안철수 칼럼 전문

▶8.12 바이러스 대공습

올해는 제가 컴퓨터 바이러스 연구를 시작한지 만 15년이 되는 해입니다.

1988년 올림픽 개최에 대한 흥분으로 전국이 들끓고 있었을 때, 의과대학 연구실의 한켠에서 의대 박사과정 학생으로 이 일을 시작하게 되었습니다. 물론 전공과 관련이 있었던 것이 아니었기 때문에, 잠을 줄여가면서 새벽 시간에 이 일을 하느라 무척 힘들기는 했지만 참으로 보람 있는 일이었습니다. 그러나 그 당시만 하더라도 이 일로 결국, 평생 천직으로 알았던 의사의 길을 버리게 될 줄은 꿈도 꾸지 못했고, 컴퓨터 바이러스의 피해가 이렇게까지 심각해질 줄은 상상조차 하지 못했습니다.

올해 초에 세계 제일이라고 평가받던 한국의 초고속 인터넷 망은, 슬래머 웜(Slammer worm)이라는 이백자 원고지 한 장 정도의 데이터도 되지 않을 만큼 작은 웜에 의해서 순식간에 마비되고 말았습니다. 이른바 '1.25 인터넷 대란'은 보안에 대한 중요성을 전 국민에게 인식시켜 주었지만, 개인용 컴퓨터(PC)가 아닌 서버(server)가 주 피해 대상이었기 때문에 일반 사용자들은 일시적인 인터넷 불통 이외에 직접적인 피해는 경험하지 못했습니다.

그러나 지난 8월 12일의 블래스터 웜(Blaster worm)을 시작으로, 18일의 웰치아 웜(Welchia worm), 그리고 지금도 엄청난 양의 스팸 메일을 보내고 있는 소빅.F 웜(Sobig.F worm)에 이르기까지 최근에 한꺼번에 나타난 웜들 모두가 개인용 컴퓨터를 주 공격 목표로 삼고 있기 때문에 일반 사용자들은 심각한 피해를 당하고 있습니다. 1주일 만에 세계적인 영향력을 가진 웜 3종류가 한꺼번에 공격하는 것은 전례가 없는 일이어서, 가히 '8.12. 바이러스 대공습'이라고 부를만하다고 생각합니다.

'1.25 인터넷 대란'이후에 기자분들로부터 '사건 이후에 달라진 점이 있는지'에 대한 질문을 받을 때마다 '급한 불은 껐지만 여전히 불씨는 살아있다'는 의견을 조심스럽게 피력하곤 했는데, 최근의 일련의 사건들을 보면 이러한 우려가 사실로 입증되는 것 같습니다.

또한 저희 안철수연구소에서는 지난 7월 26일에 이례적으로 보안 취약점에 대한 보도 자료를 통해서 위험을 경고한 적이 있는데, 안타깝게도 많은 사람들의 주의를 끌지는 못했던 것 같습니다. 이례적이라고 말씀드린 이유는 저희가 지금까지 신종 컴퓨터 바이러스에 대한 보도 자료를 낸 일은 많았지만 보안 취약점에 대해서 보도 자료를 낸 일은 처음 있는 일이었으며, 안타깝다고 말씀드린 이유는 결국 이 보안 취약점을 이용한 것이 블래스터 웜이기 때문입니다.

▶보안의 두 가지 패러다임 변화

근래 들어 웜이 전 세계적으로 많은 문제를 야기하고 있는 것은 보안 분야에서 두 가지 커다란 패러다임(paradigm)의 변화에 기인합니다.

첫 번째 패러다임의 변화는 컴퓨터 바이러스 기술과 해킹 기술의 결합입니다. 예전에는 컴퓨터 바이러스와 해킹은 서로 전혀 다른 영역이었습니다. 컴퓨터 바이러스는 스스로 증식하는 프로그램으로 개인용 컴퓨터가 주 공격 대상이었고, 해킹은 해커가 여러 가지 기법을 사용하여 취약점이 있는 서버에 침투하는 것입니다. 또한 컴퓨터 바이러스는 백신으로 막을 수 있었고, 해킹은 네트워크 보안 솔루션으로 막을 수 있었습니다.

그러나 컴퓨터 바이러스 기술과 해킹 기술이 합쳐지면서 커다란 패러다임의 변화가 생기게 되었습니다. 예전의 컴퓨터 바이러스는 한 컴퓨터 내에서는 무서운 속도로 증식하지만, 스스로 다른 컴퓨터를 감염시키지는 못했습니다. 사용자들이 감염된 디스크를 다른 컴퓨터에서 실행시키거나, 감염된 이메일을 열어보고 첨부파일을 실행시키는 실수를 통해서만이 수동적으로 다른 컴퓨터를 감염시킬 수 있었습니다.

