[📺뉴스] 보안 취약점 저격 당한 국내 보안업계 “국내 환경 이해 부족”

[익명(1.251)]

http://www.enewstoday.co.kr/news/articleView.html?idxno=1630290

‘취약점’ 저격 당한 국내 보안업계 “국내 환경 이해 부족”

애드블록 플러스 개발자 팔란트, 국내 보안 취약 지적

라온시큐어, 취약점 이미 패치해…“C언어 문제 없어”

23일, 국내 보안 프로그램의 취약점 추가 공개 예정

[이뉴스투데이 김영욱 기자] 세계 점유율 1위 광고차단 프로그램 ‘애드블록 플러스(Adblock Plus)’ 개발자 블라디미르 팔란트(Wladimir Palant)가 국산 보안 프로그램 취약점을 공개하며 국산 보안 솔루션 문제점이 화제다. C언어를 사용하는 등 과거에 머물러 해커들로부터 공격받기 쉽다는 것. 그러나 국내 보안업계는 한국 보안 시장에 대한 이해 부족에서 비롯한 잘못된 지적이라는 반응이다.

독일 개발자 팔란트는 지난 2일 개인 블로그를 통해 한국 보안 프로그램에 문제가 있다고 주장했다. 

팔란트는 PC로 은행 업무를 볼 때 필수적으로 깔아야하는 보안 프로그램인 △INISAFE △AhnLab Online Security(AOS) △TouchEn nKey △IPInside-LWS △Copy Certificates to Smartphones를 조명하며, 9일부터 2주 간격으로 보안 프로그램 취약점을 공개할 것이라고 예고했다.

보안업계에서는 취약점을 제보한 지 90일 이내에 이를 수정하도록 하는 관행이 있다. 팔란트에 따르면 이들에 대한 보안 취약점을 한참 전에 팔란트가 프로그램 제작사나 한국인터넷진흥원(KISA) 제보했는데, 계속 수정되지 않아 해당 프로그램을 2주 간격으로 90일이 되는 시점을 맞춰 공개한다는 설명이다.

그리고 지난 9일 팔란트는 라온시큐어의 ‘TouchEn nxKey’ 취약점을 공개하며 ‘노쇠화’를 지적했다. ‘TouchEn nxKey’은 주로 키보드 보안을 담당하는 프로그램이다. 액티브X(ACTIVE X) 영향으로 국내 보안 프로그램은 아직까지 브라우저 확장 기능을 활용해 사용자 정보를 암호화하고 있다.

팔란트는 “액티브X를 활용하지 않는 지금 (시점에서) 브라우저 확장 기능은 매우 오래된 기술이며, 특히 (한국내) 보안프로그램을 설계할 때 C언어를 많이 사용하고 있다”며 “C언어는 매우 오래전에 사용하던 개발 언어로 취약점이 잘 알려져 있어 해커들이 이를 악용해 자신들이 원하는 악성코드를 실행시킬 수 있다. 개발 언어를 C++로 바꿔야 한다”고 지적했다.

팔란트는 해당 취약점을 2022년 10월 한국인터넷진흥원(KISA) 인터넷보호나라(KRcert)에 먼저 신고했다. 이번에 그는 라온시큐어와 직접 연락하고자 했지만 연락 수단이 전화번호 외에는 없었다고 밝혔다.

이 같은 언급에 라온시큐어는 12일 이뉴스투데이와 통화에서 다른 의견을 제시했다. 

라온시큐어 관계자는 “지난해 KISA로부터 전달받은 내용을 바탕으로 해당 취약점을 보완하는 패치를 개발 완료했다. 하지만 이용사 일정에 맞춰 적용해야 해서 아직 배포하지 못했다”고 해명했다.

이어 그는 “솔루션 취약점에 대한 공유는 솔루션을 발전시킬 수 있어 바람직하다”며 “그러나 이번 건(취약점 지적)은 국내 보안 시장 환경자체를 충분히 이해하지 못했다고 본다”고 반박했다.

그는 “키보드 보안은 호환성이나 시스템 레벨 접근과 같은 권한이 필요한 특이상황으로 C언어를 사용할 이유가 있다”며 “개발사가 환경이나 특성에 맞게 언어를 선택해 개발하고 있고, C++이 C보다 더 좋다고 해서 무조건 변경해야 하는 것은 아니다”라고 말했다. 건축 양식이 각 나라 환경에 맞게 발전하듯 보안 프로그램도 한국 상황에 맞게 만들어지고 있다는 설명이다.

라온시큐어에 따르면 PC로 은행 업무를 볼 때 설치하는 보안프로그램은 서로 연계가 돼, 하나의 보안 프로그램이 해킹의 위험에 노출되더라도 (다른 프로그램 도움을 받아) 방어할 수 있다. PC로 은행 업무를 볼 때 설치하는 여러 보안 프로그램이 각자 담당 영역을 나눠 해킹 위협으로부터 방어하는데, 이것이 은행의 보안 대책이라는 설명이다.

