대한민국의 정부와 보안업체는 왜 화이트 해킹을 무서워 하는가?

 이유는 간단하다. 보안 방법이 단순히 비밀을 유지함으로써 가능한 방법을 선택할 뿐이라는 것이다.

 기술적으로 안전을 확보하는 Secure 의 개념이 아니라,
 시스템을 보호하는 Security 의 개념이기 때문이다.

 그럼 화이트 해킹(White Hacking)은 기술을 선의로 사용하는 것이다. 시스템이 안전한가 검증해 주고 문제가 발견되면 이를 알림으로써 사고를 예방하는 효과를 목적으로 하는 행위이다.

 화이트 해킹에 대해서 정부에 민원을 넣고, 보안 솔루션을 사용하고 있는 기업에 지적을 하면 돌아오는 답변은 간단하다. 법적으로 불법이니까 하지 말라고 한다.

 과연 화이트 해킹이 불법일까?
 정확한 법적 개념으로 이야기하자면, 화이트 해킹 자체는 불법이 아니다. 화이트 해킹을 정부나 기업이 받아 들여서 진행하는 것이냐 아니야에 의해서 불법이냐 아니냐가 결정될 뿐이다. (시스템을 소유한 곳에서 문제를 찾을 생각이 없다고 하는데, 그것에 대해서 문제를 찾겠다고 시스템을 분석하는 작업이 진행되서 만약에 위해-문제를 건드려서 작동 불능 또는 데이터 손실-이 발생했다면 위법으로 간주되기 때문이다.)

 화이트 해킹을 받아 들이지 않는 시스템을 Secure(안전)하다고 평가할 수 있을까?
 솔직히 이 질문에 대해서는 단순 명료하게 이야기할 수 있다. 절대로 안전하지 않기
때문에 받아 들이지 않는다고 말할 수 있으며, 문제가 표면화되기 전까지 안전하게
만들 생각이 없다라고 스스로 자인하는 것과 같다는 것이다.

 화이트 해킹의 기본 기술 중에 리버스 엔지니어링이 있다. 이 리버스 엔지니어링의
가장 쉽게 노출되는 것이 바로 ActiveX 기술이다. 서버와 클라이언트가 통신하는
방법론 자체에 대한 기술을 클라이언트에서 알 수 있게 해 주기 때문이다.
 WWW의 기술적인 내용을 보면 클라이언트는 서버가 어떻게 동작하는 지 알 수 없도록
하는 부분이 중요한 요소를 차지하고 있다.(솔직히 클라이언트 단에서 데이터 처리가
많을 수록 WWW-웹의 보안을 해친다는 것도 알고 있을 것이다. 과도한 JavaScript도
이에 해당한다고 보고 있습니다.)

 재화와 관련해서 가장 많은 정보가 왔다 갔다 하는 것이 바로 금융기관이라고 할 수
있다. 근데 대한민국 금융 기관의 보안 사고는 생각보다 많으며, 그 피해도 매우 크다.
왜 그럴까? 그 원인을 파악하기 위해서 금융기관이나 이에 대한 감독 기관인 금감원에
화이트 해킹 이야기를 꺼내는 순간 매우 불쾌하게 생각할 것이다. (자신들이 추구하는 보안-안전이 아님-이 그렇게 허술해 보이냐고 말이다.) 그럼, 그렇게 자신 있으면 화이트 해킹을
허락해 줄 수 있냐고 물어 보면, 한번도 허락을 한 적이 없다는 사실이 논리적 반증이 된다는것을 그들도 알고 있을 것이다.

 화이트 해킹을 통해서 안전한 시스템을 만들 수 있는 기술을 확보해 나갈 수 있다는
사실을 언제나 인정할 지에 대해서는 알 수가 없다. 대한민국에서 화이트 해킹에 대한
인식과 제도적으로 보장되는 상황이 되어야 한다는 것은 동의하지만, 불법도 아닌데
불법으로 몰아가는 정부나 기관, 기업들의 태도는 고쳐져야 한다는 생각을 전하고
싶을 뿐이다.