그러나 이제는 컴퓨터 바이러스의 복제 기술과 해킹의 침입 기술이 결합하면서, 해킹 기술을 사용하여 네트워크에 연결된 컴퓨터들을 스스로 능동적으로 침입하고 증식할 수 있게 되었습니다. 또한 한 걸음 더 나아가서, 공격당한 컴퓨터를 근거지로 이용하여 다시 다른 컴퓨터들을 공격하게 되면서, 전 세계로 급속하게 퍼져나갈 수 있는 엄청난 파괴력을 가지게 된 것입니다.

두 번째 패러다임의 변화는 개인용 컴퓨터에 대한 해킹 공격입니다. 예전에는 해킹의 대상이 네트워크에 물려있는 대형 컴퓨터들이었습니다. 개인용 컴퓨터들은 성능도 미약하고 네트워크에 연결되지도 않았으며, 중요한 자료들도 보관되지 않았기 때문에 해커들의 관심사가 되지 못했습니다.

그러나 개인용 컴퓨터의 성능이 기하급수적으로 발전하고 인터넷의 보급이 가속화됨에 따라, 그리고 개인용 컴퓨터에서 중요한 자료들을 처리하게 되고 홈뱅킹, 사이버주식거래, 전자상거래와 같은 중요한 업무들을 담당하게 됨에 따라 점점 해커들과 웜들의 공격대상이 되고 있습니다.

또한 대부분의 개인용 컴퓨터가 윈도우라는 표준화된 운영체제를 사용하고 있으며, 인터넷을 통해서 표준화된 형태로 연결되어 있고, 일반 사용자들은 관리 지식이 부족하다 보니 한번 웜에 의한 공격이 진행되면 급속하고 광범위하게 피해가 확산될 수밖에 없는 것입니다.

▶보안에 대한 잘못 알기 쉬운 다섯 가지 기본 개념들

보안은 개념적으로 일반적인 컴퓨터 사용과는 다른 측면이 있습니다. 따라서 기본적으로 정확한 개념을 가지고 접근하는 것이 중요합니다. 보안을 위한 구체적인 방법 이전에 가장 기본적으로 이해하고 있어야할 개념 다섯 가지를 정리해 보았습니다.

첫째, 보안을 위해서는 모든 사람들의 적극적인 참여가 필수적입니다.

회사와 같은 조직에서는 보안 담당자나 보안 부서에게 모든 보안 문제를 전담시키고, 다른 사람들은 그저 컴퓨터를 사용하기만 하면 되는 것으로 잘못 알고 있는 경우가 많습니다. 또한 보안 문제가 생기면 보안 부서에게만 해결을 맡기고, 전적으로 책임을 지우는 경우도 있습니다.

그러나 지금은 모든 사용자들의 참여가 없이는 보안이 불가능한 상황이 되었습니다. 보안의 패러다임 변화와 함께 감염된 컴퓨터가 다시 다른 컴퓨터를 공격하는 일이 벌어지면서 가해자와 피해자의 구분이 없어져 버렸고, 모두 열심히 대비하는 상황에서도 한 사람만 주의를 게을리 하다가 피해를 입으면 그 피해가 전체 조직으로 파급되는 상황이 되었기 때문입니다. 따라서 회사라면 전 직원, 국가라면 전 국민적인 참여가 없이는 보안 문제를 해결할 수 있는 방법이 없어지게 되었습니다.

이제는 보안 담당자나 보안 부서의 역할은, 다른 사람들이 보안을 잘할 수 있도록 도와주고 관리해주는 것이며, 보안의 책임은 컴퓨터를 사용하는 각자가 진다는 점을 인식해야 합니다. 이것은 마치 경찰이 전 사회적인 보안을 책임지고 있지만, 각 가정에서는 각자의 보안을 위해서 최선을 다해야하는 것과 같은 이치입니다. 문을 잠그지 않고 외출했다가 도둑이 들었다면, 일차적인 책임도 본인에게 있겠지만 직접적인 손해와 그에 따르는 고통도 본인의 몫이기 때문입니다.

둘째, 보안은 생활 습관과 업무 스타일의 변화가 요구되는 힘든 일임을 인식해야합니다. 개인이나 회사 모두 마찬가지로 보안에 대한 지식을 익히고, 관리를 위해 새롭게 시간과 비용을 투자하는 것은 귀찮고 힘든 일입니다. 익숙해지지 않은 상태에서는 업무 효율이 떨어지는 것도 감내해야만 합니다. 그러나 이렇게 해야만 큰 피해를 막고 경쟁력을 높일 수 있습니다.

