일부 취약점이 전체로 왜곡 우려, 관련 업계 비상
취약점이 발견된 보안USB 제품은 세이퍼존과 브레인즈스퀘어 2개사 제품이고, 이들 제품은 취약점 발견 직후인 지난 3월 초에 국정원 보안적합성검증필 제품 목록에서 삭제됐다.
취약점이 발견된 일부 제품은 기존 납품된 사이트에서 지속적인 문제가 발생하였음에도 불구하고 개선하지 않은 채, 제품 공급에만 급급하다가 결국 국정원 시정 조치 및 영업이 정지되는 최악의 상황까지 이른 것으로 알려졌다.
이로 인해 국정원 보안적합성 검증을 받은 나머지 보안USB 제품들도 보안적합성검증 재심사를 받았지만 문제가 없는 것으로 밝혀졌다. 비엔비쏠루션, 엘립시스, 테크모아, 닉스테크, 아이티네이드, 솔루션어소시에이트, 엔트랙커, 잉카인터넷 등 나머지 8개 업체가 획득한 보안USB 제품의 보안적합성 검증필은 유효하다는 것이다.
◆문제 없는 8개사에도 불똥= 취약점이 발견된 2개사 보안USB는 현재 보강 및 패치 작업 중이며, 보안적합성검증필 제품 목록에서 삭제됨에 따라 현재 공공사업을 못하고 있는 상황이다. 그러면서 "다른 보안USB들도 취약점이 있다"는 음해성 소문을 퍼뜨리고 있는 것으로 알려져 관련 업계로부터 심한 비난을 사고있다.
실제 취약점이 발견된 보안USB업체인 A사는 자사의 홈페이지 게시판에 '국정원 보안USB 공통 취약점 발견 및 국정원 시정 조치 사항'이라는 제목의 글을 통해 보안USB관리 시스템을 무력화한 후 내부자료 무단 반출입이 가능한 10가지 취약점이 존재한다. 자사는 각 항목별 2시간- 3일 이내 취약점 패치를 완료했다"고 게재해 놓고 있다. 이 업체는 또 "취약점 항목 중 VM웨어 우회방법에 대한 패치는 자사만이 유일하게 완료했다. 자사가 경쟁사 대비 많은 수의 주요 공공사이트에 제품을 공급하다 보니 운이 없어 취약점이 발견됐을 뿐이지 다른 제품들도 마찬가지"라는 소문까지 내고 있는 것으로 알려지고 있다.
한편, 공공시장을 중심으로 본격 형성되기 시작했던 보안USB 시장은 이 같은 상황에 따라 당초 예상했던 200-300억원 규모의 시장이 크게 위축될 것으로 전망된다.
◆도입 취소 및 인지도 추락 등 피해 클 듯= 보안USB 업체들에 따르면, 일부 보안USB 제품에 취약점이 발견되기 전인 지난 연말부터 3월 이전까지는 수요가 급증해 기술 지원 하기가 바빴다고 한다. 또한 대다수의 공공기관들이 올 상반기 예산 조기 집행을 통해 보안USB 도입을 적극 추진했다고 한다.
해당업체들은 그러나 "최근 공공기관 담당자가 직접 전화를 걸어 와 '보안USB에 문제가 있는 것으로 밝혀진 이상 도입을 하기가 어려운 입장'이라고 말할 정도로 피해가 크다. 문제없이 제품을 쓰고 있던 공공기관들 까지도 '정말 괜찮은 거냐'고 물어 오고 있다. 실제 사업을 연기하거나 취소하는 사례가 속출하고 있어 피해가 이만저만이 아니라"고 강조했다.
관련 업계는 이 같은 상황과 관련 기술력 있는 업체들과 이제 싹을 틔운 시장까지 패해를 봐서는 안 된다는 입장이다. 즉, '내가 안 되니 경쟁사도 안 된다'는 식의 편협한 시각보다는 요즘과 같이 경기가 침체된 상황일수록 '문제에 대한 대응 방안을 마련하고 함께 시장을 키우는데 서로 힘을 모을 수 있는' 상생 전략이 필요할 시기라며 문제 해결에 적극 나서고 있다.
