[김홍선의 보안 이야기]무선통신 혁명과 새로운 보안이슈

1990년대 초에 대기업 연구소에 다니던 친구와 오랜만에 만나서 이런저런 얘기를 나눈 적이 있다. 요즈음 무엇을 연구하느냐고 물으니 그 친구가 “앞으로는 모두가 전화기를 하나씩 들고 다니는 세상이 될 거야. 그런 시스템을 만들고 있어”라고 대답하는데, 기대는 하면서도 확신은 없는 어조로 말했던 기억이 있다. 명색이 전자공학을 전공한 두 사람이 앉아서도 10년 뒤에 휴대폰이 이 정도로 널리 사용되리라 예상을 못했던 것이다.

1948년에 정보이론(Information Theory)을 만든 클라우드 샤논(Claude Shannon)은 무선통신의 아버지로 불린다. 트랜지스터를 발명해서 노벨상을 받은 윌리엄 샤클리(William Shockley)와 동시대 인물이지만 샤논은 일반인에게 덜 알려져 있다. 유선통신과 달리 무선은 자연환경 속의 온갖 소음(noise)과 간섭 속에서 통신을 해야 하는 어려움이 있게 마련인데, 샤논은 이에 대한 이론적 기반을 만들었다.

군대에서 시작된 무선통신은 한때 부의 상징이었던 카폰(Car Phone)을 거쳐 오늘날 거의 모든 개인의 통신수단이 되었다. 인도, 남미와 같이 통신기반이 약하고 지역이 넓은 국가들은 유선을 설치하는 비용보다 무선이 더 저렴하기 때문에, 유선 인프라 구축을 건너뛰고 바로 무선으로 넘어가는 기현상이 벌어졌다. 이에 따라 집에 전화기도 없던 사람들이 휴대폰을 사용하는 우리로서는 상상하기 힘든 상황이 발생했다. 인도와 남미 같은 나라에서는 선로를 깔아놓으면 그 선을 잘라가는 사건들이 많이 일어난다고 하니 한편으로는 이해가 가기도 한다. 이렇게 물리적인 한계를 극복하고 이동성(Mobility)를 지원하는 무선 통신은 단기간에 비약적인 발전을 이루었다.

또 다른 전환점은 휴대전화 기술이 인터넷 기술과 결합한 것이었다. ‘텔레코즘(Telecosm)’의 작가 조지 길더(George Gilder)는 퀄컴(Qualcomm)이 인터넷 프로토콜을 처음으로 휴대폰에 구현하자 GSM을 기반으로 한 유럽 진영의 CDMA에 대한 비난과 공격은 극심했다고 회고하고 있다. 사실 주파수 권한에 의해 수익 모델이 창출되는 통신업체에게 무료 성격이 강한 인터넷은 자신들의 기득권이 흔들릴 수 있다는 점에서 반갑지 않았을 것이다. 무료이거나 비교적 저렴한 VoIP 서비스가 그간 성장하지 못했던 이유도 이런 맥락에서 이해할 수 있다.

그러나, 결국은 무선에서도 음성과 데이터는 통합되었고 인터넷 기반의 '브로드밴드' 시대가 열리게 되었다 현재 인터넷과 휴대폰 기술은 상호보완의 개념으로 발전하고 있다. 처음 음성통신에만 집중하던 휴대폰이 데이터 속도의 증가로 데이터통신까지 지원하게 되었다. 반면 인터넷 서비스는 초기 데이터통신에서 현재는 원래 휴대전화 영역이었던 음성통신까지 무선으로 지원할 수 있게 발전했다. 결국 그 시작이 무엇이었는지 상관없이 데이터통신과 음성통신을 함께 사용하는 시대가 이미 시작되었다. 다시 말해 소비자 입장에서는 통신기술을 나누는 것이 무의미해졌다.

통신시장의 대변혁을 가지고 온 무선랜

한편 인터넷 접속 관점에서 기술 혁신이 발생했으니 바로 무선랜(Wireless LAN)이다. 무선AP를 통해 기업 네트워크에 접속하는 기술이 보편화되면서 무선랜의 부품 가격이 급락했고 사용자의 수요가 폭발적으로 증가했다. 워낙 급작스러워서 공급자가 충분한 투자회수 기간을 가지기 어려울 정도였다. 공공장소, 스타벅스, 대학 캠퍼스는 무제한 접속이 가능하게 되었다.

