ClickShare 취약점은 패치되었을지 모르지만, 이는 훨씬 더 큰 문제를 가리고 있습니다

이 기사는 DevOps.com에 게재되었던 내용을 바탕으로 작성되었습니다. 본 사이트의 배포를 위해 업데이트되었으며, 취약점 챌린지로 연결되는 대화형 링크가 포함되어 있습니다.

회의나 컨퍼런스에서 프레젠테이션 기술 문제로 당황했던 경험은 누구나 한 번쯤 있을 것입니다. 워낙 흔한 일이라 처음에는 다소 매끄럽지 못한 상황을 어느 정도 예상하게 마련이죠. 그렇기에 ClickShare의 매끄러운 앱이 최종 사용자들에게 즉각적으로 큰 인기를 끈 것은 놀라운 일이 아닙니다. 사용자 입장에서는 ClickShare 애플리케이션을 사용하여 노트북, 태블릿, 스마트폰의 프레젠테이션 화면을 대형 스크린이나 회의실 프로젝터로 바로 띄우는 것만큼 간편한 방법은 없기 때문입니다. 벨기에의 디지털 프로젝션 및 이미징 기술 공급업체인 Barco는 자사의 자동화 플랫폼을 바로 이러한 방식으로 설계했고, 대기업들은 이 개념을 적극적으로 받아들였습니다. FutureSource Consulting에 따르면 Barco의 컨퍼런스 기술 시장 점유율은 29%에 달하며, 포춘 1,000대 기업의 40%에 통합되어 있습니다.

F-Secure 연구원들이 지난 12월, 이 겉보기에 무해해 보이는 자동화 플랫폼에 보안 취약점이 가득하다는 사실을 밝혀내자 비즈니스 업계는 큰 충격에 빠졌습니다. 발견된 보안 결함은 본질적으로 매우 치명적이며, 다양한 악의적 활동에 악용될 가능성이 있습니다.

연구원들은 이 취약점을 통해 원격 사용자가 활성 프레젠테이션을 엿보거나, 보안 네트워크에 백도어를 생성하거나, 심지어 Barco 기기에 연결하는 모든 사용자를 감염시킬 수 있는 스파이웨어 배포 서버를 구성하는 방법까지 시연했습니다.

"한 대의 기기를 성공적으로 해킹한 공격자는 동일 제품군 내부는 물론 다른 제품군에 대해서도 유효한 암호화 이미지를 해독하고 생성할 수 있는 권한을 얻게 됩니다."라고 F-Secure 관계자는 보고서에서 밝혔습니다. "나아가 이러한 공격자는 구성된 Wi-Fi PSK 및 인증서와 같이 저장된 민감한 데이터에도 접근할 수 있습니다."

다행히 Barco는 자사 제품에서 발견된 취약점에 대해 매우 신속하게 패치와 수정 사항을 배포하며 적극적으로 대응하고 있습니다. 보안 업체인 Tenable이 최근 발표한 보고서에 따르면 Barco를 포함한 8개 프레젠테이션 도구에서 15개의 취약점이 발견되었습니다. 2월 기준으로, 이 중 수정 사항을 배포한 곳은 Barco가 유일합니다.

일부 Barco 취약점은 하드웨어 변경이 필요하지만(기업이 이를 해결하기 위해 하드웨어 교체까지 나선다면 배포 과정에서 큰 어려움을 겪을 것입니다), 다행히 많은 부분은 소프트웨어 패치로 수정이 가능합니다. 이는 대부분의 기업 사용자에게 당면한 문제를 해결할 수 있는 좋은 방안을 제시하지만, 그렇다고 해서 완전히 안심할 수 있는 상황은 아닙니다. Barco의 사례는 유명 하드웨어 및 소프트웨어 제품의 취약점을 다루는 데 있어 빙산의 일각에 불과하기 때문입니다.

문제의 근원

이제 당면한 문제는 해결되었지만, 왜 심각한 보안 결함을 가진 기기들이 전 세계 수천 개의 회의실에 설치되었는지, 그리고 애초에 왜 그렇게 설계와 프로그래밍이 부실했는지 물어야 합니다. F-Secure 팀이 제로데이 취약점이나 이전에 알려지지 않은 취약점을 발견한 것이 아니기 때문입니다. Barco 제품에서 발견된 10개의 결함은 코드 주입 공격과 같이 잘 알려진 일반적인 취약점과 관련이 있었습니다. 대부분은 이미 CVE(Common Vulnerabilities and Exposures) 식별 번호가 부여된 것들이었습니다.

