[지디넷코리아]소프트웨어 제작사들은 해커가 어떻게 하느냐에 따라 제품을 출시할 때 취약점이 줄어든다고 모질라의 보안 담당이 24일(미국 시간)에 말했다.

소프트웨어 업계는 취약점 공개에 관한 가이드라인을 수년전부터 추진해 왔다. 모질라의 보안 부문 담당 윈도우 스나이더(Window Snyder)는 워싱턴에서 열린 해커 관련 이벤트 「ShmooCon」에서 열린 좌담식 공개 토론에서 이러한 「의무 공개」활동은 어느 정도 성과를 올려 왔지만, 그 과정은 보안 연구자들이 완전하게 장악하고 있다고 말했다.

“연구자가 모든 실권을 잡고 있다. 그들은 공개 시기나 벤더 대응 타이밍에 대한 계획도 컨트롤 하고 있다.”라고 스나이더는 말했다.

취약점에 대한 상세한 내용을 공개하는 것은 수년 전부터 활발히 논의되어 왔다. 소프트웨어 업계는, 버그의 활동 개시에 대한 내용을 연구자들이 공개하기 전에 미리 공개하는 행위를 의무 공개라 한다.

그 이유는, 버그에 관한 발표가 너무 빨리 이루어졌을 때, 범죄자들의 사이버 공격 목표가 될 수 있기 때문이다. 또한, 이로 인해 벤더의 평판이 저하되는 것은 당연한 일이다.

한편, 업계의 가이드라인에 따르는 보안 연구자는, 소프트웨어 제작사들로부터 반응이 없는 것에 초조함을 많이 느끼고 있다. 그 외에 빈번히 지적되는 부분은, 패치가 릴리스 될 때까지 걸리는 시간과 문제를 발견한 연구자가 보안경고 속에서 공적을 인정받기 까지 걸리는 시간이다.

MS 출신의 스나이더는 “벤더에는 보고에 대해 대책을 마련하는 큰 책임이 있다.”라고 말했다.

그러나 누구나 이 의무 공개를 발아들이고 있는 것은 아니다. 좌담식 공개 토론에 참가한 보안 소프트웨어 벤더 이뮤니티(Immunity)의 데이브 아이텔(Dave Aitel)에 의하면 이것은 소프트웨어 제작사들의 책임이라고 말했다.

아이텔은 “의무 공개는 마케팅 용어에 지나지 않는다. MS와 거대 벤더들의 영향력을 받고 있다. 그들은 이 과정을 통제 하려고 하고 있다.”라고 말했다.

아이텔은 해커에 대해, 벤더에 취약점을 공개하는 대신에 자신에게 중요한 정보를 팔았으면 한다. 이뮤니티는 보안의 취약점에 관해 상세한 정보를 제공하는 해커들에게 정보료를 지불해 그것을 컴퓨터나 네트워크에 침입할 때 이용이 가능한 테스트 툴 등 자사의 제품에 활용하고 있다.

보안 조사회사 베라코드(Veracode)의 창업자 겸 최고 기술 책임자 크리스 위소팔(Chris Wysopal)은 해커들이 실권을 잡고 있다는 견해를 부정했다. 그는 “많은 위협이 존재한다. 협박받는 입장에 서 있는 것은 참으로 불편한 일이다.”라고 말했다.

보안 연구자들에 대해 법적으로 보복을 생각하고 있는 벤더는 자신이 무슨 일을 하고 있는지 모르는 사람일 것이라고 보안 소프트웨어 벤더 티핑포인트(TippingPoint)의 보안 조사 매니저 로힛 아만카르(Rohit Dhamankar)는 말했다.

다만카르는 “모질라나 MS 등, 매우 세련된 벤더도 있는 반면에 뛰어난 프로세스라는 개념을 전혀 모르는 벤더도 있다.”고 말하고 있다. 그에 의하면, 티핑포인트는 어느 웹 포털 소프트 제작자로부터 소송의 가능성이 시사되었다고 한다. 티핑포인트는 버그를 발견한 보안 연구자들을 상대로 보수를 지불하고 있다.

이뮤니티나 티핑포인트 등의 기업들은 라이벌 기업들에 대해 경쟁상 우위에 서기 위해 취약점을 찾아낸 해커들에게 보수를 지불하고 있다. 버그 정보를 구입하는 것만으로 이들의 제품은 다른 제품들과 비교해서 먼저 문제를 감지하고 대응할 수 있다.

결국, 취약점은 공개하지 않는 한 수정이 되지 않는다고 위소팔은 말했다. 그는, “그것을 벤더에게 전달하는 것이 책임 있는 행동이지만, 위협을 발견하지 못하면 벤더는 어떠한 대응도 취하지 않고 끝나 버린다. 실제로 무엇인가를 수정하려면 그것을 일반적으로 공개하는 것 밖에 방법이 없다”라고 말했다.

모질라의 스나이더는 30일이면 소프트웨어 제작사가 패치를 준비하는데 충분한 기간이라고 해 의무 공개 가이드라인에 따르도록 해커들에게 부탁했다.

“지금의 작업에 대해 감사하고 있다. 보안상 취약점이 세계에 공개되기 전에 조금이라도 미리 알려줄 수 있는 것에 감사한다. 조금 일찍 경고해 주는 것을 고맙게 여긴다. 30일만 주면 정말 고맙겠다. 그 정도면 충분한 조치를 취할 수 있는 시간이 주어진다”라고 스나이더는 말했다. @