2009년 3월 31일 화요일

openweb 이라.

최근에 오픈웹의 모 교수가 일으키는 운동인데…

http://openweb.or.kr/?p=1028

너무 감정적인 접근. 자기 생각에 너무 오래 취해서 과격하고 감정적인 선동을 하려 한다는 생각이 든다.

저렇게 밖에는 표현을 못하는 걸까. 소위 교수의 품격을 가진 분이.

맞는 의도도 있겠지만, 기존의 보안업체들을 다 매도하는 글들은 심히 불쾌하다.

그리고 저 사이트에는 맹신자들이 감정에 흥하여 물길을 일으키고 있어, 함부로 덧글 달아봐야 기술적인 건전한 토론이 이루어질 것 같진 않다.

게다가 주장에는 극단적인 비약이나, 일반화 오류도 너무나 많다. 난 저분이 소송에 패한것이 도리어 잘된 일이라 생각한다. 극으로 치닫는 것은 뭐든 위험하다.

현 기술체제에서 현 법률체제에서 저분의 소망을 들어줄 수 있는 유일한 길은 웹을 이용한 인터넷 뱅킹은 없애고, 전용 C/S client 를 증권사 HTS program 만들듯 만들어서 배포하고, C/S client program 을 이용하여 *인터넷을 이용한* 뱅킹을 하게 하되, 웹은 해방시켜 드리는 수 밖에는 없을 것 같다. 그리고 전용 C/S client program 에 백신 프로그램과 PC Firewall program 등을 포함시키고 사용자가 그 비용을 지불하게 하되, 기존의 PC 에 이미 백신이나 Firewall program 이 있다면 보안프로그램 설치는 skip 하게 하는 선택권을 주어야 할 것이다. 아니면 임시방편으로 ActiveX 대신 설치유도를 하는 setup.exe 를 배포했다면 만족할까?

외국 사람들은 이미 자기 스스로 자기 PC 를 지키는 훈련이 되어 있다는 비약은 도대체 무슨 근거이며 (ActiveX 를 수시로 설치하라는 학습효과를 겪지 않았기 때문에), 보안업체가 어설픈 협박으로 폭리를 취해서 배부르게 되었다는 저 비약은 또 도대체 어디서 나오는 걸까.

왜 수많은 포탈들이 고객에게 PC보안을 위한 소프트웨어를 비용을 부담하면서까지도 제공하려 하는지 왜 이해의 폭을 가져가지 않는걸까.

초기의 뜻은 좋았을지 몰라도 과도한 선동으로 이미 오픈웹 진영은 스스로 아군들을 잃고 있다고 본다.

특히 백신업체 한군데를 콕 찝어서 매도에 가까운 비방을 하는 것이 과연 인터넷의 정신에 맞는 거라 생각하는지? 너무 자기도취 되어 있는 사람 같아 보여서 씁쓸하다.

현재의 인터넷 뱅킹 보안시스템이 완벽히 안전하냐는 것에 많은 보안전문가들이 동의하지 않으나, 오픈웹이 제시한 방안대로 간다해도 현재의 보안수준보다 절대 높아지지 않으며 수준이 동일하게 유지되지도 않는다. 이 운동이 성공하여 ActiveX 를 제거하는데 성공할지는 모르겠지만, ActiveX 는 클라이언트 PC 에 효율적으로 패키지를 배포하기 위한 여러 방편중 하나였을 뿐 (또 그당시 존재했던 소위 쓸만한 기술중 하나를 택한 것일뿐) 어떠한 음모도 개입되지 않는다. 기술이 진보했으니 이를 새로운 대체물로 개선하자는 취지는 잘 묻혀서 보이지 않고 불필요한 감정의 전달만이 느껴진다.

현재의 인터넷 뱅킹 보안시스템은 완벽히 안전하지 않다. 하지만 한가지 확실한 것은 real world 의 전통적인 보안인증체제를 metaphore 로 삼아서 cyber world 에 구현하는데 그 시대의 기술로 최선의 노력했다는 점이다. 법제화는 물론이고 기술적인 부분에까지 말이다. 

예컨데 기존 offline banking process 처럼 그 개인이 실명을 가진 본인인지 확인하기 위해 offline 에서 주민등록증을 이용 실명/본인확인을 하는 것처럼, 원격에 있는 누군가에 대한 신원확인을 하는데 id, password 로는 부족하기 때문에 개인신원을 입증할 수 있는 공인인증서를 더 안전장치로 부여한 것으로 보아야지 공인인증서를 팔아먹기 위해? 라는 의미로 해석해서는 안된다. offline 상에서 clearance 가 된 상태에서 공인인증서가 부여되고, 이 부분에 공증성을 담보하기 위해 국가가 지정한 공인인증기관이 개입하게 되는 것이다.

물론 공인인증기관으로 등록되기 위해 로비가 벌어졌는가? 키보드보안이라는 완전치 않은 아이템을 은행에 공급하기 위하여 로비가 벌어졌는가? 라는 음모론적인 이슈로 간다면 이는 청문회에 회부할 일이지 기술적인 논의는 이미 벗어난 일이다.

Fraud detection infra 가 back-end 에 아무리 잘 구현되었다 한들 통계를 기반으로 하였거나 몇몇 학습 알고리즘 등에 의존한 anomaly detection 중 하나이고 이 anomaly detection 이 모든 fraud 를 detect 해낼 수도 없다. 몇번 뱅킹 거래를 하지 않은 사람의 행적을 어떻게 패턴분석을 하여 outlier 처리를 할 것인가? Fraud detection infra 가 받쳐주면 비록 유저가 인지를 못하는 실수를 하더라도 banking service provider 의 노력여하에 의해 찾아낼 수 있다는 것은 맹신이며 도리어 책임전가이다.

‘필사적으로’, ‘유언비어’, ‘강요’, ‘권유’, ‘호들갑’, ‘떡고물’… 이런 단어를 쓰며 이야기하면 어디 이게 진지한 토론의 분위기나 잡히겠는가?

보면 볼수록 씁쓸하다.

댓글 40개:

  1. 보안쪽에서 일하는 사람들은 모두 공감할 내용이네요. 웹에서 인터넷 뱅킹을 퇴출 시켜 버리는 것이 정답인듯 합니다. 그리고, 모든 보안 프로그램 무료 제공도 중지하구요. 그것이 사실 보안 업체들이 궁극적으로 살길이 될 것 같기도 합니다. 지금은 시장이 너무 왜곡되어 있죠.

    답글삭제
  2. 글 잘 읽었습니다.

    "C/S client program 을 이용하여 *인터넷을 이용한* 뱅킹을 하게 하되, 웹은 해방시켜 드리는 수 밖에는 없을 것 같다." 라는 부분이 특히 눈길을 끄네요.

    지금까지, 보안/뱅킹이 우리나라 웹을 포로로 잡고 있었다는 점에는 저와 생각이 같군요.

    오픈웹에 댓글 쓰시기는 부담스러우시더라도, 그곳에 link 된 KLDP 페이지(보안 전문가분들을 대상으로 한 페이지)에서는 논의에 참여해 주시고, 견해를 알려주시면 큰 도움이 되겠습니다.

    답글삭제
  3. 무식하면 용감하다죠.

    참 어이없습니다.

    어디서 책몇권 읽어와서 말도안되는 소리 지껄인다고밖에 생각 안됩니다.

    현실과 이상은 매우 다르죠.

    물론 이상주의자들도 있어야겠지만..

    현실에서 뛰는사람들 개무시하고 어설픈 지식 몇개가지고 싸그리 이쪽 종사자들 개무시하는거로밖에 안보이네요.

    법잘하시는 양반은 그냥 책상에서 책이나 들쳐나 볼것이지

    남의 밥그릇(?)에 이래라 저래라 안했으면 좋겠네요.

    아니면 공부좀 더 하고 들이대던지...

    답글삭제
  4. 교수님께서 좀 흥분(?)하셨다는 데에는 공감이 갑니다. (하지만 리눅스를 사용하고 있는 개인적인 입장에서 그건 충분히 이해가 갑니다.)
    하지만, 현재의 인터넷 뱅킹, 금융결제 등의 서비스들은 사업자가 제공해주는 환경을 그대로 이용한다고 해도 사용자로써 불편함을 주는 것은 부인할 수 없는 사실입니다. 여러 플랫폼, 운영체제 등 인터넷의 기본인 이동성, 접근성을 생각한다면 현재의 서비스 환경은 낙제점 이하라고 볼 수 있죠.
    - real world 의 전통적인 보안인증체제를 metaphore 로 삼아서 cyber world 에 구현하는데 그 시대의 기술로 최선의 노력했다는 점- 에 대해서도 전 다르게 보고있습니다. 법제화는 물론이고 기술적인 부분에까지 (탁상공론에) 엉망이죠. 공인인증이라는 플랫폼 종속적인 운용방법을 이용할 것이라면 차라리 따로 부팅할 수 있는 간단한 금융서비스용 운영체제가 더 간단한 방법일 수 있습니다. 또한 공인인증서의 신원확인 기능 또한 온라인 상에선 id와 password와 동급으로 변해버립니다. 인증서와 그 암호는 (id와 password와 같이)쉽게 양도할 수 있으며, 결국 그것은 또다른(거추장스런) id일 뿐이죠.
    키보드보안, 방화벽, 안티바이러스 등은 언급할 필요가 없을 정도입니다. 도대체 관리자 권한이 뺏긴 컴퓨터에서 무엇을 한들 보안을 사수할 수 있단 말입니까.