다수의 취약 서버를 경유한 개인 계정 해킹

 대한민국에서 몇몇 개인정보 유출 사고가 있었는데, 이 중에는 사용자 아이디와 암호까지 고스란히 노출이 된 경우가 있었습니다.
 유출이 일어난 해당 서비스에서는 사용자 암호는 암호화가 되어 있어서 안전하다고 이야기하지만, 보안 쪽에서 본다면, 단방향 암호화를 사용하지 않았다면 해당 암호는 안전하다고 볼 수 없다는 게 통상적입니다. 거기다가, 다른 서비스에서 유출된 정보와 연계해서 분석하면 사용자 암호를 유추할 수 있는 경우는 매우 많습니다. 이렇게 해서 확보한 개인 정보를 통해서 다양한 해킹이 시도되고 있습니다.
 국내에서 이러한 해킹을 직접적으로 시도할 경우에 해당 계정의 사용자가 이를 탐지해서 경찰에 신고할 경우에 추적 당하게 되어 적발당할 수 있다는 사실을 해커들도 잘 알고 있습니다. 그래서, 여러 단계를 거쳐서 해킹을 해오고 있는데, 최근에 발견한 유형에 대해서 설명을 하고자 합니다.


0.서버 경유 해킹 방법
 일반적으로 서버를 경유해서 하는 해킹은 아래와 같은 방법을 선호해 왔었다

 그러나 포털이나 인터넷제공회사에서 중국에서 접근해 오는 해킹 시도를 차단하면서,
이를 우회하는 방법으로 취약서버를 이용하는 방향 쪽으로 전환을 했다.

 취약점은 여러가지가 있으나, 접근 권한 또는 백도어 등을 활용하는 경우가 많았습니다.

 취약 서버로 활용되는 서버를 지금까지 취합해 보면, 주로 IDC에 있는 서버가
1차적으로 손 꼽히고, 다음으로 개인 사무실에 설치된 서버, 다음으로 관리가
부실하다고 판단되는 사이트의 서버라고 할 수 있을 것입니다.
 직접 해당 방법으로 개인 메일 계정에 대한 해킹 시도를 경험했었고, 취약서버
리스트까지 정리해서 경찰 신고까지 접수하였으나, 취약 서버에 접속한
최종 위치가 중국이었기 때문에 그 이상은 추적하지 못한다 하여 조사가 종료가
된 상태입니다. (추적이 아예 불가능하냐고 물으신다면? 뒤에 조금 첨부되어
있습니다.)


1.스팸 메일 발송 및 불법 광고 게시물
 가장 많이 이루어지는 행위가 바로 스팸메일 발송입니다. 포털 대부분 '화이트 리스트'를
스팸 메일 분류에 활용하고 있기 때문에 스팸 메일 서버를 별도로 만들어서 메일을 보내는
것은 의미가 없는 상황입니다.
 또한 포털에 구축되어 있는 많은 커뮤니티들에 불법 게시물을 올려서 광고하는 것은
꽤 효과가 있는 영업 방식입니다.
 이를 위해서 개인정보를 이용해서 이러한 기능을 수행하는 것을 목적으로 해킹하는 경우가
가장 많은 경우였습니다.


