민기자의 게임 같은 세상

"떠들썩한 비행기 사고는 없지만 작은 자동차 사고들이 많아 전체 피해는 훨씬 크다."

17일 오후 2시 서울 삼성동 무역센터 대회의실에서 열린 ‘글로벌산업보안포럼 2008’에서 기조연설을 맡은 안철수 카이스트 석좌교수의 지적이다.비행기 사고와 자동차 사고를 해킹사고와 비교하다니,재미있는 지적이다.안 교수의 지적은 최근 들어 해커들이 눈에 띄는 큰 사건을 일으키기보다는 숨어서 돈벌이가 되는 작은 사건들을 일으키기 때문에 심각성이 더 커졌다는 거다.

이날 안 교수는 평소와 달리 재미있는 비유를 많이 들었다.귀가 솔깃해지는 비유들 때문인지 딱딱한 산업보안의 중요성 얘기를 하는데도 참석자들은 진지하게 고개를 끄덕이며 끝까지 경청했다.

이 날 나온 안 교수의 어록 몇 개를 꼽자면,"도둑 한 명을 100명의 경찰이 못 막는다죠? 해커 한 명은 1000명이 달려들어도 못 막습니다."를 비롯해 "경찰이 모든 개개인의 문단속까지 해줄 순 없잖아요.경찰은 사회 전반의 안보를 책임지는 것일 뿐 자기 집 문단속은 스스로 해야죠."도 있다.아, 그리고 기술로만 보안문제를 해결할 수 없다는 점을 강조하면서 "아무리 최신식 자물쇠를 문에 달아도 사람이 깜박하고 문을 안 잠그면 도둑이 들 수밖에 없다"고도 했다.

안철수 카이스트 석좌교수이자 안철수연구소 창립자 겸 의장을 단독으로 인터뷰한 내용 가운데 내일(18일)자 신문에 못 나간 내용과 이날 발표 자리에서 언급한 안 교수의 발표요약내용을 게재한다.그가 걸어온 행보와는 달리 참으로 겸손한 사람이고 우리나라의 보안문제를 진심으로 걱정한다는 느낌을 강하게 받았다.이 블로그를 보실 진 모르겠지만,하루 종일 걸려오는 전화 때문에 업무를 전혀 볼 수 없을 정도로 바빠 휴대폰을 없애버린 안 교수가 이날 한경 주최,한국산업보안포럼 주관의 '글로벌산업보안포럼 2008'의 기조연설을 맡아주신 데 감사의 말씀을 전한다.

<안철수 교수 발표 내용>

먼저 이렇게 귀중한 포럼에 불러주셔서 감사드린다.여러분들을 직접 만나뵙게 돼서 반갑다.3년 만에 한국에 돌아왔다.돌아와서 처음 거리를 걷는데 가장 피부로 와닿은 것이 차가 사람을 무서워하질 않더라는 점이다.게다가 사람도 차를 무서워하지 않더라.주변을 돌아보면 신기하게도 아무도 다친 사람도 없더라.그런데 국가 전체를 보면 우리나라가 결국 전세계 교통사고 최다국가로 손꼽힌다.통계나 확률이 참 무서운 거구나 생각했다.개인적인 레벨 즉,마이크로 레벨에선 우연이나 요행도 있고 피해갈 수도 있지만 그게 쌓이고 장기적으로 보면 피해갈 수가 없더라.성수대교 붕괴도 그런 거다.우리가 산업사회 발전하는 데만 집중하다 보니까 다리만 건설하고 이걸 유용하게 쓰기만 하다보니까 필수적인 유지보수,관리를 등한시해서 무너진 거 아니냐.유지보수비용 적게 드니까 처음엔 좋아했을 거다.하지만 시간이 지나면 다리가 무너져서 훨씬 더 큰 비용이 낭비되고 국가적 신인도도 떨어진 것이다.

