호기심 많은 보안 인재를 처벌이 아닌 지원으로 이끌어야 하는 이유

십 대 보안 연구원 빌 데미르카피가 심각한 취약점을 폭로했다는 최근 보도는 옛 기억을 떠올리게 했습니다. 저 역시 호기심 많은 아이였을 때 소프트웨어의 내부를 들여다보며 어떻게 작동하는지, 더 중요하게는 어떻게 하면 망가뜨릴 수 있을지 고민하곤 했습니다. 수십 년 동안 소프트웨어 엔지니어들은 제품의 지속적인 개선과 보안 강화를 위해 노력해 왔으며, 보안 커뮤니티는 (때로는 다소 장난스럽기도 하지만) 악의적인 공격자가 나서기 전에 결함과 잠재적인 재앙을 발견하는 중요한 역할을 수행해 왔습니다.

하지만 문제는 그가 발견한 내용을 알린 대가로 학교로부터 정학 처분을 받았다는 점입니다. 그마저도 그가 해당 기업(폴렛 코퍼레이션(Follett Corporation))에 비공개로 연락을 취하려 모든 방법을 동원한 끝에, 결국 자신의 신원과 시스템 침투 능력을 증명하기 위해 다소 공개적인 방식을 택한 뒤에야 벌어진 일이었습니다. 폴렛 코퍼레이션에 윤리적으로 경고하려던 그의 반복적인 시도는 무시되었고, 소프트웨어는 여전히 취약한 상태로 방치되었으며, 암호화되지 않은 수많은 학생 데이터가 쉽게 노출될 위험에 처해 있었습니다.

그는 또 다른 기업인 블랙보드(Blackboard)의 소프트웨어에서도 버그를 찾았습니다. 블랙보드의 데이터는 최소한 암호화는 되어 있었지만, 잠재적인 공격자가 접근했다면 수백만 건의 기록을 더 탈취할 수 있었을 것입니다. 이 소프트웨어와 폴렛의 제품 모두 그가 다니는 학교에서 사용 중이었습니다.

"악의적인 해커"라는 프레임은 문제가 있습니다.

데미르카피는 올해 DEF CON에서 자신의 연구 결과를 발표했으며, 그 과정에서 있었던 다소 장난스러운 일화들은 청중의 박수를 받았습니다. 사실 그럴 만도 합니다. 처음에는 오해를 사고 자신의 발견을 인정받기까지 많은 난관을 겪었지만, 폴렛 코퍼레이션은 결국 그의 노력에 감사를 표하고 조언을 받아들여 소프트웨어를 더욱 안전하게 개선함으로써 또 다른 데이터 유출 사고라는 위기를 모면했기 때문입니다. 그는 고등학교 졸업 후 로체스터 공과대학교(RIT)에 진학할 예정이며, 보안 전문가로서 유망한 길을 걷고 있음이 분명합니다.

보안 분야에 종사하는 사람으로서 이번 상황이 처리된 방식에 문제를 제기하지 않을 수 없습니다. 결과적으로는 잘 해결되었지만, 처음에는 그를 그저 자기 일도 아닌데 참견하는 성가신 '스크립트 키디(script kiddie)' 취급을 했습니다. 이번 사건을 구글에 검색해 보면 그를 "해커"라고 지칭하는 기사들이 나오는데(보안에 문외한인 사람들에게는 그를 악당으로 인식하게 만듭니다), 사실 그와 같은 사람들의 접근 방식이야말로 우리의 데이터를 안전하게 지켜주는 원동력입니다.

우리에게는 호기심 많고 영리하며 보안에 집중하는 인재들이 내부를 들여다봐야 하며, 이러한 활동이 훨씬 더 자주 일어나야 합니다. 7월 기준으로, 올해에만 40억 건 이상의 기록이 악의적인 데이터 유출로 노출되었습니다. 패션 및 라이프스타일 브랜드인 포쉬마크(Poshmark)의 8월 유출 사고까지 더하면 그 수치는 5천만 건 더 늘어날 수 있습니다.