2. 개인 정보 - 사생활 추적
 다음으로 가장 문제가 되는 것은 바로 사생활 추적입니다. 많은 사이버 흥신소가
특정 상대방의 메일이나 주소록 정보를 확보하기 위해서 이러한 시도를 하는 것으로
확인이 되었습니다.
 본인의 동의를 거치지 않거나, 수사기관의 도움 없이 개인의 메일 계정에서 메일이나
주소록을 가져오는 행위는 매우 큰 불법 행위입니다. 이를 사용하는 행위도 당연히
불법적인 것에 해당을 하지요.
 사이버 흥신소는 자신들이 어떤 경로를 통해서 이러한 개인 정보-사생활을 확보했는지
당연히 밝히지 않지만 현재 대한민국 몇몇 포털과 서비스에서 유출된 정보라면
이메일의 암호를 파악하거나 유추해서 사용하는 것은 어려운 일이 아닙니다.
 개인정보를 파악하지 않은 것처럼 보이기 위해서 스팸메일을 발송하거나 불법
게시물을 올리는 행위를 함께 수행하는 듯 합니다.

 취합을 위해서 기본으로 사용해 온 것이 바로 '주민등록번호' 입니다. 주민등록번호를
통해서 자주 사용하는 아이디를 알게 되면, 몇몇 사이트는 주민등록번호 만으로 암호를
알려 주기 때문에 암호를 유사하게 사용하는 경향을 이용해서 다른 사이트도 확인을
하게 됩니다.
 기존에 유출된 개인정보를 취합해서 개인정보 조사 자료를 만들어서 활용합니다.
개인정보 조사를 위한 자료를 만들어서 판매하는 브로고커도 있으며, 해킹하는 쪽
입장에서도 이러한 자료가 있는 것과 없는 것의 차이는 매우 큽니다.


3. 이러한 해킹 시도를 법적으로 막을 수는 없나?
  완벽하게 막는 것은 불가능합니다. 하지만, 이러한 방법으로 해킹하는 사람을
찾아내서 법적으로 처벌함으로써 막아 나가는 것은 가능합니다.
 해당 타이밍에 취약서버에 접근한 중국서버에 접근하는 한국 내 IP 정보를 통해서
추적을 해 나가는 일입니다. 이러한 일은 현재 대한민국의 ISP가 크게는 3개 업체의
국제망을 통해서 연결되고 있기 때문입니다.
 취약 서버의 숫자를 줄여 나가는 것도 중요하지만, 서버 관리나 보안 컨설팅과
관련해서 업체들이 제대로 된 비용 지불을 할 용의가 없기 때문에 대부분의
웹 에이전시나 SI 회사에 이러한 역할을 기대하는 것은 무리가 있습니다.


 꽤 오래된 일인데 이제서야 글을 올리네요.

SNS 심의안에 대한 방송통신심의위원회의 답변!

 방송통신심의위원회에 SNS 심의안과 관련해서 헌법 위배 여부에 대한 검토 자료를 요청하는 민원을 제출하였습니다.
 해당 법률에 대해서만 검토하고 헌법 위배에 대해서는 검토하지 않았음을 보여주는 내용만을 보내 주었습니다. 그래서 다시 한법 위배 여부에 대한 검토 자료를 요청하는 민원을 제출하였습니다.
 헌법 위배 여부 조차 검토하지 않고 법률과 제도를 만들어 나간다면, 당연히 민주주의를 저해할수 있는 요소로 다분히 이용될 가치가 있다고 판단이 됩니다.

 해당 법률의 오류는 다음과 같습니다.

1.  SNS 대부분은 전체 공개 또는 부분 공개로 운영되고 있으나 개인의 사적인 공간으로 분류된다.
2.  사적인 공간에서 개인적으로 생각한 것을 쓰는 것에 대해서 현행법을 적용해서 이야기한다는 것은 개인적인 상상이나 창작 등도 하지 말라는 이야기와 같은 것이다.
3. 불법성이라고 표현하는데, 그것을 적발하거나 실제로 단속할 능력도 안되는 상황에서 강제적으로 법 적용을 하겠다는 것은 결과적으로 개인에게 이러한 요소를 부각시켜서 서비스 사용을 저해하겠다는 취지라 할 수 있다.

 헌법 위배 여부 검토 자료에 대해서 계속적인 요구를 할 예정입니다. 모든 법률은 헌법 위배 여부 검토를 해야 합니다.