보안도 마찬가지다.가장 필수적인 IT의 관리비용이 보안이다.미국 등 선진국은 이미 몇 년 전부터 8-10%를 예산에 책정,지출해왔다.근데 한국은 1%도 안된다.처음엔 IT사용비용이 적게 든다고 좋아했을거다.전체비용 줄어서 좋아했겠지만 5년 지나니까 옥션 1000만명 사건이 터지는 거다.우리나라 전체로 보면 커다란 사고가 나는 게 일어날 수밖에 없는 일이었다.그렇다고 지금 당장 보안에 투자해도 크게 바뀌진 않을 거다.5년 전에 OECD의 보안에 대한 리포트를 봤는데 이게 매년 나온다는 데 놀랐고,보안은 기술문제가 아닌 문화의 문제고 인식의 문제라고 지적해서 또 한번 놀랐다.생활습관,인식,업무습관 자체가 바뀌어야 한다는 것이다.기술은 툴에 불과하다.아파트에 도둑 많다고 최신자물쇠 설치해도 잊어버리고 안 잠그면 도둑맞는다.기술은 사람을 도와주는 도구일 뿐이지 사람이 인식하지 않고 습관이 안 바뀌면 기술은 효력을 발휘하지 못한다.앞으로 2-3년은 한국이 이로 인한 많은 고통을 당할 거다.지난 5년 넘도록 투자를 등한시해왔기 때문에 나오는 결과다.지금이라도 이런 포럼을 계기로 빨리 경쟁력을 찾았으면 좋겠다.

<인터뷰 내용 中>

"제가 미국에 살 때 동네 주민들이 거의 60세 이상 노인들이었어요.제가 무선인터넷을 사용하려고 설치하고 보니까 동네 사람들도 거의 무선인터넷을 쓰더라고요.그런데 깜짝 놀란 건 무선인터넷 사용자의 100%가 비밀번호를 걸어놓고 쓰고 있다는 거였어요.한국에선 안 그러잖아요.심지어 미국 학교에서 젊은 학생들이 사용하는 무선 인터넷도 90% 이상이 비밀번호를 걸어놓지 않은 거더라고요.앞서가고 인터넷을 활발하게 사용한다는 젊은 층이 심지어 미국에서도 그래요.따로 인터넷을 신청할 필요가 없겠더라고요(웃음).잘 아시겠지만,옆집 무선인터넷에 들어가면 그 집에서 사용하는 공유폴더의 모든 내용을 다 들여다볼 수 있잖아요.어떤 동영상을 보는지,일기에는 뭐라고 썼는지도요.참 이건 심각한 위험불감증이예요.개인도 그렇지만 기업도 심각해요.CEO(최고경영책임자)가 직접 솔선수범해야 돼요.업무 시스템,습관 자체를 바꿀 수 있도록 전면에 나서야 직원들도 따라오죠.더 늦기 전에 이런 포럼이 계속 열리고 실질적인 논의를 해야 해요.기술만으론 해결되지 않거든요.인식이 제일 중요한 거죠."

보안이 뻥튀기라니 이게 무슨 소리냐고요? 보안을 맡은 건 3월부터니까..아직 3개월이 채 안 됐는데요,

개인정보든 산업기밀이든 정보보안이 중요하다 중요하다 말은 많아도

정작 평소에 보안관리를 제대로 하는 업체도,개인도 거의 없다는 사실.절감하고 있거든요..

옥션의 1081만명 회원의 개인정보가 유출되거나 하나로텔레콤이 고객정보 돈 주고 팔았다거나

뭐 이런 굵직굵직한 사건이 터져야만 그제서야 에그머니나 하는 꼴이니.

이미 뻥튀기 아저씨의 뻥과자 주머니 안에는 옥수수 알맹이가 점점 커지고 있는데

뻥 하고 터져야만 아,옥수수가 안에 들어있었구나 하는 식이죠.쯧쯔.

'보안 늬우스'가 뻥하고 터져야만 알아채니,참..아무리 외양간 고쳐도 이미 소는 다 달아났는걸요.

문제는 달아난 소들이 여기저기 들이받고 헤집고 다니면서 더 큰 문제를 일으킨다는데 있고요.

정부는 '국제적 공조가 필요하다'는 명분만 내세우면서

중국발 크래커(악의적 목적의 해커)들의 공격으로 인해 중국 사이트에 둥둥 떠다니는 한국인의 개인정보를 방치하는 상황이고

국내 정보보호 업체들은 열심히 하려고는 하지만 보안에 대한 인식이 없는 찌끄만한 한국시장에서

서로 콩조각 나눠먹기 하고 있고

'우리'에 대한 인식이 보편화된 한국 국민들은

'내' 개인정보에 대한 소중함 잘 모르고..게다가 여기저기 이벤트만 있다 하면 주민번호,휴대폰 마구 공개하니..

..어찌 보면 주민등록번호 자체를 없애야 한다는 누리꾼들의 주장이 근본적 해결책일 수도 있겠죠.

