윈도우 XP 서비스팩2(SP2)는 사용자가 잠재적인 악성 콘텐츠를 다운로드하려고 하면 인터넷 익스플로러(IE)가 경고창을 출력한다.

문제는 일부 사이트가 이 기능의 기술적인 결함을 이용해 경고창을 우회하고 있다는 사실. 논란이 확산되자 MS는 '적절한 조치'를 취하겠다고 공식 발표하고 나섰다.

지난 15일 프랑스 웹사이트 'K-옵틱'은 익스플로러의 결함을 악용할 수 있는 코드를 공개했다. MS 대변인은 악성코드가 실행되기 전에 많은 단계의 사용자 상호작용과 사용자 인터페이스 단계를 거쳐야 하기 때문에 실제적인 위험은 낮다고 주장했지만, IE의 보안 경고를 우회하는 것이 가능하며 심지어 윈도우 XP SP2에서도 동일한 현상이 나타난다는 점을 시인했다.

그는 "IE의 다운로드 경고를 우회하는 방식을 조사하고 있다"며 "인터넷 실행파일 다운로드가 악용될 가능성에 대해 사용자를 보호할 수 있는 적절한 조치를 취할 것"이라고 밝혔다. 또한 파일이 '시작프로그램(start-up)' 폴더에 저장될 경우 컴퓨터를 재시동할 때 악의적인 프로그램이 자동으로 실행될 수 있음을 인정했다. 그는 “만약 해커가 악성 실행파일을 시작프로그램 폴더에 저장했다면 사용자들은 실행파일이 있는 폴더로 가서 이를 처리하거나 로그아웃 했다가 다시 로그인 해야 한다"라고 설명했다.

보안 결함 아니다 VS. 근본대책 필요하다
MS 대변인은 이번 문제가 보안 결함이라기 보다는 사회 공학을 교묘하게 악용한 사례라고 주장했다. 그는 "이번 사건은 보안 결함을 악용한 것이 아니라, 사용자가 IE 다운로드 경고창을 보지 않은채 실행파일을 하드 드라이브에 저장하도록 하려는 사회 공학적 시도"라고 말했다.

그러나 일부 보안 전문가들은 이런 MS의 주장에 동의하지 않는다. 안티바이러스 업체 소포스오스트레일리아의 선임 기술 컨설턴트 션 리치몬드는 문제의 코드가 사용자와의 상호작용을 일부 요구하는 것은 사실이지만, 결과적으로 이를 통해 IE와 SP2의 보안 기능을 우회하고 있다고 지적했다.

그는 "이것은 IE의 대화상자들을 우회하는 방식으로, 마땅히 작동해야 할 보안 기능 일부를 무력화하는 것"으로, "그 결과 악성 파일이 컴퓨터에 저장될 수 있으며, 특히 시작프로그램 폴더에 저장되면 문제가 더욱 심각해 진다"고 말했다.

한편 보안 전문가 리차드 스탄스는 근본적인 대안으로 입법 활동을 꼽는다. 지난 20년간 정보 보안, 사고 대응, 컴퓨터 범죄 수사, 사이버 테러리즘 분야에서 활동해 온 그는 고객의 손해에 금전적으로 배상하도록 법적으로 규제하면, MS를 비롯한 여러 소프트웨어 업체들이 코드 보안를 획기적으로 향상시킬 것이라고 주장했다.

스탄스는 "전세계 정부가 전략적인 견지에서 현재 소프트웨어 업체들이 누리고 있는 책임 의무의 방패를 제거한다면 MS의 코드는 더욱 탄탄해 질 것"이라며 "이러한 법률적 활동은 대학 1학년 전산학 과제 수준에 불과한 현재의 코드를 역사상 처음으로 올바른 보안 기능을 구현하는데 금전적 인센티브가 될 것"이라고 지적했다.

지난 20년간 소프트웨어 개발의 품질이 지속적으로 떨어지고 있다고 믿고 있는 그는 "오늘날 출시되는 상용 소프트웨어 대부분은 20년전이라면 베타단계에서 벗어나지 못했을 것"이라고 덧붙였다. @