----------------------------------------------------------------

안녕하십니까?

  방송통신심의위원회입니다.

  귀하께서 문의하신 사항에 대하여 다음과 같이 답변을 드립니다.

  저희 방송통신심의위원회는「방송통신위원회의 설치 및 운영에 관한 법률」제21조에 따라 방송프로그램 및 정보통신망(인터넷 및 모바일 등)을 통해 유통되는 정보에 대한 심의를 하고 있습니다.

「정보통신에 관한 심의규정」에 의거한 인터넷 상의 불법/유해정보 등에 대한 심의가 이루어지며,

「방송 심의에 관한 규정」에 의거하여 방송프로그램의 공공성, 공정성, 선정성 및 권익침해 등의 사항을 심의합니다.

  저희 위원회는 SNS(Social Network Service)를 통해 유통되는 ‘모든 정보’를 심의하는 것이 아니라, 방송통 신위원회설치법 제21조에 의거하여 △일반에게 공개되어 유통되는 정보 가운데 △정보통신망 이용촉진 및 정보보호 등에 관한 법률 제 44조의7에 해당하는 ‘불법정보’ 및 ‘청소년유해정보’에 국한하여 심의하고 있습니다.

  즉, ‘공정성’과 ‘객관성’을 심의하는 ‘방송’과 달리 ‘불법성’이 명백하여 현행법이 그 유통을 금지하고 있는 정보만 심의대상으로 하고 있습니다.

  ※ 불법정보의 유형
△음란물, △허위사실 유포 명예훼손, △사이버스토킹, △해킹, △청소년보호법 위반, △사행행위, △국가보안법 위반 △각종 범죄를 목적으로 하거나 교사, 방조하는 내용

  만약 SNS를 통해 유통되는 정보가 ‘선거의 공정성을 훼손하는 내용’에 해당하더라도, 이에 대한 규제는 공직선거법 제82조의4에 따른 선거관리위원회의 직무이므로 우리 위원회의 심의대상에서 제외됩니다.


  기타 자세한 문의는 (국번없이) 1377로 전화주시기 바랍니다.

불법적인 주민등록번호 수집이 불러온 개인정보 유출 사건들

 2011년 7월 28일 SK컴즈는 네이트와 싸이월드 사용자 3500만명의 개인정보 일부가 유출되었다고 발표했다. 비밀번호와 주민등록번호는 암호화 되어 있는 상태로 유출되었다고 하는데, 어떤 암호화를

 법률적으로 이야기해서 주민등록번호를 민간(개인, 기업)이 수집하는 행위는 엄연히 불법이다.

 왜 근데, 이대로 방기하고 있는 것일까?

 여러 가지 이유가 있을 것이다. 가장 큰 이유는 편의성의 문제라고 간주하고 있는 정부의 안일한 태도가 될 것이다. 정부 입장에서는 인터넷에서 일어나는 각종 문제들을 쉽게 처리하기 위해서는 개인을 식별할 수 있는 수단을 확보하는 것이 중요할 것이다. 즉 통제라는 기본 정서에서 오는 것이다. 정부가 국민을 통제하려고 하는 것은 많은 문제를 야기한다는 사실을 아직 인지하지 못하고 있는 것이다.

 근데 이러한 이유보다 실제적으로 주민등록번호를 민간이 확보하려고 하는 이유가 따로 있고 이게 가장 중요한 부분이다. 바로 돈이다. 주민등록번호를 통해서 사용자를 식별해서 고유 사용자 수를 알 수 있어야 가치를 책정할 수 있다고 생각하기 때문이다. 이러한 부분은 주민등록번호가 포함된 개인정보를 해킹하려는 측에서도 마찬가지 논리로 작용한다는 것이다.

 자 이런 상황에서 주민등록번호 수집을 민간에서 하도록 나두는 것이 정상적이라고 보이는 사람이라면 통제를 받는 측이 되어도 상관 없다거나, 스스로 통제를 하는 측이기 때문일 것이라고 본다. (근데 통제를 하는 측에 속하는 사람은 극히 소수이지 않을까?)