    답글삭제
  5. 전문적인 내용은 보안쪽에서 일하시는 분들이 더 잘 아실 터이니, 앞으로 개선되길 바라는 마음에서 몇 자 적습니다.
    1. Active X 방식이 "당시로서는" 최대한 적절한 방식을 구현한 것이었다면, 하루가 다르게 컴퓨터가 발전하고 있는 상황에서 이젠 좀더 사용자에게 편리하면서도 안전한 방식으로 바꾸는 작업이 필요한 것 아닌가요?
    2. 위 댓글에서도 말씀하셨듯이, 관리자 권한으로 접속 사이트에서 다운받으라는 대로 다운받는 것 자체가 꺼림칙하게 생각되는 것은 저 혼자뿐일까요? 사실 저는 (현재 상황에서 어쩔 수 없이) 다운받고 쓰고 있습니다만, 항상 정말 "찝찝"합니다.
    3. 특히 해외에서 국내 카드 사이트, 은행 사이트 접속하려면, (본인 컴퓨터 아니면) 아예 사용할 수가 없습니다. 사정상 컴퓨터를 갖고 가지 못하는 경우가 많은데, 사이트에 접속한다면 5분이면 해결될 문제를 갖고 비싼 국제전화 쓰면서 비씨카드사에 직접 전화 걸어 이것 저것 물어본 적이 한두 번이 아닙니다. 은행 볼일은 아예 불가능합니다. 얼마나 짜증나는지 아십니까? 이런 방식이 정말 "정상적"인 것인가요?
    현재 오픈웹의 활동은 단지 좀더 "좋은 쪽"으로 바꾸자는 것뿐이라고 생각합니다.

    답글삭제
  6. dubhe님
    그런 식으론 문제해결에 아무 도움도 안됩니다. 달아두신 코멘트 아래에 제기된 문제에 대한 해결책은 정말 없는 겁니까? 좀 알고 싶습니다. 말도안된다는 소리만 하지 마시고요.

    답글삭제
  7. 정말 공감되는 내용이네요... 속이 후련합니다. 보안시장이 왜곡되어 있는것은 사실입니다. 오픈웹에서 자꾸 외국의 사례를 들먹이던데.. 보안관련 컨퍼런스에 가보면 한국에서 적용한 인터넷뱅킹에 대한 기술적인 토론이 매우 활발합니다. 적어도 많은 사용자층을 가지고 여기까지 온것만으로도 외국에서는 놀라움을 가지고 있습니다. 폐쇠적인 방식으로 적용의 용이함이 떨어지는 문제점들은 있지만 현재 우리나라에서 시도되고 격었던 문제점들을 잘 활용하면 다른 어떤 나라보다 훌륭한 보안시스템을 만들수 있을거라 생각합니다.

    답글삭제
  8. 답변을 원하니 그냥 제생각 말씁드립니다.

    대충 제가 이쪽일은 10년가까이 했습니다.

    전부 보안업체구요.

    사실 여기서 논의되는 PKI나 인증이나 암호화나 등등등 제가 직접적으로 관여한 일은 없습니다.

    제일은 대부분 모의해킹이니까요.

    뭐 경우에 따라서는 여기서 논의되는 기술들..다 우회하고 피해서 뚫습니다. 그게 일이니까요.

    일단 어떤 기술이던 우회하는 기술은 많다는건 기술의 난이도와 환경에 제약이 따르겠지만 다 있습니다. 어떤기술이 뭔 교과서(국제화된 스펙?)에 있으니 안전하다 그런 실전에서는 씨도 안멕히는 언급들도 좀 어이없습니다.

    예를들어 HTTPS?(을 포함한 SSL, TLS등등 기법들)..

    인터넷에서 Man in the middle attack 쳐보면 무수히 많이 나올껍니다.


    flex를 쓰면 안전하다..그건 대체 무슨 근거인지...flex건 activex건 그저 기술종류중 하나일뿐입니다.

    아무튼 싫어하는 기술은 안전하지않다. 옹호하는 기술은 안전하다 하는 기준자체가 매우 어이가없습니다.


    뭐 전문적으로 자료찾아 반박하기에는 귀찮고 그냥 생각나는대로 얘기해보죠.

    1. Active X 방식이 "당시로서는" 최대한 적절한 방식을 구현한 것이었다면, 하루가 다르게 컴퓨터가 발전하고 있는 상황에서 이젠 좀더 사용자에게 편리하면서도 안전한 방식으로 바꾸는 작업이 필요한 것 아닌가요?

    이건 시장논리 아닌가요?
    시장이 "당시로서 " activex가 대세가 된거고 국내 사용자, 사이트들이 IE가 대부분이고 activex가 대세이니 그저 그렇게 된겁니다.
    activex 가 안전하지 않다라는 전제를 까는데 대체 그 근거는 무엇인가요?
    java기반이면 안전하다는 근거가 무엇인가요?
    java기반으로 사고가 안터져서? 그건 그만큼 java기반으로 해당 기술을 구현을 하지 않았으니 그런겁니다. 공격대상이 java기반이 된다면 분명 생깁니다. 그리고 사실 버츄얼머신 기반으로 지금현재의 activex의 기능을(시스템 후킹까지 필요로하는) 과연 제대로 만들어 제공할수 있을지도 의문이 드네요. flex건 뭐건 다 마찬가지입니다. 프로그래밍 입장에서는 그저 언어의 차이일뿐 별만 다를것 없습니다. 오히려 프로그래머들 입장에서는 제약만 더 많아질뿐..

    그리고 국내에서 activex 종속적이지 않은 사이트 개발을 시도하지 않는줄 아시나본데..

    예전에 시범으로 우체국뱅킹에 리눅스지원 시스템을 만든적이있습니다.

    결론이 어떻게 되었는지 아십니까?

    만들어도 사용도 안하고 기술적으로도 많은 문제가 있었습니다.

    제가알기론 그래서 접은걸로 알고있습니다.

    키보드방지 해킹툴이 사용자(리눅스) 클라이언트마다 커널버전이나 libc버전이 다르기때문에 워낙 많은 환경이 존재하기때문에(키보드보안은 기본적으로 드라이버단에서 처리해야합니다.) 모든 환경을 맞추기도 어렵다는겁니다.

    키보드해킹방지 솔류션들이 필요없다고 주장하는것도 참 어이가없는데

    그게 왜 생겼는지 아십니까?

    관련 사고가 계속 터졌기 때문에 생긴겁니다.

    키로거류의 공격에는 현실에서 제일 효과적인 방법이 키보드보안 솔류션이기 때문입니다.

    외국엔 왜 없냐구요? 사고가 별로 터진적이 없거든요. 오히려 그런면에서는 국내가 기술이 선진화된겁니다. 외국에 없다고 우리나라가 이상한건 절대아닙니다.


    2. 위 댓글에서도 말씀하셨듯이, 관리자 권한으로 접속 사이트에서 다운받으라는 대로 다운받는 것 자체가 꺼림칙하게 생각되는 것은 저 혼자뿐일까요? 사실 저는 (현재 상황에서 어쩔 수 없이) 다운받고 쓰고 있습니다만, 항상 정말 "찝찝"합니다.

    보안솔류션을 사용자동의에 까느냐마느냐는 뭐 제가 판단할 문제는 아닌것 같네요. 그런부분은 "엔지니어"인 저로써는 별로 관심이 없으니까요. 뭐 그저 사이트 입장에서는 가능한 고객의 보안을 강화하기위해 가이드를 하는게 더 책임적이지 않을까 하네요.

    3. 특히 해외에서 국내 카드 사이트, 은행 사이트 접속하려면, (본인 컴퓨터 아니면) 아예 사용할 수가 없습니다. 사정상 컴퓨터를 갖고 가지 못하는 경우가 많은데, 사이트에 접속한다면 5분이면 해결될 문제를 갖고 비싼 국제전화 쓰면서 비씨카드사에 직접 전화 걸어 이것 저것 물어본 적이 한두 번이 아닙니다. 은행 볼일은 아예 불가능합니다. 얼마나 짜증나는지 아십니까? 이런 방식이 정말 "정상적"인 것인가요?
    현재 오픈웹의 활동은 단지 좀더 "좋은 쪽"으로 바꾸자는 것뿐이라고 생각합니다.


    공인인증서를 휴대저장매체에 저장하는 기능은 괜히만든게 아닙니다.

    그리고 공인인증서나 ID/Password나 똑같다 하시는데

    ID/Password를 빼내는 방법과 공인인증서를 탈취하는방법 이 두가지 기법이 얼마나 큰 차이가 있는지를 잘 모르시는것 같네요.

    ID/Password는 PC에 직접 들어가지않아도 빼올방법이 겁나게 많습니다.

    인증서는 직접 클라이언트 파일시스템에 접근하여 빼나여야만 합니다. 거기다가 입력할때의 password도 암호화되지 않은상태로 알아야하고...

    그정도 상황이면(사용자의 PC에 관리자권한으로 파일과 키보드입력에 접근가능한...) 어짜피 어떤 방법을 사용해도 막을 방법이 없습니다.

    불편한데 왜 이렇게 복잡하게 이것저것 깔게 되었느냐...

    해당 사고들이 터졌기 때문입니다.

    국가나 사이트나 재발 방지를 위해서는 최대한 방지대책을 만드는게 의무죠.

    근데 하필 그게 대부분 IE를 사용하고 마땅한게 적용가능한 기술이 그당시 ActiveX고 공인인증서고..등등등..

    그저 그것뿐입니다.

