프라이버시와 보안을 혼동하는 치명적인 실수

최근 장거리 비행을 하면서 팟캐스트 에피소드를 정말 엄청나게 몰아서 들었습니다. 다양한 시리즈를 꾸준히 챙겨 듣다 보니, 스마트폰 화면만 몇 번 터치하면 일방적이긴 해도 흥미진진한 대화를 언제든 즐길 수 있어 지루할 틈이 없었죠.

그러다 범죄 실화 팟캐스트인 Casefile의 한 에피소드를 듣게 되었습니다. 이름 없는 진행자의 음산한 목소리가 인상적인 이 드라마틱하고 거침없는 시리즈는 기술 전문가들조차 매료시키는 주제, 즉 딥웹과 불법 거래 사이트 '실크로드(Silk Road)'의 충격적인 부상을 다루고 있었습니다. 2부작으로 구성된 이 에피소드는 실크로드의 흥망성쇠를 아는 사람들에게도 흥미로운 내용이었지만, 팟캐스트는 손에 땀을 쥐게 하는 서사로 모든 세세한 부분까지 파헤쳤습니다.

실크로드: 딥웹의 던전에서 얻은 교훈

실크로드의 내막을 잘 모르시는 분들을 위해 요약하자면, 한 남자가 일반인의 눈을 피해 특수 소프트웨어(Tor 브라우저) 없이는 접속할 수 없는 딥웹에 거래 사이트를 만든 사건입니다. 처음에는 직접 재배한 환각 버섯만 팔았지만, 하룻밤 사이에 마약부터 불법 무기, 도난 신용카드 정보까지 거래되는 거대 시장으로 변모했습니다. 자세한 내용은 여기서 확인하실 수 있습니다. 사이트 운영자는 영화 '프린세스 브라이드'에서 따온 '드레드 파이럿 로버츠(Dread Pirate Roberts)'라는 가명을 사용했습니다. 그는 누구든 될 수 있었고, 동시에 아무도 아니었습니다. 모든 사용자는 익명으로 불법 상품을 거래했고, 이 과정에서 비트코인은 '마약 거래용 화폐'라는 오명을 쓰게 되었습니다(최근에야 겨우 벗어나고 있지만요).

하지만 드레드 파이럿 로버츠의 반체제 실험은 통제 불능 상태가 되었습니다. 곧 청부 살인업자들이 서비스를 광고하기 시작했고, 온갖 범죄가 판을 쳤습니다. 그는 상상할 수 없는 막대한 부에 취해 전 직원을 제거하려고 청부 살인까지 시도했습니다. 결론적으로, 이런 어리석은 결정들이 그의 몰락을 앞당겼습니다. 결국 로스 울브리히트라는 본명이 밝혀졌고, 그는 현재 미국 교도소에서 가석방 없는 종신형에 40년을 더해 복역 중입니다.

그렇다면 모든 것이 완벽하게 비공개로 익명 처리되었는데 어떻게 잡힌 걸까요?

단도직입적으로 말하자면, 그는 코딩 실력이 형편없었습니다. 실크로드 사이트 자체는 바다에 떠 있는 구멍 난 배와 같았습니다. 불법 활동의 중심지였음에도 보안은 엉망이었고, 기회주의적인 해커들의 먹잇감이 되기 딱 좋은 상태였죠. 사실 거대 불법 마약 사업의 수장이 유능한 직원을 구하기란 쉽지 않았을 겁니다. 그는 자신의 실력 부족을 숨기지도 않았습니다. 심지어 본명으로 스택 오버플로우(Stack Overflow)에 글을 올려 PHP의 Curl을 사용해 Tor와 사이트 코드를 연결하는 방법을 묻기도 했습니다. 글을 올린 지 1분도 안 되어 'frosty'라는 아이디로 바꿨지만 소용없었습니다. 오히려 실크로드 서버의 암호화 키 끝에 'frosty@frosty'라는 문자열이 남으면서 FBI에게 덜미를 잡히는 결정적인 증거가 되었습니다.

