조나단 야든은 다른 기능에 어떤 영향을 줄지 충분히 고려하지 않으면 암호화가 실질적으로 보안을 위태롭게 할 수도 있다고 단언한다. 그는 왜 인터넷 보안에서 암호화가 만사가 아닌지에 대해 자세히 소개한다.

내가 IT 업계에 종사하면서, 나는 많은 기술이 등장하고 사라지는 것을 봐왔다. 확실히 암호화는 가장 중요한 것 중 하나다. 그러나 일반 사람들은 잘 이해하고 있지 못하는 것 같다.

아마도 많은 IT 전문가들이 보안 회사로부터 정보를 얻고 있는 것이 문제일 것이다.

내가 참석했던 보안 세미나에서 보안 회사들은 기업에 적용할 포괄적인 보안 방법에는 암호화 말고 다른 대안이 없다고 강조했다. 그러나 내 생각은 다르다. 암호화하는 것이 필요할 수도 있고 그렇지 않을 수도 있다. 모든 보안 회사들은 자사의 제품을 팔아야 하기 때문에 이런 주장을 하는 것이다. 나는 단지 이 사실을 알리려는 것이다.

암호화하는 이유를 먼저 알아라!
암호화는 법적인 의무사항이거나 위험을 감소시키기 위해서가 아니면 사용되지 않을 것이다. 다른 기능에 어떤 영향을 끼칠지 고려하지 않고 암호화를 사용하면 실제로 기업 전역에 위험을 증가시키게 될 수도 있다.

IT 전문가들이 필요하지 않은데 암호화 파일 시스템을 사용하는 것이 암호화를 오용하는 대표적인 예다. 윈도우뿐만 아니라 대부분의 대형 운영체제에서는 암호화 파일 시스템을 지원하고 대부분 기업에서는 암호화를 사용하기 위해 혈안이 돼있다. 많은 기업들은 시스템이 노출돼도 정보를 보호해줄 것으로 믿기 때문에 암호화 파일 시스템을 사용한다. 이것은 일반적으로 사실이 아니다. 시스템이 노출되지 않게 하는 것이 우선시 돼야 한다. 시스템을 업데이트하거나 패치할 때 주의하지 않으려고 암호화 파일시스템을 사용하는 것이 아니다. 그리고 복호화 키를 잃어버리면 데이터도 잃어버리기 때문에 반드시 백업해야 한다.

암호화를 사용해야 하는 경우도 있지만 많은 IT 전문가들은 보안을 향상시켜줄 것으로 생각하기 때문에 암호화를 사용하기로 결정한다. 예를 들어, 방화벽 외부 e-mail을 감염시키는 바이러스와 웜에 면역이 되는 것도 아닌데 IPSEC을 사용하여 VPN을 구축하는 회사도 있다. 이메일 서버에서 감염시키는 바이러스와 웜을 차단하는 솔루션이 있는데 이것은 로컬 네트워크의 악성 이메일을 검사할 뿐이다.

SSL 사용에 심사숙고해라!
많은 IT 전문가들은 SSL로 데이터를 전송했기 때문에 데이터가 안전하다고 생각하는 오류를 범한다. SSL은 누가 데이터를 중간에 훔쳤을 때 그것을 이용하기 어렵게 만들고 평문으로 전송하는 것보다 전송을 안전하게 해주는 것은 사실이다. SSL V3를 사용하면 거의 불가능에 가까워진다. 그러나 SSL 연결의 반대편에서 데이터를 전송 받고 복호화하면 더 이상 안전하지 않다. 만약 윈도우 시스템이 키 입력을 기록하는 트로이목마에 감염돼 있으면 SSL을 사용하는 브라우저에서도 신용카드 번호를 입력하는 것은 위험하다.

왜 SSL을 사용하는 새로운 피싱 수법들은 사람들이 개인 정보를 알려주도록 유도하는지에서 SSL을 일반적으로 어떻게 생각하는지 알 수 있다. SSL을 데이터 전송할 때 이외에는 아무것도 지켜주지 못한다. 데이터가 전송된 후가 진짜 문제다.

압축 프로그램으로 이메일을 암호화하라
이에일 보안에 대해서 기업들은 다른 방법을 사용하는 것이 좋다. 대부분의 기업은 PGP나 공개키로 이메일을 암호화할 필요가 없다.

워드나 엑셀 문서를 안전하게 전송해야 할 때 나는 WinZip이나 WinRAR 같은 압축프로그램의 암호화 기능을 사용하는 것이 옳다고 생각하고 평문 이메일에 암호화된 데이터를 첨부하여 전송한다. 이메일을 받은 사람은 압축프로그램에 암호를 입력하여 복호화한다. 이것은 완벽함과는 거리가 좀 멀지만 일반적으로 위험 수준을 충분히 낮춰 준다.

인터넷 보안에서 암호화만이 만사가 아니라고 강조돼야 한다. 각종 홍보에도 결심을 굽히지 말아야 한다. 인터넷 보안에서 가장 중요한 것은 사람이지 기술이 아니라는 것을 기억하길 바란다. @

*** 필자 소개***:
조나단 야든은 지역 ISP에서 수석 유닉스 시스템 운영자, 네트워크 보안 매니저, 수석 소프트웨어 엔지니어로 일하고 있다.