암호 체계의 사용 등의 취약점에 있다.우리 정부의 규제가 "거래소 폐지"까지 이어질지는 단언할 수 없지만, 규제는 투자자를 보호하고 돈세탁을 방지하는 등의 목적으로 최소화 될 필요가 있다. 규제가 블록체인이라는 신기술의 혁신과 발전을 저해하지 않아야하기 때문이다. 블록체인과 가상화폐와는 구분돼야 한다. 가상화폐는 블록체인 기술을 이용한 하나의 응용이다. 전자정부와 공급자체인, 보안 등 수많은 다른 응용이 존재한다. 작금의 가상화폐의 심각한 부작용을 막기 위한 규제는 불가피한 측면이 없지 않으나, 블록체인 기술과 많은 다른 응용의 개발은 적극 지원되고 권장돼야 한다.
가상화폐 거래소의 보안 강화를 위해서는 다음과 같은 사항을 고려해야 한다.
첫째, 거래소의 정보보호를 책임 있게 관리할 전담 보안 조직의 확보와 보안 정책의 수립 및 운영이 요구된다. 보안을 책임질 정보보호최고책임자(CISO) 임명과 보안 정책을 관장할 정보보호위원회의 설립과 필요하다. 정보보호와 개인정보 측면의 관리체계 운영도 필요하다. 관리체계가 효과적으로 작동하고 있는지에 대한 외부 감사와 점검도 필요하며, 효과적인 정보보호 및 개인정보보호 관리체계에 대한 제3의 기관에 의한 인증이 필요하다.
둘째, 거래소 간 사이버보안 정보의 공유와 한국인터넷진흥원 등의 유관 침해사고대응 조직과의 침해사고 정보의 공유가 필요하다. 사이버 공격의 유형이 비슷하고 반복적이기 때문이다.
셋째, 공격에 대응하기 위한 기술적·관리적 보안 대책의 고도화도 필요하다. 디도스 공격 등을 막기 위한 심층 구조의 네트워크 보안 체계의 수립과 운영이 필요하다. 거래소 주요 정보시스템을 인터넷과 분리해 운영하는 망분리 방안도 고려되어야 한다. 거래소 정보시스템의 침입을 조기에 탐지하고 효과적으로 대응하기 위한 보안 관제 체계 운영도 요구된다. 거래소 정보시스템의 지능형 악성코드와 랜섬웨어 침투를 막기 위한 효과적인 대응 체계의 수립도 필요하다. 사회공학적 기법을 활용한 이메일 공격에 대한 대응 방안도 마련돼야 한다.
넷째, 가상화폐를 보관하는 지갑의 보안과 소유자 인증 수준을 강화해야 한다. 장기적으로 소프트웨어 기반 지갑을 탈피해 하드웨어 기반의 지갑 운영도 필요하다. 지갑 소유자에 대한 강력하고 사용자 친화적 인증 기법의 적용도 필요하다. 사이버 피해를 보상하기 위한 사이버 보험 활용도 필요하다.
다섯째, 수집해 이용하고 있는 개인정보의 처리 관행의 개선이 필요하다. 투자자의 실명확인 제도 도입까지를 염두에 두고, 개인정보 보호 관련 유관 법 준수 여부를 점검하고 효과적인 개인정보보호체계를 운영해야 한다.
투자자의 소중한 자산을 보관하고 관리하는 거래소의 보안은 지능형 위협 수준에 걸맞는 수준으로 강화돼야 할 것이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
