|
초유의 전산마비 사태와 『안랩』
미래경영연구소
연구원 함용식
지난 20일, 우리는 이 나라의 주요 방송국과 금융기관 전산망이 약 2시간 동안 마비되는 초유의 사태를 겪었다. 전문가들은 이번 전산망을 마비시킨 공격 형태는 지능형 지속 해킹(APT:Advanced Persistent Threat)으로 보이며, 이것이 맞을 경우 북한의 관련성이 매우 커진다고 말했다.
그런데 본인은 북한의 개입 여부에 앞서 국내 보안 업계의 고질적 폐단을 먼저 짚고 넘어가지 않을 수 없다. 왜냐하면 북한의 사이버 테러 개입은 그 사실이 증명된다 해도 대처 방안이 별로 없는데 반해, 우리 내부의 문제점은 국민과 정부의 자각만 있으면 바로 개선 가능하기 때문이다.
이 개선해야 될 문제는 기술적 문제와 시장독점 문제로 나눠진다.
1. 한국 컴퓨터 보안업계의 고질적 기술 문제 : Active X
인터넷을 하는 중에 누구나 위의 그림과 같은 창이 뜨는 것을 본 적이 있을 것이다. 이런 것이 바로 Active X라고 하는 것으로, 이것은 MS의 인터넷 익스플로러와 일반 어플리케이션을 연결하는 프로그램이다. 그런데 이게 왜 문제인가? 대부분의 악성코드가 바로 이런 Active X의 형태로 우리들의 PC를 감염시키기 때문이다.
그런데 진짜 문제는 지금부터 설명해야 할 것인데, 안랩으로 대변되는 한국 백신 보안업계가 이 구식 프로그램 Active X에 편승하여 돈을 벌어왔고, 이런 방식이 꽤 편했는지 별다른 기술 개발 없이 10년 넘게 안주해온 것이다.
좀 더 구체적으로 말하자면, 안랩을 위시한 국내 대부분의 보안업체가 『공인인증서』라는 1990년대 말의 Active X 기반 기술에 올인 한 채, 10년 넘게 국민들에게 해당 보안 방식을 강요해왔던 것이다. 이로 인해 전 국민들은 위 그림과 같은 보안 경고 창이 뜨면 “예”를 누르라고 끈질기게 세뇌당하게 되었다. 결국 사람들 속에 무의식적으로 스며든 이런 습관(무조건 “예”를 누르는)이 며칠 전 초유의 전산 마비 사태로까지 연결되었다고 봐야한다.
보안에 취약한 안랩의 Active X 고수 방식에 대한 염려는 지난 몇 년 동안 수 차례 제기되어 왔었다. 그 중 대표적인 글 하나만 올려본다.
위의 공개 질의 내용을 요약하면 아래와 같다.
① 공인인증서는 보안 효과가별로 없다.
② 그럼에도 불구하고 안랩은 이런 구닥다리 방식을 고집하는 이유가 무엇인가?
③ 이로 인해 신기술의 우수한 업체가 국내 보안 시장에 진입하지 못하는 현실에 대해서 안철수 교수는 어떻게 생각하는가?
안철수는 한 동안 이에 대해 묵묵부답 하다가, 대선 출마를 선언하며 드디어 이 문제를 언급하기 시작했다.
그러나 이는 참으로 뻔뻔한 태도가 아닐 수 없다. 왜냐하면 공인인증서로 대표되는 정부의 일률적인 보안 정책에 대한 가장 큰 책임은 『안랩』에 있기 때문이다. 안랩이 기업·관공서 보안시장의 60% 이상을 독점하고 있는 상황에서 이러한 Active X 기반의 공인인증서 정책을 유도하고 주도했을 가능성이 가장 큰 업체는 당연히 안랩 자신이었다.
2. 기업·관공서 보안 시장을 독점한 안랩
현재 한국의 컴퓨터 보안 시장은 연 2,500억원 규모로 예상되며 안랩의 연 매출은 대략 1,000억원 정도이다. 이와 같이 한국 전체 보안 시장에서의 안랩 점유율도 40%로 막강하지만, 특히 전체 보안 시장 중 가장 규모가 큰 기업·관공서보안 시장에서 안랩의 점유율은 대략 60% 정도로 알려져 있다. 이것은 사실상 완전 독점에 가깝다.
게다가 일반적으로 자사 컴퓨터 보안에 있어서, 보안 업체에서 깔아주는 보안 프로그램에 전적으로 의존하는 것이지, 일반 기업이나 관공서의 어느 누가 악성코드나 바이러스에 대한 대응을 전문적이고 주도적으로 강구할 수 있는가? 따라서 지난 10여 년간 기업/관공서들이 국민들에게 무의식적으로 강요했던 Active X 기반 『공인인증서』 체계가 고착된 가장 큰 책임은 『안랩』에 있었다고 봐야한다.
