Purengom's Monologue

'구멍난' 인터넷 뱅킹 - 보안 시스템 허술(MBC)

요즈음 인터넷뱅킹 관련한 뉴스를 보고 있다면, 한가지 특징이 있다. 예로 든 방송 꼭지는 개중 하나로, 최근 들어서 나타나는 패턴을 잘 말해주고 있다. 요컨데 '한번의 실수도 없이 이체를 해가더라' 라는것이다. 그리고 그 이유를 들어서 악성 사이트 접속을 통한 악성 프로그램의 다운로드, 그리고 그로 인한 키 유출이라는 것인데.

이전에 썼었던 글
인터넷에서 자유방임주의를 외치다.
차라리 모든 국민에게 공짜 백신을 줘라

윗글에서 내가 공통적으로 주장하는 것은 ASP 형식의 이러한 보안 프로그램이 보안 능력이 의심스럽고, 또 시스템에 문제를 일으킨다는 점이다. 차라리 설치형(standalone) 제품이 문제를 덜 일으키고 문제가 일어날 경우 통제가 가능하며, 무엇보다도 보안적으로도 안전하다는 것을 강조하고 있다.

왜 그런가? 첫째, 현행 인터넷 뱅킹의 보안 제품은 수동적이다(passive). 위의 예처럼 악성 사이트에 접속해서 다운 받는 것을 막는 적극적인 보호가 아니라, 일단 악성코드에 노출되고 나서 정보가 빠져나가는 '알려진 통로'에 대한 차단을 하는 것이다. 둘째, 그런 상황에서 방화벽이 완전히 외부로 나가는 포트에 대하여 제어를 하지 않기 때문에(이것을 완전히 이루기 위해서는 OS(정확히 말하면 네트워크 드라이버) 레벨까지 방화벽 소프트웨어가 통제를 하여야 하는데 그렇지도 못하고, 그렇다고 모든 나가는 패킷에 대해서 허락을 묻는것 또한 아니다. 따라서 얼마든지 보안 헛점이 생긴다. 보안 검색 기능이 있어도 역시 '알려진 키로거 등에 대한 프로세스 차원의 검색'이다. 따라서 어디까지나 사후약방문일 수밖에 없다.어디에서 일이 터지던, 아니면 운좋게도 보안업체가 발견하기 전에는 무방비나 다름없다. 셋째, 인터넷 뱅킹을 접속하지 않으면 보안기능이 작동하지 않는다. 고로 인터넷 뱅킹에만 접속하지 않으면 허술하게나마 있던 모든 아웃바운드 보안이 꺼지므로,

1) 알려지지 않은 신종 패턴을 통해서 키를 가로 채는 프로그램을 설치하고
2) 알려지지 않은 신종 키로거를 실행해서 인터넷 뱅킹에서 입력하는 키 정보를 수집했다가
3) 인터넷뱅킹을 종료한 이후 언제든지 해커의 호스트로 전송하는

일련의 보안의 디폴트 상태가 형성 되는 것이다.

이런 상황에서는 절대 보안이 이뤄질 수 없다. 이런 구조하에서 보안을 외치는게 야무지기까지 하다. 독립형의 방화벽/안티바이러스 프로그램은 상당한 수준의 악성 코드 대응이 가능할 뿐 아니라, 드라이버레벨에서 모든 포트와 어플리케이션(MD5값이나 용량등의 검증을 통한) 단위의 입출력을 통제할 수 있다. 또, 악성 홈페이지로 의심되는 사이트나 메일에 대한 필터 기능을 갖춘 제품 또한 있다.

이러한 제품을 갖추어야만 안전하다면 안전한 인터넷 뱅킹이 가능한것이다. 현재 시점에서 금융권은 이러한 제품을 제공하지 않고 있으며(나는 앞서도 말했지만 차라리 공짜로 뿌리면 안되냐고 읍소했지만), 돈주고 사는 수밖에 없다. 보안 업체는 잘 알고 있으리라고 생각한다. 특히 업계 1위 업체인 모 회사는 냄새가 난다. 마지못해 공짜로 백신을 뿌렸지만, 결과적으로 안전함을 위해서는 방화벽을 가지고 있어야 한다. 방화벽은 유료이다.