 정부가 나서서 주민등록번호 수집을 조장하는 법률도 여러 가지 만들었다. 그 중에 대표적인 것이 바로 실명인증제이다. 이런 불합리한 제도가 가져온 결과는 개개인을 식별할 수 있는 정보를 국외에 유출하는 사태를 만들었다는 것이다.

 이런 상황이라면 주민등록번호는 어떤 공적인 효력을 가질 수 있는 정보가 아니게 된다는 것이다. 누가 어떻게 조작해서 사용할 지에 대해서 예측할 수 없다는 것이다.

 과연 정부는 이에 대해서 책임이 없는 것일까? 책임이 있는데 수수 방관하고 있는 것일까? 난 후자라고 본다. 지금까지 책임을 묻는 사람이 없었으니까 말이다.

 정부는 기업의 책임이라고 이야기하는데, 기본적으로 법을 위배하는 상황을 수수방관한 책임이 없다라고 이야기할 수 있는 정부 관료가 있으면 제발 나한테 연락을 좀 해주기 바란다.

Apple의 위치 정보 수집으로 인한 정신적 피해 성립할까?

 Apple의 위치 정보 수집으로 인해서 정신적 피해에 대한 손해 배상을 청구하는 집단 민사 소송을 한다고 한다. 일단 어떤 변호사가 진행했던 부분은 공식적인 소송이 아니라, Apple이 대응하지 않고 그냥 요구한 것을 들어 준 것이다. 정식적인 재판이 진행된 것이 아니므로 승소라는 표현을 써서는 안 된다. (승소라는 개념을 제대로 이해해야 한다.)

 이번 집단 민사 재판에서 주요한 점은 Apple이 어느 정도 수준의 위치 정보를 수집했는가에 따라서 판결이 달라지게 될 것이라는 점이다. 또한, 개인이 식별이 가능한 정보를 Apple이 자체 서버에 저장했고 그것을 누군가 유용할 가능성이 있었냐는 점이다.

 혹시, iPhoneTracker 소프트웨어를 사용해 보았는가? 언뜻 보기에는 장치의 위치를 수집한 것으로 보이는 형태이다. 그러나, 자세히 들어가서 살펴보면 이야기는 달라진다. 해당 정보는 이동통신사의 기지국과 중계기, WiFi Access Point(공유기 포함)에 대한 장치 정보와 출력 정보가 다 일 뿐이다.
 그럼 왜 Apple은 iPhone을 통해서 기지국, 중계기, WiFi Access 등과 같은 장치의 정보를 수집한 것일까? iPhone이나 iPad에 있는 GPS는 그렇게 빠르게 반응하는 편도 아니고 정확도도 높은 편이 아니다. Apple 입장에서는 빠르고, 정확도가 높은 위치 정보를 사용자에게 제공하는 것은 매우 중요한 부분이다. 그렇기 때문에, 고정되어 있는 기지국이나 중계기, WiFi Access Point 등의 위치 정보를 기반으로 해서 GPS 신호를 처리하면 더 빠르고 정확도를 높일 수 있다는 점이다.

 Apple이 실수한 부분은 iTunes Backup 단계에서 해당 정보가 PC에 저장되었다는 점과 용량 한계를 안 두어서 오랜 기간 쌓였다는 것이다.

 그럼 여기서 이것을 위치정보 관련 법률이나 개인정보 보호 관련법에 기반해서 살펴 보도록 하자.