    다른 기술들이 보안성이 더 좋네 어쩌네 사실 기술적으로 이바닥에서 일하는사람으로 봤을때 별 차이없습니다.

    아니 일부는 좀 어이없는 비교도 하고 하니...

    기술적인 근거는 좀 알고 댔으면하네요.

    브라우저,OS 종속적이지 않은 환경을 만들자.

    이건 좋습니다.

    그런데 현재 사용되는 기술들에대해 기술적으로 전혀 말도안되는 근거들을 대면서..그리고 현 보안업체들을 악마들인냥 매도하는건 정말 어이가 없습니다.

    그래야 보안이 발전하나요?

    현 보안기술을 까면서 다른대안(기술적으로 설득력도 없는..)은 우상시하면서까지 한다는게 이해가 가지 않습니다.

    보안과 사용의 편리성은 공존하기가 매우 힘듭니다. 보안성을 높힐수록 사용자의 편리성이 침해받는건 당연한겁니다.

    제가 글쓰는데는 재주도 없고 그다지 글쓰는것도 별로 좋아하지 않는지라 눈에 좀 거슬리더라도 이해하세요.

    나름 뼈빠지게 보안을 위해서 일한 동종업계 사람들의 노력들은 사기꾼 제품이나 개발하는 사람으로 치부되었는데 그리 기분좋게 글쓰고 싶은마음은 없으니.


    기술적인 논의는 반박해드릴수있습니다.

    답글삭제
  9. 외국에서 한국 인터넷 뱅킹을 사용하지 못하는 이유는 공인인증서를 가지고 오지 않았기 때문이 아닙니다.

    자기 컴퓨터를 들고 다니면, 어디에서나 한국인터넷 뱅킹을 할 수 있습니다("인터넷" 이니까요).

    그러나, 외국의 학교, 회사 등 다중 사용환경에 있는 컴퓨터는 절대로 개별 이용자가 관리자 권한을 가지고 주무를 수 있도록 방치되어 있지 않습니다. 따라서 한국 은행들이 내려주는 플러그인을 전혀 설치할 수 없습니다.

    그래서 못하는 것입니다. 인증서야 USB에 저장해서 다니지 않겠어요?

    한국 보안 기술의 결정적 "후진성"은 모든 사람들이 관리자 권한으로 컴퓨터를 주무른다고 전제하고 서비스를 설계하고 있다는 것이라고 저는 생각합니다.

    국내 보안 업체에서 오래 근무하신 분께서도, 일반 이용자 권한으로 인터넷 뱅킹을 할 수 없도록 설계하는 한국의 관행에 대하여, 자신은 "엔지니어니까 별 관심이 없다"는 대답을 하신다는 점이 바로 제가 지적하는 후진성입니다.

    우체국 인터넷 플라자 사업 아십니까? 리눅스 보급을 위한다는 "순진한 생각"으로 시행한 사업입니다. 우체국에 가보시면, 컴퓨터가 놓여 있고, 그 옆에 쪽지가 붙어 있습니다: "id: root 비밀번호: 111111"

    이런 일이 벌어진다는 것이 바로 국내 "보안"의 현재 수준입니다.

    답글삭제
  10. 관리자 권한문제는..

    제가 그쪽 개발자는아니라 단언하지는 못하지만..

    구조상 많은 보안프로그램들은 관리자권한이 필요합니다.

    메모리, 파일시스템에 악성코드가 존재하는지..키보드 후킹 모듈이 있는지..

    심한경우에는 커널쪽에 가까운 루트킷이 존재하는지...

    이러건 검사를 하는데는 관리자권한이 필수입니다.

    뭐 물론 유저레벨로 돌아가게 프로그램을 만들수도 있겠죠. 근데 그러면 관리자권한으로 돌아가는 악성공격들은 어떻게 막을 수 있을까요?

    뭐 유저레벨로 돌아가는 환경을 만들라면 만들수야 있겠죠. 그런데 그렇게 만들어봤자 실효성에서 대단히 떨어지고 기능적으로도 한계가 대단히 만을겁니다.


    "id: root 비밀번호: 111111"

    이건 뭐 공용 Windows PC는 보안이 얼마나 좋다고 생각하시길래...

    사용빈도와 사용자층이 적은 OS에 대해서는 관리하는사람들이 당연히 더 무지한건 할수 없는거겠죠.

    보안의식 문제는 여기서 논의할게 아닌듯하네요.

    제가봤을때는 Linux건 Windows건 일반사용자들의 보안의식은 거기서 거깁니다.(뭐 물론 컴퓨터를 조금 아니까 Linux를 사용할테니 보안의식이 좀 더 있긴하겠죠.)

    보안프로그램을 개발하고 운영하는 사람들의 입장에서는 "컴퓨터를 좀아는" 사람들의 기준이 아니라 "아예 모르는" 사람들 기준으로 생각하니까요.

    답글삭제
  11. dubhe님.
    "뭐 유저레벨로 돌아가는 환경을 만들라면 만들수야 있겠죠. 그런데 그렇게 만들어봤자 실효성에서 대단히 떨어지고 기능적으로도 한계가 대단히 만을겁니다."

    하신 말씀 가운데 이렇게 말씀하시는 근거는 무엇이고, 관리자 권한으로 돌아가는 악성코드가 깔린 컴퓨터에서 인터넷 뱅킹을 하겠다고 덤비는 이유는 무엇입니까?

    제가 관리하는 컴퓨터들 가운데 몇개는 관리자 권한을 주지않고, 몇개는 관리자 권한을 줬습니다.
    관리자 권한을 주지 않은 컴퓨터는 그때나 지금이나 아무런 변화도 없고, 악성코드도 없습니다.
    그러나 관리자 권한을 부여한 컴퓨터는 악성코드가 넘쳐났습니다. 결국 운영체제 재설치를 하게되었습니다.

    왜 관리자 권한이 필요합니까?
    웹을 사용하는데 관리자 권한이 필요한 것은 activeX 뿐입니다. 또, 컴퓨터에 설치되는 악성코드는 대부분 activeX 때문이었습니다.
    activeX가 정말 안전하지 않은 이유를 모릅니까?

    왜 MS가 IE 버전을 개발할 수록 activeX를 설치하기 귀찮게 만드는지 모르시겠습니까? 그들 자신이 만든 기술을 스스로 막고 있습니다.
    왜인지 정말 모르고 그렇게 자신만만하게 말씀하시는 겁니까?

    부끄럽네요. 보안업체에서 일하셨다면서...

    답글삭제
  12. joo8111 덧글 내용...


    일단 인신공격성 댓글 짜증나네요.

    여긴 김휘강님의 개인블로그이고 물어보길래 댓글단건데 여기 더럽힐생각은 없습니다.

    일단 댁이 모르는부분에대해 집어드리지요.


    관리자권한을사용하는 PC와 일반사용자의 PC중 어떤게 악성코드가 더 많이 깔리느냐

    그게 지금 ActiveX의 동작이 관리자권한이 필요하다와 무슨관계인가요?

    논점밖의 이야기를 왜꺼내는지 그건 사용자의 보안의식 문제고 여기서 그걸 논할건 아닌것같네요.

    --또, 컴퓨터에 설치되는 악성코드는 대부분 activeX 때문이었습니다.
    activeX가 정말 안전하지 않은 이유를 모릅니까?

    그 근거가 대체 무엇인가요?
    악성코드의 유입경로가 대부분 activex라...대체 어떤 근거인지웃음이 나네요.

    참고로 제가 예전에 AV업체에서도 근무한적이있는데...정말 웃음밖에 나오지않습니다.

    그리고 인터넷뱅킹시에 생겼던 사고들 대부분은 키로거류를 통한 사고입니다.

    activex류로 깔리는 공격은 대부분 스파이웨어나 애드웨어류입니다.

    뭐 물론 activex류로 키로거를 깔수도있겠죠.

    근데 문제는 그런식으로 깔리는류는 다른 취약점을 사용하거나해서 기타 잡다한 방법을 사용해서 리부팅시 동작하며 관리자(Administartors)권한으로 동작합니다.

    키로거는 특성상 시스템을 많이 탑니다. 그러기에 Adminsitrators권한으로 키로거나 루트킷의 행위를 탐지할수 있습니다.

    하다못해 다른 네트워크침입/차단 제품들은 당연히 NDIS건 뭐건 접근하려면 Administrators 권한이 필수입니다.


    ---왜 MS가 IE 버전을 개발할 수록 activeX를 설치하기 귀찮게 만드는지 모르시겠습니까? 그들 자신이 만든 기술을 스스로 막고 있습니다.

    제가 ActiveX 옹호하는걸로 보였나보네요?
    현재 필드상황은 개발업체들의 환경이나 공격성향이나 ActiveX가 제일 적합하기때문에 만들뿐입니다. 기술적인 한계도 많구요.

    뭐 제가 MS빠로 보였나본데 저 리눅스 사용한지 10년도 넘었습니다. 하다못해 리눅스 신규취약점도 몇번 발표한적있구요. 전 Windows건 Linux건 어느것도 옹호안합니다. 그저 제가 다룰줄 아는 OS중 하나일뿐...

    부끄럽냐고요?


    난데없이 ActiveX의 관리자권한문제에서 갑자기 ActiveX가 부끄러운 기술이라니뭐니가 왜튀어나오는지 한심하네요.

    그저 브라우저를 지원하는 많은 기술들중에
    현재 국내에서 ActiveX가 많이 쓰일뿐이고 왜 ActiveX에서 관리자권한이 필요한가를 물어보길래 거기 대답했을뿐입니다.

