보안업체, 온실 속의 화초일 뿐…

많은 사람들이 관심을 기울 이는 바대로 3월 25일에 오픈 웹 소송 2심 결과가 나온다.

그 와중에 김기창 교수님이 안철수 연구소에 대한 공개 질의라는 글을 올려 이게 기사화 되었다. (KLDP에서도 토론 중) 기사 중에 안철수 연구소쪽에서 낸 답변이 있다.

안연구소쪽은 “국내 거래 환경에서 ‘을’인 보안업체로선 금융권 ‘갑’이 주문하는 사양에 맞출 수 밖에 없다”며 “이 환경을 무시하고 힘 없는 보안업체, 특히 안철수연구소만 찍어 문제삼는 건 이해하기 어렵다”고 밝혔다.

또한 “외국에선 아예 인터넷금융 보안 대책이 없는 상황인데, 우리나라는 IE만이라도 인터넷뱅킹 안정성을 보안해주는 점에서 그나마 나은 편”이라며 “결국 문제는 IE 환경에만 맞춰져 있는 인터넷뱅킹 환경”이라고 제도 개선이 먼저임을 지적했다.

오히려 안랩쪽에서 헛다리를 짚었다. 김교수님이 제기한 사항은 사용자 PC 보안에 큰 문제가 있는 방식임에도 불구하고 Active X 방식으로 보안 프로그램을 제공하는 이유가 뭔지를 묻고 있는데 동문서답을 하고 있는 것이다.

최고의 국내 보안 업체가 해외에 OTP 및 금융 보험이 엄청 발달해 있는데도 인터넷 금융 보안 대책이 없다는 황당한 이야기를 할 정도이다. (최근 국내에도 OTP를 도입하기 시작했다. 해외 금융기관은 인터넷 금융 사고를 대비해 보험을 들고 사고가 터지면 사용자에게 바로 돈을 준다. 한국에서는 깔라는 보안 프로그램 다깔고도 사고 나면 발뺌한다. 이게 선진 금융 서비스…)

안랩 뿐만 아니라 대부분의 국내 보안 업체들이 사용자들에게 ActiveX 설치를 용이하게 하기 위해 보안 설정을 무력화 시키고 가망 공격에 노출 시키는 행위를 하면서 영업을 하는 이유를 묻은 것이다.

자신들이 가슴에 손을 얹고 진정한 사용자들의 PC 보안을 위해 움직였는지 아니면 ‘갑’의 주문 사항에 맞추었는지 한번쯤 생각해 볼 문제이다. 이건 정말 기업 철학의 문제가 아닐까?

공인 인증은 국내 내수용
1990년대 중반 공인 인증에 대한 기초가 마련될 무렵 사설 인증 영업을 하던 PKI 업체들이 백 여개(?) 있었다. 당시 40비트 웹 브라우저 보안 등급을 문제 삼아 128비트 SEED가 마련되고 이를 구현하기 위해 플러그인 방식을 채택하는 과정에도 석연찮은 점이 많다.

국제적인 사설 인증 사업을 하던 베리사인(VeriSign)이나 엔트러스트(Entrust) 같은 업체들은 자사의 SSL 인증서로 충분히 128비트 SSL 통신을 할 수 있었고, 양질의 PKI 서비스를 제공하고 있었다. 뿐만 아니라 2000년에 128비트 웹 브라우저가 이미 전 세계에 배포되고 시작했다.

이 와중에서 베리사인이나 엔트러스트 같은 업체들은 공인 인증 시장에 진입조차 하지 못했다. 전자 서명법에는 규정하지 않았지만 한국정보보호진흥원(KISA)와 국정원이 만든 세부 기술 스펙을 도저히 수용하지 못했기 때문이다.

국내 PKI 업체들은 결과적으로 산업 보호를 해 준다니 뭐든지 시키는 대로 해 주는 꼴이 되었다. 만약 그때 국제적인 기준으로 외국 사설 기관도 공인 인증 시장에 참여하게 해 주었다면 국내 인증 시장은 완전히 다른 양상을 띄고 있을 것 있다. (일본은 베리사인 저팬의 점유율이 80% 이상이었고, 포스코 등 상당한 유력 기업들이 베리사인의 시스템을 도입했었다.)