 위치정보 관련 법률을 위반한 부분이 없다고는 할 수 없다. 하지만, 개인의 위치 정보를 전송한 것이 아니기 때문에 개인이 피해 대상으로 볼 수 있냐는 부분에 있어서, 의문이 생길 수 밖에 없다. Apple이 개인의 위치 정보를 해당 기술 부분에서 전송한 사실을 입증할 수 있는가에 대해서 생각해 보자. 혹시 iOS 4.3 이전 버전과 iTunes 10.0 이전 버전에서 Test를 해 보면 알 수 있을 것이다. 이 부분에 대해서 이미 미국 FTC의 보고서가 있으니, 확인해 보기 바란다. (여기다 올릴 수 있는 내용이 아니니 언론 보도 자료나 직접 확인해 보시기 바랍니다.)

 다음으로 개인정보 보호 관련 법에 저촉이 되려면, 장치 관련 정보나 사용자 정보를 Apple이 송수신한 증거가 있어야 한다. iPhoneTracker를 통해서 확인한 정보에서는 그럴만한 정보가 포함된 증거를 찾을 수가 없었다. iOS 단위에서 일어날 수 있는 부분이 있을까 싶어서 이 부분도 확인해 보았는데 Apple은 이런 부분이 없다고 발표했고, 미국 FTC도 이 부분은 아니라는 입장을 보였다. 자, 여기서 문제다 Apple이 어떤 Server에 수집된 위치 정보를 수집했고 어떻게 관리했는지 솔직히 민사로는 확인이 불가능하다. 형사 사건이라면 전송 증거를 기반으로 해서 Server 수색이라도 할텐데 말이다.

 자 여기서 의문을 던져 보자, 개인의 위치 정보가 아닌 시설의 위치 정보를 기록하고 개인 정보와 무관하게 송수신했는데, 피해 유무를 말할 수 있는가?

 법적인 판단은 법원이 해야 하는 것이다. 기술적인 면에서 접근하고 이야기하면 여기까지가 결론이다.

 집단민사소송 단계에서 우발적인 행위는 하지 말아주었으면 한다. 집단민사소송도 패소했을 경우에 상대방이 피해를 입게 되면 이를 배상해야 한다는 것이 법치 주의므로 말이다. (물론 Apple이 승소했다 해도 집단민사소송을 낸 소비자를 대상으로 소송하지는 않겠지만 말이다.)

모바일헬퍼 - '나무늘보' 케이스를 를 지원해 드립니다.

 안녕하세요.

 아마 이 글을 보고 계신 분은 검색보다는 트위터를 통해서 보시는 분일 것입니다.

 내용을 보시고 필요로 하시는 분은 제 트위터 아이디 (@soundyou) 로 DM을 보내 주시기 바랍니다. 저를 팔로워하고 계신 분들을 대상으로 지원해 드리는 것을 목적으로 합니다.
 일정은 2011년 7월 17일가지 받겠습니다.
(팔로윙을 받기 위해서 하는 게 아니라는 점 알아 주시기 바랍니다.)
(DM에는 본인이 아이폰4로 찍으신 사진이나 동영상이 있는 블로그나 홈페이지를 알려 주시기 바랍니다.)

 (주)윌비에서 만든 모바일헬퍼 '나무늘보' 는 기능성에 특화된 제품입니다.

 사진 및 동영상 촬영을 위해서 사용하기에 좋은 제품이라는 점입니다.

 일반 케이스들에 비해서 가격도 고가지만, 그 기능성에 있어서는 탁월한 것 같습니다.

 사진 보시면서 판단하시면 될 것 같습니다.



 제품 포장 상태는 깔끔한 편입니다. 아이폰용 케이스 제품 들 중에
가격이 나가는 수입 제품들과 비교해서 무난하다고 봅니다.



 뒷면에 설명서 부분은 재미있는 내용인데, 아직 다듬어지지 않은
느낌이 있네요. 저런 부분들이 중요한데 아쉽습니다.



 케이스를 벗겨 내면 내용 구성물이 보입니다. 뒷면을 보여주고 있는데,
다 이유가 있답니다.