    오히려 댁이 부끄러워해야할것같네요. 공부좀하고오세요.

    그리고 엄한 딴 논점 갖다대지말구요.


    PS. 김휘강님에게는 개인적으로 죄송합니다. 저때문에 물이 흐려진것같네요.

    답글삭제
  13. 그리고 추가적으로..

    굳이 ActiveX가 아니더라도 다른기술을 상요한다 하더라도 네트워크차단제품이나 악성코드(키로그포함)류는 Administrators 동작권한을 요합니다.

    상세하게 적기 귀찮아서 말았는데 어짜피 ActiveX는 그저 해당 서비스건 exe건 런쳐역활만 할뿐이지 다른기술로 대체한다 하더라도 실제 엔진은 Administartors로 돌아야하기때문에 ActiveX가 아닌 다른 기술을 사용했다 하더라도 마찬가지입니다.

    답글삭제
  14. 이렇게 한번 생각해 보시지요.

    user가 관리자 계정 암호를 설정해 두고, 일반 이용자 계정을 하나 만들어, 일반 이용자 권한으로 컴퓨터를 사용하는 경우, 공격자가 그 컴퓨터를 장악하려면, 관리자 계정 암호를 깨야 하지 않겠습니까?

    운영체제를 제때 업데이트하고, 평상시에는 일반 이용자 권한으로 컴퓨터를 사용하는 경우, 별도의 보안 프로그램이 아예 필요 없지 않겠습니까?

    물론, 관리자 계정이 무엇인지도 모르는 분들을 대상으로는 선생님께서 말씀하신 여러 프로그램이 "유용할 수는 있다"고 저도 생각합니다.

    그러나, 일반이용자 계정 권한으로 컴퓨터를 안전하게 이용하려 노력하는 user 까지 "강제로" 관리자 권한으로 컴퓨터를 사용하도록 강요하는 것이 과연 올바른 보안 일까요?

    보안은 기술이나, 프로그램으로 이룰 수 있는 부분보다는 올바른 이용습관으로 훨씬 더 바람직하게 이루어 질 수 있다는 것이 제 생각입니다.

    프로그램 몇개를 배포하고, 그 사용을 강제하기 위하여, "모든 이용자"의 이용습관을 엉망진창으로 만드는 것은 옳지 않다고 저는 생각합니다만...

    답글삭제
  15. 글마다 토를달면 좀 공격적으로 보이실테지만 엔지니어다보니 글을 잘쓰는데는 소질이 없으니..이해해주시면 감사하겠습니다.

    -------------
    user가 관리자 계정 암호를 설정해 두고, 일반 이용자 계정을 하나 만들어, 일반 이용자 권한으로 컴퓨터를 사용하는 경우, 공격자가 그 컴퓨터를 장악하려면, 관리자 계정 암호를 깨야 하지 않겠습니까?
    ---------
    실전에서는 암호는 깨는게 아님니다. 피해갈뿐..취약점이라던지 뭐던지...특히 Windows계열 OS의 경우에는 Users나 Administratos나 일단 내부명령이 실행가능하다라는 공격이 성공한 이후에는 그렇게 별 의미가없습니다. 일단 이건 뭐 논외구요..

    ==================
    운영체제를 제때 업데이트하고, 평상시에는 일반 이용자 권한으로 컴퓨터를 사용하는 경우, 별도의 보안 프로그램이 아예 필요 없지 않겠습니까?

    물론, 관리자 계정이 무엇인지도 모르는 분들을 대상으로는 선생님께서 말씀하신 여러 프로그램이 "유용할 수는 있다"고 저도 생각합니다.
    ===============
    동의합니다.

    일반 PC용 보안프로그램들은 말그대로 전혀 모르는 일반 사용자들의 기준으로 만드는게 정상입니다. 보호받아야할 사람들은 컴퓨터를 잘아는사람보다 모르는사람이 더 필요하기 때문이죠.

    보안프로그램은 그저 보안을 한층 더 강화하는것으로 봐야합니다. 어떤 제품도 100%막을수는 없다고 봐야합니다.
    =======================

    그러나, 일반이용자 계정 권한으로 컴퓨터를 안전하게 이용하려 노력하는 user 까지 "강제로" 관리자 권한으로 컴퓨터를 사용하도록 강요하는 것이 과연 올바른 보안 일까요?

    ===================

    보안은 기술이나, 프로그램으로 이룰 수 있는 부분보다는 올바른 이용습관으로 훨씬 더 바람직하게 이루어 질 수 있다는 것이 제 생각입니다.

    프로그램 몇개를 배포하고, 그 사용을 강제하기 위하여, "모든 이용자"의 이용습관을 엉망진창으로 만드는 것은 옳지 않다고 저는 생각합니다만...
    ======================

    이부분 역시 동의합니다.

    그런데 저나 다른 보안관련 사람들은 이부분에 동의를 하지않는게아닙니다.

    그 근거로 보안프로그램의 성능과 타 기술들간의 비교가 기술적으로 전혀 타당하지가 않으며 현 기술들을 일방적으로 무시한다는것에대해 화가 나있는겁니다.

    강제설치와 선택설치에 대한 문제는 보안쪽 사람들도 의견이 같으면 같았지 다르지는 않습니다.


    제가 뭐 보안쪽을 대표하는 사람도아니고 제가 보안관련 사이트에 올렸던 개인적인 생각을 그냥올리겠습니다. (그대로 올린거니 말투나 그런건 이해해주시기바랍니다.)

    --------------
    IE, ActiveX 종속적인 인터넷뱅킹 사용환경 문제.


    사용자에게 불편함을 주고 선택의 여지가 없는 보안관련 ActiveX 문제


    라는 큰 주제는 뭐 공감합니다.


    그런데 접근 방법이 잘못되었죠.


    왜 그 문제가 보안제품들의 문제인지...


    시장의 문제로 접근해야할 문제를 왜 그저 갑에서 원하는대로 만들어줄뿐인 보안제품에 어이없는 덤탱이를 씌우고...


    왜 그 기술들은 개무시를하고...더더욱 어이없는건 대안으로 제시하는 기술들은 더 어이가 없을 뿐이고...


    사용자가 IE를 대부분 쓰니 은행에서는 IE용으로 만들 뿐이고(타 브라우저는 구축/유지 비용대비해서 답이 안나오는상황이
    고..)


    보안업체들은 은행에서 IE용으로 만들어달라니 만들어줄 뿐이고


    감독기관에서는 은행들이 IE를 쓰니 그거에대한 지침과 감독만 하면되는거고...


    감독기관이나 국가가 특정브라우저를 사용하게 만들어라 하고 강제하는건 오히려 그 소수의 브라우저만을 지원하는 정책(특혜)이 된다는
    건 생각을 안하는건지...


    결국 사용자와 은행(영리업체)의 시장을 어떻게 개선시킬것인가를 논해야하는 부분에대해서 어이없게 보안제품을 까는지...


    공인인증의 경우에는 전자상거래시 국가나 국가가 허락한 기관을 통한 신원인증을 보증하겠다는 의미인데 법적인 부분이야 제가 잘 모르
    겠고...


    아무튼 접근방식과 근거들이 너무 어이가 없네요.

    답글삭제
  16. 중요한 인터넷 뱅킹 업무를 하면서 내가 관리자도 아닌 공용 컴퓨터에 무슨 프로그램이 어떻게 설치되어있을 줄 알고 그 컴퓨터를 신뢰하며 금융업무를 할 수 있는지 궁금합니다. 일반적으로 관리자 권한의 사용을 최소화 하고 일반 사용자 권한으로만 사용하면 악성코드의 설치라던가 사용자의 실수라던가 하는 문제가 줄어드는 것은 사실입니다. 또 아무 설명없이 '예' 만 누르도록 설명하는는 것이 위험한 것도 사실이고요. 하지만 내가 해당 컴퓨터를 속속들이 아는 것도 아니고 모든 권한을 가질 수 있는 것도 아닌 공용 컴퓨터에서 대체 뭘 믿고 금융 업무를 할 수 있는건가요?

    현 정책의 문제점 중 하나는 사용자가 원하지 않는데도 클라이언트 PC 보안을 은행쪽이 어느정도 책임져야 하는 정책적인 문제입니다. 그게 보안업체의 문제는 아니죠. 갑인 은행이(혹은 감독기관이) 을인 보안업체에게 '클라이언트 보안도 고려해주세요' 라고 하면 을이 어떤 선택을 할 수 있죠? 제가 본 역사로는 보안업체가 먼저 이런 방식을 제안하기 이전에 각종 사고 이후 갑이 먼저 이런 방식을 요구한 것으로 알고 있습니다.

    큰 취지에는 동의합니다. ActiveX를 '강요' 하는 환경은 분명 옳지는 못합니다. 하지만 그게 보안업체의 잘못은 아닙니다. 보안업체가 그런 환경을 이끌었다니요. 차라리 특정 환경에서 자주 다운되는 구현상의 오류를 걸고 넘어지면 모를까요.

    답글삭제
  17. 보안 업체 사람들이 우리 나라 보안의 향상을 위해서 노력하는 사람이다라는 시각을 가진다면 모든 문제들이 다르게 보일 것 같습니다. 제가 아는 보안 업체 개발자나 컨설턴트들은 정말 어려운 상황에서도 단지 그 일이 좋아서, 그리고 우리 나라 보안의 상황을 개선 시키는 것에 보람을 느껴서 하는 분들이 더 많았습니다.