아무튼 이미 시중에 풀리고 있는 보안 프로그램은 1) 수상한 웹사이트 접속을 막고 2) 수상한 프로그램 다운을 막으며 3) 수상한 프로그램의 실행을 막고 4) 수상한 프로그램의 동작을 감시하고 5) 수상한 프로그램의 자료 송수신을 막는다. 6) 마지막으로 수상한 프로그램은 제거한다. 이 이상의 보안 대책은 있을래야 있을 수 없다. 설령, OS의 헛점을 이용하던 위험 투성이인 IE의 헛점을 이용하던 깔아 놓던, 아니면 이용자가 평소 버릇대로 이것저것 막깔다가 묻었는지는 몰라도. 어떤 헛점을 이용해서 어떤 알려지지 않은 해킹 프로그램이 깔려도 3,4,5,6 단계까지 뚫기는 매우 극히 아주 어려운것이다. 결론은 나온것이다. 완전한 보안은 없으니 장담은 못해도 적어도 현상보다는 훨씬 안전하다.

자랑은 아니지만 CIH가 전국민의 PC를 아작내고, 블래스터인가 하는 웜이 전국의 PC를 셧다운 시키는 등 오만가지 온 나라가 대란에 가까운 '난리'를 겪는 와중에서도 단 한번도 위해를 입지 않은 것은 간단한 이유이다.

1) 되도록 정품 소프트웨어 쓸것 (크랙 프로그램이나 크랙된 버전, 크랙 사이트 등 홈페이지에 악성코드가 묻는건 이젠 새삼스럽지도 않다)
2) 백신, 보안프로그램 사서 깔아놓고 업데이트 자주하고, 검사 자주 할것(어디 사서 쓰라고는 안한다. 보안 프로그램 홍보가 아니니까).
3) 윈도우와 브라우저 패치 부지런히 깔것(귀찮다고 안깔면 본인 손해일 뿐이다, 레드몬드에 있는 MS에 소송걸텐가?)
4) 쓰잘데기 없는것 깔지 말것, 특히 ActiveX는 정체나 쓸모가 뭔지 모르겠으면 무조건 아니오 누르고 문제가 발생하기 전까지 깔지 말것. 영문이면 더 조심할것.
5) 안전한 사이트만 들어갈것(냄새나는 사이트를 가지 말라는것이다)
6) IE 이외의 브라우저도 써볼것
7) 자신이 관리하는 컴퓨터가 아니면 보안에 민감한 작업을 하지 않을 것.
8) 암호 유추안가게 잘 만들고, 간수 잘할것. 민감한 작업에 사용되는 암호와 통상적인 웹서핑이나 이메일에 사용되는 비밀번호는 당연히 다르게 해야 안전하다.  

구글은 사이트를 수집하면서 악성코드가 있을 확률이 있는지를 점검한다. 이 정보를 이용해서 Firefox나 Chrome, 혹은 구글 검색을 통해서 접속하는 경우 위험한 홈페이지라고 경고가 뜨고 접속의 '재고'를 요구한다.  한심한 노릇이지만 한국의 홈페이지를 들어가보면 악성코드가 깔릴 위험이 있다고 들어가지 말라고 하는 경우가 왕왕있다. 그게 문제는 중앙일간지나 경제지 같은 유명한 사이트를 포함해서 이름 얘기하면 거기가 그럴까 싶을 정도로 큰데도 그모양이고 자그마한 사이트는 관리 부족으로 인해 왕왕 노출된다. 그러니 웹사이트 접속도 조심하는게 좋다.

중요한 것은 어찌됐던간에 본인이 조심하는것이다. 지갑 간수 허투로 해놓고 지갑을 누가 외투에서 치기해서 훔쳐갔다고 지갑이나 외투 주머니에 보안을 걸지 않았다고 지갑이나 옷 회사에 소송걸지 않듯이. 돈도 오가는 만큼 컴퓨터에 대해서 상식적인 관리는 필요하다. 공짜 너무 좋아하지 말고, 일년에 2~3만원 하는 보안 프로그램 하나 깔아두는건 해둘만하다. 몇 백만원 몇 천만원 날려버리고 후회하면 늦을 뿐이다. 다른 나라 사람들은 상식적으로 다 하는 문제다. 그런 걸 안하고 거저 해주길 바라는 심보가 nProtect 류의 쓰레기 프로그램은 양산시키고, 돈은 돈대로 날려서 중국의 왕서방 좋은 짓거리만 시키는것이다.

Posted by 푸른곰

악어의 눈물

고객님의 정보를 보호하기 위해서가 명분이다. 안심클릭이나 인터넷 안전 결제(ISP)의 대의 명분은 그렇다. 그거에 대한 내 생각은 하나다. 염병하고 있네. 내 말이 믿기지 않는다면 지금이라도 당신이 사용하는 신용카드의 약관을 살펴보시기 바란다. 살다보면 카드를 잃어버리는 것은 다반사라고 생각한다. 카드에는 보통 일반인이 지갑에 휴대하는 것 이상의 많은 금액을 사용할 수 있기 때문에 보통 분실시 정지를 할 수도 있고, 분실 신고 전에 도용된 경우에는 그에 대해서도 보상을 받을 수 있다.