 분리를 해 내면 요렇게 나옵니다. 꼬리가 보이네요. 저게 중요한 부분이죠.
안쪽 종이에는 아이폰4 부착 순서가 있습니다. (영어로만 되어 있네요.)




 뒷면 하단 확대 부분입니다. 가죽 질감이 아주 죽여 줍니다.
(다른 제품들도 보여 드리고 싶은데 뜯은 거 보내 드리면 그럴
것 같아서 안 뜯었습니다.)



 앞쪽 하단 면입니다. 이 부분이 아이폰4를 감싸는 부분이죠.




 요건 단추 역할을 하는 부분입니다. 너무 과하게 스왈롭스키 큐빅을 썼다고
하시는 분도 계시고 저것도 멋이지라고 하는 의견이 분분한데, 이거 중요한
역할을 하는 부분입니다.



 폰을 잡는 부분입니다. 나무 늘보의 발인거죠. 혹시 이 부분을
왜 보여 드리려구요? 음 제가 만져 보니 이게 부드러운 재질이
아니라, 강한 플라스틱 재질이거든요. 혹시나 저 부분 마감이
좋지 않아서 아이폰에 상처 입히실 것이란 걱정 부분을 덜어
드리려구요. (나눠 드리고 욕 먹기는 싫습니다.)



 중간에 끼다 말고 한컷 찍어 보았습니다.



 장착 후의 모습니다. 장착 과정은 하단을 먼저 끼우시고 우측 사이드
,좌측 상단 순이라고 되어 있습니다. 근데 그걸로는 좀 모자라더라구요.



마지막으로 스트랩을 버튼에 걸어주시면 됩니다. 아까 보여 드린
버튼의 목적은 바로 저것입니다.





 손에 끼고 보여 드리는 전면 부입니다.



 손에 끼고 보여 드리는 후면부...제 손이 좀 큽니다..험악하게 생겼나요?



 색상은 위와 같습니다. (처음에 찍었던 사진으로 대체 합니다.)

 우선 이런 제품입니다.

 스트랩으로 폰을 고정시켜 줘서 사진 촬영이나 동영상 촬영에 효과적으로 대응할 수 있습니다. 또는 가방이나 이런 곳에 끼어 놓으실 수도 있구요.

 홈페이지 가시면 활용도를 보실 수 잇습니다.

 http://www.iwillbee.com

 위의 내용 보셨으면 제 트위터로 돌아가셔서 DM 주세요.

 사무실로 지원 받은 건데, 너무 많이 주셔서 트위터 팔로워 분들에게 전달해 드리는 것입니다.

 우선 신청해 주시면 제가 선정해서 공개적으로 드리도록 하겠습니다.

 DM에는 본인의 아이폰으로 찍으신 사진이나 동영상이 있는 블로그나 홈페이지 주소를 알려 주셨으면 합니다. 그래야지, 잘 사용하실 분이 계실 듯 싶어서요.

 읽어 주셔서, 관심 가져 주셔서 감사합니다.

PS. 추신 트위터에서 진행한 내용에 따라서 (@pey7858, @designSen, @laneige_, @inselein, @52c, @coconomics, @mtkkyung, @kibeom96, @naeun0318) 이렇게 9분을 선정했습니다.
색상은 스페셜 브라운 1개, 네이비 3개, 라임 2개, 레드 2개, 살구색 2개 이렇게 10개인데,
선착순대로 접수 받아서 드리겠습니다.

보안 인식 자체가 없는 조직들과 대화는 위험하다.

 최근에 해외 Hacking 정보를 공유하는 Site에 올라온 국내 Web Site를 보면, 소규모부터 대규모까지 다양하다. 그 목표도 일반 기업부터 기관, 단체 심지어 교회까지 포함이 된다. (교회에도 주민등록번호 DB가 있는 경우도 있다.)