라온시큐어 관계자는 “(팔란트가) 국내 상황을 충분히 이해하지 못한 상태에서 당장 개발 언어를 바꿔야 안전하다고 말하는 것은 단편적인 부분만 바라본 것”이라고 주장했다.

그는 “라온시큐어 내부 방침으로 KISA와 공식적인 루트를 통해 일을 진행한다”며 “취약점이 밝혀지면 KISA와 긴밀하게 협의해 개발 일정을 지속적으로 보고하며 진행하고, 이번에도 그 절차를 밟았다”고 이야기했다.

팔란트는 2주마다 다른 보안 프로그램 취약점을 공개할 예정이다.

보안업계 관계자는 “앞으로 어떤 보안 프로그램의 취약점을 지적할지 모르겠지만 이로 인해 국내 (보안) 환경이 더 좋아지면 쌍수를 들고 환영할 일”이라며 “다만 국내 보안 환경이 오랜 시간에 걸쳐 쌓여왔는데, 이를 (한순간에) 확 바꾸기는 어려울 것”이라고 말했다.

일부 커뮤니티 이용자들은 팔란트가 지난 2일 블로그에 공개했던 5종의 보안 프로그램 중 ‘TouchEn nxKey’에 대한 9일 공개한 것으로 보아 사진에 있던 다른 보안 프로그램에 대한 취약점을 공개하는 것이 아니냐고 의문을 제기했다.

목록에 포함된 프로그램을 제작한 안랩은 팔란트로부터 메일을 받지 못했다고 설명했다.

안랩 관계자는 “지난해부터 올해 1월 11일까지 확인 결과 해당 블로거로부터 제보를 받은 적이 없다”며 “해당 블로거가 기관에 신고한 것으로 보이나 안랩은 유관기관으로부터 금융보안 솔루션 내용으로 취약점 패치 권고와 같은 안내메일을 받은 적이 없다”고 말했다.

팔란트가 국내 보안 프로그램 취약점을 공개하면서 국내 보안업계와 보안 프로그램에 대한 관심이 높아진 가운데 2주 뒤 어떤 보안 프로그램의 취약점을 공개할지 귀추가 주목된다.

전형적인 독일인이 우리 내부 환경 잘 몰라서 엔딩

팔란트 추가글 올라오겠네

스스로 갈라파고스 들어가는게 뭔 자랑이라고

- dc official App

[익명(119.149)]

거의 대부분의 기능에서 cpp가 슈퍼셋인데 뭔 시스템 레벨 접근하느라 c 쓴다는 소리가 나오노 정신 못차렸네

[익명(119.149)]

호환성 타령도 개웃기네 cpp를 네이티브로 지원 안하는 데스크톱 환경이 어딨냐

[SAMPSON(scv74502)]

근데 개발 언어랑 저기 나온 핑계랑 상관이 있나? 하는 생각밖에 안 들기는 함 언어별로 특화되어 강점이 있는 부분이 다른 건 사실인데 저기 나온 예시처럼 c가 낡아서 문제다 하는 게 좀 의문스러움 - dc App

[익명(omyhh)]

ㄴC가 낡은 거 자체는 맞음 메모리 취약점 방어 안 되니까 - dc App

[만력제_mk.2(jrms107)]

간단히 더 해킹해서 사건 터져봐야함ㅋㅋㅋ - dc App

[익명(58.29)]

외국 해커들은 국내사정 이해하고 살살 해주니 ㄱㅊ - dc App

[익명(210.117)]

https://palant.info/2023/01/02/south-koreas-online-security-dead-end/
c언어에
관한 내용은 얼마 되지도 않구만 뭔 c타령만 쳐하고있노 기레기새끼가

[해당 댓글은 삭제되었습니다.]

해당 댓글은 삭제되었습니다.

[익명(222.117)]

게이는 농협이랑 온갖 은행 해킹당하고도 정신차린거 본적있노? 헬알못이노 ㅋㅋ

[익명(dodorido)]

농협 증권 주식 싹 다 날려보면 알겠지 - dc App

[tmt(creatsarang)]

해킹 당해도 터지는 것 하나 없고 책임지는 사람 하나 없고 죄없는 고객들만 븅신되는 풍경이 20년 가까이 반복되어왔는 걸 뭐

[익명(gkdlvj18)]

그냥 털려도 됨 병신나라 ㅇㅇ

[코쿄콬코쿄(izonesteel)]

쟤들 뭐 엄청난 연산량 잡아먹는 기술개발하는 것도 아닌데 c 고집하는 이유가 있음? 지들이 뭐 나노단위 시뮬 돌리는 애들임?