좀 더 현실적인 대안을 생각해본다면 황중연 한국정보보호진흥원장의 주장처럼 '주민번호 입력을 의무화하는 사이트를 최소화하고 그들 사이트의 개인정보 보호현황을 철저히 관리하는 실질적 제도를 마련'하는 방법이 있을 수 있겠고요.

정부가 추진하는 가상 주민번호 '아이핀' 도입이 의무화되면 좀 나아질런지..

주저리주저리..새벽에 말이 많죠.ㅎ

보안 관련해서는 아무 글도 못 쓴 게 맘에 걸려 졸린 눈 비비면서 끄적인답니다.

최근에 쓴 무선랜 보안 비상 기사가 있는데요,20일자 한경 3면 톱에 실린 기사예요..

많은 분들이 못 보신 것 같아 여기에 붙입니다.

그리고 어제 자 한경 취재여록으로 보안관련 내용을 게재했어요...이번이 두 번째 취재여록인데요,

첫 번째 취재여록도 보안뉴스였어요..같이 붙일게요.

여록이란 말 그대로 취재한 뒤 남은 얘기,뒷얘기,느낀 점 등을 기자의 시각에서 담담하게 풀어쓰는 거예요..사설 옆쪽 오피니언면에 실리죠..사진도 같이.홍홍.(온라인에서 사진은 볼 수 없답니다^^)

아무튼,뻥튀기 같은 보안 늬우스,

뻥 할 때마다 놀라지 않도록 평소에 옥수수 있다,옥수수 있다 하고 기사 열심히 쓸게요..

그러니 놀라지들 마시고 평소에 옥수수 관리 잘 하세요~^^;