우리는 같은 실수를 반복하고 있으며, 더 걱정스러운 점은 여전히 어처구니없을 정도로 단순한 취약점 때문에 발목이 잡히고 있다는 사실입니다.

크로스 사이트 스크립팅(XSS)과 SQL 인젝션은 여전히 사라지지 않았습니다.

와이어드(WIRED)의 보도에 따르면, 데미르카피는 블랙보드의 커뮤니티 참여 소프트웨어와 폴렛의 학생 정보 시스템에서 1990년대부터 보안 전문가들을 괴롭혀온 크로스 사이트 스크립팅(XSS) 및 SQL 인젝션과 같은 흔한 보안 버그를 발견했습니다. 우리는 이 문제들을 정말 오랫동안 겪어왔으며, 하이퍼컬러 티셔츠나 플로피 디스크처럼 이제는 먼 과거의 기억이 되었어야 마땅합니다.

하지만 현실은 그렇지 않으며, 충분한 보안 의식을 갖춘 개발자가 부족하여 코드에 이러한 취약점이 계속 유입되고 있음이 분명합니다. 스캔 도구나 수동 코드 검토만으로는 한계가 있으며, XSS나 SQL 인젝션보다 훨씬 복잡한 보안 문제들이 많기에 이러한 비용과 시간이 많이 드는 조치들은 더 중요한 곳에 활용되어야 합니다.

빌 데미르카피와 같은 인물들은 개발자들이 더 높은 수준의 코드를 작성하도록 자극을 주어야 합니다. 그는 겨우 17세의 나이에 코드가 커밋되기 전에 미리 찾아내고 수정했어야 할 위협 경로를 통해 두 개의 대규모 시스템을 뚫어냈습니다.

게이미피케이션: 참여를 이끄는 열쇠일까?

저는 개발자들이 왜 보안에 무관심한지에 대해 많은 글을 썼는데, 짧게 말하자면 조직이나 교육 차원에서 보안 의식을 갖춘 개발자를 양성하기 위한 노력이 부족하기 때문입니다. 기업이 참여를 장려하고 인정하는 보안 문화를 구축하고, 개발자의 언어로 소통하며 지속적인 동기를 부여하는 교육을 시행할 때, 소프트웨어를 괴롭히던 이러한 고질적인 취약점들은 사라지기 시작할 것입니다.

데미르카피는 분명 보안에 남다른 관심을 가지고 있으며, 시간을 내어 악성 코드를 리버스 엔지니어링하고 결함을 찾아내며, 겉보기엔 멀쩡해 보이는 것들을 분석하는 법을 익혔습니다. 하지만 그는 바이스(VICE)와의 인터뷰(및 DEF CON 발표 자료)에서 자신의 독학 과정에 대해 흥미로운 언급을 했습니다. 바로 게이미피케이션을 활용했다는 점입니다.

"학교 소프트웨어에서 무언가를 찾아내겠다는 목표를 세우고, 재미있는 '게임'처럼 접근하며 상당한 수준의 모의 해킹을 스스로 터득했습니다. 처음에는 공부를 목적으로 연구를 시작했지만, 결과적으로는 생각했던 것보다 상황이 훨씬 심각하다는 것을 알게 되었습니다."라고 그는 말했습니다.

모든 개발자가 보안 전문가가 될 필요는 없지만, 모든 개발자는 보안 의식을 갖출 기회를 얻어야 합니다. 특히 방대한 민감 데이터를 다루는 조직에서는 보안 기초 지식이 일종의 '코딩 면허'와 같은 역할을 해야 합니다. 가장 단순한 보안 구멍들을 모든 개발자가 코드를 작성하는 단계에서부터 막을 수 있다면, 우리는 악의적인 공격으로부터 훨씬 더 안전해질 것입니다.

게이미피케이션 교육에 대해 궁금하신가요? 저희의 'Coders Conquer Security' 시리즈에서 XSS와 SQL 인젝션에 대해 확인해 보세요.