* 보안USB 분실을 통한 국가 기밀 정보가 유출되는 사고를 막기 위해 국정원은 2007년 초 전 공공기관에 "USB메모리 등 보조기억매체 보안관리지침"을 내려 일반 USB 대신 ▲사용자식별·인증 ▲지정데이터 암·복호화 ▲저장된 자료의 임의 복제 방지 ▲분실 시 저장 데이터의 보호를 위한 삭제 기능 등을 탑재한 보안 USB를 사용하라고 지시했다.
다음은 보안USB 업계 선두 업체인 B사와 C사가 "보안USB의 주요 취약점에 대한 분석" 내용이다.
1. 실행 프로세스 강제 종료 우회 방법
B사 : 에이전트 보호 기능으로 프로세스 정지 또는 서비스 삭제 방지 기능, 안전모드에서의 매체 제어 정상동작 기능, 윈도우 복구를 통한 에이전트 제거 방지 기능, 안전모드에서의 서비스 삭제 방지 기능을 지원한다.
C사 : 자체 보호기능, 프로세스 Kill 방지, 복원 기능으로 프로세스 강제 종료를 통한 자료 유출을 원천 방지한다. 자체 보호기능은 레지스트리 조작, 프로그램 조작 방지 기능으로 사용자의 임의 조작을 차단하며, 프로세스 Kill 방지 기능은 중요 프로세스 숨김, Kill 방지로 강제 종료를 할 수 없다. 만일의 경우 프로세스가 종료되어도 자동 재실행이 된다.
2. 시작프로그램 삭제 우회 방법
서비스 강제 종료 금지 기능 지원
3. 안전모드 부팅 우회 방법
폴더 삭제 또는 변경 금지 기능 지원
4. PC부팅 시간차 우회 방법
드라이브 레벨에서 제어하는 솔루션이기 때문에 PC부팅 시간과 관계없이 매체 차단 구현
5. 안전모드 폴더 삭제 우회 방법
B사 : 안전모드로 부팅후 일반USB로 저장하려 해도 기본적인 차단으로 매체를 제어한다.
C사 : 안전모드로 부팅해도 자체 보호 모듈을 포함하여 모든 기능이 정상 동작하므로 프로그램 폴더 삭제 등을 통해 무력화 시킬 수 없다.
6. 공유폴더 접근 우회 방법
공유를 하더라도 인증없는 상태에서는 암호화 상태이기 때문에 자료 유출을 할 수 없다.
7. 도스 창 우회 방법
도스 명령을 통한 접근 시에도 인증없이는 내용을 볼 수 없다.
8. 특정 소프트웨어(예: 파이널데이타SW)를 통한 불법접근 우회접근 방법
애플리케이션 실행 제어 기능으로 사전에 등록해 우회접근을 원천 차단한다.
9. 패스워드 스니핑 공격 무력화 우회 방법
고려대에서 암호화 검증을 받은 K라이브러리를 통한 완벽 보안을 하고 있다.
10. VM웨어 우회 방법
B사 : 현재까지 납품된 사이트는 VM웨어를 사용하지 않고 있어 이로 인한 문제가 발생한 적이 없으며, 보안 적합성을 받은 모든 제품의 문제로 향후 판매를 대비해 보완 중이다.
C사 : VM웨어에서 일반 USB를 통한 자료 유출이 가능한 취약점이 발견된 건 사실이나 추가로 보완 모듈을 개발 완료하여 테스트를 진행 중이며, 현재 고객사에 적용 예정이다.
이밖에도 공인인증서를 저장하는 경우 보안USB 승인을 받지 않아도 되는 점을 악용한 공인인증서 파일확장자로 변경하여 시도되는 자료 유출과 관련 일반USB에 대해서는 파일확장자 예외없이 쓰기(write)를 커널 드라이버 레벨에서 근본적으로 차단하므로 파일 확장자를 변경해 저장하는 게 불가능하다.
관련기사
김정은 기자
jekim@itdaily.kr