▲ 종이신문보기

KAIST 등 공동연구팀 분석 결과
소프트웨어 7종서 약점 19건 찾아

2023년 국정원은 북한이 배후로 알려진 해킹 조직 '라자루스'가 방산 관련 기관 3곳을 포함해 총 61개 기관의 컴퓨터 207대를 해킹했다고 밝혔다. 당시 라자루스는 국내 기관들이 광범위하게 활용하고 있던 금융 보안 인증 소프트웨어 '이니세이프'의 취약점을 악용해 해킹 공격을 한 것으로 확인됐다.

이처럼 보안 소프트웨어 설치를 의무화하고 있는 국내 금융 시스템의 특성이 오히려 보안을 위협하는 요인이 된다는 연구 결과가 나왔다. 카이스트(KAIST) 전기및전자공학부 김용대·윤인수 교수 연구팀은 고려대 김승주 교수팀, 성균관대 김형식 교수팀, 보안 전문 기업 티오리 연구진과 공동 연구를 통해 한국 금융 보안 소프트웨어의 구조적 취약점을 분석해 이 같은 결론을 내렸다고 2일 밝혔다.

연구팀은 국내 주요 금융기관과 공공기관에서 사용 중인 7종의 주요 보안 프로그램(KSA 프로그램)을 분석했다. 그 결과 총 19건의 보안 취약점을 발견했다. 이 약점을 파고들면 사용자의 키보드 입력값을 탈취하거나, 공인인증서 유출과 사용자 식별을 지속적으로 추적하는 등 해킹을 벌일 수 있는 것으로 조사됐다.

특히 해외에서는 웹 브라우저(인터넷 접속 프로그램)가 제공하는 보안 기능을 이용하지만, 한국에선 금융 기관들이 자체적인 보안 프로그램을 사용하도록 돼 있다. 그만큼 해킹 위험이 높고, 한번 뚫리면 피해도 커질 수밖에 없다는 것이다.

연구팀은 'KSA 프로그램'의 구조적 문제도 확인했다. KSA 프로그램은 키보드 보안, 방화벽, 인증서 저장 등 '보안 3종 세트'를 실행할 때 구글의 '크롬', 애플의 '사파리' 같은 웹브라우저의 보안을 우회하도록 돼 있다. 그런데 해커들이 KSA 프로그램을 해킹하면 브라우저의 여러 보안 절차를 한 번에 무력화할 수 있어 오히려 약점이 된다.

연구팀은 "한국에서는 금융 및 공공 서비스 이용 시 이러한 보안 프로그램의 설치를 의무화하고 있는데, 이는 세계적으로 유례가 없는 정책"이라며 "복잡하고 해킹에 취약한 금융 보안 프로그램을 강제로 설치하는 방식 대신, 웹사이트와 인터넷 브라우저에서 원래 설정한 보안 규칙과 표준을 따르도록 하는 것이 더 안전하고 효과적"이라고 했다. 기고자 : 김효인 기자
본문자수 : 820
표/그림/사진 유무 : 없음
웹편집 : 보기