I wannabe FALCON

어제 동아일보에 노트북의 내장마이크에 의해 도청이 가능하다는 기사(http://news.donga.com/3/all/20100107/25242944/1)가 게재되었습니다. 기사 내용에 따르면, 시나리오는 아래와 같습니다.

악성코드 실행 -> 내장 마이크 on -> 음성파일 녹음 -> 공격자에게 전송

처음에 전 희박한 가능성이라도 시나리오를 공개하고 대중에게 주의하라고 알릴 수 있는 이 기사의 기능에 대해 긍정적이었습니다. 보안은 어렵다, 직접 겪지 않아서 아직 와닿지 않는다 등등의 보안에 대한 대중의 인식을 조금이나마 깨울 수 있을거라고 생각했기 때문이죠. 보안에 대한 글들을 보면 대부분이 기술적인 내용들이라서 대중은 잘 모르거든요.

그런데 오늘 절 어이없게 하는 기사(http://news.donga.com/3/all/20100108/25266161/1)가 게재되었습니다. 앞으로 노트북에 내장마이크의 전원 버튼을 달게 하겠다는 정부의 입장입니다. 어제까지만해도 보안 업계의 전문가들께서 기사에 대해 혹평하더라도 전 긍정적으로 생각하려 했는데, 이 기사 덕분에 왜 전문가들이 혹평을 했는지 이해하였습니다.

우리는 이미 비슷한 일을 경험하였습니다. 바로 전자거래, 공인인증서를 이용하기 위해서 ActiveX를 이용하게 만든 지난 정부의 정책이죠. 당시에는 ActiveX가 해답이었을지도 모릅니다. 하지만 지금은 모두가 알듯이 이 ActiveX가 Web 2.0이 도래하고 다양한 플랫폼이 생기면서 큰 걸림돌이 되었습니다.

당시에 해답이었을지도 모를 그것이 지금은 왜 걸림돌이 되었을까요? 문제의 원인은 정부가 나서서 정책이라는 족쇄를 채웠기 때문입니다. 보안을 비롯한 IT 분야는 하루가 다르게 변하고 있습니다. 전자거래에 관한 지금의 정책을 수립할 때만해도 ActiveX가 이렇게 걸림돌이 될 줄은 몰랐을 겁니다. 그리고 플랫폼이 이렇게 다양하게 늘어날지도 몰랐을 겁니다. IT 분야는 앞으로도 어떻게 변할 지 예상하기가 힘든 분야입니다. 변화가 빠른 IT... 그런데 정책은 어떤가요? 정책을 수립하는 것도, 고치는 것도 상당한 시간이 걸립니다. 오랜 논의가 이루어져야 하고, 논의 결과가 시행되기 위해서 시장 조사와 투자, 홍보 등이 필요합니다. 여기에는 시간과 함께 금전적인 비용이 꽤 많이 들어갑니다. 그래서 한 번 정해진 정책을 고치기는 힘듭니다. IT의 변화를 정책이 따라갈 수는 없습니다. 그래서 지금의 ActiveX와 같은 문제가 생겨난 것입니다.


그런데 이번에도 정부는 정책이라는 족쇄를 채우려 합니다. 지금 도청의 가능성이 있다하여 노트북, 스마트폰 등에 도청 방지 버튼을 달게 한다면, 당장은 효과가 있을 겁니다. 대중은 정부가 열심히 한다고 생각하겠지요. 하지만 시간이 지나서 그것은 족쇄될 것입니다. 지금 바로 예상 가능한 것이 외국에서 들어올 제품은 불법도청이 가능하다는 꼬리표입니다. 이 이외에도 시대가 변하면서 노트북 도청 방지 버튼이라는 정책이 어떤 족쇄가 될 지 모릅니다. 그리고 후대에 대중은 정부를 다시 욕하겠지요.

족쇄를 채우기보다는 시장에 맡기는 것이 변화가 빠른 IT에 가장 적합한 정책입니다. 필요하다면 소비자가 요구할 것입니다. 공급자는 소비자의 요청이 있으면 기능을 더하겠지요. 그리고 나중에 그 기능이 필요 없어지면 빼게 될 것이구요. 그걸 정부가 나서서 하나하나 일일이 걸고 넘어지면 ActiveX의 문제를 반복하는 것 밖에 되지 않습니다. 이번에는 정부가 같은 실수를 하지 않기를 바랍니다.

덧붙임

이번 기사에 나온 시나리오를 예방하기 위한 가장 좋은 방법은 아래의 "노트북 도청, 사실인가? 그 대책은?"라는 글에 자세히 나와 있습니다. 중요한 것은 악성코드에 감염되지 않도록 하는 것이지, 악성코드가 실행되고 나서의 일이 아닙니다. 악성코드에 감염되었다면, 단지 도청이 되는 것 이외에 더 중요한 자료들이 이미 누출된 것입니다.

그리고 시나리오 상의 시연에서는 시연자가 일부로 해당 프로그램을 실행했기 때문에 가능한 것입니다. 현재의 기술력으로는 이번 시나리오를 충분히 예방할 수 있습니다. 이미 수십 년 전에 나온 시나리오이니까요.

참고문헌

노트북 도청 시연 :: http://etv.donga.com/view.php?idxno=201001070029065
노트북 도청, 사실인가? 그 대책은? :: http://blog.ahnlab.com/ahnlab/763
이번 노트북 도청 보도에 대한 정리 :: http://www.gilgil.net/2403

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-동일조건변경허락 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

6l4ck3y3 0x01 까막눈의 보안소식 노트북, 도청, 악성코드, 정책