[지디넷코리아]시만텍 연구원들은 윈도우 비스타 네트워킹 스택을 자세히 살펴본 후, 차기 윈도우 XP의 초기 버전에 권한 상승 공격(privilege-escalation)을 실험했다.

비스타에 대한 두 번째 보고서에서 시만텍은 비스타의 UAC라 불리는 보안 기능을 점검했다. 이 기능은 윈도우 XP에 기본적으로 적용된 설정으로 관리자 모드에서 PC가 동작할 때 공격 코드로부터 피해를 입는 것을 방지하도록 사용자 권한을 줄여놓은 채로 비스타 PC를 동작하게 한다.

시만텍의 중요 보안 연구원인 매튜 코노버는 ‘윈도우 비스타의 보안 모델 공격하기’라는 보고서에서 "우리는 계속해서 PC 전체를 위태롭게 하는 몇 가지 결함을 발견했다"고 말했다. 이 보고서는 지난주 시만텍 고객들에게 배포됐으며 비스타가 출시되기 전에 공개될 예정이라고 시만텍의 대변인이 월요일 전했다.

비스타 버그 잡기에 돌입한 시만텍
코노버는 2월 달의 비스타 프리뷰 릴리즈를 조사했다. 이 보고서는 공격자가 어떻게 MS의 차기 웹 브라우저인 인터넷 익스플로러 7이 설치된 비스타 PC의 권한을 획득할 수 있는지 적었다. 비스타의 최종버전이 1월까지는 널리 배포되지는 않을 것으로 예상된다.

이 공격은 조작된 웹 사이트를 방문할 때, 비스타 PC에 의심스러운 파일을 설치하면서 시작된다. 그 파일을 설치하는 데는 액티브X 컨트롤이라 불리는 특별히 제작된 웹 프로그램을 사용하는데, 이 컨트롤은 보안 결함을 이용한다. 보고서는 그 다음 어떻게 공격 프로그램이 권한을 얻을 수 있고 결국 공격자가 PC 전체를 컨트롤할 수 있게 되는지를 적었다.

코노버는 "같은 사용자 계정에서 낮은 무결성 레벨과 중간 무결성 레벨 사이의 분리를 강화하도록 윈도우 비스타 보안 모델을 고치는 매우 어려운 문제에 직면하게 될 것을 보여주고 있다"고 보고서에 적었다.

MS는 이미 시만텍의 보고서에서 확인한 문제들 대부분을 해결했다고 MS의 대변인이 성명서를 통해 말했다. 이 대변인은 "윈도우 비스타 초기 버전에서 부각된 문제들이 UAC의 최종 기능의 품질과 중요성을 정확히 나타내는 것은 아니다"라고 말했다.

게다가 MS는 시만텍의 연구원들은 사용자가 관리자 계정으로 로그인한다고 가정했지만, MS는 이런 설정은 추천하지 않는다고 덧붙였다. 대신, MS는 예를 들어 소프트웨어 설치와 같은 특정 작업을 위해 관리자 권한을 얻으려면 암호를 입력해야 하는 표준 사용자 계정을 사용할 것을 권장한다.

MS는 현존하는 가장 안전한 운영 체제라고 비스타를 선전해왔다. UAC와 인터넷 익스플로러 7은 보안을 책임지는 두 가지 핵심 요소이다.

UAC에 대한 이 보고서는 윈도우 비스타에 대해 시만텍이 계획하고 있는 세 가지 보고서중 두 번째 보고서이다. 비스타의 새로운 네트워킹 기술에 관한 첫 번째 보고서는 지난주 공개되었으며, 비스타 코어를 조사한 세 번째 보고서는 이번 주 시만텍의 딥사이트(DeepSight) 보안 정보 서비스를 통해 발표될 예정이다.

MS vs. 시만텍 싸움 ‘갈수록 태산’
전통적으로 같은 편이였던, MS와 시만텍은 이제 보안 분야에서 서로 다른 길을 가고 있다. 5월 말, MS는 소비자용 보안 패키지인 윈도우 라이브 원케어(Windows Live OneCare)를 발표했으며 MS는 엔터프라이즈 데스크톱 보안 제품도 준비중이다. 또한 시만텍은 시만텍이 MS에 라이선스한 데이터 스토리지 기술을 함부로 남용했다며 MS를 고소했다.

시만텍의 대변인 파멜라 리즈는 "시만텍은 계속해서 새로운 기술을 연구하고 분석할 것이다. 이런 연구를 통해 논의된 문제들이 윈도우 비스타가 출시되기 전에 해결될 것이라고 생각하지만, 시만텍은 비스타의 공개적 관심 때문에 이러한 연구를 공개해오고 있다"고 말했다.

하지만 당분간 출시되지 않을 예정인 운영체제에 대한 결함을 전 세계에 발표하는 것은 누구에게도 도움이 되지 않는다고 가트너의 애널리스트 존 페스카토레는 지적했다. 비록 시만텍의 마케팅 부서에는 도움이 될지 모른다. 페스카토레는 "시만텍은 비스타가 발표돼도 데스크톱 보안 소프트웨어를 팔기를 원한다"고 말했다.

게다가 보안 회사들은 결함을 찾아내어 회사의 이름을 퍼트림으로써 이익을 얻는다. 페스카토레는 "이는 사람들로부터 보안 회사로써의 신뢰를 얻도록 해준다"고 전했다.

시만텍은 MS가 비스타 보안을 개선함으로써 기본적인 부분을 살펴보게 되는 것을 보면서 그러한 조사의 필요성을 생각하게 된다고 말했다. 리즈는 "그러나 고객들이 시만텍 등의 회사들이 제공하는 보안 기능을 이것저것 사용해볼 수 있다면 더 안전하게 느낄 것이라고 믿는다"고 말했다.@