다시 비유를 들자면, 옛날에는 집의 대문을 잠그지 않았던 시절이 있었습니다. 그러나 사회가 복잡해지고 각 가정마다 소유하고 있는 재산이 늘어남에 따라, 이제는 외출할 때 문을 잠그는 것이 습관화되었습니다. 이제는 더 이상 문을 잠그는 것이 필요 없다고 생각하거나 시간이 걸리고 귀찮다고 생각하지 않고, 거의 무의식적으로 문을 잠급니다. 컴퓨터도 보관하고 있는 자료의 가치가 높아지고 이를 노리는 해커들이 늘어남에 따라, 처음에는 귀찮고 시간이 들더라도 보안을 위한 일들이 습관화될 때까지 노력해야 할 것입니다.

셋째, 조직을 맡고 있는 리더의 적극적인 관심과 솔선수범이 필수적입니다.

보안은 생활 습관과 업무 스타일의 변화가 요구되는 힘든 일이기 때문에, 다른 모든 변화의 경우와 마찬가지로 개인적으로 또는 조직적으로 여러 가지 이유를 들어서 다시 그 전으로 회귀하려는 경향이 있습니다. 따라서 모든 변화 관리의 경우와 마찬가지로, 회사에서는 CEO가 적극적으로 나서지 않는다면 시간과 비용만 낭비하고 실패할 수밖에 없습니다.

넷째, 일반 소프트웨어는 '제품'이지만, 백신 소프트웨어는 본질적으로 '서비스'입니다.

동일한 소프트웨어라는 범주에 속해있고, 동일하게 소프트웨어라고 불리고 있지만, 일반 소프트웨어와 백신 소프트웨어 간에는 엄청나게 큰 차이점이 있습니다. 이러한 차이점을 이해하고 있어야 만이 백신 소프트웨어를 올바로 사용할 수 있습니다.

워드 프로세서와 같은 일반 소프트웨어는 그 자체로 완성된 '제품'이라고 할 수 있습니다. 한 번 구입한 다음에는 지속적인 지원이 필요한 경우는 드물며, 새로운 버전이 나오더라도 필요한 기능이 없다면 구입하지 않더라도 기본적인 문서 작성에는 지장이 없습니다. 반면에 백신 소프트웨어는 처음 구입한 상태 그대로는 사용할 수 없습니다. 새로운 컴퓨터 바이러스가 거의 매일 출현하기 때문에 백신 소프트웨어는 수시로 업데이트가 되며, 수시 업데이트 '서비스'를 받은 후에야 백신 소프트웨어는 제 성능을 발휘할 수 있습니다.

워드 프로세서는 제품 개발이 끝나면 그것으로 완성이 되고 다음 버전의 개발이 시작되지만, 백신 소프트웨어에서는 제품의 완성이 일의 끝이 아니라 시작을 의미합니다. 제품이 완성되면 그 때부터 24시간 대기를 통해 컴퓨터 바이러스를 신고 받고 처리하는 작업을 시작해야 하기 때문입니다. 즉, 백신 소프트웨어는 소프트웨어라는 탈을 쓴 서비스라고까지 말할 수 있습니다. 전 세계적으로 업무용 소프트웨어와 백신 소프트웨어가 같이 묶여서 판매되지 않는 이유도 이러한 커다란 특성의 차이에서 기인합니다.

개발비의 관점에서도 백신 제품을 완성하기까지의 개발비보다, 그 이후에 정보 수집 인프라를 만들고 업데이트 서비스를 하고 고객 지원을 하는데 더 많은 사람과 비용이 들어갑니다. 사용자분들도 이러한 점을 이해해주시고 서비스가 세계적인 경쟁력을 유지할 수 있도록 백신 소프트웨어의 정품 사용에 대한 올바른 인식을 가져주셨으면 합니다.

정부에서도 도와주실 부분이 있습니다. 우리나라에는 반도체, 자동차, 휴대전화 등 여러 분야의 명품들이 존재하지만, 소프트웨어 부문은 여전히 크게 취약한 것이 사실입니다. 세계적 수준의 경쟁력을 갖춘 제품은 손에 꼽을 정도입니다. 그러나 지식정보산업의 발전없이는 앞으로 우리의 미래는 장담할 수 없습니다. 지식정보산업의 육성이 국가적인 큰 방향으로 설정된 것도 이러한 위기감에서 기인한 것이라고 생각합니다.

