보안 솔루션 기업 노르마(대표 정현철)가 올해 보안 업계를 달궜던 주요 이슈를 선정 발표했다.

노르마는 R&D팀의 데이터 분석, 고객 문의와 제보, 국제 연구진의 발표 및 미디어 보도를 종합해 △ 스펙터와 멜트다운 △양자내성암호(PQC) △ 제로 트러스트 △ 크립토재킹 △ 쇼단과 인세캠 등 '2018 보안 키워드 5'를 발표했다.

올해는 무선 네트워크 및 IoT, 클라우드 시장이 급성장했으며 양자컴퓨터 개발도 활발히 진행됐다. 또한 블록체인과 암호화폐라는 혁신적인 기술이 대중화되며 관련 보안 위협이 커졌다. 

노르마는 이에 대한 대안으로 CCTV 보안 어플리케이션 'CCTV Care', 거래소를 위한 암호화폐 보안 모듈, 보안성이 강화된 모바일 전용 전자지갑 등을 출시하기도 했다.

노르마 정현철 대표는 "보안 전문 기업으로서 각종 해킹 위협을 감지, 내부적으로 제품 개발에 반영하고 일반 사용자들에게는 경각심을 높이기 위해 주요 보안 키워드를 선정해 발표하게 됐다"며 "점차 공격방법이 지능화 자동화 고도화되어 가고 있고 내부자의 관리 소홀도 꾸준히 문제점으로 지적되고 있는 만큼 이에 대응하는 보안 대책의 중요성도 더욱 커지고 있다"고 전했다. 

△ 스펙터와 멜트다운
올해 마이크로 프로세서 업계의 최고 화제는 현존하는 CPU 대부분에 악영향을 주는 스펙터(Spectre)와 멜트다운(Meltdown) 등의 취약점을 해결하는 것이었다. 두 취약점은 올해 초 구글이 3가지 CPU 취약점 공격 기법 분석 결과를 발표하며 알려졌다. 

관련 업계 및 연구자들은 실행 버그를 확인해 수정하는 한편 궁극적인 해결책에 더 많은 논의가 필요하다는 견해다. 현존 대다수 PC, 서버, 모바일 기기가 영향권에 놓였으며 관련 업체들이 일제히 패치 또는 업데이트를 내놨다. 이와 별도로 하드웨어와 소프트웨어 개발사의 연합을 통해 현재의 마이크로프로세서를 완전히 재설계해야 한다는 주장도 제기됐다.

△양자내성암호(PQC)
올해는 양자컴퓨터를 이용한 공격에 대해 안전한 내성을 갖는 암호기술, 즉 양자내성암호(PQC, Post Q uantum Cryptography) 기술의 필요성이 강조됐다. 

양자컴퓨팅 시대의 모습이 구체화되면서 새로운 암호화 알고리즘에 대한 요구도 높아지고 있다. 기존 디지털컴퓨터의 암호 기술은 공인인증서 등 여러 분야에 사용하는데, 양자컴퓨터 시대가 도래하면 일상적으로 사용하는 공개키 암호방식이 무력화돼 보안에 구멍이 뚫릴 수 있다. 

앞으로 양자컴퓨팅 환경에서 안전성을 측정할 수 있는 합의된 방법론, 새로운 양자분석 알고리즘에 대한 발견, 양자저항성을 고려한 계산량, 보안강도 측정, 키사이즈 제안 등 다양한 연구가 지속 되어야할 것으로 예상된다.

△ 제로 트러스트
올해 주목 받은 클라우드 보안은 내년에도 최대 화두가 될 전망이다. 클라우드는 별도의 물리 서버 없이 가상의 클라우드 인프라를 이용해 서버 환경을 빠르게 구축하는 컴퓨팅 서비스다. 물리 서버에 비해 비용 효율이 높고 관리가 용이 하지만 보안에 대한 명확한 대비도 필요하다.

제로 트러스트(Zero-Trust)는 네트워크 경계가 모호해진 멀티 클라우드 환경에서 모든 네트워크를 의심하고 검증하는 보안 방식을 의미한다. '신뢰하되 검증'하는 것이 아니라 '모든 것을 검증하고 아무것도 신뢰하지 않는' 방식이다. 

이를 위해 다중 인증이나 신원 및 접근 관리(IAM, Identity and Access Management), 오케스트레이션, 애널리틱스, 암호화, 스코어링 및 파일 시스템 인가 등의 기술을 사용한다. 각 직원에게도 맡은 업무별로 필요한 최소한의 접속 권한만을 허용하도록 운영 지침을 변경할 것을 권장한다.

△ 크립토재킹
크립토재킹은 암호화폐(cryptocurrency)와 하이재킹(hijacking)의 합성어다. 암호화폐를 채굴하려면 고성능의 PC로 암호화 과정을 풀어야 하는데 개인이 채굴하는 것은 한계가 있으므로 타인의 PC 리소스와 프로세스파워를 몰래 끌어와 채굴에 동원하는 것이다.

최근에 '커피 마이닝'이라는 신조어도 등장했다. 커피 마이닝은 카페와 같은 곳에서 무료 공용 와이파이를 쓰는PC나 스마트폰을 악성 코드로 공격해 백그라운드로 암호화폐를 채굴하는데 악용하는 수법을 말한다.

크립토재킹이나 커피 마이닝을 예방하려면 백신과 운영체제(OS)를 최신 버전으로 업데이트하고 의심스러운 메일이나 파일은 실행하지 않아야 한다. 무료 공용 와이파이 연결 시에는 반드시 해당 업소가 제공하는 것인지 확인이 필요하다.

△ 쇼단과 인세캠
쇼단(Shodan)은 본래 IoT 기기 취약점 정보 공유를 위한 검색 엔진이지만 해커들이 이를 악용해 '어둠의 구글', '해커들의 놀이터'로 불린다. 쇼단과 유사한 웹캠 해킹사이트로 인세캠이 있으며 인증절차가 별도로 없어 해커의 접근이 더 용이하다.

IoT 보안에 소홀하면 해커가 쇼단이나 인세캠 통해 취약점을 검색하고 사생활을 들여다볼 위험이 있다. 쇼단에 검색된 IoT 기기라도 보안성을 갖췄다면 개인 정보가 유출될 위험은 크지 않다.

IoT 해킹을 예방하기 위해서는 구입 시 반드시 초기 아이디와 패스워드를 재설정하고 주기적으로 변경해야 한다. IoT 기기를 외부와 연결하는 네트워크의 계정도 꾸준히 관리해야 한다. 외부에서 인가되지 않는 네트워크에 IoT 기기를 연결하는 것도 신중해야 한다.