물론 정부의 책임이 아주 없다 할 수는 없다. 왜냐하면 정부는 『백신 애국주의』라는 기치 아래 안랩이 주도하는 일률적인 공인인증서 보안 체계를 10년 넘게 아무 의심 없이 수용하였고, 정부의 이런 안일함은 보안 기업들이 새로운 보안 기술 개발에 나서기 보다 기존의 방식에 안주하게 만들었다. 좀 더 적나라하게 표현하자면, 같은 기술에 그 나물에 그 밥이니 보안 업체들은 기술 개발보단 보안 정책 담당자나 관공서 전산 담당자에 대한 로비에 치중하게 된 것이다.
이런 결과 안랩을 비롯한 국내 보안 업체들의 기술력은 국제 무대에서 여전히 B급으로 취급된다.
3. 온리(Only) 국내용백신
안랩의 대표이사 김홍선은 해마다 해외 수출률 30%(전체 매출에서차지하는 비중) 달성을 외쳐왔지만, 2009년 수출 85억에서 정점을 찍은 후, 2010년 32억 2011년 21억으로 하강 곡선을 그리고 있으며, 수출이 100억을 넘은 적은 한번도 없었다. 이는 국내의 많은 소프트웨어 업체들, 특히 게임 업체들이 해외 수출에서 승전보를 올리는 상황과 그게 대비된다.
이것은 VB100(바이러스 블러틴 테스트)으로 알려진 국제 바이러스 인증 현황에서도 드러난다. 안랩은 그동안 VB100 인증을 통과할 때마다 대대적으로 홍보하며 자신의 기술력을 어필해 왔지만, 이는 부분 사실 공개에 의한 전체 사실 호도의 측면이 다분했다.
왜냐하면 안랩은 29번의 테스트 중에 17번을 성공하여 60%가 안되는 성공률을 보여줬지만, 세계 유수의 보안 업체 Avast, ESET, Symantec 등은 모두 90~98%의 성공률을 기록하고 있기 때문이다.
옵스와트라는 대표적인 백신 테스트 기구에서 발표한 테스트 결과를 보면 그 기술력의 차이가 더욱 확실히 드러난다.
|
Avast(총점 : 14점) 보호능력 4.5, 치료능력 4.5, 편의성 5.0
AVG(총점 : 14점) 보호능력 5.0, 치료능력 4.0, 편의성 5.0
Avira(총점 : 13.5점) 보호능력 4.5, 치료능력 4.0, 편의성 5.0
MSE(총점 : 10점) 보호능력 1.5, 치료능력 3.0, 편의성 5.5
* V3(총점 : 8.5점) 보호능력 3.0, 치료능력 2,0, 편의성 3.5 |
4. 이번 사태를 한국 보안 체계 혁신의 기회로 삼아야
2009년 7월, 청와대·백악관 등 한·미 35개 주요 사이트에 대한 디도스 공격이 있은 후, 2011년 3월엔 청와대·국정원·금융사 등 40개 주요 사이트에 대한 디도스 공격, 2011년 4월엔 농협 전산망 악성코드 침투에 의한 인터넷뱅킹·ATM 전면 중단사태, 2012년 6월엔 중앙일보 홈페이지 변조 및 신문제작 데이터 삭제 등, 그 동안 총 7만 건이 넘는 주요 국가기관 전산망에 대한 사이버 테러가 자행되어 왔다.
이런 상황에서 『백신 애국주의』에 함몰되어 세계적 기술 수준에 못 미치는 국내 업체나 그런 업체가 주도하는 구식 보안체계를 고수하는 것은 참으로 위험하고도 어리석은 생각이 아닐 수 없다.
100% 믿을 수는 없겠지만, 미국의소포스 연구소라는 보안 업체가 지난 20일 우리나라를 진동시킨 그 악성 바이러스를 이미 1년 전에 탐지했다고 발표하기도 했다.
또한 중국의 경우, 『황금방패』로 알려진 중국 공안당국 산하의 거대 보안업체가 막대한 인력과 자금력을 지원 받아 국가 전산망 방어는 물론 외국에 대한 공격적 해킹도 주도한다는 이야기가 공공연하게 흘러나오고 있다.
어쨌든 이 기회에 우리나라의 전산망 보안에 대한 국가적 차원의 논의가 있어야 한다. 모든 관공서에 적용되는 Active X 기반 공인인증서 시스템을 완전히 바꿔버리든, 국내외의 기술력 있는 모든 업체에게 한국 보안 시장을 완전히 개방하든, 아니면 중국과 같은 국가 주도형 보안 체계를 확립하든 말이다.
어제 본 사태에 대해, 하우리는 “책임을 통감한다.”고 말했고, 안랩은 아직 “조사중”이라고만 답했다. 보험회사의경우, 이런 사고가 발생할 때 최소한 금전적 보상이라도 해주지 않은가?
| 
(펌) 어제 표결이 신의한수였…