[익명(122.47)]

키보드 후킹하는 API가 C 기반이니까 그거 쓰는거지 뭐 키보드 보안프로그램 자체가 후커잖아 다른 넘들이 보기 전에 먼저 가로채서 암호화하고 딴 넘들이 줏어가는거 감시하고...

[익명(14.51)]

ㄴ후킹..텍스트후킹..야겜..읔 머리가

[익명(122.47)]

근데 보안프로그램이니 인증서니 욕해봐야 현실은 그거 털려서 돈 날린 거는 거의 없다는거다 왜냐면 더 취약한 폰뱅킹이나 보안 카드 유출로 터는게 더 쉽고, 조직적으로 하려면 그냥 보이스피싱 하는게 더 효율적임 공인인증서나 보안프로그램 해킹 당했다는 것도 실제로는 멀웨어 같은거 깔려서 인증서 파일 자체를 복사해가고 키입력 따가서 털리는 것임

[익명(122.47)]

보안프로그램이 병신 같기는 한데 그거 해킹해서 털만한 실력 있는 넘은 그보다 쉬운 방법으로 다 털어감 그냥 자기 정보 관리도 못하는 병신들을 인터넷에 굴러다니는 툴로 찝적거리는 급식한테서 지켜주는 수준 밖에 안되지만 그것도 없으면 더 좆같아지는거지

[익명(222.117)]

인증서 누가욕함? 태도 욕하는데?

[익명(175.115)]

뭔 시발 시골 촌동네 문 안 잠그고 다녀서 문 잠그고 다니라니까 동네 분위기 이해부족 같은 소리냐고 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

[익명(183.101)]

그냥 나라 인프라가 죽어도 신체계로 안바꾸니까 보안도 어쩔수 없이 구식으로 맞춰간다는 궁색을 참 혓바닥 길게도 포장한다. 혓바닥 긴놈일수록 별볼일 없던데 저시키들도 불안하네

[익명(110.47)]

자칭 보안회사라는 곳 답변이 아주 재밌네 어차피 하나 털려도 다른 프로그램에서 나눠서 막아주니 괜찮다고? ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

[익명(211.219)]

진짜 대규모로 터져서 전 국민이 피해보거나 높으신 양반들이 피해 입어야 시스템 바꾸지 안그러면 죽어도 안바뀜 맨날 소규모로 피해 입으니까 몰루 배째라 하는거지

[익명(210.96)]

기업 보안 터지면 북한 아니거나 불분명한거 까지 일단 북한 탓 언플로 초기 반응 모면, 개인 보안 터지면 개인탓이 국내 보안업계 국룰 아닌가?ㅋㅋ

[OO(mandooyusik)]

건물에 내진설계 안되있다고 지적하니까 한국의 온돌문화에 대한 이해부족이라고 동문서답으로 받아치는 격인가?

[익명(24tv0p88anvo)]

그냥 보안업계는 그냥 외국개방 하자 개노답이노

[익명(s7bkg5ehguqj)]

[익명(122.46)]

보안회사 변명 수준

[익명(116.44)]

소 잃고 외양간 고치는게 이 나라의 전통이지ㅋㅋ - dc App

[localk(96localk)]

뭔 말인지 하나도 모르겠네

[정?보(jg8mg)]

안그래도 곧 공개한다 했지만 함 까봤으면 좋겠네. 과연 누구 말이 맞을지.

[정?보(jg8mg)]

그리고 저 블로그 의외로 - 코드 외적으로 - 분석을 잘 한게, 심지어 공급자, 수요자, 사용자가 분리되어 있으며, 책임 회피용으로 사용될 것이라는 부분까지 분석을 했더라. 쉽게 간파해내기 힘든 부분이었을텐데, 것도 해외 외국인이 그런걸 분석해내서 좀 놀랐음.

[정?보(jg8mg)]

공급자, 수요자, 실 사용자가 서로 분리되어있으니 사용자 자원 갉아먹는 저런 쓰레기들이나 만드는거지. AST 라던지, 쓰레기 트랜잭션이라던지, 쓰레기 트랜잭션이라던지

[OO(sonzoo)]

인터넷에 무슨 씨발놈의 보안환경이 나라마다 틀리대

[익명(112.216)]

아니 애초에 저걸 여러개를 다 인스톨해서 구동해야 제대로 방어된다고 씨부리는건 뭔 근자감이냐 사실상 하나만으론 개잘뚫린다고 인정한거잖음

[익명(123.142)]

보안환경이 나라마다 다르다고? 왜 C언어도 한국어로 번역해서 개발했겠네? 해커가 한국인이 아니면 어쩔건데 ㅋㅋㅋ