구글의 크롬OS(ChromeOS)는 언뜻 보기에 운영체제 보안의 모범 사례 같은 존재입니다. 다소 기능이 제한된다는 대가를 치르더라도, 아마도 세상에서 가장 안전한 운영체제일 것입니다. 그러나 유감스럽게도 크롬OS는 만능 해결책이 아니며, 이 플랫폼에는 여전히 심각한 보안 우려가 남아 있습니다.
그럼 먼저 좋은 소식부터 짚어보겠습니다.
크롬OS가 안전한 이유
크롬OS는 저렴한 크롬북 노트북에 탑재되는 경량 리눅스 기반 운영체제로, 보안을 중시하는 사용자를 위한 매력적인 기능이 가득합니다. 부팅 코드는 읽기 전용 메모리(ROM)에 저장되며, 부팅 직전 OS 커널의 디지털 서명을 검증합니다(이른바 'verified boot' 기능). 부트로더가 ROM에 담겨 있기 때문에 해커는 물리적으로 칩을 변조하지 않는 한 이를 수정할 방법이 없습니다. 시스템 파일이 검증에 실패하면 부트로더는 즉시 기기를 공장 초기화 상태로 되돌려, 삽입되었을지 모르는 악성 코드를 모두 파괴합니다.
플랫폼의 보안은 웹 앱 기반 구조 덕분에 더욱 강화됩니다. 웹 앱은 샌드박스(sandbox) 안에서 실행되어 스레드와 메모리가 완전히 분리되므로, 악성 웹 앱이 다른 앱의 정보에 접근하거나 제어권을 빼앗는 것을 이론상 차단할 수 있습니다. 또한 보안 패치를 포함한 시스템 업데이트는 네트워크에 연결되는 순간 자동으로, 사용자가 알아채지 못하게 적용되어 크롬북이 항상 최신 상태를 유지하도록 돕습니다. 물리적으로 기기에 접근하는 공격자로부터 보호할 수 있는 보안 옵션도 몇 가지 제공됩니다. 크롬OS 기기에 멀웨어를 심으려는 시도는 결코 만만한 작업이 아닙니다.
그렇다면 문제는 무엇일까요?
1. 샌드박스를 맹신할 수 없다
안타깝게도 웹 샌드박싱이 제공하는 보안은 대부분 형식적인 수준이며 철저히 입증된 바 없습니다. 자바(Java)를 비롯해 수많은 샌드박스에서 애플리케이션이 격리를 벗어나 임의의 명령을 실행할 수 있는 버그가 발견되었습니다. 크롬 역시 블랙햇 해커들에게 샌드박스 탈출 공격을 시연당한 적이 있습니다. 해당 익스플로잇은 이미 수정되었지만, 추가 취약점이 없다는 보장은 없습니다. 보안 연구원 릭 퍼거슨(Rik Ferguson)은 이렇게 말했습니다.
"샌드박스를 탈출하는 익스플로잇은 이미 인터넷 익스플로러, 자바, 구글 안드로이드, 그리고 당연히 크롬 브라우저에서 시연된 바 있습니다. 구글의 샌드박스는 효과적이지만 철벽은 아니며, 여기에 100% 보안을 기대하는 것은 안이한 생각입니다."
여기서 가장 큰 문제는 인터랙티브 웹, 특히 WebGL입니다. WebGL은 브라우저에서 그래픽이 화려한 3D 데모를 구동할 수 있게 해주는 멋진 기술이지만, 보안 측면에서는 악몽과도 같습니다. WebGL은 웹 앱이 기기의 그래픽 카드에 임의의 셰이더 명령을 전송할 수 있게 허용하며, 이는 샌드박스를 깨뜨릴 수 있는 온갖 종류의 익스플로잇 가능성을 열어줍니다. 마이크로소프트 역시 WebGL은 내부적으로 사용하기에 너무 불안전하다는 공식 입장을 내놓은 바 있습니다.
"WebGL의 보안은 전체적으로 시스템의 하위 계층, 즉 OEM 드라이버가 지금까지는 고민할 필요가 없었던 보안 보장을 지켜주느냐에 달려 있습니다. 과거에는 로컬 권한 상승에 그쳤던 공격이 이제는 원격 침해로 이어질 수 있습니다. 어느 정도 완화는 가능할지 몰라도, WebGL이 노출하는 거대한 공격 표면은 여전히 우려스럽습니다. 특정 플랫폼이나 특정 그래픽 카드에서만 존재하는 버그가 나타나 표적 공격으로 이어질 가능성도 배제할 수 없습니다."
2. 클라우드를 맹신할 수 없다
샌드박스에 대한 잠재적 위협보다 더 심각한 것은 플랫폼 자체의 특성입니다. 크롬북은 설계상 클라우드에 크게 의존합니다. 실수로 크롬북을 밟아 부수거나 녹아내린 용암 호수에 빠뜨리더라도 데이터는 사라지지 않습니다. 새 기기를 구입해 로그인하면 모든 데이터와 설정이 그대로 돌아옵니다.