그러나 약관에 따라서 극히 드문 경우를 제외하고는 보상받을 수 없는 손해가 있다. 바로 비밀번호를 누출해서 생기는 손해이다. 요컨데 암호로 본인을 확인하는 현금서비스 등의 거래의 경우에는 본인이 사용한것으로 간주하기 때문에, 분실 신고 이전의 피해에 대해서는 보상해주지 않는 것이다. 실제로 여기에는 본인 혹은 가족에 대한 위력 행사에 의한 강박으로 인한 경우 같은 드문 경우를 제외하면 보상이 되지 않는다.

그런데 안심클릭이나 인터넷 안심결제(ISP)라는 물건이 생기면서 여기에 인터넷으로 구매한 경우도 포함되는지는 알고 계시는가 모르겠다.  

제22조(비밀번호 관련 책임)
카드사는 현금서비스 및 카드론, 전자상거래 등 비밀번호를 이용하는 거래시 입력된 비밀번호와 카드사에 신고된 비밀번호가 같음을 확인하고 조작된 내용대로 현금서비스 및 카드론, 전자상거래 등 거래를 처리한 경우, 도난, 분실 기타의 사고로 회원에게 손해가 발생하더라도 책임을 지지 아니합니다. 다만, 저항할 수 없는 폭력이나 자기 또는 친족의 생명신체에 대한 위해로 인하여 비밀번호를 누설한 경우 등 신용카드 회원의 고의 또는 과실이 없는 경우에는 그러하지 아니합니다.

다시 말해서, 당신이 쓰는 비밀번호가 어떤 이유에서든 누출이 되었고, 이를 이용해서 결제가 이뤄지면 당신은 일체의 항변을 할 권리가 없다는 것을 의미한다. 진짜 고객을 보호하겠다는 작자들이 이런 조항을 걸고 장사하는건 상식밖의 이야기다.

키를 가로 채는 방법은 여러가지가 있다. 알려줄수도 있고, 엿 볼수도 있다. 또 채갈수도 있다. 안심클릭등에 사용되는 비밀번호는 퍽 엄격한 룰로 알파벳과 숫자를 조합하여 사용하여 8자 이상 적게 되어 있지만서도 경우에 따라서는 적지 않은 사용자들이 금융사이트나 기타 사이트 등에서 사용하는 암호와 같게 하는 경우가 있을 것이다. 심지어 어떤 사람은 공인인증서와 안심클릭 그리고 일반 사이트 로그인 암호가 하나로 일치가 되는 경우도 보았다.

이 경우에는 대책이 없는 것이다. 일전에 '차라리 전국민에게 공짜 백신을 뿌리라' 라고 일갈하면서 말했지만 이렇게 일반 사이트와 암호가 같은 경우에는 금융사이트 이외의 사이트에서 누출이 되면 대책이 없고, 또 공인인증서나 ISP 인증서는 '공인인증서, ISP 인증서, PC에 저장할 필요가 있을까?'에서 말한것 처럼 정해진 위치에 저장되니만큼, PC에 대한 항시 보안이 이뤄지지 않는다면 얼마든지 쉽게 복사할 수 있다. 그래서 나는 항시 PC에 방화벽 소프트웨어를 설치해야 한다는 것이고 금융사이트에 접속할때만 방화벽을 까는 것으로 부족하다는 것이다.

좌우지간 기존의 경우, 그리고 해외에서 경우 신용카드 사기(credit card fraud)가 발생했을 경우 일반적으로 회원에게는 Zero Liability가 적용되는것이 기본이다. 본인이 사용하지 않은 금액에 대해서는 일체 물을 필요가 없다. 물론 그로 인해서 범인을 잡기 위해서 노력하고 있고, 못잡으면 카드사가 손해를 감수한다. 그리고 그것을 방지하기 위해서 노력하고 있다.

사실 우리가 흔히 '안심클릭'이라고 알고 있는 V3D Secure라는 프로그램도 인터넷에서 좀더 본인확인을 하기 위한 프로그램의 일환이지 '이것을 실행함으로써 이것을 쓰는 것은 무조건 본인' 이라는 등식을 위해서 만든것이 아니다.

