인스턴트 메신저「안전한 사내 이용 ABC」[2]

모든 메시지의 암호화와 기록 필요

AOL, MSN, 야후의 인터넷 메신저를 위한 보안 솔루션은 대부분 네트워크에 남겨지는 흔적만을 감시할 뿐 진정한 보안 대책을 제공하지 않는다. 만약 이러한 제품들이 안전하다고 말할 수 있으려면 모든 메시지를 기록하고 SEC이나 HIPPA 요구선에 부응해야 한다. 그러나 실제로는 이에 미치지 못한다.

우리가 갖고 있는 인터넷 메신저 보안제품 목록에서 공중망으로 오가는 메시지를 암호화하는 제품은 IM-폴리시 매니저가 유일하다. 그러나 너무나 많은 기업이 메신저 프로그램을 사용하고 있다. 심지어 IBM 로터스조차도 로터스 클라이언트가 AIM 네트워크에 접속하도록 AOL과 계약을 맺었다. 그러나 이러한 절충안은 비암호화된 메시지를 외부로 계속 내보낼 수 있다는 것을 의미하며 높은 수준의 정보누출 위험성을 내포한다는 것과 직결된다. 왜냐하면 각 네트워크로부터의 트래픽이 별도로 관리되기 때문이다.

기어이 일반 인스턴트 메신저를 계속 사용해야 한다면 아코닉스L7을 시험해볼만 하다. 이 제품은 권한 부여와 컨텐츠 필터링을 대단히 세분화하는 관리방식을 제공한다.

IBM 로터스처럼 페이스타임도 AOL과 계약을 체결했다. 많은 써드파티 벤더들이 일반 메신저 업체들과 논의 중인 것과 달리, AOL의 AIM 엔터프라이즈 게이트웨이용 핵심기술을 개발한 바 있는 페이스타임은 이미 기업들을 AOL과 MSN의 네트워크에 연결시킨다는 협약을 양사와 체결했다. 페이스타임은 이 협약이 공공 네트워크들의 써드파티 서비스 중단 가능성에 대한 대책을 확보한다고 말한다.

세 개의 대형 공중망중 하나가 이미 프로토콜 사양을 발표한 이후 이를 변경했다는 소문이 돌고 있다. 만약 공중망이 암호화를 추가한다면 라이센스 없는 클라이언트 쪽 솔루션들은 서비스가 중단될 수도 있다. 그러나 라이센싱 여부와 상관없이, 심지어 페이스타임도 AOL이 2003년 1분기에 암호화기능을 내장한 기업용 클라이언트를 출시하기 전까지는 엔드 투 엔드 암호화를 제공할 수 없다. 한편 반투의 메신저, 페이스타임, IM-에이지의 IM-폴리시 매니저와 같은 제품들은 현 세션이 안전하지 않다는 경고 메시지를 내보냈다.

암호화 위치도 관건

모든 인스턴트 메시지가 기업 파이어월 내부로 국한된다면 암호화 위치가 데스크톱인지 서버인지 아니면 양쪽다인지를 결정해야 한다. 논란 중인 것은 암호화되지 않은 메시지를 서버에게 보내는 것과 직원이 암호화 설정을 클라이언트에서 하는 것 중에서 어느 쪽이 더 위험한지 여부이다.

인스턴트 메신저 보안관련 기업들이 암호화되지 않은 텍스트 메시지를 기록하기 위해서는 특정지점에서 암호를 풀어야만 한다. 따라서 암호화 과정은 기록단계 전후에서 필요하기도 한다. E-밴티지 솔루션의 엔터프라이즈 인스턴트 메신저(EIM)와 와이어드레드의 e/팝은 서버와 데스크톱 모두에서 암호화 작업을 수행한다.

특이하게도 반투의 제품은 내부 네트워크용 암호화를 데스크톱에서 수행하는데, 자바 버추얼 머신을 가진 브라우저는 모두 클라이언트가 될 수 있는 방식이다. 이 경우 자바 애플릿은 클라이언트 PC로 다운로드되지 않고 자바 샌드박스에서 수행된다. 보안을 위해 샌드박스로부터 클라이언트 PC를 제어할 수 없으며 암호 해제용 코드찌꺼기도 남지 않는다.

우리 목록에 있는 10개의 제품 중 가장 재미있는 것은 이킴보의 아젠다일 것이다. 아젠다는 그룹 단위로 문제점을 알리고 도움이 되는 정보를 제공한다. 예를 들어 케이크 공장에서 코코아가 떨어지면 코코아벤더 등 미리 선택된 그룹들이 동일한 메신저 윈도우에 나타나며, 이 윈도우는 관련 서류와 절차 등을 담고 있는 식이다. 잠재적 문제에 대한 해결책을 포함하는 것은 고유한 기능이 아닐 수 있지만 관련그룹에게 관계정보를 즉각적으로 전달하는 것은 이 제품이 유일하다.

보안을 위해 아젠다는 세임타임이나 재버와 같은 기존의 엔터프라이즈 인스턴트 메신저 상에서 동작한다.

그리고 아젠다는 케이크 공장의 제조비법을 메신저 사용자의 친구 리스트로 보내지도 않을 것이다.

자료제공 : ZDNet Korea