어! 내 PC서 다보이네… 무선랜 보안 비상 #1.직장인 김지훈씨(32)는 지난 주말 집에서 노트북PC로 무선인터넷망을 검색하다가 깜짝 놀랐다. 자신의 노트북으로 접속할 수 있는 무선랜망이 있는지 찾아보려고 네트워크 공유폴더에 들어가 여러 파일 중 하나를 열었더니 이웃 집 아저씨 이름의 치아 사진이 떴다. 이 파일들은 김씨의 주상복합아파트 옆 건물에 입주해 있는 A치과에서 흘러 나왔다. 치과에서 무선랜 공유기에 비밀번호를 설정하지 않아 공유폴더에 있는 파일이 그대로 열린 것이다. 김씨가 접속한 공유폴더에는 병원 환자들의 개인 정보는 물론 진료 기록과 의료보험 관련자료 파일까지 들어있었다. #2.서울 서대문구에 있는 중소업체 B사는 최근 고객 회사들을 바로 옆 건물에 있는 경쟁회사 C사에 고스란히 빼앗기는 날벼락을 맞았다. 고객 회사들은 계약기간이 끝나는 족족 옆 건물에 입주해 있는 C사와 계약을 맺었다. 마치 C사가 고객 명단을 모두 알고 있는 것 같았다. C사와 거리가 가까운 게 어떤 영향이 있나 싶어 보안전문가를 불렀다. 아니나 다를까,C사는 B사가 사용하는 유·무선 공유기의 비밀번호까지 알아내 내부 공유파일을 다 들여다보고 있었다. 인터넷 통신비용을 절약하려고 인터넷 회선 하나 값만 내고도 여러 직원들이 인터넷을 사용할 수 있도록 해주는 유ㆍ무선 공유기를 부주의하게 사용한 게 잘못이라면 잘못이었다. ◆공중에 떠다니는 무선랜 신호 무선랜 보안에 비상이 걸렸다. 병원이나 커피숍 등이 서비스로 제공하는 무료 무선랜은 비밀번호를 따로 걸어두지 않아 누구나 마음만 먹으면 병원 커피숍 등의 네트워크에 접속,공유파일을 들여다 볼 수 있다. 무선랜을 이용하는 기업들도 인접한 경쟁 업체에 핵심 경영정보가 고스란히 유출되는 사례가 잇따르고 있다. 최근 무선망으로 접근,은행 관리자 정보를 빼내 예금을 인출하려다 경찰에 검거된 전문 해커들도 무선랜의 취약점을 이용한 것으로 드러났다. 보안전문그룹 와우해커 관계자는 "무선랜을 통한 인터넷 접속은 신호가 무선랜을 통해 공중에 떠다니기 때문에 비밀번호를 설정하지 않으면 아무나 그 신호를 받아쓸 수 있어 유선 인터넷보다 보안이 취약할 수밖에 없다"고 말했다. ◆수십만대 보급된 유·무선 공유기 무선랜 보안은 기업뿐만 아니라 개인 사용자에게도 심각한 문제다. 주로 유선 초고속 인터넷을 사용하는 아파트 주민들이 여러 대의 컴퓨터로 인터넷을 사용하기 위해 유ㆍ무선 공유기를 구입하는데,이를 같은 아파트 주민들도 사용할 수 있다는 것이다. 무심코 남의 집 무선랜망에 공짜로 접속했다가는 자신의 공유파일을 그대로 노출시킬 수 있다. 유ㆍ무선 공유기가 정보 유출의 근원지라는 지적이 나오는 것도 이런 이유에서다. 업계에서는 국내에 보급된 인터넷 유·무선 공유기가 수십만대에 달하는 것으로 보고 있다. 무선랜을 이용한 인터넷 전화도 최근 보급이 확산되고 있지만,이 또한 악의적인 해킹의 대상이 되기 쉽다. 인터넷 전화는 무선AP(액세스 포인트)를 사용하기 때문에 AP 가까이에서는 누구나 노트북으로 접속을 시도할 수 있기 때문이다. ◆비밀번호 반드시 재설정해야 비밀번호가 입력돼 있더라도 안심할 수 없다. 글로벌 정보기술(IT) 업체의 보안책임자는 "유·무선 공유기가 출하될 때 기본으로 정해진 관리자 비밀번호가 있는 데 대부분 사용자가 이를 바꾸지 않고 사용한다"며 "어느 회사의 공유기가 어떤 관리자 비밀번호를 쓰는지 전문가들은 다 알고 있기 때문에 유·무선 공유기를 구입하면 반드시 관리자 비밀번호를 재설정해야 안전하다"고 말했다. 노트북에서 무선랜으로 인터넷에 접속할 때 인증을 위한 보안키를 입력토록 하는 것도 중요하다. 유ㆍ무선 공유기를 구입한 뒤 처음 접속할 때 무선랜 보안키를 복잡한 문자와 숫자의 조합으로 설정하면 해킹 방지에 도움이 된다. 보안키 설정 방법은 유·무선 공유기 사용설명서에 자세히 적혀 있다. 기업은 웹인증 절차가 필요없는 고객서비스용 무선랜망과 내부 업무망을 분리하면 안전하다. 보안전문 업체 소프트포럼의 김기영 연구소장은 "망분리 등 네트워크 보안을 담당할 전문 인력을 갖추는 것이 중요하다"고 강조했다. 민지혜 기자 spop@hankyung.com [ 용어풀이 ] ◆유·무선 공유기=컴퓨터 여러대를 유선 초고속인터넷선과 연결해 인터넷에 접속할 수 있도록 해주는 기기다. 여러 컴퓨터를 하나의 인터넷선에 접속할 수 있도록 한다고 해서 공유기라고 부른다. 인터넷선은 유·무선 공유기를 통해 데스크톱PC에 연결된다. 공유기를 통하면 무선랜카드를 장착한 노트북PC 여러대도 인터넷에 접속할 수 있다. 인터넷 요금은 한 회선만 내고 여러대 컴퓨터를 사용할 수 있어 가정이나 소규모 업체(SOHO)에서 많이 쓴다. 입력: 2008-05-19 17:34 / 수정: 2008-05-20 10:25 당사의 허락 없이 본 글과 사진의 무단 전재 및 재배포를 금합니다.