 문제는 보안 인식 자체가 없는 조직들이 많다는 것이다. 심각성이 있어서 경고를 하면 바로 반응을 보여야 하는데 말이다. 경고를 하면 그런가 보다 하고 듣거나 협박하거나 거짓말이라고 생각하는 경우도 많다.
 세금이 투입되는 기관이나 단체에 대해서는 알려주는 편인데, 심각하게 받아 들이거나 담당자가 연락이 없는 경우가 많다는 것이다. 이러한 곳에 지원금을 주는 정부 담당자도 책임을 면할 수 없을 것이다.
 예를 들어 2011년 7월 4일 Hacking을 당한 월드 사이버 게임즈 (http://sg.wcg.com/r00t.htm)의 경우에 7월 6일 해당 사실을 알렸지만, 2011년 7월 8일 현재까지 그대로인 상태이다. Web Site 운영을 외주에 맡기고 있다고 해도 Hacking 사실을 알리고 조치를 취했어야 하는 부분이다.

 이러한 사례는 최근에 비용 때문에 관련 인력을 채용하거나 교육하는 것에 관심을 보이지 않는 경우에 더욱 심각하게 나타나는 것으로 나타나고 있다. 월드사이버게임즈의 경우에 문화관광부나 방송통신위원회로부터 지원을 받고 있는 것으로 알고 있는데, 이런 일이 발생하는 것은 문제가 심각하다. (추가로, WCG와 2011년 7월 8일 18시 40분 경 통화한 결과 해당 사실을 방통위와 보안업체에 연락했는데, 위 사실을 확인하지 못했다고 한다. 그래서, 그냥 허위로 판단했다고 한다. 확인이라도 제대로 해보지. 위의 보안업체와 계약한 업체들은 정말로 불쌍하다.)

 보안 인식 자체가 없기 때문에 보안에 관련 어떤 위험을 경고해도 듣지 않는다. 그런 상황의 마지막은 모든 것을 잃는 것인데도 말이다. Unix나 Linux 시스템에서 root 의 권한을 확보했다는 것이 무엇을 의미하는지 아는 사람은 WCG와 같은 상황이 얼마나 위험한지 잘 알 것이다. 근데 오늘(2011년 7월 8일 18시까지)까지 연락이 없다. 아마 정보를 공개해서 외부에서 지적을 심하게 받아야지 아마 정신을 차릴 것이다.
(이러한 정보 공개로 인해서 Hacker가 다른 시도를 할 가능성도 있지만, 난 이미 해 줄 수 있는 일은 다 해줬다. 책임을 묻고 싶다면 연락을 받았던 담당자들에게 물어야 할 것이다.)

 보안 인식 자체가 없는 조직들과 대화가 위험한 이유는 위에서와 같다. 그들에게 위험을 경고하고 조치를 요구해도 대답하지 않는다는 것이 더 큰 위험을 초래할 수 있다는 것이다. 보안에 대한 인식이 Hacking이나 보안 위협에 대해서 방어를 하면 된다는 식의 사고로 점철되어 있기 때문이다. 솔직히 IP 단위의 방화벽은 아무 의미가 없다. Server에 접근할 수 있는 IP 정보를 알아내면 그런 방화벽 따위는 아무 의미가 없기 때문이다.

 System 설계 단계에서부터 보안을 고려하고 담당자를 배정하고, System 자체에서 보안 요소를 관리하는 것은 매우 중요한 부분이기 때문이다. 그런 부분을 고려하지 않고 설계를 진행하고 관리하는 순간부터 보안의 위험에 빠지게 되는 것이다. 조직이 이에 대해서 관심을 안 가지고 Web Site를 이용해서 홍보하는 것에 집중하고 사용자 정보나 다양한 정보를 Web Site에 등록시키는 행위는 자살 행위가 될 것이다.

 WCG는 대표적인 e-Sport 단체이기 때문에 공개적으로 다루었다. 이러한 곳이 너무나도 많다는 사실에 대해서 심각성을 느껴야 한다.

 그럼 앞으로 개선되기를 희망해 본다.