암호화된 메시지와 화폐, 배송 시 보안 지침 등 프라이버시를 위한 엄청난 노력에도 불구하고, 이 사이트는 울브리히트가 꿈꿨던 자유지상주의의 난공불락 요새가 아니었습니다. FBI에 고용된 프로그래머들은 차근차근 사이트를 해체하여 사이트에서 거래한 수천 명의 신원을 포함한 모든 정보를 밝혀냈습니다. 수년 전 불법 물품을 구매했던 사람들은 지금도 언제 법의 심판을 받을지 모르는 불안에 떨고 있을지도 모릅니다.

FBI는 문서를 통해 실크로드에 침투한 방법을 공개했는데, 핵심은 IP 주소 유출이었습니다. 실크로드 로그인 페이지의 설정 오류로 인해 서버의 IP 주소와 물리적 위치가 노출되었고, 복잡한 해킹 기술조차 필요 없었습니다. 확실히 초보적인 실수였고, 이 실수가 FBI를 로스 울브리히트에게로 곧장 안내했습니다.

일각에서는 이 결함이 실제로 존재했다면 사이트를 모니터링하던 수많은 보안 전문가들이 진작 발견했을 것이라는 의문도 제기합니다. 호주 보안 컨설턴트인 닉 쿠브릴로비치(Nik Cubrilovic)는 WIRED와의 인터뷰에서 해당 결함이 존재하지 않았다고 주장합니다:

"Tor 사이트에 접속해서 Tor 노드가 아닌 서버의 주소를 볼 수 있는 방법은 없습니다. 배심원이나 판사가 믿게 하려는 FBI의 설명은 기술적으로 전혀 말이 안 됩니다."

쿠브릴로비치는 FBI가 불법 해킹을 통해 정보를 얻었을 가능성을 시사합니다. 그 방법으로 거론되는 것이 SQL 인젝션인데, 이는 이후 많은 사이트에서 충분히 가능한 추출 방식으로 논의되어 온 확인되지 않은 소문입니다.

FBI의 수사 방식에 대한 법적 논란은 별개의 문제입니다. 중요한 점은 정보가 유출될 수 있었다는 사실 자체가 실크로드의 보안이 엉망이었다는 증거라는 것입니다. 사용자들이 사이트를 '비공개'라고 믿었을 뿐이죠. 프라이버시를 보안과 혼동하면 취약점에 노출될 위험은 극도로 커집니다.

만약 로스 울브리히트가 프라이버시와 보안의 차이를 명확히 이해하고, 사이트가 기술 지식을 가진 범죄자들을 끌어모으는 거대한 표적이 되기 전에 두 가지를 모두 철저히 관리했다면 사이트는 여전히 운영되고 있었을지도 모릅니다(물론 지금도 비슷한 사이트들이 운영되고 있지만요). 하지만 그는 그러지 못했고, 누군가 문을 여는 방법을 찾아낸 순간 비밀 클럽의 모든 비밀은 세상에 드러나고 말았습니다.

당신은 마약왕이 아닌데, 왜 이런 이야기에 관심을 가져야 할까요?

실크로드의 몰락과 운영자의 투옥은 단순히 안타까운 이야기가 아니라, 프라이버시와 진정한 보안의 미묘한 차이를 보여주는 흥미로운 사례 연구입니다. 디지털 의료 기록이나 은행의 수많은 신용카드 정보처럼 프라이버시가 필수적인 합법적 서비스들도 많습니다. 하지만 철저한 소프트웨어 개발을 통해 보안을 갖추지 않는다면, 공격자에게 정보를 탈취당해 실크로드 같은 곳에서 거래되는 비극을 맞이할 수 있습니다. 보안 없는 프라이버시는 존재할 수 없습니다.

당신과 같은 선량한 개발자들도 OWASP Top 10에 포함된 SQL 인젝션 같은 취약점에 노출될 수 있으므로, 이를 사전에 대비하고 완화하는 것이 매우 중요합니다. 개발 초기부터 보안 코딩을 습관화하면 이러한 결함은 애초에 발생하지 않습니다. 조직은 보안 중심의 사고방식을 갖추고 개발팀이 안전하게 코딩할 수 있도록 지원해야 합니다. 저희가 재미있고 측정 가능한 게임화 방식으로 그 방법을 알려드리겠습니다. 준비되셨나요?