    솔직히 돈을 벌어 보자고 하면, 보안 업계는 돈벌이가 안되는 곳중의 하나이죠.

    그에 비하면 미국은 정품 사용이 당연히 되는 경우가 많아서 그런지 보안 제품들 한 카피에 40불 50불, 비싸게는 70불씩 하는 제품도 곧잘 사서 사용합니다. 회사 입장에서는 조금 더 여유를 가지고 제품 개발을 할수 있는 입장이고, 정부가 이렇게 해라 저렇게 해라 개입하지 않으니 제대로 된 기술들을 구현해 낼 수 있는 것 같습니다.

    어떻게 보면 액티브 엑스 문제는 원인이 아니라 우리 나라 IT 정책 부재를 보여 주는 현상 중의 하나일 뿐이라고 생각합니다.

    답글삭제
  18. 아참 그리고, 오픈웹 운동에서 보안쪽 지식이 조금 허술한 것도 사실인 것 같습니다. 패스워드를 뚫어서 관리자 권한을 획득한다 이런 시나리오는 10년전 어디 문서에나 나올법한 내용입니다. 지금은 보안이나 해킹쪽이나 기술적으로 많이 발달해 있는 상황이죠. 사실 보안 전문가들 조차도 모든 트렌드를 따라 가기 힘들 정도이니까요.
    뭐, PS3로 인증서를 깬다든지, SSL트래픽을 중간에서 가로챈다든지, DNS를 포이즈닝 시키는 것 같이 상상 속에서나 생각했던 일들이 이미 작년 재작년에 실제로 일어 났습니다. 그리고, IIS에서 SSL 을 통한 인증과 관련해서 사소한 서버측 실수로 아무나 인증이 되는 취약점도 사실 불과 한달전에 있었죠. 여론화가 안되기 때문에 아는 사람만 알고 모르는 사람은 모르는 것 뿐입니다.

    답글삭제
  19. 작성자가 댓글을 삭제했습니다.

    답글삭제
  20. 에고, 바쁘다,
    버그트럭, 오픈웹, 김휘강님 블로그, 제 홈피
    왔다 갔다 하느라... ^^

    답글삭제
  21. 관리자 계정 암호 이야기는 물론, 이용자가 자신의 OS를 제때 업데이트 해 둔 경우를 전제로 한 것입니다. 보안 패치 업데이트를 제때 안하면, 암호아니라, 암호 할아버지라도 무슨 소용이 있겠습니까?

    업체 관계자분들은 이용자가 업데이트를 안하고 있다는 전제로 여러 대책과 해법을 이야기 할 수밖에 없음을 저도 이해합니다.

    그러나, 멀쩡히 잘하고 있는 이용자까지 그런 해법을 어거지로 강요하는 상황은 상식으로는 이해하기 어렵습니다. 그냥 은행이 원하니까 그랬다는 말 외에는 하실 말씀이 없다면, ... 실망입니다.

    답글삭제
  22. 예 업데이트 잘하면 괜찮았던 시절은 약 5년전쯤에 이미 지나갔습니다. 0데이라는 단어는 들어 보셨는지요? 0데이가 최근에 기하 급수적으로 늘고 있습니다. MS에서 이러한 취약점에 대해서 업데이트를 제공하는데에 걸리는 기간이 적게는 몇주에서 어떠한 경우에는 몇달까지 걸린 사례는 너무나도 많습니다. 그 경우에는 사실 모두가 공격의 대상이 되고 있는 것이죠. 얼마전 어도비사의 어크로밧 리더가 공격 대상이 되었고 익스플로잇이 이미 나왓는데도 불구하고 패치가 나오는데에 몇주가 넘게 걸린 사실은 알고 계신가요? 보안에 대해서 심도 있게 이야기 하려면 그 정도의 지식은 있다라는 전제를 가지고 있습니다.
    일반인들은 그러한 부분을 모르기에 하루 하루를 그냥 지내겠지만, 사실 인터넷 환경이 이렇게 불안한 적은 없었지요. 지금 이 순간에 보안 업체에 포착 되지 않은 익스플로잇들이 몇개가 있는지 아무도 모릅니다.

    답글삭제
  23. 한마디 더 덧붙이자면..

    ActiveX가 훌륭하다 좋다 라고 외치는게 아닙니다.

    ActiveX로 만들어진 보안 제품들이 당신들이 생각하는것처럼 그렇게 어처구니없는 제품이 아니며 근거로 되는 문제들이 기술적으로 틀린부분이 많다는겁니다.

    사실 대안으로 제시하는 방법들은 전혀 상황에 맞지 않거나 대체해도 보안적인 문제는 거기서 거기라는거죠.

    무슨 검증안된 10년전 기술이라던지..대체 그런건 무슨근거고...



    "그러나, 멀쩡히 잘하고 있는 이용자까지 그런 해법을 어거지로 강요하는 상황은 상식으로는 이해하기 어렵습니다. 그냥 은행이 원하니까 그랬다는 말 외에는 하실 말씀이 없다면, ... 실망입니다."

    뭐 이런부분에 있어서의 토론은 같이 생각해봐야겠지요.

    뭐 이부분은 보안업체들은 그래봤자 "갑"의 요구에 맞추어 제품을 제작, 납품하는 "을"의 회사일 뿐입니다.

    PC의 보안제품의 설치에대해 강제로할지 선택적으로할지에 대해 우리가 따지는건 아니고 그러한 논의는 환영할겁니다.

    그런데 비상식적으로 일단 쓰레기다 악마다 하면서 전제깔고 하는데 관련업계사람들이 어떤 시선으로 바라볼까요?

    답글삭제
  24. 모든 은행이 현재 사용하는 "보안카드"는 일종의 OTP 입니다. 키보드 로거로 보안카드 숫자 조합을 알아 낼 위험에 대비하여 "모든" 고객에게 관리자 권한으로 컴퓨터를 사용하도록 강요하는 것은 무모한 선택이라고 생각합니다.

    답글삭제
  25. 예 문제는 조합의 경우의 수가 너무 적다는 것이 아닐까요? OTP를 너무 맹신하지는 마세요. 거의 12-3년도 이전에 OTP와 관련한 논의들은 많이 있었습니다. 결론은 실용적으로 해킹이 가능하다는 것이구요. 공격 방법에는 여러가지가 있을 수 있겠지만, 현재의 보안 카드의 경우에는 경우의 수가 적으니 일단 샘플링을 통해서 공격할 가능성이 있지요. 그리고, 그 외에도 제가 본 공격 방법중에는 사용자와 동시에 모니터링 하는 키를 입력하면서 마지막 키는 순전히 추측으로 (10분의 1 확률이죠) 사용자보다 먼저 입력하는 식의 공격 가능성은 이미 십수년전에 제시 되었습니다.
    외국의 경우에는 그래서 그냥 OTP를 쓰기보다는 마스터 패스워드와 조합하고, 부가적인 패스워드를 더 사용하는 식으로 나가는 경우가 많지요. 그리고 최근에는 새로운 키를 일정시간마다 생성시키는 키가 가장 많이 사용되더군요. 하지만 그 부분도 해당 키 생성 알고리즘이 깨지는 경우에는 배포된 모든 키를 회수하고 재배포해야 하는 문제점이 있죠.
    결국 클라이언트 보안이 인터넷 뱅킹과 같이 맞물려서 시작된 이유라고도 볼수 있습니다.
    물론 저는 그 상황이 좋다라는 것은 아닙니다. 다만 그러한 배경이 있다라는 것이죠.

    답글삭제
  26. 안녕하세요 교수님.

    보안카드는 앞서 Matt 님이 댓글을 드린 것처럼 조합수가 너무 적습니다. 그저 비유이셨겠고, 이미 알고 계시겠습니다만 기존의 보안카드는 OTP 의 일종이라 보기엔 너무 약합니다.

    그리고 일정시간 key logger 를 이용해서 추출해 내서 악용당한 예도 있습니다. 그 사고 이후로 시리얼 몇번에 해당되는 난수를 넣는 방식에서 최소 2개 이상의 난수 중 앞2자, 뒷2자를 입력하도록 하여 조합수를 강제로 늘리게 되었죠.

    보안카드의 좋은 의미는 2 factor 인증에 있고, 보안카드 지급시 대면에 의해 물리적으로 clearance 를 은행 지점에서 했다는 점, 그리고 개인에게 지급된 보안카드 serial number 를 보관하고 있다는 점에서 좋은 의미를 둘 수 있습니다. 하지만 이미 난수가 static 하게 나와 있어서 일정기간 keylogger 에 의해 노출되면 무용지물이 됩니다.

    이것은 피씨에서 유저모드로 이용하고 계셨든 아니건 간에 발생할 수 있는 확률입니다. 또 피씨를 유저모드로만 동작시키면 훨씬 안전하다는 것도 비약이 있습니다. 기저에 OS 의 취약점이 존재한다면 피씨를 어느 권한으로 사용하든 이미 취약할 수 있습니다.

    이 전통적인 '보안카드' 만으로 충분하지 않기 때문에 일정금액 이상 이체시 'OTP토큰' 을 이용하여 2 factor 인증을 한번 더 태우게 한다거나, 키보드 보안 솔루션을 제공한다거나 악성코드 탐지를 위한 백신을 제공하는 것입니다.

    그리고 ActiveX 는 이 솔루션을 클라이언트 PC 에 전달하는 수단 중 하나일 뿐입니다. 물론 패키지 형태의 다운로드를 제공하는 금융회사들도 있습니다. 단 설치부터 로딩까지의 즉시성이 ActiveX 보다는 떨어지겠죠.