그렇다면 수십 년 된 CVE가 어떻게 현대적인 프레젠테이션 도구에 코딩되거나 하드웨어 수준에서 포함될 수 있었을까요? 유일한 답은 개발자가 이를 인지하지 못했거나, Barco 기기를 설계할 때 보안이 우선순위에서 밀려 있었다는 것뿐입니다. 안타깝게도 이는 흔한 상황이며, 결코 Barco 팀만의 문제는 아닙니다.

취약점을 수정하기 가장 좋은 시기는 애플리케이션 개발 단계, 즉 사용자에게 배포되기 훨씬 전입니다. 가장 나쁘고 비용이 많이 드는 시기는 제품이 배포된 후, 혹은 공격자에게 악용된 후입니다. 이는 뼈아픈 교훈이며, 이번 보안 사고로 인해 한때 난공불락이었던 시장 점유율에 타격을 입게 된 Barco 역시 확실히 깨닫게 될 것입니다.

보안 수정 작업을 개발 프로세스 초기 단계로 앞당기는 것은 쉽지 않지만, 프레젠테이션 도구처럼 단순해 보이는 기기조차 놀라울 정도로 복잡하고 모든 것이 네트워크로 연결된 오늘날의 환경에서는 반드시 필요한 일입니다. 이러한 환경에서 보안은 조직의 모범 사례가 되어야 합니다. 소셜 미디어 앱을 프로그래밍하는 기업이든 스마트 토스터를 제조하는 기업이든 상관없이, 조직의 모든 측면에서 보안을 고려해야 합니다.

보안 모범 사례를 우선시하고 이를 공동의 책임으로 만드는 것이 바로 DevSecOps 운동의 목표입니다. 개발, 보안, 운영 팀이 협력하여 안전한 소프트웨어와 제품을 코딩하고 배포하는 것이죠. 이는 무엇보다도 문화적인 변화를 필요로 합니다. 이제는 보안 취약점이 있는 제품을 배포하는 것이 기본적인 기능을 수행하지 못하는 제품을 만드는 것만큼이나 큰 실패라는 새로운 사고방식이 필요합니다.

건전한 DevSecOps 환경에서는 소프트웨어를 다루는 모든 사람이 보안을 의식해야 하며, 개발자는 자신의 작업에 치명적인 버그가 유입되지 않도록 관련 교육을 자주 받아야 합니다. 만약 Barco의 팀들이 보안을 공동의 책임으로 인식했다면, 수십 년 된 CVE를 포함한 그토록 많은 취약점이 프레젠테이션 도구에 포함되는 일은 결코 없었을 것입니다.

안전한 미래를 위한 길

누구도 다음 Barco가 되어 전 세계 수천 개의 기업 네트워크에 잘 알려진 보안 결함이 있는 기기를 배포한 이유를 해명해야 하는 상황에 처하고 싶지는 않을 것입니다. 이러한 운명을 피하기 위해 소프트웨어나 스마트 하드웨어를 개발하는 기업은 즉시 보안을 공동의 책임이자 조직의 모범 사례로 우선순위에 두어야 합니다. 건전한 DevSecOps 프로그램을 구축하는 데는 시간이 걸리고 문화적 변화도 필요하겠지만, 그 결과는 노력할 가치가 충분합니다. 강력한 DevSecOps는 취약점이 문제를 일으키기 훨씬 전에 이를 제거할 수 있습니다.

제품과 소프트웨어를 구매하는 기업 입장에서는 DevSecOps를 도입한 업체를 지원하는 것이 최선의 이익입니다. 그렇게 하는 것만으로도 구매한 기기와 소프트웨어가 점점 더 숙련되는 공격자들에게 악용될 시한폭탄이 되지 않도록 하는 데 큰 도움이 될 것입니다.

DevSecOps에 대한 더 많은 정보와 보안 결함 및 취약점으로부터 조직과 고객을 보호하는 방법을 Secure Code Warrior 블로그 페이지에서 확인해 보세요.

Barco가 겪었던 보안 버그에 대해 자세히 알아보고 싶으신가요?

다음 게임화된 챌린지를 플레이해 보세요:

• C 언어의 OS 명령 삽입
• C 언어의 원격 코드 삽입
• C 언어의 버퍼 오버플로우
• C 언어의 원격 파일 업로드
• C 언어의 일반 텍스트로 저장된 자격 증명