[지디넷코리아]MS는 윈도우 운영체제에 존재하는 다수의 결함을 고치기 위해 '정적인 소스코드 검사기'라는 기술과 이 기술을 보유한 인트린사(Intrinsa)라는 회사에 주목했다.

인트린사의 프리픽스(PREfix)라는 제품은 개발자가 입력한 코드를 분석하며 잠재적인 오류를 표시한다. MS는 이 프로그램이 아주 유용하다는 것을 발견하고는 1999년 6000만 달러에 이 회사를 인수했다. 현재 유사한 제품을 공급하는 몇몇 공급업체들은 보안을 검색하는데 자사의 프로그램에 적당하다는 것을 고객에게 확신시키느라 여념이 없다.

MS에 있어서 이러한 도구는 신뢰성 컴퓨팅 이니셔티브의 통합적인 일부분이 됐다. 이 이니셔티브는 윈도우 컴퓨터의 신뢰성을 향상시키기 위한 것이다. MS는 보안 프로그래밍을 위해 2만명의 개발자를 매년 교육시키고 있지만 이러한 도구는 매일매일 엄격한 규율을 요구한다고 MS의 보안 프로그램 매니저 마이클 하워드는 전했다.

그는 "5년 전의 보안 이슈와는 완전히 다르다. 교육을 잘 받은 사람들이 이러한 이슈를 잘 이해하며 도구도 발전했다. 더 이상 저질의 코드를 작성하지 않으며 우선 양질의 코드를 작성하고 있다"라고 말했다.

MS가 사용하는 것과 유사한 정적 소스코드 검사기를 판매하는 업체들도 있다. 이들 도구는 소프트웨어 결함에 대한 데이터 수집을 위해 학계에서 주로 개발됐지만 이들 업체는 이러한 소프트웨어가 충분히 성숙하여 상용으로 사용될 수 있다고 믿는다. 더우기 보안 결함에 질려버린 기업의 IT 관리자들은 이 기술을 수용할 준비가 되어 있다.

최근 몇 달간 개발자들이 주목을 받기 시작했는데 이는 비즈니스 라운드테이블의 보고서와 기술 산업이 더 나은 개발 계획이 발표된 이후에 나왔다. 이 보고서는 소프트웨어 업체들이 신뢰성 있는 제품을 내놓지 못한다며 질책했다. 기업은 인터넷에 의존적이며 온라인 판매를 하거나 협력업체와 연결하거나 이메일을 사용하거나 모두 마찬가지이다. 그럼에도 불구하고 지난 2년간 매년 4000개의 결함이 발견됐다고 CERT 코디네이션 센터는 전했다.

미국 150개 대기업의 CEO를 포함하는 비즈니스 라운드테이블은 4쪽자리 "미래를 위한 프레임웍"에서 "지난 몇년간 미국 기업과 고객에 피해를 준 주요 사이버 공간의 사건들은 그 명분이 사라졌으며 즉시 이용될 수 있는 소프트웨어 코드를 제공했다."라고 주장한다. "오늘날 사용되는 대부분의 소프트웨어 개발 절차는 제품의 약점으로 이어지는 소프트웨어 코딩 결함을 감지할 수 있는 효과적인 테스트, 체크, 안전장치를 포함하지 않는다."

MS는 다른 기업에 앞서 광범위하게 사용되는 윈도우 운영체제에 존재하는 결함에 대해 미국 기업의 각성을 촉구했다. 많은 업체가 MS의 소프트웨어 결함 수정에 대해 의심하지만 MS가 보안에 대한 관심과 코드의 보안강화를 위한 도구업체의 인수를 부인하는 이는 거의 없다.

웹 애플리케이션의 보안상 결함을 검사하는 도구를 생산하는 생텀의 CTO인 스티브 오린은 "빌게이츠는 옳으며 MS를 욕하고 싶은 사람들에게 하고 싶은 말은 이 문제는 모두의 것이라는 점이다. 보안에 대해 품질검사를 강요하는 사람은 없었다. 현재에 비교할 때 이는 천양지차"라고 말했다.

인터넷의 악당들을 두려워하는 기업고객들의 우려를 동기로 삼은 생텀과 같은 업체들은 사업이 잘되고 있다는 것을 알고 있다. 보다 많은 기업은 자사가 의존중인 소프트웨어의 보안을 검사할 방안을 찾고 있다. 많은 이는 인-하우스 애플리케이션을 보호하려 하지만 대부분은 출하할 제품을 점검하거나 외부 협력사가 생산할 소프트웨어를 원하고 있다.

온라인 해커와 웹서버 사이의 장벽으로 동작하는 소프트웨어 개발에 1차적인 초점을 맞췄던 생컴은 소프트웨어 보안 평가에 대한 개발자들의 관심을 알아차렸으며 이 시장을 목표로 한다는 결정을 내렸다.

오린은 "지난해 전체 기업전략을 개발 쪽으로 수정했다. 실제로 발생한 변화의 가속도에 대해 놀랐다"라고 말했다.

변화한 것은 인터넷 접속 업체들이 버그 투성이 소프트웨어에 더 이상 의존할 수 없게 된 점이라고 코드 분석 도구 업체 포티파이 소프트웨어의 마케팅 부사장 마이크 아미스테드는 전했다.