    보안툴이 PC에서 유저의 권한으로 동작하느냐, 관리자의 권한으로 동작하느냐가 악함을 판단하는 오픈웹의 논거 중 하나가 될 수 없다고 생각됩니다.

    그리고 ActiveX control 을 조건반사적으로 '예' 라고 하는 것이 보안회사의 문제로 인해 훈련되었다고 오픈웹 내의 많은 글들에서 호도되고 있는 것은 참 유감스러운 일입니다.

    ActiveX download 와 설치에 '예' 라고 훈련받게된 경로중 큰 영향을 준 것이 인터넷 뱅킹 및 보안 컨트롤들이라는 것에 대한 근거는 없습니다.

    도리어 인터넷 초기부터 어느사이트이건 간에 회원가입시 약관에 동의하도록 '예' 라고 훈련 받아온 것이 더 큰 영향을 주었다고 생각될수도 있겠네요.

    이 블로그에 오는 모든 분들 중, ActiveX 만에 의존적인 상황이 개선되어야 한다는 취지에 반대할 사람은 없습니다만, 현재의 오픈웹 내의 상당수 글은 너무 감정적이고 fact 에 의존적이지 않은 글들도 많다고 봅니다.

    >>>
    youknowit 덧글 내용...
    모든 은행이 현재 사용하는 "보안카드"는 일종의 OTP 입니다. 키보드 로거로 보안카드 숫자 조합을 알아 낼 위험에 대비하여 "모든" 고객에게 관리자 권한으로 컴퓨터를 사용하도록 강요하는 것은 무모한 선택이라고 생각합니다.

    2009년 4월 1일 (수) 오후 4:56

    >>>

    답글삭제
  27. 하룻동안 몸살에 걸려서 푹 자고 났더니 제 블로그 방문자 수가 증가하고 있네요. ^^

    처음뵙겠습니다. 보안밥을 먹고 사는 김휘강이라고 합니다.

    긴 세월간 비 Windows, 비 IE 에 대해 인터넷 뱅킹이 원활히 지원이 안되었더는 점에 대해 시장논리로 댓글을 다신 수많은 분들이 공격적인 댓글에 원글을 쓰신 분들이 기겁을 하시는 것이 많이 보여졌습니다. 소수의 은행들에서 타 OS 를 지원하는 경우도 물론 있습니다만.

    인터넷 뱅킹이 태동되고 각종 규정들이 만들어지던 시기에 IE 외 타 브라우저들은 그야말로 앞날을 점치기 어려웠던 시절임을 많이들 간과하고 계십니다.

    또 하필이면 은행들이 웹을 이용해서 뱅킹을 한것일까에 대한 근본적인 부분도 숙고가 더 필요한 것 같습니다. 당연히 1999~2000 당시에 유비쿼터스 라는 단어의 유행 때문에 웹으로도 해야지 라는 배경은 아니었겠죠. 비용절감도 나름의 화두였겠고, 인터넷과 결합한 서비스들의 증가추이도 원인중 하나였겠군요. 시작은 시장의 논리이지 공공재 성격의 공공서비스 논리가 아닙니다. 따라서 주요 지원 브라우저는 서비스 제공자가 재량에 맞게 선택할 수 있는 것이지 그것이 현재 오픈웹에서 다루어지는 것처럼 사악한 일들은 아닙니다. 고객들의 수요가 늘어나고 있다고 판단되면 자연스레 시키지 않아도 타 플랫폼과 타 브라우져를 지원하게 될 거고요. 정반합에 의해, 오래 걸리느냐 적게걸리느냐의 시간의 문제겠죠.

    잡설이 좀 길었습니다.
    댓글을 달고 싶었던 부분은 아래 부분입니다.

    >>>>
    박현우 :
    또한 공인인증서의 신원확인 기능 또한 온라인 상에선 id와 password와 동급으로 변해버립니다. 인증서와 그 암호는 (id와 password와 같이)쉽게 양도할 수 있으며, 결국 그것은 또다른(거추장스런) id일 뿐이죠.
    키보드보안, 방화벽, 안티바이러스 등은 언급할 필요가 없을 정도입니다. 도대체 관리자 권한이 뺏긴 컴퓨터에서 무엇을 한들 보안을 사수할 수 있단 말입니까.
    >>>>

    공인인증서의 2단계 2차 인증이 있었기 때문에 보다 보안이 강화될 수 있습니다. 일반적인 brute force 공격만으로는 뱅킹 id, password 를 웹을 통해서 알아낼 수 있겠지만 분리된 공인인증서 2차인증이 있으므로 방어력이 상당히 높아집니다.

    또 중요 transaction 시 공인인증서를 이용한 action 이 들어감으로써 법적인 의미를 전자적으로 부여할 수 있다는 강점이 있습니다.

    인증서의 id, password 를 또 양도할수 있다는 것은 전혀 논외의 이야기입니다. 그렇게 이야기 하면 오픈웹의 많은 글들에서 신뢰를 부여하고 있는 OTP발생 토큰도 양도 가능하죠.

    우리나라 인터넷 유저들의 보안마인드가 투철해서 키보드보안, 방화벽, 안티바이러스와 같은 자기 PC 를 보호해 줄 수 있는 솔루션을 자기 돈으로 구매해서 설치해서 쓰는 사람의 비율은 어느정도나 될까요? 희박합니다. 뱅킹 서비스 제공자 뿐 아니라 포탈들, 게임서비스 회사들에서도 고객들의 피씨 보안이 좋지 않음을 알기에 큰 비용을 들여 이런 솔루션들을 고객에게 제공해줍니다.

    예전에 현재 다니는 회사에서 3rd party tool 을 이용하여 보안패치 제공서비스를 고객들에게 무상으로 해주었었습니다. 보안패치 부분도 정품OS 가 아니어서 genuine 인증을 받지 못해서 service pack 내려받기를 못하는 사람들도 많이 있습니다. 물론 hotfix cluster 를 인증을 요하지 않는 link 를 하나하나 찾아서 설치하는 방법도 있겠습니다만 이런 이유로 (정품을 사용하지 않는 것도 원인중 하나가 되어) 대부분 인터넷을 이용하는 사람들 중에서 보안패치를 제대로 최신버전까지 유지하는 사람들도 비중이 높지 않습니다.

    위와 같은 사실들에서 고객들의 피씨 보안이 취약하다는 확률이 높을 때, 고객에게 제공해 줄 수 있는 보안수단은 최대한 제공해 주어야 합니다. 현재 법률이 뱅킹서비스프로바이더가 고객의 피씨보안도 care 하도록 유도하고 있고 판례들도 그렇게 나온 경우가 많기 때문입니다.

    할수 있는 한의 최선은 유저들에게 뱅킹서비스를 이용하는 동안은 조금이라도 더 보호받도록 주어진 현재에서의 최선인 보안솔루션들을 구동시켜 주는 방법이라는 이해를 할수 있습니다.

    제공해 줄거면 24x365 어느 페이지를 방문하건 쓸 수 있게 해주지 왜 뱅킹 웹을 방문할 때만 뜨고 사라지느냐? 라는 글들도 오픈웹에서 많이 보았는데, 이는 당연합니다. 시장질서 때문입니다. 어느 백신 개발사가 한번 제공되면 영구히 구동가능한 백신을 공급하려 할까요. 그렇게 하려면 뱅킹 서비스 프로바이더들이 백신, 키보드 보안, 방화벽을 자신의 웹을 통해 제공하는 대신에 보안솔루션 제조사에게 엄청난 보상을 해줄 수 밖에는 없습니다. 결국 이 비용은 고객에게 돌아가겠습니다만, 고객들의 마인드는 아직 보안을 위해 기꺼이 돈을 쓸 준비가 되어 있지 않습니다.

    일부 보안솔루션들이 왜 관리자 모드에서 동작하는가에 대한 부분은 효율과 관련된 기술적인 issue 이며 별도로 토론을 해볼 가치는 있겠습니다.
    다만, 오픈웹의 일부 글들에서 오해받고 있는 것처럼, 고객을 의도적으로 기만하거나 선택권을 삭탈했다거나, 은행과 보안회사들의 음모론이 들어가 있다거나 하지 않습니다.

    답글삭제
  28. 작성자가 댓글을 삭제했습니다.

    답글삭제
  29. 교수님 다른부분에 대해선 말을 별루 안하겠습니다. 별로 하고 싶지도 않고요..금융권 '갑'사의 대리가 '을'사의 부사장을 호출하여 면박을 주는 일이 비일비재한 상황에서 '갑'사의 요구에 '을'사가 거의 일반적으로 요구를 수용할 수 밖에 없는건 기정 사실입니다. 참 이 아이디는 제가 몇년전 안랩에 다닐때 만들었던 것이고 지금은 안랩이랑 전혀 연관 없습니다.

    답글삭제
  30. 안녕하세요,
    교수님의 글들은 종종 많은 이야기가 한번에 섞여서 표출되는 것 같습니다. 간혹 순수 보안 기술에 대한 부분과, 대한민국 인터넷 유저들의 보안에 대한 경각심과, 뱅킹서비스 프로바이더의 시스템에 대한 보안이 가끔 뭉뚱그려져서 '보안' 이라는 한 단어에 섞인다는 느낌을 받습니다. 이것이 교수님 글을 읽는 사람들이 영향을 받는 것중 하나일 것 같다는 생각을 해보았습니다.

