[지디넷코리아]MS가 윈도우XP 서비스팩 2에 포함시킨 수많은 보안 개선 사항에 대해 한 번 살펴보자. 한편 이들 보안 기능이 과연 일부 애플리케이션의 기능을 제한할 수 있다는 사실과 서비스팩 1과 마찬가지로 해적판에는 설치되지 않는다는 것이 밝혀졌다.

윈도우 XP SP2의 출시는 XP 운영체제의 일생일대 전환점이 될 것이다. MS는 보안 향상을 위해 온힘을 쏟고 있다. 사실 그렇기 때문에 많은 문제가 야기될 것이다. SP2는 보안을 위해 기존 시스템이나 코드와의 하위 호환성을 강조하기 않을 것이기 때문이다. 관리자들은 네트워크에서 윈도우 XP 시스템에 있어서 SP2가 무엇을 의미하는지 미리 알 필요가 있다.

서비스 팩 2 RC1 리뷰
이 기사에 나온 정보는 윈도우 XP SP2 RC1에 기반한 것이다. 최종 출시 소프트웨어에는 일부 사소한 변경사항이 있을 수도 있지만 여기서 읽은 정보는 거의 적용될 것이다.

윈도우 XP SP2는 이메일, 웹브라우징, 버퍼 오버런과 같은 거의 모든 분야에서 기본적인 보안 설정을 극적으로 향상시킨다. 하지만 이러한 보안상 개선점은 상당한 고통없이 거져 얻어지는 것은 아니다. ZDNet 영국은 MS가 10개 중 최대 하나의 애플리케이션이 문제를 겪게 될 것이라는 점을 MS가 시인했다고 보도한 바 있다(내 생각에 이는 보수적인 추정치이다).

다음은 XP SP2에서 가장 중요한 보안상 변경사항들이다:

• 인터넷 접속 방화벽은 이제 기본으로 켜져 있다. 따라서 SOHO 사용자들의 보안이 향상될 것이다. 하지만 기업환경에서 네트워크 자원에 접속하려는 모든 사용자는 문제를 겪게 된다. 방화벽은 또한 부팅 단계의 훨씬 앞쪽에서 활성화되며 심지어 네트워크 스택이 활성화되기도 전에 방화벽이 동작하게 된다. 종료하면서 스택이 꺼질 때까지도 방화벽 기능은 동작하게 돼 있다.



• 메신저 서비스는 기본으로 꺼져있다.



• 팝업 광고 블로커는 기본으로 켜져있다.



• 윈도우 시큐리티 센터라는 통합 보안 애플리케이션이 추가됐다(이 기능에 대해 더 알아보려면 뉴스닷컴 기사를 참조하기 바란다). 이 애플리케이션은 가장 기본적인 보안 설정 정보를 하나의 관리하기 좋은 장소에 모으는데 방화벽이 켜져 있는지 안티바이러스 소프트웨어가 작동하는지 최신 소프트웨어 업데이트를 설치했는지 알려준다.



• 실행방지(NX) 지원도 윈도우 XP에 추가된다. NX(No eXecute)는 NX 기능을 가진 CPU로 하여금 특정 메모리 영역을 실행불능으로 표시하는 기술을 말한다. 따라서 이 영역에 있는 모든 코드는 실행이 되지 않기 때문에 피해를 주지 못한다(아마도 블래스터를 비롯한 바이러스와 같은 악성 코드를 고려한 사항인 듯 싶다). 이는 악명높은 버퍼 오버런 위협에 대해 운영체제를 안전하게 지켜줄 것이다. NX는 현재 AMD K8과 인텔의 아이태니엄 프로세서에서만 지원된다. 이 중요한 보안 기능의 32비트 및 64비트 지원은 향후 출시될 대부분의 프로세서에서 탑재될 것으로 보인다.



• DCOM(Distributed Component Object Model)은 모든 COM 서버의 거의 모든 액션을 위한 접근통제목록(ACL) 형태로 새로운 제한점들을 갖게 됐다. 또한 보다 상세한 COM 특권이 제공되는데 관리자들은 COM 특권 정책을 세밀하게 조절할 수 있다.



• 또한 포트 관리도 개선됐다. 사용이 끝났을 때 포트를 닫는 것은 더 이상 애플리케이션의 몫이 아니다. 이전에는 개발자가 닫는 루틴을 빼먹거나 애플리케이션이 크래시하면 포트는 열려있고 XP는 공격에 취약하게 된다. SP2는 포트 관리를 권장하며 관리자 특권을 가진 사용자만 수정 가능한 애플리케이션 허용 목록을 사용한다. P2P 프로그램과 같은 애플리케이션을 허용 목록에 추가하면 포트관리는 자동으로 된다. 이러한 애플리케이션은 ICF에서 포트를 여는데 필요한 국지적 관리자 권한이 필요 없이 일반 사용자가 실행할 수 있다.



• 새로운 RPC 제한은 통신을 단속하게 된다. XP SP2는 관리자들이 RPC 서버를 미세조절할 수 있도록 한다. RPC의 덩어리 제어는 애플리케이션이 허용 목록에 없더라도 RPC를 위해 포트가 사용될 수 있음을 허용할 것이다. RPC에 대한 변경은 많다. 여기에는 시스템의 RPC 인터페이스에 대한 대부분의 익명 접근을 차단하는 새로운 'RestrictRemoteClients' 키가 포함된다. RPC 인터페이스에 대한 제한은 RPC 호출자가 인증을 할 것을 요구하는데 이로 인해 인터페이스에 대한 공격은 훨씬 어려우며 트로이 목마 공격을 약화시킨다.

