[지디넷코리아]어도비가 25일 출시한 'AIR'를 놓고 벌써 부터 보안 문제가 거론되고 있다. 미 보안 커뮤니티들에는 AIR의 취약점을 염려하는 지적이 올라오고 있다.

전에는 ‘어도비 아폴로’라고 불렸던 AIR는 런타임 환경이다. 이 런타임 환경으로 개발자는 HTML이나 플래시, 에이잭스, 플렉스 등의 툴을 사용해 데스크톱 애플리케이션을 구축할 수 있다. Nickelodeon Online 등은 이미 AIR를 이용한 애플리케이션을 제공하고 있다.

어도비의 샨타누 나라옌 CEO가 샌프란시스코에서 열린 행사에 AIR을 설명하고 있다. (제공: Charles Cooper/CNET News.com)

하지만 보안 전문가들은 AIR 애플리케이션에 의한 로컬 파일 액세스를 염려하고 있다. 파이어폭스도 공격자가 표적 삼은 파일 시스템에 원격에서 접속할 수 있는 취약성이 발견됐다. 보안을 대비해 어도비는 샌드 박스 환경을 강조하고 있지만, 어도비의 도큐멘테이션에서는 이 샌드 박스 환경은 웹 브라우저의 샌드 박스만큼은 안전하지 않다고 설명하고 있다.

어도비는 또 AIR 애플리케이션은 디지털 서명이 필요하다고 설명했지만 이 인증 방식에서는 자기 서명하는 것이 가능하다. 또 많은 유저가 경고를 무시하고 신용할 수 없는 애플리케이션을 실행할 우려도 있다.

또 크로스 사이트 스크립팅(CSS), SQL 인젝션, 로컬 링크 인젝션의 우려도 있다. 이러한 위협은 AIR에 한정한 것은 아니지만, 개발자는 보호 기능이 약한 AIR의 샌드 박스에만 의존하는 잘못된 보안에 머무를 수 있다.

한편 어도비는 ‘AIR 보안 안내(Introduction to AIR security)’라는 설명적인 기사와 ‘AIR 시큐리티’라는 화이트 페이퍼(PDF 파일)를 공개했다. @