    공인인증서를 가지고 있지 않음으로 인해 인터넷 뱅킹의 모든 서비스를 이용할 수 없는 것은 현재 규정상 어쩔 수 없는 부분으로 받아들여야 할 것 같은데요. 불편을 그래도 최소화 하기 위해 공인인증서 로그인을 하지 않아도 계좌조회를 할 수 있다거나 합니다. 일부 critical 한 transaction 에만 제한이 현재의 보안체계를 만족할 때에만 동작하도록 함이 논리상 옳고요. 내 PC 보안은 내가 잘 챙기는 expert user 이니 keyboard 보안툴이나 온라인 백신 프로그램 없어도 되는데 그 선택의 기회를 빼앗음으로 인해 뱅킹 이용에 지장을 받았다 라는 부분은 불편을 느끼신 것은 십분 이해 되지만, 뱅킹 프로바이더 입장에서는 대다수의 원격의 불특정 다수 이용자들은 피씨보안이 약한 상황일 수 있으니 은행에서 safeguard 로 제공하는 필요한 보안솔루션들을 모두 설치해서 동작하도록 하자라고 한 것 뿐입니다. 이것이 *MUST* 로 되어 있는 것은 은행이 고객의 보안을 책임져 줘야 하는 현상황 때문일 뿐입니다.

    그리고 이 상황 하에서는 setup 형태로 내려보냈건 ActiveX 형태로 내려보냈건 설치를 위해서는 관리자 권한이 필요하겠죠.

    바꾼다면 인터넷 이용자들이 책임감 있게 자신의 피씨 보안을 책임지는 형태로 바뀌고, 서비스프로바이더들에 책임을 경감시켜주는 상태로 된 후에야 가능할 거라 생각됩니다.

    미국 은행들 역시 수많은 phishing 과 계정도용, 계좌번호 누출 등 다양한 이슈를 겪고 있습니다. 미국 은행은 이렇게 편리함에도 한국보다 보안수준이 동일하거나 우수하다는 것은 드러난 증상으로 볼 때는 설득력이 높지 않다고 봅니다.

    오픈웹 내에는 본인들의 경험에 의거 해서 아마존 몇번 써보았는데 편리하고 좋더라. 또 사고도 안당했더라. 라는 단편적인 경험상 정보를 근거로 삼아 한국의 인터넷 뱅킹 보안은 형편없다고 하는 글들이 제법 눈에 띄는 것 같습니다만, 이 부분들은 오해를 바로잡아야 하지 않을까요?

    보안차원을 떠나서 많은 ActiveX 설치가 UX 를 해칩니다. 하지만 이러한 것이 일반 인터넷에서 그랬다면 기술적으로 후진적이고 고객에 대한 배려심이 형편없어서라 할 수도 있겠지만, 은행업무는 critical 한 보안이 필요하니 즉시설치와 로딩을 시키는 수단으로 ActiveX 기반의 보안솔루션을 선정한 것 뿐입니다. ActiveX 가 사악한 것이 아니라 오남용될때 사악하여 질 수 있겠지만 좋은 의도로 보안솔루션을 제공할 때 ActiveX 를 사용한 것은 어느정도 받아들일 필요도 있지 않을까 생각됩니다.

    물론 기술적으로 시대가 변하였고 비 IE 계열 사용자들도 늘어나고 있는 추세이니 개선을 요구하는 토론을 할 필요가 있습니다. 다만 우려스러운 것은 현재 오픈웹의 분위기처럼 흑백논리로 ActiveX 는 잘못, 이를 이용하여 인터넷 유저들이 우매하게 yes 를 클릭하도록 학습시킨 보안업체와 뱅킹 프로바이더도 잘못으로 호도되는 것은 매우 위험한 논리들입니다.

    그렇다고 제가 ActiveX 를 통한 배포가 개선의 여지가 없는 지금으로써도 완전완비된 것이냐는 말을 하는 것은 당연히 아닙니다. 개선의 여지가 충분히 있고 이제부터 개선책을 찾아볼 수 있겠습니다. 물론 은행들이 앞장서서 움직이려면 비 IE 브라우져 유저가 더 증가한다거나 하는 모티브가 있다거나, 인터넷과 인터넷의 일부 서비스는 공공재 성격을 두어서 누구나 제약없이 이용할 수 있게 해야겠죠.

    여기부터는 그저 꼬투리성 잡설입니다.

    교수님께서 예로 들어주신 부분은 방문하거나 체류하셨던 국가 중 특정국가의 특정 기관의 PC 의 guest 들이 쓸 수 있는 계정에 설치권한이 없기 때문일 뿐인데, 이런 공공 PC 들 역시 뱅킹과 같은 개인적인 민감한 일을 하라고 둔 PC는 아닐겁니다. 회사자산 또는 학교 자산 PC니까요. 공용피씨에 이것저것 개인적인 software 를 깔면 안되니까요. 필요한 application 이라고 IT manager 에게 요청해서 PC에 설치하는 절차를 밟으면 되겠죠.

    flex 나 실버라이트, 심지어 자바로 보안모듈을 제공했다 한들, 관리자 mode 가 아니고 피씨에 실버라이트나 JRE 가 설치되어 있지 않다면 똑같은 상황 아닐까요?

    물론 범용적인 소프트웨어가 아닌 한국의 알려지지 않은 왠 은행의 activeX module 이 설치되지 않는 것까지 IT manager 가 고려해줘야 하냐, JRE나 flex 는 더 범용적이지 않냐? 라는 답을 누군가가 한다면, 그것은 비단 인터넷 뱅킹만의 문제는 아니고 전세계 해외의 수많은 사이트들에서 activeX 를 설치해야 동영상을 본다거나 다운로드가 된다거나, 음악이 play 된다거나 하는 인터넷 서비스 전반의 문제로 확장될 수 있는 문제이지 현재 오픈웹이 타겟으로 콕 찝어서 하고 있는 뱅킹만의 문제는 아닙니다.

    요컨데 인터넷 뱅킹이 불편해서 사람들이 IE를 탈피하지 못한다라는 것은 약간의 비약이 있습니다. 이용 비중이 훨씬 높은 수많은 포탈이나 인터넷 사이트, 게임사이트들에서도 이용에 필수적으로 필요한 activeX control 을 배포하고 있습니다.

    결국 들으신 예는, 이 불편함을 제공한 것이 한국 보안의 현주소라거나 후진성을 상징하는 것은 아니라고 봅니다.

    더불어 어느나라에건 id:root, password:111111 이라고 공용피씨에 써붙인 PC들은 발견할 수 있고, 방문하시지 않으셨던 타 국가들에서도 뱅킹서비스가 ActiveX 를 필수적으로 사용하고 있고 공인인증서 역시 사용하고 있는 나라들도 있습니다. 그럼에도 이 나라들은 우리나라보다는 FireFox 나 비 IE 계열 브라우저 이용층이 더 많습니다. 물론 뱅킹 유저 비율이 우리나라보다 더 적어서 일수도 있습니다만.


    >>>>>>>>>>>>>>>>>>>
    youknowit 덧글 내용...
    외국에서 한국 인터넷 뱅킹을 사용하지 못하는 이유는 공인인증서를 가지고 오지 않았기 때문이 아닙니다.

    자기 컴퓨터를 들고 다니면, 어디에서나 한국인터넷 뱅킹을 할 수 있습니다("인터넷" 이니까요).

    그러나, 외국의 학교, 회사 등 다중 사용환경에 있는 컴퓨터는 절대로 개별 이용자가 관리자 권한을 가지고 주무를 수 있도록 방치되어 있지 않습니다. 따라서 한국 은행들이 내려주는 플러그인을 전혀 설치할 수 없습니다.

    그래서 못하는 것입니다. 인증서야 USB에 저장해서 다니지 않겠어요?

    한국 보안 기술의 결정적 "후진성"은 모든 사람들이 관리자 권한으로 컴퓨터를 주무른다고 전제하고 서비스를 설계하고 있다는 것이라고 저는 생각합니다.

    국내 보안 업체에서 오래 근무하신 분께서도, 일반 이용자 권한으로 인터넷 뱅킹을 할 수 없도록 설계하는 한국의 관행에 대하여, 자신은 "엔지니어니까 별 관심이 없다"는 대답을 하신다는 점이 바로 제가 지적하는 후진성입니다.

    우체국 인터넷 플라자 사업 아십니까? 리눅스 보급을 위한다는 "순진한 생각"으로 시행한 사업입니다. 우체국에 가보시면, 컴퓨터가 놓여 있고, 그 옆에 쪽지가 붙어 있습니다: "id: root 비밀번호: 111111"

    이런 일이 벌어진다는 것이 바로 국내 "보안"의 현재 수준입니다.

    2009년 4월 1일 (수) 오전 12:34
    >>>>

    답글삭제
  31. "타 국가들에서도 뱅킹서비스가 ActiveX 를 필수적으로 사용하고 있고"

    외국 인터넷 뱅킹 - 어떻게 하나 참조 바랍니다.

    저도 10년전, 리눅스를 처음 사용했을 때, "아무것도 모르고" root로 사용한 적이 있었습니다. 보안 전문가께서 공공PC에 root 암호를 게시하는 일이 아무렇지도 않다고 말씀하시는 것은 좀, 의외군요. 외국에도 그렇다... hmm...

    아무나 그 PC에 로그인해서, 프롬트에서 passwd 라고 치면, root 암호 변경할 수 있다는 것은 아시잖습니까. 그러고 나면, 그 다음 사람부터는 그 PC 사용못하지요... 물론, 그 외에도 엄청난 일이 벌어 질 수 있지요. 보안지식이 있으시니, 어떤일이 벌어질 수 있는지는 저보다 훨씬 잘 아시겠지요.