잠재적인 문제들
위에서 언급된 NX 보호는 보안측면에서 볼 때 분명 강력한 개선해야 되는 단적인 예이다. 하지만 NX는 이미 상당한 문제를 일으키는 것으로 알려졌다. (최소한 64비트 버전에서) 가장 큰 문제는 즉석 코드 생성을 하는 애플리케이션에 존재한다는 점이다. 반면 닷넷 프레임워크의 CLR 코드는 SP2에 구현된 NX를 이미 지원한다.

RPC에 대한 변경이 아마도 이미 존재하는 애플리케이션과 마찰을 빚을 가능성이 크다. SP2 이전의 윈도우 XP에서는 정말 수십 개의 RPC 기반 서비스가 수행됐으며 이들 모두가 공격용으로 사용됐다. SP2에서는 이런 문제점이 크게 줄어들게 됐다.

포트관리의 변화로 애플리케이션이 포트를 개방할 필요는 있지만 상대적 필터링을 사용하지 않을 경우 설치를 하는 관리자는 이를 허용 목록에 올릴 필요가 있다. 기본으로 방화벽이 활성화되어 있으며 오디오와 비디오를 위한 IPv4 애플리케이션의 들어오는 접속들 (MSN이나 윈도우 메신저 처럼)은 포트의 개폐를 자동으로 관리할 필요가 생긴다. 들어오는 서비스 접속들은 (IPv4) 설정이나 코드에 변경을 필요로 할 것이다. 고정 포트를 듣고 있는 서비스들은 서비스가 ICF의 포트를 열어도 되는지 물어볼 것이며 만약 그렇다면 서비스는 INetFwV4OpenPort API를 사용하여 ICF 규칙을 변경해야 한다.

다른 문제는 MS가 이 서비스 패치를 윈도우 XP의 해적판을 가진 사람들에게 SP2를 제공하지 않는다는 점이다. 이는 타당한 것이지만 많은 불법 카피가 특히 극동지역에 있어서 많은 웜이 인터넷에서 급속히 기반을 잡는다. SP2는 알려진 불법 카피를 보기 위해 제품 ID를 분명히 검사하며 적절하지 않은 제품 ID를 가진 시스템에는 설치되지 않는다. 이는 이해할 수 있지만 보안 업그레이드의 전체적인 효과를 떨어뜨리게 될 것이다.

SP2가 야기하는 많은 잠재적 문제는 관리자의 통제를 벗어나 있다. 커스텀 애플리케이션을 위한 일부 프로그래밍 코드는 재작성돼야 하지만 최소한 이제 문제가 생겼을 때 XP SP2를 깔고 가장 중요한 애플리케이션이 고장났다는 것을 발견하는 대신 어디를 봐야하는지 알 수 있다.

불만이 있어도 보안은 중요하다
SP2를 설치한 사람들이 기존 애플리케이션이 동작하지 않는 것을 발견하고 고통스럽게 소리지를 수도 있을 것이다. 하지만 이들은 아마도 MS가 보안이 잘된 시스템을 배포하지 않는다고 너무나 크게 (그리고 적절하게) 불평하던 사람들일 것이다.

어느 시점에서는 거의 대부분의 보안 전문가들이 MS가 패배를 인정하고 운영체제의 약점을 강화하기 위해 호환성을 대거 희생할 것이라고 예상해왔다. 이는 대부분 기존 코드 지원 때문이다. 또한 XP SP2의 변경사항은 개발자들로 하여금 보다 안전한 애플리케이션을 개발하도록 할 것이며 보안에 무관심한 코드를 작성하기 위해 허용적인 윈도우 OS를 이용하지 못하도록 할 것이다.

물론 이런 주요 업그레이드가 출시되자마자 모두에 의해 적용되는 것을 권고하지 않는다. SP2를 테스트 네트워크 (혹은 최소한 하나의 테스트 시스템)에 최대한 빨리 설치하고 특정 애플리케이션을 위한 호환성 테스트에 들어갈 것을 권한다.

보다 많은 테스트를 할 여유자금이 있으며 최종 버전 이전에 XP SP2를 시험하고 싶다면 테크니컬 프리뷰 프로그램을 확인해보라. 이 프로그램은 SP2 RC1을 IT 전문가들이 테스트용으로 다운로드 받을 수 있도록 돼 있다. (베타 목록 이외의 사람들을 허용) 일부 MS가 지원하는 뉴스그룹 이외에는 지원이 없지만 최초 버전은 윈도우 XP가 이미 깔려있어야 할 것을 요구한다. 영어와 독일어 버전이 현재 제공되고 있으며 크기는 약 270MB이다.

윈도우 XP SP2가 사용자에게 중대한 방해를 하지 않는다는 것에 확신을 가졌다면 즉시(또는 잠재적인 고장 요인을 고친 뒤) SP2를 전사적으로 배포해 설치하도록 하는 것이 좋다. 네트워크의 보안을 향상시키는 중요한 업그레이드이기 때문이다. @