[지디넷코리아]MS가 인터넷 익스플로러에서 발견된 스푸핑(spoofing) 기법이 보안 결함이라는 보안전문가들의 주장을 반박하고 나섰다.

MS는 IE 6에서 스푸핑이 발생할 수 있다는 가능성은 받아들였지만 이것이 보안 결함이라는 주장에는 반대한다고 밝혔다.

스푸핑은 사람들이 사실은 가짜 사이트를 보고 있음에도 불구하고 제대로 된 사이트를 방문하고 있는 것으로 착각하게 만드는 기법을 말한다. 이 기법은 정당한 출처에서 도착한 이메일로 가장해 개인정보를 훔치는 피싱(phishing) 사기사건에 자주 사용된다.

MS는 이메일 발표자료를 통해 “IE의 상태 표시줄에서 사용자에게 보여지는 URL을 스푸핑할 수 있다고 지난주 보고된 보안 문제를 인지하고 있다. 사용자는 웹페이지의 링크 위를 마우스가 지나갈 때 상태 표시줄에서 URL을 볼 수 있지만 이 링크를 클릭하면 다른 웹사이트로 이동한다. 그러나 우리의 조사에 따르면 이는 보안 결함이 아니다”라고 밝혔다.

독일의 연구원인 벤자민 토비아스 프란즈는 지난주 온라인 게시판인 버그트랙(Bugtraq)에 이와 관련된 경고문을 게재했다. 그 내용은 두개의 URL이 HTML href 태그 내부의 테이블에 포함될 경우 IE가 링크를 잘못 표시할 수 있다는 것이다.

프란즈는 따라서 URL을 향하는 잘못된 형태의 링크를 악용하면 사람들이 모르는 사이 완전히 다른 웹사이트로 갈 수 있다고 주장했다.

그러나 MS는 희생자가 이러한 공격에 넘어가려면 상당한 사회적인 엔지니어링이 필요하다고 말했다.

MS는 발표자료를 통해 “공격자는 사용자를 유혹해 사이트를 방문하게 한 후 IE의 상태 표시줄에 나타나는 URL에 기반한 링크를 클릭하도록 만들어야 한다. 의도한 사이트에 도착하면 사용자는 다시 한번 공격자의 꾀임에 빠져 재정정보와 같은 사적인 비밀 정보를 공개하는 행위를 취해야 한다”라고 전했다.

물론 “이때 사용자는 주소 바의 URL이 자신이 방문하고 있다고 생각하는 URL과 다르다는 사실을 물론 모르는 상태여야 한다”라고 MS는 덧붙였다. 이 회사는 원하는 사이트로 이동하기 전에 브라우저 주소 표시줄의 URL을 확인할 것을 권고했다.

프란즈와 MS는 윈도우 XP SP2가 이번 문제에 영향을 받지 않는다는데 동의했다. MS는 “조만간 초기 버전의 윈도우에도 윈도우 XP SP2의 변경 사항과 유사한 기능을 적용하는 것을 검토할 예정”이라고 덧붙였다.

버그트랙에서 프란즈는 HTML 이메일 메시지가 이 기법에 취약하며 따라서 MS 아웃룩 익스프레스도 영향을 받는다고 말했다. 프란즈는 사람들이 마우스 오른쪽 버튼 클릭을 이용해 진짜 목적지를 확인해야 한다고 적었다.

보안 업체인 넷크래프트는 모질라 파이어폭스 사용자는 이번 이슈에 영향을 받지 않는다고 전했다. @