특히 글로벌 환경에서 기업들은 잦은 조직 변경과 구조조정을 해야 한다. 이런 변화에 유연하게 대응하는 데 무선랜은 완벽한 통신기술이었다. 자리를 옮길 때마다 케이블을 끌고 다닐 필요가 없기 때문이다. 인프라가 지원되니 업무 형태에도 변화가 생겼다. 이동성 근무자(Mobile Worker)의 비율이 급증했고, 무선랜이 장착된 노트북은 업계 표준이 되었다. 이에 따라 드디어 2007년에 노트북 판매대수는 데스크톱 PC 판매대수를 앞서기 시작했다.

무선인터넷은 휴대형기기(portable device)의 성장에도 크게 기여했다. 통신과 정보관리, 엔터테인먼트, 그리고 인터넷을 결합한 상품의 도래를 기대하는 분위기가 성숙했다. 여기에 화룡점정(畵龍點睛)을 한 것은 애플(Apple)의 아이폰(iPhone)이었다. 한번의 터치로 인터넷의 콘텐츠를 자신의 휴대형 단말기에 연결하는 개념을 혁신적 디자인으로 선보인 것이다. 아이폰(iPhone)이 과연 스마트폰 시장에서 진정한 리더가 될 지는 장담하기 어려우나 휴대형 기기의 미래 모습을 선보인 선구자의 위상을 차지한 것은 명확하다. 또한 통신사업자가 주도하는 이동통신 시장에서 역으로 단말기 업체가 매달 통신비의 일부를 받는 위상을 차지한 것도 신선한 충격이었다.

통신 혁명의 결과 오늘날 우리는 수많은 인터넷 옵션을 누리고 있다. 통신환경(브로드밴드, CDMA, 무선랜, 와이브로, GPS 등), 인터넷 단말기(PC, 휴대전화, 스마트폰, 게임기 등), 접속 시나리오(이더넷(Ethernet), DSL, 케이블, 무선랜 등)이 옵션의 다양한 조합에 의해 항상 온라인 서비스를 받을 수 있다. 해외 출장을 가든지 퇴근을 하더라도 회사 메일을 볼 수 없다는 핑계는 더 이상 통하지 않는다.

이처럼 유비쿼터스 사회는 통신기술의 발달 속에 우리 곁으로 다가왔다. 중요한 것은 이렇게 기술혁신과 투자가 이루어지는 와중에도 통신비용은 지속적으로 떨어지고 있다는 사실이다. ‘인터넷은 무료’라는 명제와 ‘인터넷을 중심으로 모든 활동이 재편되는’ 혁명적 상황이 통신사업의 수익모델마저 흔들고 있는 것이다.

다각적 접근이 필요해진 정보보안

그런 와중에 인터넷의 태생적 한계인 ‘보안’의 문제는 더욱 복잡다단해졌다. 통제할 포인트가 다양화되었고 데이터의 성격은 다변화되었다. 통신 환경의 변화로 인해 추가된 보안 개념을 살펴 보면 다음과 같다.

첫째, PC가 공격의 대상이 되었다. 아날로그통신 시대의 다이얼업 모뎀(Dialup Modem)은 PC 사용자가 자신이 필요할 때에 네트워크에 접속해서 할 일을 한 후에 스스로 연결을 끊는 구조였다. 그러나, 상시접속(Always-on)은 PC를 계속 위협에 노출되게 만들었다. 인터넷에 연결되어 있는 상황에서 언제든지 해커가 PC 내부를 헤집고 다닐 수 있게 되었고, 다른 목표를 공격하기 위한 중간 기착지로서도 활용할 수 있게 되었다. 소위 좀비 PC가 되는 것이다.

