amhohwa

와이파이 사용자들은 혼란에 빠졌다. "WPA2는 믿어도 된다며!" "암호화는 안전하다며!" "AES마저 불안하다는 거냐!" 당연한 반응이다. 그만큼 WPA2에 대한 믿음이 굳건했던 것이다. 그리고 공격에 따른 피해 규모는 감히 상상도 할 수 없을 정도로 심각하다. 생각해 보자. 우리는 와이파이를 통해 얼마나 많은 그리고 위험한 정보를 주고받고 있나. 혼란은 당연하다.
요즘은 서버 등 전산 시스템을 직접 관리하지 않는 기업이 많다. 그리고 세계적으로 아주 유명하고 거대한 클라우드 회사가 대신 맡아서 처리해 주고 있으니까 보안 문제도 아예 없을 거라고 믿는다. 하지만 이는 아주 심각한 오해다. 클라우드 서비스 제공자는 하드웨어 및 네트워크 수준의 보안만을 제공한다. 어플리케이션 그리고 데이터 보안에 대한 책임은 순전히 서비스 사용자의 몫이다. 이는 컴컴한 비밀도 아니고 서비스 제품 설명서에 명백히 쓰여져 있는 사실이다.
개인정보 탈취가 큰 사회적 문제인 시절이 있었다. 요즘 그쪽은 어째 좀 한산하다. 문제가 해결되지도 않았지만 하도 흔히 벌어지다 보니 그냥 무시하게 된 듯싶기도 하고, 그렇게 탈취한 개인정보를 거래하는 시장 자체가 시시해졌기 때문이기도 하다. 시장 매물이 너무 많아 가격 형성이 안 되는 것. 그래서 랜섬웨어가 뜬 것으로 봐도 될 듯싶다. 특정 정보를 훔쳐서 팔아 돈을 버는 짓에 비해 불특정 다수를 마구 노려 정보를 못 쓰게 만들고 돈을 요구하는 짓이 훨씬 더 손쉬운 일이기도 하고 돈도 더 번다.
어떤 제품에든 사용된 암호화 수준으로 강력한 암호화 기술은 이미 숱하게 공개되어 있다. 정부가 어떤 물건에 뒷문을 만들었다고 의심되면, 그거 말고 다른 물건을 사용하면 그만이다. 그러니 세상의 모든 암호화 기술에 대한 만능 열쇠가 아니라면 뒷문 요구는 애초에 무의미한 것이다. 그리고, 그런 짓 저지르는 자들은 정부만큼이나, 아니 정부보다 훨씬 더 온갖 편법 악용에 능한 자들이다. 그럴 거 같지 않지만 정부가 만약 정직하게 '제한적 사용' 약속을 지킨다면, 정부는 아주 가끔 드나들고 범죄자들은 항상 들락거리는 문을 만드는 거나 마찬가지다.
1,000만 명의 개인정보를 훔친 해커는 회사에 메일을 보내 정보를 인질 삼아 30억원을 요구했다. 아마 애초 의도는 다크웹 등 해커들 장터에 올려 팔 계획이었을 것이다. 그런데 요즘 한국인 개인정보는 완전 헐값이다. 아예 값이 없을 정도다. 그도 그럴 것이, 중국 해커마을에서는 경로당 노인들도 "한국 민쯩 50만명 받고 30만명 더!" 그러며 마작판을 벌인다는 소문도 있을 지경이니, 그딴 게 팔릴 리 없다. 한국인 개인정보는 완전한 공개를 통해 비로소 안전해졌다고나 할까,,
별 뜻 없이 가벼운 기사 한 줄이지만 그 내용에 해당하는 업계에는 청천벽력 같을 때가 있다. 대개 외국 기사 번역한 기사인데, 깜짝 놀라 원문 찾아 짧은 영어로 열심히 번역해 보면 이런, 완전 다른 내용이다. 그저 기자, 아니 번역자가 보다 성실해 주길 바랄 따름,, "암호 알고리즘 '디피-헬먼'을 깰 수 있는 백도어 개발"이란 기사가 떴다. 이게 만약 사실이라면 보안 업계 전체에 엄청난 충격이다. 지진 나서 원전 터진 바닷가에 서서 쓰나미 밀려오는 걸 바라보는 공포와 마찬가지. 기사 내용을 보자.
예전에는, 그러니까 인터넷 대중화 이전에 이런 사고가 발생하면 사회 전체가 분노로 끓어오르곤 했는데, 요즘은 하도 자주 일어나니까 아주 익숙해져버려 다들 그저 "뭐? 또?" 잠깐 짜증만 내고 금방 잊는다. 개인정보는 나만의 것이 아니라 아무나 막 가져다 쓰는 공공재가 되었다는 비웃음마저 흔히 들을 수 있다. 하지만 개인정보 유출사고는 그렇게 가볍게 여기며 대충대충 웃고 넘어갈 그런 일이 결코 아니다. 정말정말 위험천만한 일이기 때문이다.
이후 대책이라고 내미는 것들은 모두 다 철통방어를 보다 철통답게 만들어야 한다는 주장뿐이다. 현관 게이트 통과 시 신분증과 신분 일치를 일일이 확인하라! 출입문 옆에 비밀번호 제발 좀 적지 마라! 온통 물리보안 이야기뿐이다. 그런데, 만약 청사에서 일하는 내부자가 성적을 조작하려 든다면 도대체 어쩔 작정인 걸까? 내부자는 게이트로 막든 뭐로 막든 그냥 통과하잖은가? 결국 지켜야 할 게 뭔지 모른다고 볼 수밖에 없다. 결국 지켜야 할 것? 두말할 것 없이 데이터다. 송씨의 목적 또한 청사 침입이 아니라 데이터의 조작이었잖은가.
정보보안 제품들 광고를 보면 제품 도입 결정의 기준이라며 여러가지 '표준'들을 쪼르르 나열하곤 한다. 그중에서도 'PCI DSS'는 유독 자주 등장하는 주인공이다. "자사의 웹방화벽 OOO은 PCI DSS 요구사항을 충족하며 PCI DSS 기준 적합 인증을 보유하고 있습니다!" "오픈소스 데이터베이스 암호화 플랫폼 OOO는 신용카드번호 마스킹 기능 등 PCI DSS 요구사항을 모두 준수합니다!" 말이 어째 좀, 무슨 소리를 하는 건지, 어렵다. 그렇게나 강조하는 걸 보면 뭔가 아주 중요하긴 중요한 것인가 본데, "아니 그래서 도대체 PCI DSS가 뭔데?"
2016년 9월부터 모든 '민감정보'의 안전성 확보조치가 의무화된다. 전엔 지문∙얼굴∙홍채∙정맥∙음성∙서명 등 소위 '바이오 정보' 암호화만 의무였는데 이제 암호화 대상이 대폭 늘어난 것. '민감정보'란? 참 많다. 바이오 정보, 유전자검사 등의 결과로서 얻는 유전정보, 범죄경력 등 뻔한 내용 외에도 사상과 신념, 노조 및 정당 가입 탈퇴, 정치적 견해, 건강 및 성생활 등에 대한 정보, 그리고 그 밖에 사생활을 침해할 우려가 있는 온갖 개인정보 등등등 정말 많다.