얼마 전 존경하는 안랩의 김홍선 대표께서 손수 블로그를 시작하셨습니다.

첫글에 다소 무례할 수도 있는 저의 오픈웹 질의에 대한 간단한 답을 주셨습니다. 결론적으로 이미 엎질러진 물을 수습하기는 백신 업체로서도 어쩔 수 없었다라는게 되겠습니다. 그러면서 총체적인 문제 해결에 대한 의지는 피력해 주셨습니다.

우리가 보다 다양한 환경을 지향해야 한다는 총체적인 방향에는 동감합니다. 중요한 것은 인터넷 뱅킹을 사용하는 규모에 비해 PC가 많은 위협에 노출되어 있고, 개인들의 보안 의식이 높지 않은 현실입니다. 따라서, IT 환경, 문화, 법과 정책, 실용성, 보안성 측면에서 종합적이고 건설적인 논의가 필요하다고 생각합니다.

우선 매우 동감하고 앞으로 진전이 있기를 희망합니다. 어떤 분들이 오픈웹의 김기창 교수님이 최근 시리즈로 나약한 보안 업체를 걸고 넘어져 결국 적으로 돌리고 있고 비전문적 지식으로 SSL 기술을 맹신한다고 비판 하고 있는데요.

그동안의 히스토리를 좀 안다면 서로 이해를 할 수 있지 않을까 합니다.

양심 고백
우선 제가 고백 하나 하겠습니다. 제가 늘 웹 표준 강의를 가면 Active X에 대한 이야기를 할때 하던 고백인데 블로그에서는 잘 안했던것 같습니다.

저는 1999년 부터 2003년까지 한국에서 ActiveX를 배포하기 위해서는 필수적인 코드사이닝 인증서를 공급하던 회사의 비지니스를 입안하고 총괄했던 사람입니다. (전자지불 사업도 6년 정도 했고 나름 그쪽 업계 사람들 알만한 사람은 다 압니다.)

그 당시 Active X 콘트롤을 개발했던 사람이라면 우리 회사에 대해 알고 있을 것입니다. 원래 이 사업은 (지금 보안 서버라고 부르는) SSL 서버 인증서를 판매/기술 지원하는 사업이었습니다.

그런데 엉뚱하게도 코드사이닝이 수 백개씩 팔리는 기현상을 경험했습니다. 우리가 수억원을 펀딩하고 있는데도 VeriSign과 Thawte가 Fake company 아닌가 실사를 올 정도였죠.

저는 요즘 우리가 그 때 그 사업을 안했더라면, VeriSign 미국 본사의 까다로운 절차 때문에 몇몇 업체는 ActiveX 콘트롤을 안 만들지 않았을까 하는 순진한 생각을 해 봅니다. 저는 우리 나라에 ActiveX콘트롤이 창궐하게 된 간접적인 원인 제공자이기도 합니다.

이것은 제가 Mozilla 커뮤니티의 일원이기도 하지만 웹 표준에 집착(?)에 가까운 활동을 하는 이유 중 하나입니다.

역사는 길다
ActiveX 문제에 대해 이야기를 시작한 역사는 매우 깁니다. 무려 2003년으로 거슬러 올라가죠. 그 때 데스크톱 리눅스를 장려하던 소프트웨어진흥원(KIPA)과 시각 장애인 접근성에 문제 의식을 가진 정보문화진흥원(KADO)에 계신 분들을 통해 웹 표준 이야기를 하던 우리와 같이 일하기 시작했습니다.

당시에 여러 번 KISA 사람들, PKI 업체 관계자들, 금융권 관계자들 회의가 있었는데 지금 만나면 하는 이야기와 별반 차이가 없었습니다. 그러니 KIPA나 행안부에서도 뭔가 해결은 못하고 강제성 없는 지침으로만 때울 수 밖에 없었죠. 비 IE 소비자들이 은행에 진정을 하면 그들은 (PKI) 보안 업체 사람들이 하는 똑같은 이야기를 되풀이해서 전달해 주었습니다.

국회 인권위에서도 AciveX 문제에 관심을 가졌고 행자부, 행안부 모두 관심을 가지고 이 문제를 풀기 위해 노력했으나 민간 부분의 비지니스를 건들 수 없다는 논리 그리고 보안적으로 현재가 최선이라는 보안 업체의 말로 묻히고 또 묻혔습니다.

그 사이에 외부로 부터 변화 해야한다는 다양한 시그널이 있었습니다. XP SP2 패치, Eolas 패치, IE7 출시, 비스타 출시 등등. 하지만, 보안 업체는 늘 꼼수를 제공하면서 레거시를 유지하는 방법만 제공했습니다.

그러는 사이 국민들의 PC 보안은 더욱 안좋아지고 공인 인증 모듈 뿐만 아니라 키로거가 창궐하니 키보드 후킹 프로그램을, 바이러스가 창궐하니 해킹 방지 SW, 방화벽 까지 제공합니다.

이것들이 더욱 세게 결합해서 더욱 폐쇄된 환경을 만들게 됩니다. 보안 업계가 얼핏 치열한 경쟁 상태처럼 보이지만 실은 온실의 화초가 된 것입니다.

역사는 반복된다
2006년 김기창 교수님이 법적인 용어로 이 문제를 파헤치기 시작하셨고 명확한 논리로 그동안 노력하던 우리같은 기술자에게 큰 감명을 주었습니다. 벌써 3년 전입니다. 당시 저 뿐만 아니고 수 많은 무명의 PKI 업체 관계자 혹은 보안 업체 종사자들이 (커밍 아웃해서) 기술적 토대를 마련해 주었습니다.