그는 "모든 것이 서로 연결되어 있는데 이로 인한 생산성 향상이 일어났다. 그러나 외부의 수많은 사람이 접근권을 가지리라고 생각한 이는 없다"라고 말했다.

개발자들은 결함을 검사하지만 이러한 테스팅은 고의적으로 부적당한 액션이 소프트웨어의 고장을 가져오는지에 대한 것보다 소프트웨어 운영의 적합성을 보는 경우가 많다.

아미스테드에 따르면 소프트웨어 개발자들은 "모든 버그를 잡지는 않겠다. 이것이 문제가 되지 않는 이유는 제품을 출시하고 사람들의 버그 리포트를 듣는 것이 관행이기 때문"이라고 말한다.

그러나 모든 보안 연구자들이 발견된 결함을 발표하는 것은 아니다. 또한 많은 보안 전문가들은 개발자들이 자신들이 찾지 못한 소프트웨어 버그에 책임이 있을 것으로 믿는다. 특히 이러한 에러를 찾을 수 있는 도구가 존재한다면 말이다.

이러한 이유로 자동오류탐색 제품이 인기를 끌고 있는 것이다. 예를 들어 보안 서비스에 치중한 @스테이크는 프로그램 바이너리 코드를 검색해 소프트웨어 보안을 검사할 수 있는 제품을 출시하고 있다. 리플렉티브라는 또 다른 업체는 다양한 분석 기업을 이용하여 결함을 찾는다.

버지니아 주립대의 전산과 조교수 데이빗 에반스는 "결국 모든 이가 이러한 도구를 컴퓨터에서 수행하기를 바란다. 버퍼 오버플로우가 있는 코드를 생산한다는 점은 산업계에게 있어서 정말 실망스러운 일"이라고 말했다. 그는 또한 리플렉티브가 이용하는 코드 분석 기술을 개발하기도 했다.

버퍼 오버플로우란 온라인 해커들이 다른 이의 컴퓨터에서 악성코드를 수행하는 것을 허용하는 공통된 메모리 에러이다. 블래스터와 새서 웜은 MS 윈도우 운영체제의 버퍼 오퍼플로우를 이용하여 인터넷을 통한 전파에 노력했다. 그러나 버퍼 오버플로우 자체가 새로운 것은 아니다. 보안 연구자들은 이에 대해 지난 30년 동안 알고 있었다.

이러한 장기적 문제를 완화하는데 도움이 되는 코드 분석 도구의 잠재력에도 불구하고 모든 이가 이러한 기술이 실세계에 적용할 수 있으리라고 보지는 않는다.

보안 소프트웨어 업체 이뮤니티의 설립자이자 수석 보안 연구자인 데이브 아이텔은 기존 제품군이 이러한 역할을 할 수 있다고 보지 않는다. 그 이유는 도구들이 코드의 많은 부분을 실수로 결함이라고 표시한다는 점이다. 이러한 실수는 개발자들을 장시간 탈선된 위치에 있으므로 생산성이 저하된다고 그는 전했다.

아이텔은 "500개의 버그가 발견되면 이를 일일이 찾아 고쳐야 한다. 잘못된 경고가 있다면 경제는 상처받는다. 3세대 후가 되면 대형 코드 베이스에서도 이러한 것이 상용적으로 의미가 있을 것"이라고 말했다.

그러나 아이텔은 이러한 도구가 필요하다고 전했다.

그는 "대부분의 기업 코드를 보면 쉬운 버그가 많다. 이들 대기업들은 많은 경우 점검을 전혀 하지 않는다. 3천만 줄에 달하는 코드를 분석하고 명백한 실수를 잡아내는 대형 시장이 존재한다"라고 말했다.

소스코드 분석기를 지지하는 도슨 엥글러는 이러한 도구들이 충분한 개수의 버그를 찾기 때문에 이들 소프트웨어가 현재에도 가치가 있다고 말한다.

이 분야에 대해 많은 저술활동을 한 스탠포드 대학의 전산과 교수 엥글러는 "결함을 찾는 능력이 점점 향상될 것이다"라고 말했다. 그는 몇몇 대학원생과 함께 소스코드 분석 도구를 판매하는 기업 코베리티를 시작했다.

경쟁관계에 있는 온스 랩은 고객들을 이용하여 소프트웨어 개발업체에 압력을 가하려 한다.

6월에 코드분석 제품을 출시할 예정인 이 업체는 화요일 소프트웨어 보안을 담보하는데 있어서 소프트웨어 개발업체가 책임이 있다는 대표 계약서 추가사항을 만들어냈다. CEO 잭 다나히는 기업들이 계약서에 이런저런 사항을 추가하고 개발자들은 결함에 대비하여 미리 소프트웨어 겨함을 찾을 것이라고 말했다. 또한 이는 보다 많은 고객이 분석 도구를 만든다는 의미도 된다.

다나히는 "보안이 확실하지 않은 경우 그 소프트웨어는 외면받게 됐다. 보안은 이제 필요충족 조건이 됐다"라고 말했다. @