공포 영화 같은 이야기처럼 들리지만, 며칠 전 Ghacks에 게재된 글의 전제가 바로 이것입니다. Internet Explorer 11용 최신 누적 보안 업데이트가 배포되었는데, 그 안에 비보안 성격의 업데이트들이 함께 포함되어 있으며, Windows 7과 Windows 8.x 사용자를 Windows 10으로 유도하려는 의도로 보인다는 것입니다. 사실이라면 이번이 처음 있는 일입니다.
보안 업데이트에 필수적이지 않은 광고성 콘텐츠를 몰래 끼워 넣는다면 기술 커뮤니티의 분노를 사고, 사용자를 등지고, 온갖 혼란을 초래하는 지름길입니다. 하지만 잠깐, 대부분의 사람들은 별로 개의치 않죠. 그럼에도 GWX 제거 가이드를 다룬 것처럼, 이 소문 역시 충분한 주목을 받을 가치가 있습니다. 정말 걱정해야 할 일인지 함께 확인해 보겠습니다.
자세히 살펴보기
Windows 7 머신에서 평소처럼 Windows Update를 실행해 보았습니다. 실제로 앞서 언급한 업데이트 KB3139929가 표준 목록에 나타납니다. 겉보기에는 특별할 것이 없지만, 언제나 그렇듯 '추가 정보' 링크가 결정적인 단서를 제공합니다.
Ghacks의 Martin이 쓴 내용을 반복하지 않더라도, KB 페이지에는 이 업데이트가 제공하는 모든 항목이 나열되어 있으며, 그중 여러 비보안 수정 사항이 포함되어 있습니다. 특히 GDR 수정 사항 3146449는 일부 컴퓨터에 새로운 기능을 추가하여, 사용자에게 Windows 10 업그레이드를 알리거나 시작할 수 있게 한다고 명시되어 있습니다. 즉, 이것은 소문이 아니라 사실입니다.
그렇다면 실제로는 어떻게 나타날까요? 웹상의 정보들을 추적해 보면, Internet Explorer(아직도 쓰는 분이 있을지는 모르겠지만)를 실행하는 사용자는 새 탭 페이지를 열 때 Windows 10 업그레이드 제안을 받게 된다고 합니다. 새 탭 페이지란 브라우저 벤더들이 각종 자잘한 요소를 배치하는, 속도 다이얼 스타일의 썸네일이 있는 바로 그곳이죠.
업데이트 적용 및 테스트
물론 저는 시스템 이미지 백업을 완료해 둔 상태에서 업데이트 과정을 진행했습니다. 속도가 상당히 느렸는데, 이건 별개의 문제라서 따로 글에서 다루려고 합니다. 어쨌든 50개 남짓한 업데이트를 설치하고 재부팅한 뒤, 쓸모없는 IE11을 다시 실행해 침입 흔적이 있는지 살펴보았습니다.
두 대의 서로 다른 Windows 7 머신에서 테스트한 결과(Windows 8.1 테스트는 아직 진행 중입니다), IE11의 동작에는 어떠한 변화도 없었고, 새로운 것도, 이상한 것도 전혀 없었습니다. 광고도 없었고, Windows 10 제안도 없었습니다.
동일한 스크린샷이지만, 솔직히 제 경우에는 아무것도 나타나지 않았습니다.
브라우저 추가 기능에도 아무런 변화가 없습니다.
지금까지의 테스트로 내린 결론은 이렇습니다. 마이크로소프트가 어떤 컴퓨터에 Windows 10 업그레이드 제안을 띄울지 판단하는 알고리즘이 무엇인지는 알 수 없지만, OS 업그레이드를 차단해 둔 시스템에서는 발생하지 않는 것으로 보입니다. 잠깐, OS 업그레이드를 차단한다고요?
구원의 열쇠
이 머신에서는 IE11을 거의 사용하지 않으므로 새 탭 페이지에 볼 것이 없습니다. 더욱 중요한 것은, 이 시스템에서는 GWX의 흔적을 완전히 제거했고, 최신 버전의 Windows로의 업그레이드를 차단하는 고마운 패치도 적용해 두었다는 점입니다. 그렇습니다. Windows 10 같은 OS 업그레이드 제안을 영원히 받고 싶지 않다면 다음 패치가 필요합니다:
KB3050265 — Windows 7용
KB3050267 — Windows 8.1용
적어도 이것만으로도 간단한 해결책이 됩니다. 당장은 말이죠...
더 근본적인 문제
GWX 관련 글에서 설명했듯이, 이 문제의 핵심은 사용자의 선택권입니다. 사용자가 단순한 숫자가 아니라 실질적인 가치를 지닌 존재라고 느끼게 해야 합니다. 하지만 Martin이 지적했듯이, 더 큰 문제는 신뢰입니다.
한 회사가 보안 업데이트에 비보안성 잡동사니, 즉 광고를, 혹은 원한다면 악성코드라고 불러도 좋을 것을 끼워 넣을 수 있다면(브라우저를 납치하는 행위는 정확히 악성코드가 하는 짓이니까요), 그 회사가 Windows 10 강제 업그레이드를 못 할 이유가 무엇일까요? 다음 업데이트가 새 시스템 버전으로 강제 이주시킬 수도 있는 것입니다.