김 교수님은 그렇게 구축된 기술 및 법적 논리를 가지고 그동안 수 많은 회의와 대면, 조정, 법정 투쟁을 홀로 해 오셨습니다. 여기서도 3년 전과 똑같은 일들이 벌어집니다. 금결원, 은행에 내용 증명을 보내면 보안 업체로 부터 받은 내용을 앵무새 같이 이야기하는 상황이 반복되죠.

법으로 덤비는 사태의 심각성을 인지해서 인지 당시 KISA에서 했던 전문가 회의에 또 갔었습니다. 단지 바뀐게 있다면 PKI업체인 I사 주요 기술 경영진이 “3년 전에 해결 했다면 이정도는 아니었을 텐데. 이제는 공인 인증 모듈만 해결한다고 될 문제가 아니다.”라는 고백을 듣게 됩니다. 쩝…

그래도 보안 업체들은 혹시라도 오픈웹이 승소하면 다른 운영체제에도 보안 플러그인을 더 팔수 있지 않을까 싶어 개발에 착수하고 은행들이 Firefox를 지원하려면 얼마나 돈이 드냐고 하면 두벌을 만들어 운영해야 하니까 두배 더 든다고 말하고 다니는 형국이었습니다. 변하지 않는 건 은행 뿐만 아니었죠.

이제 보안 업체가 나서야 할 때
김교수님이 최근에 보안 업체에 대해 특히 큰놈 하나를 공격하는 이면에는 계속해서 은행이 빠져나갈 구실을 만들어준 보안 업체의 양심에 마지막 희망을 걸었기 때문입니다. 절대로 보안 업계 종사자를 적으로 돌리기 위해서가 아닙니다.

정말 이런 상황이 심각하다고 느낀다면 행동으로 나서야 한다는 것을 요구하는 것입니다. 지금 오픈 웹에서는 나약한 보안 업계를 공격한다는 둥 적으로 돌린다는 둥 기술적 지식이 빈약 하다는 둥 하는 말로 6년간 이어온 이 활동의 진정성을 훼손하고 있는데요. 이게 본질이 아닙니다.

앞서 안랩의 김홍선 대표의 말씀 대로 보안 업계의 책임있는 경영진들이 나서서 이 문제에 대한 올바른 해법을 찾아야 할 것입니다. 보안 업체들이 두번의 기회를 차버리고 세번째 기회도 밥그룻 문제로 방기한다면 우리 나라 인터넷은 암울합니다.

그러기 위해서는 우선 진정한 자기 고백이 있어야 합니다. (우리는 정치권에서 그런 모습을 많이 봐 왔습니다.) 자신의 잘못에 대한 진정한 양심의 고백 위에 변화를 이야기할 때에만 모두가 수용 가능하지요.

협의체를 만들어 금융보안연구원이든 정보보호진흥원이든 금융감독원이든 국정원이든 행안부든 한번 바꿔 보자고 해보십시오. 당장 ActiveX 걷어내고 SSL 쓰라고 안합니다. 적어도 보안 지식 미천한 법대 교수가 하는 정도 이상의 로드맵은 만들 수 있지 않겠습니까?

돈만 벌면 다고, 서로 밥 그릇 챙겨주고 시장 질서만 지켜지면 다 입니까. 사회적 책임을 해야지.

보안은 기술 정책의 문제
공교롭게도 어제 한국 보안 서버 보급률 16위라는 기사가 실렸습니다.

보안 서버라 함은 SSL 서버를 말합니다. 몇 년전 우리 나라는 SSL 서버 보급율이 거의 세계 꼴찌였고 KISA와 정통부가 SSL 서버 공급을 계속 푸쉬한 결과 작년 53위에서 올해 16위, 공급수량만 4만대가 넘었다고 합니다.

(물론 여기에 KISA가 떼를 써서 ActiveX 플러그인 방식이 포함되어 있다고 하는데) 2000년도 제가 사업을 시작할때 연간 백여개의 SSL 인증서를 공급할때랑 비교해서 실로 엄청난 변화 입니다.

SSL 방식이 혹은 플러그인 방식이 옳으냐를 따지기 전에 파급되는 비용 효과를 따져 보아야 합니다. 어떤 방식이 우리가 운영체제나 웹 브라우저를 업그레이드 하지 못하도록 한다면 사익을 넘어서 장기적인 국가적 이익을 포기하는 일이 될 것입니다. (개발해 보신 분들은 막 만든 레거시 디펜던시 때문에 최신 버전으로 업그레이드 못하는 경험을 한번씩을 해보셨을 겁니다.)

우리 나라 보안이 지금 그런 상태에 있습니다. 현재 문제와 진단을 보안 업체의 양심으로 갑에게 말할 수 있어야 합니다. 여전히 지금 방식도 훌륭하다라고 한다면 그건 6년전, 3년전 그들과 똑같은 꼴이 됩니다. (제발 젊은 분들이나마 그렇게 말하지 마세요.)

이것이 보안 업체와 종사자들에게 주어진 마지막 기회일 수 있습니다.

6년이면 강산이 반은 바뀌고 남습니다만 그동안 우리는 바뀐게 하나도 거의 없습니다. 우리 나라 사람들 한다면 하는 사람들 아닌가요? (SSL 서버 수 백배로 보급한거 보세요.) 3년 후에는 정말 그때 많이 바뀌었다라고 말할 수 있었으면 좋겠습니다.

p.s. 저도 학교에 있지만 김교수님 개강하셔서 수업 하시기도 바쁘실 텐데 진짜 고생하십니다. 조그만 꼬투리 잡고 늘어지지 마시고 거국적으로 김기창 교수님을 도와 주세요.

Creative Commons License 이 저작물은 크리에이티브 커먼즈 저작자표시-비영리-변경금지 라이센스에 따라 이용하실 수 있습니다.