하지만, 2000년대 중반에 오면서 그렇게 의기양양하고 뭐든지 해낼 것 같던 PKI 업체들은 하나둘씩 문을 닫기 시작하고 지금은 한 두개가 그나마 금융 SI를 하면서 명맥을 유지하고 있다. 꿈 같았던 해외 진출과 사업 확장은 물거품이 되버렸다.

바이러스 같은 백신들
PKI 업체들은 그렇다치고  PC 보안 업체들은 또 무슨 일인가? ActiveX로 인한 바이러스나 웜 등이 창궐하던 2000년대 중반 KISA를 비롯한 정부 기관 및 금융권에서 ActiveX가 문제라는 점을 깨닫고 바로 시정을 해서 다른 기술적 규격을 제시해야 했었다.

그리고 국민들에게는 현재 열려진 보안 구멍을 막기 위해 관리자(Administrator)가 아닌 일반 사용자(Users)로 로그인 하도록 하는 등 충분한 홍보를 했어야 했다. 이게 바로 자신들로 인해 ActiveX로 길들어져 보안 경고창에 “예”를  꺼리낌 없이 누르는 교육을 받은 인터넷 사용자를 위한 서비스 아닌가?

하지만, PC 보안 업체들은 자신들의 제품을 팔기 위해서라면 사용자 PC가 더러워지든 공격 당할 소지가 많든 키보드 해킹 방지, 개인 방화벽, 바이러스 백신 등을 ActiveX로 아무런 가책없이 끼워팔기를 하기 시작한다.  처음에야 작은 업체들이 그렇다치자. 지금은 안랩도 하고 있는 일 아닌가?

XP, 비스타를 거쳐 자신들의 운영체제의 문제점을 파악하고 보안 강도를 점점 높여온 마이크로소프트로서는 어떻게든 과거의 레거시를 유지할 방법을 해킹 수준으로 찾아내는 이들이 정말 보안 업체인지 크래커인지 모를 일이다.

최근 이들 보안 업체들 중 어떤 곳은 ‘갑’의 요청에 따라 리눅스용 키보드 해킹 방지 프로그램도 만들고, 맥에서도 만들려고 한단다. “root”로 권한을 올려 리눅스 사용자까지도 공격에 노출되게 할 심산이다.

ActiveX 문제를 풀기 위해 정부-금융권 회의에 나오는 보안 업체들은 한결같이 아무런 철학 없이 시키면 다 해줄께요라고 한다.

PC 보안 업체들 다들 힘들다고 한다. 하나둘씩 문닫는 날이 오게 될 것이다. 바로 PKI 업체들의 전철을 밟게 될 것이다. 그 이유가 무엇인지 아나?

당신들은 온실 속의 화초로 컷기 때문이다. 그게 경쟁력을 갖추지 못한 이유이다.

더 읽어 볼 글들

• 내 안에 ‘ActiveX 100개’ 있다!
• ActiveX와 공인 인증에 대한 대안
• ActiveX에 대한 거짓말과 진실
• ActiveX에 대한 거짓말과 진실 II
• 댁의 ‘예금’이 아니라 ‘PC’가 안녕하십니까?
• Slashdot, 한국 정부 지금 ‘Vista 설치 말라’ 권고
• 보다 근본적인 “웹 구조 개혁 제안”

- Channy Yun (윤석찬);

※ Disclaimer- 본 글은 개인적인 의견일 뿐 제가 재직했거나 하고 있는 기업의 공식 입장을 대변하거나 그 의견을 반영하는 것이 아닙니다. 사실 확인 및 개인 투자의 판단에 대해서는 독자 개인의 책임에 있으며, 상업적 활용 및 뉴스 매체의 인용 역시 금지함을 양해해 주시기 바랍니다. 본 채널은 광고를 비롯 어떠한 수익도 창출하지 않습니다. (The opinions expressed here are my own and do not necessarily represent those of current or past employers. Please note that you are solely responsible for your judgment on checking facts for your investments and prohibit your citations as commercial content or news sources. This channel does not monetize via any advertising.)