기업의 내부 시스템은 전문가에 의해 어느 정도 통제된다. 그러나, 통제되지 않는 수많은 PC 사용자가 보안 대책을 세운다는 것은 애당초 기대하기 어렵다. 그만큼 취약점이 많은 PC의 존재는 위협의 형태를 기하급수적으로 증대시켰다. PC가 네트워크에 항상 연결되어 있는 상시 접속의 문제가 야기한 보안 이슈다.

둘째, 기업의 내부 인프라를 보호하는 벽이 허술해졌다. 기업의 인트라넷은 인터넷이 들어오는 구간에 방화벽(Firewall)이라는 굳건한 관문이 존재한다. “뛰어난 해커는 어떤 보안 시스템도 뚫을 수 있다”라는 잘못된 인식이 팽배한 적이 있었다. 그러나, 제대로 보안 정책이 설정되어 있는 한 불가능한 일이다. 내부에 공모자가 있든지 사후 관리가 취약해진 허점을 노릴 뿐이다.

그런데 무선랜과 같은 접속 포인트는 중앙 시스템에 비해 상대적으로 소홀하게 관리될 수 있다. 대문은 막았는데 뒷문에 자물쇠가 안 잠겨있거나, 개구멍이 있는 것과 같은 이치다. 재택 근무나 외근자가 신뢰할 수 없는 공간에서 접근하려는 경우도 허점이 발생할 수 있다. 또한 사용자의 개인용 휴대형 기기를 내부 네트워크에 연결하고자 하면 어떤 정책을 설정할 것인가? 보안은 신뢰할 수 있는 구간(Trusted Zone, Secure Area)과 신뢰할 수 없는 영역 (Untrusted Zone)의 구분에서 시작하는데, 이러한 유무선, 개방형, 복합적 통신환경 속의 다양한 접속 시나리오는 단순한 잣대로 구분하는 것을 불가능하게 만들었다. 따라서, 지역적 관리에 그치지 않고 각 프로세스나 트랜잭션(transaction)별로 세밀한 보안 정책을 필요로 하게 되었다.

셋째, 네트워크와 PC의 관계가 달라졌다. 더 이상 기업의 PC는 단순한 개인용 장비가 아니다. 네트워크와 거의 대부분 시간에 연결되어 있는 네트워크 장비의 일종이다. 네트워크는 기업의 인트라넷이든 ISP의 대형 네트워크이든 크기에 차이가 있을 뿐 하나의 플랫폼으로 해석해야 하며, 기업의 IT 관리자는 네트워크 플랫폼 자체를 보호해야 한다.

여기에 연결되는 모든 PC와 인터넷기기를 엔드포인트(End Point)라고 한다. 네트워크 플랫폼을 보호하기 위해서는 네트워크에 접속되는 엔드포인트를 의심해야 한다. 만일 회사 직원이 외국에 출장 가서 PC가 바이러스에 감염되었다면 어떻게 되는가? 만일 그 PC가 집에서 사용하는 와중에 백도어가 설치되었다면? 그 PC가 네트워크에 연결되는 순간 (이더넷이든 무선 AP를 통해서든 간에) 사내 네트워크로 바이러스가 퍼지거나 내부 시스템이 해킹 당할 수가 있다는 얘기다. 이런 점에서 엔드포인트 보안은 사용자와 PC와 네트워크 플랫폼을 분리하는 것에서 시작한다. 네트워크에 입장하려면 인증과 권한 확인이 필요하고, 최신 바이러스 백신과 운영체제의 패치가 안 되었다면 면역시스템을 통해 치료를 한 후에야 연결시켜야 한다.

브로드밴드와 무선통신의 혁명, 무궁무진한 인터넷 접속 옵션, PC와 다양한 휴대형 기기는 PC를 네트워크와 유기적인 관계로 영향을 주는 관계로 발전시켰다. 이제 PC는 엔드포인트라는 개념으로 발전해서 모든 휴대형 기기와 모바일 컴퓨터에 적용되고 있다. 이런 환경변화는 보안을 개별적 영역에서 네트워크, 엔드포인트, 어플리케이션, 시스템의 종합적 차원에서 다루는 통합보안으로 차원을 높인 계기가 되었다.

/김홍선 안철수연구소 대표이사(column_phil_kim@inews24.com)