이런 일이 일어나도록 방치해서는 안 됩니다. 보안 공포 마케팅에 흔들리지 마세요. 최악의 상황이 닥쳐도 결국 주인은 당신입니다. 돈을 내고 제품을 구매한 고객으로서, 시스템에서 무슨 일이 일어날지 결정할 권리는 오직 당신에게 있습니다.
EMET 같은 건전한 도구를 활용하면 보안 문제는 얼마든지 완화할 수 있습니다. Internet Explorer를 사용하지 않으면 되고, 브라우저를 제거할 수도 있지만 이건 권장하지 않습니다. IE는 Windows 깊숙이 얽혀 있기 때문입니다. 더 간단한 방법은 브라우저 실행 파일의 권한을 없애 차단하거나, .old 같은 확장자로 이름을 바꿔버리는 것입니다. 방법은 얼마든지 있습니다.
업데이트를 걷어내거나 제거하고 브라우저가 노출된 채로 두는 것이 보기 좋지 않을 수 있습니다. 하지만 현실적으로 안전한 브라우징 습관과 올바른 상식을 조금만 발휘하면 아무 문제 없습니다. 그냥 Internet Explorer를 쓰지 않는 것만으로도 충분합니다.
압박과 공포 선동에 굴복하지 마세요. 이 이야기가 조용히 잊히게 두지 마세요. 사용자로서, 주주로서, 한 인간으로서 목소리를 내세요. 기업이 사용자를 함부로 대하게 두지 마십시오. 당신은 돈을 벌었고, 운영체제 값을 지불했습니다. 판매될 때의 그대로, 쓸데없는 광고 없이 사용할 권리가 있습니다. 누군가 당신에게 좋을 거라 상상하는 '파란색 행복 체제'는 결국 회사의 매출만 늘릴 뿐입니다. 안 됩니다. 그리고 주주로서 저도 곧 목소리를 낼 계획입니다.
'뭐, 그게 뭐 대수야?'
마지막으로 이런 반론이 있을 수 있습니다. 경쟁사들, 특히 모바일 분야에서도 비슷한 짓을 하지 않느냐고요. 하지만 그건 별개의 문제입니다. '모두가 그러니까 마이크로소프트도 해도 된다'는 논리와 다를 바 없죠. 잘못이 잘못을 상쇄하지는 않습니다.
게다가 마이크로소프트는 그동안 보안 관련 사항과 다른 것들을 확실히 구분해 온다는 평판을 쌓아 왔습니다. 그것이 바로 핵심입니다. 신뢰입니다. 보안 업데이트라고 판매하는 것이라면 그것은 보안 업데이트여야 합니다. 그 이상도 이하도 아니고요. 'Windows 홍보 패치'든 '신의 선물'이든 원하는 대로 부르되, 치사한 수법은 쓰지 말아야 합니다.
이런 종류의 업데이트를 제공하는 것 자체는 전혀 문제가 없습니다. 하지만 그렇다면 별도의 '권장 업데이트'로 분류해야지, 보안 업데이트로 위장하면 안 됩니다. 그리고 마지막으로 선택권의 문제가 있습니다. 사용자가 기업용 KB 패치를 찾아 헤매지 않고도 이런 것을 연기하거나 거부하거나 끌 수 있어야 합니다. 그게 전부입니다.
결론
저는 이 문제로 끝내지 않을 것입니다. 추가 테스트와 업데이트를 계속 진행하고, 실제로 이 어리석은 짓이 작동하는 것을 목격하게 되면 GWX 때처럼 차단하고 무력화하는 참신한 방법들을 고민할 것입니다. 기억하세요. 해당 패치들로 OS 업그레이드를 차단하는 것이 가장 확실한 방법입니다. 모든 것을 한 번에 해결합니다.
업그레이드를 연기하지 않는다면, 이 새로운 어리석음을 어떻게 관리할지가 문제입니다. 앞으로의 모든 업데이트는 어떻게 할 것인가요? 마이크로소프트를 신뢰하지 않게 되는 한계선은 어디이며, 그것이 Windows를 매일 사용해야 하는 현실과 어떻게 공존할 수 있을까요? 비용을 감수하더라도 마이크로소프트를 버리라고 하는 것은 아닙니다. 그건 무의미합니다. 업무상 그들의 도구가 필요하면 그냥 쓰면 됩니다. 마이크로소프트가 원한다고 해서 스스로 상황을 악화시키지 마세요. 현명하게 계획하고, 침착하게 행동하고, 가장 유리한 시점에 대응하세요.
지금으로서는 신뢰할 수 없는, 혹은 더 이상 신뢰할 수 없게 된 회사의 제품을 사용하는 것을 의미할 수 있습니다. 아주 미묘한 상황입니다. 좋은 해결책도, 만능 열쇠도 아직 없습니다. 그러므로 당분간은 전술적으로 대응해야 합니다. 작은 걸음부터. 모든 업데이트를 꼼꼼히 확인하고, 연기하고, 아예 설치하지 않기로 결정하고, 시스템과 보안을 관리하는 대안을 고민하세요. 쉽지는 않지만, 언젠가 당신의 날이 옵니다. 사용자들을 집단으로 우습게 보는 회사에게 재앙이 함께하기를. 포기하지 마세요. 항복하지 마세요. 후속 업데이트 소식을 기대해 주세요.
그럼, 즐거운 컴퓨팅 되세요.