    적으신 내용 잘 읽어 보았고, 우리나라에서 "보안 업계"에 종사하시는 분들의 실상을 보다 더 알게되어 큰 도움이 되었습니다.

    답글삭제
  32. 교수님 안녕하세요. 타 국가 뱅킹현황 부분은 저도 꼼꼼히 살펴보도록 하고 필요하다면 추가적으로 덧글을 달도록 하겠습니다.

    >>>>>>>>>>>>>>>>>>>>>
    "타 국가들에서도 뱅킹서비스가 ActiveX 를 필수적으로 사용하고 있고"

    외국 인터넷 뱅킹 - 어떻게 하나 참조 바랍니다.
    >>>>>>>>>>>>>>>>>>>>>

    공공PC 에 id, password 가 게시되어 있는 것이 아무렇지도 않다고 한적이 없습니다만..? 공용PC 보안이나 패스워드 보안인식이 약한 것은 비단 우리나라의 현주소인 것만은 아니고, 공용 PC 에 id, password 관리가 허술한 것은 어느나라에서나 볼 수 있다는 이야기입니다. 다시 제 글을 보시면 의도를 아실 수 있으실 겁니다.

    >>>>>>>>>>>>>>>>>>>>>
    저도 10년전, 리눅스를 처음 사용했을 때, "아무것도 모르고" root로 사용한 적이 있었습니다. 보안 전문가께서 공공PC에 root 암호를 게시하는 일이 아무렇지도 않다고 말씀하시는 것은 좀, 의외군요. 외국에도 그렇다... hmm...
    >>>>>>>>>>>>>>>>>>

    외국에도 그렇기 때문에 우리가 그렇게 하는 것이 문제가 없다는 이야기는 당연히 아닙니다. 단편적인 예로 우리나라 보안 수준은 이정도라고 개탄해 하셨으나, 그런 상황은 더 보안이 완전하다고 염두에 두고 있는 해외도 마찬가지라는 뜻입니다. 오해 없으시길 바랍니다.

    >>>>>>>>>>>>>>
    아무나 그 PC에 로그인해서, 프롬트에서 passwd 라고 치면, root 암호 변경할 수 있다는 것은 아시잖습니까. 그러고 나면, 그 다음 사람부터는 그 PC 사용못하지요... 물론, 그 외에도 엄청난 일이 벌어 질 수 있지요. 보안지식이 있으시니, 어떤일이 벌어질 수 있는지는 저보다 훨씬 잘 아시겠지요.
    >>>>>>>>>>>>>>>>>>

    당연하지요 ;-)

    답글삭제
  33. 좋은 글 잘 읽었습니다. 제 블로그에도 관련 주제로 을 실었으니 참고가 된다면 좋겠습니다.

    답글삭제
  34. 방준영 님. 글솜씨가 너무 좋으신 것 같습니다. 좋은 글 잘 읽었습니다.

    답글삭제
  35. 오픈웹이 거처를 정하고 있는 서버가 주말 부터 계속 DDoS 공격을 당하고 있습니다.

    http://kldp.org/node/104379 참조.

    그 서버에는 다른 웹사이트들도 많이 있으므로, 오픈웹 때문에 일어나는 공격이라면, 그 분들께 죄송스럽습니다.

    따라서, 당분간, 구글 그룹으로 피난가 있겠습니다. http://groups.google.co.kr/group/open-web

    만일 오픈웹에 최근 게시된 글들에 대한 앙심을 품고 이런 일이 벌어졌다면, 그것은 국내 보안업계 종사자 전체에게 심각한 누가 되는 일이라는 사실은 알고계시면 좋겠습니다.

    답글삭제
  36. 작성자가 댓글을 삭제했습니다.

    답글삭제
  37. 웹은 그 접근성때문에 널리 보급되었고,
    접근성을 빼면 시체입니다.

    반면 그 접근성때문에 보안이 취약했고,
    그것을 보충하기위한 장치들이 나왔죠.

    그중에 유명한것이 HTTPS프로토콜이고
    여기에 다양한 암호화방법과 인증방법을 결합하여 제공하는 방법이 나오고 보안성과 접근성을 동시에 충족시키려고 하였습니다.

    그런데 ActiveX는 어떤가요? 오히려 웹의
    접근성을 떨어뜨리게 만드는 주범이 되었습니다.
    오로지 M$ PC플랫폼에만 종속되는
    기술이 널리쓰이게 되고,
    우리나라는 ActiveX의 천국 M$천국 불신 지옥이 되고맙니다.

    오픈웹은 사실 국내 인터넷뱅킹 관련 보안업체와 싸우기위한 것이 그 태생이 아니지요.
    웹을 웹답게 만들고, 플랫폼 비종속적인 웹환경이 그 촛점이 있습니다. 그러나 작금의 인터넷뱅킹은 그 접근성에 반하고 있고, 어쩔 수 없이 M$ 종속적인 ActiveX를 비판할 수 밖에 없었겠죠.

    이러한 접근성에 관한 문제는 이제
    iphone이라던가 다른 서로다른 모바일 운영체제가 급속도로 발전함에 따라서 또 다른 시장을 형성하게 될것입니다. 그때에는 어쩔 수 없이 ActiveX가 아닌 새로운 무엇이 개발되고 서서히 ActiveX를 대체해 나아가겠지요.


    아무튼 이러한 접근성과 보안성을 동시에 충족하기 위해서는 어쩔수 없는 trade off가 발생하게 될텐데 그러한 trade off를 최소화 하는 방안을 논의해보자... 그것이 이번 오픈웹 사건(?)의 시작이라고 보셔야 합니다. 그리고 그러한 문제의식이 왜 내놓으라는 보안관련 업체에서 지적하지 않았느냐.. 왜 이런 논의를 오픈웹에서 시작할 수 밖에 없었느냐 혹은 왜 그런 논의를 오픈웹에서 하느냐는 식의 반응이 문제의 핵심은 계속 비켜가면서 싸우는 형국이 되어가는 것 같습니다.

    답글삭제
  38. @youknowit

    교수님, 정보 감사합니다. 추후 글들은 openweb google groups 에서 읽어보도록 하겠습니다.

    다만,

    "만일 오픈웹에 최근 게시된 글들에 대한 앙심을 품고 이런 일이 벌어졌다면, 그것은 국내 보안업계 종사자 전체에게 심각한 누가 되는 일이라는 사실은 알고계시면 좋겠습니다."



    이 저에게 남기시는 댓글이거나, 혹 저를 one of the suspects 로 생각하고 계신거라면, 적절치 않으신 듯 합니다.

    답글삭제
  39. @ wkpark
    안녕하세요 김휘강입니다.
    댓글 감사드립니다.

    저 역시 openweb 의 취지는 잘 알고 있습니다. 또 좋은 뜻에서 시작하신 것도 잘 이해하고 있고요. ;-)

    저도 오픈웹 내의 글들 중 과도한 오해를 바로잡고자 글을 쓴 것이지, ActiveX 로 인해 접근성이나 사용자 경험(UX)이 해쳐질 수 있는 상황이 좋다고 생각되지는 않습니다.

    이 부분은 NamX 님이 구 openweb site 에서 인터넷이 공공재냐 라는 화두 제기를 해주셨던바도 있고, 시장논리도 무시할 수 없다는 오픈웹 내의 화두들도 같이 경청해야 할 부분일 것 같습니다.

    순수히 기술만을 이용하여 개선하는 작업도 가능하겠지만 시간이 오래 걸릴 것이라 생각하고요. 무언가 기술 외적인 지렛대가 필요한 시점이라고 봅니다.

    오픈웹의 움직임도 이런 지렛대중 하나로 될 것이구요. 다만 너무 일방적이거나 비난조의 글들만 없다면 건전하게 논의하는데 큰 도움이 되어서 지금보다 훨씬 많은 분들이 도움드리지 않을까요 ^^. 제가 우려한건 단지 너무 일방통행적인 면이나 과도한 비난이 들어간 것들에 대한 것들이라고 보시면 될 것 같고요. 은행권의 입장도 경청해 보심이 좋을 것 같습니다.

    저야 보안일을 하지만 보안회사에 근무하는 것은 아니고, 은행권에서 보안일을 하고 있는 것이 아니니 좀더 발언에 자유가 있습니다만, 현업 사정상 자유로이 의견개진을 하지 못하신 전문가들도 있으실 겁니다.

    좀더 부드러운 분위기가 되면 그분들도 오시겠지요.

    모든 것은 정/반/합에 의해 발전과정을 거칠 것입니다. ActiveX 를 대체하면서도 현재 금융권이 고민하는 사항들 (고객 피씨 보안을 어느정도 담보해 줘야만 한다는 점)을 완화시킬 수 있는 기술이 더 나이스한 것이 나온다면 누가 뭐라고 안해도 자연스레 이는 해결될 것 같습니다.

    답글삭제
  40. @ youknowit

    교수님.
    좀 전에 "제 블로그 관련 오해 해프닝" 글에 덧글 달아주신 것 잘 보았습니다.

    선뜻 사과를 해주신 다는 것이 사람 누구에게나 있어 쉬운 일은 아니라 생각되는데요, 배려해 주셔서 감사합니다.

    항상 밤낮없이 토론에 댓글을 하시며 바쁘시던데요, 건강 조심하시고요.

    좋은 하루 되십시오.

    답글삭제