다 좋다고 치자. 카드 번호를 당신은 얼마나 타인에게 알려주는가? 카드번호야 영수증 부본이나 홈쇼핑을 통해서도 누출될수는 있다. 하지만 카드 뒷면에 있는 CVV2코드(서명 부분의 세자리 코드)는 얼마나 알려주는가? 아마 이걸 알려줄 정도의 사이라면 가족이나 이에 준하는 사이일 것이다. 이 경우, 물건이나 서비스를 구매한 경우, 카드 회원 본인 주변 사람밖에 없다. 지갑을 뒤져서 메모했다는 얘기니까. 그 경우에는 물건 받거나 가입시 입력한 주소만 대조해보면 금방 꼬리가 잡힌다. 이 나라는 구멍가게 회원가입할때도 본인 실명을 걸지 않으면 가입이 안되는 나라 아닌가?

그럼에도 누출이 된다면 그건 웹사이트와 카드사 사이의 보안 트랜잭션에서 누출이 일어나거나, 아니면 컴퓨터에서 키로거 등에 의해서 유출이 되는 것이다. 보안 트랜잭션에선 그렇다치자, 컴퓨터에서 안심클릭이나 ISP 비밀번호를 하나 더 입력하면 무슨 차이인가? 카드번호가 누출되는데 비밀번호는 누출안될까? 무슨 용가리 통뼈라고 그걸 자신할 수 있는지 이 분야에 근무하시는 분의 태클 정말 기대하지 마다 않는다.

그럼 이 사상누각의 상황에서 카드사는 우리는 잘못되면 책임없다고 발뺌하고는 해주는건 쓰잘때기 없는 키보드 보안프로그램 하나가 달랑 끝이다. 그나마 이것도 없으면 소송당할까봐 그런것이다. 은행에서 왜 그렇게 열심히 보안 프로그램을 깔아대느냐? 어떤 멍청한 고객이 해킹 피해를 자신의 PC 관리 소홀에 두지 않고 정보 누출을 막도록 '설계하지 않은' 은행에 물었고, 법원은 그에 대한 안전책을 마련 못한 것을 인정해주는 바람에 돈을 토해내라고 했다는 모양이다.

참 불편하다. 이 안심클릭인지 뭔지 때문에 말이다. 나는 알라딘의 애용자였다. 이유인즉슨, 당시 예스24에서는 한번 결제를 완료하면 주문에 더할 수도 뺄수도 없는데, 알라딘은 미국이나 일본의 아마존처럼 발송작업 전에 승인을 냈다. 따라서 발송작업전이라면 얼마든 주문을 변경할 수 있었기 때문이었다. 뭐 그것도 안심클릭과 ISP 도입으로 끝났다. 미국이나 일본을 비롯한 전세계 아마존은 아직도 그런 시스템을 유지중이다. 주지하시다시피 그네들은 1-click 주문으로 바스켓에 넣으면 묶어서 배송해준다. 이런 편리한 시스템이 사라져버렸다.

가끔 해외 사용자들이 도대체 카드 어떻게 쓰는건지 모르겠다고 할때 난감할때가 있다. 제각각이라서 할말이 없다. 그냥 '해외 카드' 엇비슷한걸 찾아보세요. 하는수 밖에 없다. 그 사람들 태반이 그냥 카드번호와 유효기간 CVV와 소지인 이름 적는걸로 해결하던 사람들인데 안심클릭인지 나발인지 공인인증서인지 뭐신지 하나도 모르겠다는것이다.

하여간 쥐한마리 잡자고 온 외양간을 다 태워먹어야 정신을 차린다고. 사용자들에게 보안 프로그램 잘 깔게 하고 수상쩍은거 받지 말라고 주의주는게 귀찮다고 이런식으로 일처리를 하는게 온당키나 한건지 궁금하다. 곰.

PS. 안심클릭이니 ISP니 하기 전에, 결제시 주문자 우편번호와 카드 청구지 우편번호, 전화번호를 맞춰보는 시스템을 도입하는거 생각해본적이 있나 생각해볼 일이다. 그건 전세계적으로 널리 사용되는 카드사기 방지 알고리즘이기 때문이다.

Posted by 푸른곰

알약 논란은 한때 정말 시끄러웠다. 공짜 백신이라니... 백신은 당연히 돈받고 파는 것이라는 모델로 장사해왔던 안랩을 위시한 보안업체는 혈압깨나 올랐을 것이다. 차라리 시만텍 같은 외국 대형 보안 업체는 번들과 기업시장을 파고 있었지만, 국내업체 특히 안랩은 개인시장을 잃어버리면 남은건 정부나 학교 정도밖에 안남는 지경이 된다. 그나마도 외산엔진을 사와서 염가로 뿌려대는 업체가 늘어나는 통에 경쟁이 치열해져서 레드오션이다.

Posted by 푸른곰