[취재여록] 손님없는 진수성찬 "정보기술(IT)과 무관한 업체들까지 참석해 산업 보안문제를 논의,정책도 제안할 수 있는 포럼이라니…." 지난 19일 한국과학기술회관 대회의실에서 열린 제1회 한국산업보안포럼(KISF) 창립총회에 참석한 국내 대학의 관련학과 교수들은 "매우 고무적"이라고 입을 모았다. 이 포럼은 업계, 학계, 연구기관의 전문가들이 한데 모여 보안 관련 과제를 수행하고 정책에 반영하자는 취지에서 발족된 순수 민간모임이다. 관련 세미나와 국제포럼, '산업기술유출방지법' 개정을 위한 제안 등을 계획하고 있어 보안업계의 관심이 높다. 포럼 창립총회 및 심포지엄에는 300여명이나 다녀갔다. 행사는 성황을 이뤘지만 아쉬움도 컸다. 참가자 대부분은 '공급자'인 보안업계 관계자였고,산업보안에 힘써야 할 '수요자'인 일반 업체관계자들은 찾아보기 힘들었기 때문이다. 발표자료를 담은 보안USB를 무료로 나눠주던 보안업체 닉스테크의 관계자는 "유용한 보안USB를 덤으로 얻어 좋다는 반응이 많았지만 보안제품 구입을 문의한 곳은 일부 공공기관뿐이었다"고 전했다. 회의장 앞에 기밀유출 방지용 보안기기 전시부스를 마련한 보안솔루션업체 파이널데이터도 사정은 비슷했다. 이 회사 인재형 마케팅 이사는 "휴대폰이나 노트북으로 회사 기밀을 빼내려는 시도를 막아주는 기기를 하루 종일 설명했지만 구입문의는 거의 없었다"고 귀띔했다. 포럼 운영위원장인 김귀남 경기대 교수(정보보호학과)는 행사를 마친 뒤 "관련 서류를 갖추는 대로 지식경제부에 사단법인으로 등록할 예정"이라고 밝혔다. 문제는 얼마나 많은 '수요자'가 향후 포럼이 내놓을 성과물에 관심을 가져줄 것인가다. 진수성찬(보안제품)을 차려놓은들 먹을 손님(기업)이 없다면 아무 의미도 없기 때문이다. "한국산업보안의 가장 큰 문제는 보안의식 자체가 없다는 것"이라는 공성진 한국산업보안포럼 회장(한나라당 의원)의 지적이 따끔하게 다가온다. 민지혜 산업부 기자 spop@hankyung.com 입력: 2008-05-20 17:59 / 수정: 2008-05-21 09:49 당사의 허락 없이 본 글과 사진의 무단 전재 및 재배포를 금합니다.

[취재여록] 전문 해커 왜 못키우나 "해커는 다들 나쁘다고 생각하니까 어디 가서 말도 못했죠.기술을 가르쳐주는 사람도 없어서 혼자 공부했어요." 지난 15일 끝난 국제해킹방어대회 '코드게이트2008'(한국경제신문사 소프트포럼 공동주최)에서 2등 상을 받은 고3 학생의 푸념이다. 이 학생은 24시간 꼬박 밤을 새워 와우해커가 출제한 10개 문제를 풀었고 상금도 받았다. 하지만 뿌듯한 표정 뒤에는 불안한 마음이 엿보였다. 신상이 알려질까 봐 부담스러워하는 눈치였다. 해커(보안의 허점을 찾아내는 기술자)를 나쁘게 보는 시각 때문이다. 해커에 대한 부정적인 인식은 일반인뿐 아니라 정부기관에도 뿌리깊이 박혀 있다. 지식경제부는 주최 측의 대회 참석요청에 대해 "해킹대회요?방송통신위원회 소관인 것 같은데요"라며 회피했다고 한다. 방통위에선 "해킹 관련 행사는 솔직히 좀 부담스럽네요"라고 응답했다는 후문이다. '해킹'이라는 말에 알레르기 반응부터 보인 것.급기야 코드게이트 주최 측은 해킹대회가 아닌 해킹방어대회로 이름을 바꿔야 했다. 한국이 해커를 부정적으로 인식하고 있는 지금 외국에서는 어떤 일이 벌어지고 있을까. 중국과 미국 정부는 국가차원에서 해커를 양성하고 있다. 심지어 북한에서도 해커를 키운다는 소식이 들린다. 보안업계 관계자는 "전문 해커를 양성하지 않고는 보안기술을 개발하기 쉽지 않다"고 말했다. 보안기술의 허점을 빨리 찾아 방어기술을 만드는 화이트 해커(white hacker)가 꼭 필요하다는 이야기다. 한국이 해커를 양성하지 않은 사이 보안위협 수준은 갈수록 심각해지고 있다. 지난해 한국정보보호진흥원(KISA)에 접수된 국내 해킹피해건수는 2만1732건이다. 안철수연구소 관계자는 "올 1분기에 악성코드를 심어서 정보를 빼내려는 크래커(cracker：해킹을 악용하는 사람)에게 공격당한 웹사이트가 전년 동기 대비 41.9%나 증가했다"고 말했다. "한국에는 뛰어난 해커들이 많지만 정부가 해커 육성정책을 펴지 않으면 장기적으로 어떤 사태가 발생할지 모른다"(앤서니 림 싱가포르보안협회 회장)는 경고에 귀 기울여야 할 때다. 민지혜 산업부 기자 spop@hankyung.com 입력: 2008-04-16 17:42 / 수정: 2008-04-17 11:22 당사의 허락 없이 본 글과 사진의 무단 전재 및 재배포를 금합니다.