그러나 불행히도 이 구조는 클라우드 쪽에서 상당한 위험에 사용자를 노출시킵니다. Ars Technica의 숀 갤러거(Sean Gallagher)는 '왜 NSA는 구글의 크롬북을 사랑하는가'라는 칼럼에서, NSA가 구글 클라우드 저장소에 침투형 백도어를 확보했으며(지금도 유지하고 있을 수 있습니다) 이를 통해 크롬북 사용자를 포함한 드라이브 사용자의 모든 파일을 감시할 수 있다고 지적했습니다. 갤러거의 말을 인용하면 다음과 같습니다.
"이것이 반드시 구글의 잘못이라고는 할 수 없습니다. 하지만 이는 브라우저를 플랫폼으로 삼는 방식의 약점입니다. 화면 출력을 제외한 거의 모든 컴퓨팅 자원을 클라우드로 밀어 올리는 크롬북 모델은, 공격자나 감시자가 당신의 컴퓨팅 세계에 스며들 수 있는 원스톱 창구를 만들어냅니다."
NSA만이 문제가 아닙니다. 신뢰할 수 있는 부트로더가 운영체제에 지속적으로 심어지는 악성 코드로부터 사용자를 보호해 줄지언정, 웹 앱이 단 한 번 보안을 뚫기만 해도 키와 인증 정보가 도난당할 수 있고, 공격자는 이를 이용해 클라우드 데이터에 접근해 여유롭게 뒤질 수 있습니다.
3. 네이티브 앱의 시대가 오고 있다
설상가상으로, 크롬OS의 샌드박스는 그리 순수한 패러다임이 아닙니다. 웹 페이지 위에서 동작하는 브라우저 확장 프로그램, 예컨대 애드블록 플러스(Adblock Plus)나 구글 번역 같은 것들은 기기에서 실행되는 네이티브 코드이며, 애드웨어를 띄우거나 비밀번호를 훔치는 등 온갖 나쁜 짓을 저지를 수 있습니다. 악성 확장 프로그램을 탐지하고 제거하는 확장 프로그램까지 존재하는데, 이는 본래 필요 없을 터였던 크롬OS용 백신 소프트웨어의 일종인 셈입니다. 구글의 신뢰성을 인정하자면, 크롬OS는 구글의 승인 절차를 통과한 앱만 크롬 확장 스토어에서 설치할 수 있습니다. 그러나 안타깝게도 그 심사는 인간의 판단에 의존하며, 그 심사가 제공하는 보장은 잘 설계된 샌드박싱보다 훨씬 약합니다.
상황은 더 악화되고 있습니다. 구글은 안드로이드 앱을 인터페이스 레이어를 통해 크롬OS에서 구동하는 방식으로 네이티브 앱을 도입할 계획이었고, 실제로 이후 구글 플레이 스토어를 통한 안드로이드 앱 지원이 크롬북에 본격적으로 확대되었습니다. 네이티브 앱은 크롬OS에 폭과 깊이 모두 방대한 보안 문제를 가져오며, 클라우드가 키 도난에 상대적으로 취약하다는 점이 그 심각성을 한층 높입니다. 침해 사고는 눈에 보이지 않고 지속될 때 더욱 치명적입니다.
물론 크롬OS에 들어오는 안드로이드 앱은 구글 팀이 악성 코드 여부를 꼼꼼히 검토하겠지만, 그것만으로 기기의 보안을 걸기에는 너무나 약한 보장입니다. 코드에 악의가 없더라도, 운영체제에 접근하는 데 악용될 수 있는 자체적인 익스플로잇과 취약점을 거의 틀림없이 함께 품고 올 것입니다. 네이티브 코드는 본질적으로 위험하며, 크롬OS의 안전을 지키기 위해 마련된 보안 원칙을 정면으로 위반합니다.
결론: 크롬OS는 안전하지만, 우려는 여전하다
마지막으로 한 가지 분명히 해두겠습니다. 크롬OS는 매우 안전합니다. 윈도우, 리눅스, macOS를 사용하고 있다면, 크롬OS는 그보다 몇 수 위의 보안을 자랑합니다. 사실상 극도로 생소해서 악성 소프트웨어가 붙을 틈도 없는 초고보안 운영체제 플랜9(Plan 9)을 제외하면, 거의 모든 운영체제 중에서 가장 안전하다고 해도 과언이 아닙니다. 하지만 그렇다고 방심해도 된다는 뜻은 아닙니다. 크롬OS에 대한 심각한 보안 우려는 여전히 존재하며, 소중하고 민감한 정보를 컴퓨터에 맡길 때는 이를 항상 염두에 두어야 합니다.
이미지 출처: Hacker with a Laptop Via Shutterstock, "Chrome Lapel Pin" by Stephen Shankland, "Chromebook" by slgckgc, "Chromebook foto test", "Kryha-Chiffriermaschine, Kryha-Encryption Device" by Ryan Somma