IT 종합뉴스서비스

[지디넷코리아]보안으로부터 자유로운 완전한 브라우저는 없는가. IE와 비교해 완벽한 보안 기능을 자랑했던 모질라가 더 이상 자만할 수는 없게 됐다. 모질라 재단은 파이어폭스와 모질라에서 심각한 웹 브라우저 결점이 발견되자, 지난 금요일 브라우저 사용자를 보호하기 위해 임시 수정본을 내놓았다.

수정판은 다운로드해서 이용할 수 있으며, 이 결점을 악용하는 공격으로부터 사용자를 보호할 수 있다. 공격자들이 패치되지 않은 브라우저에서 새롭게 발견된 이 결점을 악용할 경우 사용자 PC에 사악한 소프트웨어가 은밀히 구동될 수 있다.

이 결점은 지난 목요일 보안 연구원인 톰 페리스에 의해 공개됐으며, 이 때문에 모질라 재단 직원들이 피해 대책을 마련하느라 비상 상태에 돌입했다.

모질라 재단에서 엔지니어링 책임자로 일하는 마이크 슈뢰퍼는 이번 문제는 파이어폭스와 모질라 브라우저의 IDN(International Domain Name) 조작 방식과 관련있다고 말했다.

10월 취약성 수정 예정
IDN이란 영문자 대신 각 지역 언어의 문자를 그대로 사용하는 도메인 이름으로, 이번에 나온 수정판에서는 이같은 IDN 형식의 웹 주소 지원 기능을 끄게 된다고 그는 말했다.

슈뢰퍼는 "문제를 즉시 처리하기 위해 단행된 임시적인 방편일 뿐"이라며, "향후 나올 제품에서는 실제로 이 문제를 해결한 후 다시 IDN 지원 기능을 지원하기 위해 작업하고 있다"고 말했다. 그는 다만 IDN 지원 기능을 끄게 되면 IDN처럼 그런 특수한 도메인 이름을 실제로 사용하고 있는 일부 파이어폭스와 모질라 사용자들이 영향을 받게 된다고 말했다.

결점을 악용한 공격이 있었다고 아직 알려진 바는 없지만, 모질라 재단 측에서는 파이어폭스와 모질라 사용자들에게 IDN 기능을 끄도록 권유하고 있다. 슈뢰퍼는 "다행히 아직은 이를 악용했다는 사례가 없지만 공격이 이뤄질 경우 상당히 심각한 수준이 될 것이며, 따라서 이번에 내놓은 수정판을 다운로드 받길 추천한다"고 말했다.

모질라 재단에서는 오픈소스 웹 브라우저 파이어폭스의 다음 버전인 1.5 베타 2에서 이번 취약성을 수정할 것이다. 슈뢰퍼는 베타 2 출시가 10월 5일로 예정돼 있으며 1.5 버전 최종판은 올 연말께로 기대되고 있다고 말했다.

모질라 재단에서는 웹 사이트에서 수정 내용을 다운로드할 수 있는 것 이외에도 수동으로 IDN을 어떻게 끌 수 있는지 방법을 설명하고 있기도 하다. 방법은 다음과 같다. 우선 주소 막대에서 ‘about:config’를 입력하고 엔터키를 누른다. 그리고 나서 필터 도구 막대에서 ‘network.enableIDN’을 입력하고 엔터키를 누른다. ‘network.enableIDN’ 항목에서 마우스 오른쪽 버튼을 클릭하고 값을 ‘false’로 변경한다.

IDN 관련한 보안 문제로 골머리
과거에도 IDN이 문제를 일으켰던 적이 있었다. 올 2월에 나온 파이어폭스 보안 업데이트에서는 특정 도메인 이름을 사용하여 도메인 스푸핑(spoofing)이 이뤄지는 결점이 수정됐다. 도메인 스푸핑이 악용될 경우 위조된 링크가 제대로 된 주소처럼 보인다해도, 희생양이 된 사용자들은 신뢰할 수 있는 사이트가 아닌 사기 목적의 웹 사이트로 이동하게 된다.

그간 MS 인터넷 익스플로러의 취약성에 대한 우려가 놓았지만, 다른 브라우저들도 만만치 않게 결점이 나타나고 있다. 특히 보안은 IE에 대해 파이어폭스가 내세우는 강점이었으며, IE는 수년만에 처음으로 시장 점유율이 약간 낮아지기 시작했다.

하지만 파어어폭스는 자체 보안 문제로 골치를 썪고 있다. 파이어폭스가 공식 출시된 이후 심각한 보안 구멍 몇 가지가 발견되어 이에 대해 패치가 이뤄졌으며, 전문가들은 완전한 브라우저란 존재하지 않는다는 이야기를 해왔다.@