그러나 실제 집행과정에서 예산 절감이라는 명목 하에 스스로 정한 '조달 표준가'를 무시하고 터무니없이 낮은 값을 책정함으로써, 정부 스스로가 소프트웨어의 덤핑을 유도하고 국내 소프트웨어 시장규모 자체를 엄청나게 축소시켜버리는 잘못된 관행은 없는지, 이번 기회에 세심하게 살펴봐주셨으면 합니다. 말로는 지식정보산업을 육성한다면서 실제 행동으로는 시장 육성은 커녕 시장 규모를 축소시키는데 앞장서고 있다면 분명히 잘못된 일일 것입니다. 예산을 절감하려는 노력은 좋고 권장되어야 하지만, 그 때문에 자칫 국내 소프트웨어 업체들이 고사하게 된다면, 빈대를 잡으려다 초가삼간을 태우는 일이 될 수도 있을 것입니다.

다섯째, 백신 소프트웨어는 사용자를 '도와주는' 도구라고 이해해야 합니다.

보안에 대한 올바른 개념을 가지고 시간과 비용을 투자하여 백신 소프트웨어를 올바로 사용하는 사용자는 컴퓨터 바이러스에 대한 피해를 최소화할 수 있습니다. 그러나 컴퓨터에 백신 소프트웨어를 설치만 해놓고 정기적으로 업데이트도 받지 않고 관리도 하지 않는 사용자에게는 백신 소프트웨어는 무용지물일 뿐이며 새로운 컴퓨터 바이러스의 침입에 속수무책으로 당할 수밖에 없습니다. 즉, 보안의 주체는 백신이 아니라 사용자인 것입니다.

▶보안 문제를 근본적으로 막을 수 있는 방법은 없는가?

컴퓨터 바이러스와 웜을 원천적으로 막을 수 있는 방법은 현재로서는 존재하지 않습니다. 아마도 우리가 사용하는 컴퓨터의 구조가 근본적으로 변하지 않는 한, 계속 우리 곁에서 우리를 괴롭힐 가능성이 높습니다. 생물학적 바이러스인 에이즈 바이러스나 사스 바이러스가 나타난 후에야 치료 방법을 연구할 수 있듯이, 컴퓨터 바이러스와 웜도 발견된 다음에야 퇴치 방법을 강구할 수 있기 때문입니다.

그러나 자동차가 존재하는 한 자동차 사고는 없을 수 없으며 사고의 대부분은 자동차 때문이 아니라 운전자 때문에 발생하는 것과 마찬가지로, 보안 문제는 컴퓨터를 사용하는 한 언제든지 일어날 수 있다는 점을 인식하고 컴퓨터나 바이러스 자체보다는 사람에게 초점을 맞추어야 합니다. 컴퓨터 바이러스를 만들고 유포하는 사람에게는 적절한 제제조치를, 일반 사용자들에게는 사고와 피해를 최소화시킬 수 있는 방법을 강구해야 할 것입니다.

자동차를 운전하기 위해서는 기본적인 지식과 기술을 익혀서 면허를 따야하며, 운전을 할 때는 교통법규를 준수해야 하고, 차량에 대해서도 정기 점검을 받는 것이 기본입니다. 무면허로 운전하거나, 신호등을 비롯한 교통법규를 지키지 않거나, 오랫동안 차량을 점검하지 않는다면 그만큼 사고의 확률이 높아지고, 사고도 대형화되기 쉽습니다. 컴퓨터의 경우에도 마찬가지입니다. 당장 컴퓨터와 인터넷을 사용하는데 필요한 최소한의 기능만 익힌 후에는 보안에 대해서는 알려고 하지 않거나, 관심을 가지고 시간과 비용을 들여서 정기적으로 점검하지 않는 경우에는 사고가 나기 쉽습니다. 또한 이러한 경우에는 자동차의 경우와 마찬가지로 혼자만 사고를 당하는 것이 아니라 다른 사람에게도 큰 피해를 줄 수 있습니다.

따라서 인터넷을 사용하여 혜택을 받는 사용자들이라면 자신과 주위의 다른 사람들을 위해서 최소한의 보안 수칙은 지켜야하며, 이것이 공공장소인 인터넷을 사용할 때 지켜야할 에티켓이라는 생각이 자리를 잡아야 합니다. 그리고 이를 위해서는 범국가적인 캠페인 전개를 비롯한 여러 가지 사회적인 공감대 형성 노력들이 필요한 시점이 아닌가 생각합니다. 전 국민적인 참여 없이는 성공적인 보안은 이루어질 수 없기 때문입니다.

사람이 최선의 상태에 도달한다는 것은 불가능하지만, 최선을 향해 열심히 노력하는 것 자체가 의미 있고 중요한 일이라는 말이 있습니다. 저도 15년 전 처음 이 일을 시작했을 때와 마찬가지인 한결같은 마음으로, 근본적인 해결책에 한 걸음이라도 더 가까이 갈 수 있도록 끊임없이 노력하겠습니다.