넷플릭스와 유튜브 등 스트리밍 서비스의 성장과 함께 케이블 TV를 해지하고 '커드 커팅(cord cutting)'에 나서는 사람들이 늘면서, 오픈소스 미디어 센터 소프트웨어인 Kodi(코디) 역시 꾸준히 인기를 얻고 있습니다.
Kodi는 Plex와 함께 이 분야의 양대 산맥으로 꼽힙니다. 두 소프트웨어는 세부적인 차이가 있지만, TV 없는 생활을 결심했다면 둘 중 하나는 반드시 설치해야 제대로 활용할 수 있습니다.
다만 Kodi에는 매력적인 장점만 있는 것은 아닙니다. 사용 과정에서 마주할 수 있는 보안 및 개인정보 관련 문제들이 적지 않습니다. 이번 글에서는 Kodi 사용자가 반드시 알아두어야 할 7가지 보안 문제를 살펴보겠습니다.
1. 중간자(Man-in-the-Middle) 공격
중간자(MitM) 공격은 해커가 두 당사자 간의 통신을 가로채고, 전달하고, 조작하여 대화 전체를 통제하는 공격 방식입니다. 피해자들은 서로 직접 대화하고 있다고 믿기 때문에 더욱 위험합니다.
악성코드 유포 수단으로 자주 활용되며, 최근의 암호화 프로토콜 대부분은 이를 막기 위해 일종의 엔드포인트 인증 절차를 포함하고 있습니다.
문제는 Kodi의 경우 이러한 공격이 앱의 애드온(add-on)을 노린다는 점입니다.
Kodi는 애드온의 새 버전을 발견하면 자동으로 다운로드해 설치하며, 사용자에게는 완료 알림 팝업만 표시됩니다. 업데이트 확인 과정도 매우 단순해서, 쉽게 말해 로컬 MD5 파일이 오래되었다고 판단되면 새 파일을 내려받는 방식입니다.
더 놀라운 점은 업데이트 과정 전체가 암호화되지 않은 HTTP로 이루어진다는 사실입니다. 따라서 네트워크 트래픽을 가로챈 해커는 Kodi가 업데이트를 요청하는 순간 임의의 MD5 파일을 전송할 수 있습니다.
2. 방치된 구버전 애드온
오래되었거나 관리되지 않는 애드온 문제는 중간자 공격의 위험을 한층 키웁니다.
일부 추정에 따르면 전체 저장소(repository)의 무려 25%가량이 이미 죽었거나 방치 상태이거나 오래된 콘텐츠만 담고 있습니다. 그런데 앞서 언급했듯이 Kodi는 해당 애드온이나 저장소가 더 이상 작동하지 않는다는 사실 자체를 모릅니다. 사용자가 직접 삭제하지 않는 한 계속 업데이트를 시도합니다.
이런 환경은 해커 입장에서 호재입니다. 죽은 저장소를 찾아내 수천 대의 기기를 한꺼번에 장악하기가 매우 쉽기 때문입니다.
구버전 애드온을 찾아내는 방법은 로그를 직접 읽거나(복잡함), 애드온 포털을 주기적으로 확인하는 것(번거로움)뿐입니다.
그 결과로 인한 피해는 심각할 수 있습니다. 개인정보 복제, 비밀번호 탈취, 나아가 기기 전체 장악까지 이어질 수 있습니다.
3. 애드온에 숨어 있는 멀웨어
애드온을 통해 YouTube, Dropbox 같은 서비스를 Kodi에서 바로 이용할 수 있습니다. 또한 실시간 TV 시청, 영화 라이브러리 접근 등 각종 무료 영상 콘텐츠를 (불법적으로) 즐길 수 있게 해주기 때문에 커드 커팅족에게는 꿈과 같은 존재이기도 합니다.
그런 특성 때문에 일부 애드온의 출처가 의심스러운 것은 당연한 귀결입니다. 어느 하나도 공식 것이 아닙니다.
안타깝게도 악성 애드온은 일반 컴퓨터 바이러스만큼 위험할 수 있습니다. Kodi의 시니어 개발자 중 한 명은 "애드온에는 기기를 몰래 훔쳐보는 수상한 코드부터 감염된 ZIP 파일까지 무엇이든 들어 있을 수 있다"고 경고한 바 있습니다.
공식 Kodi 저장소에서 화이트리스트에 등록된 애드온만 사용하면 어느 정도 안전을 확보할 수 있지만, 공식 애드온에는 인기 TV 프로그램, 영화, 스포츠 콘텐츠가 포함되어 있지 않습니다. 그런 콘텐츠를 원하는 사용자는 계속 위험에 노출될 수밖에 없습니다.
4. ISP(인터넷 서비스 제공업체)의 트래픽 감시
불법 콘텐츠 시청을 권장할 수는 없지만, 현실적으로 많은 사용자가 그런 목적으로 Kodi를 사용하고 있는 것도 사실입니다.
미국에 거주하며 이런 방식으로 Kodi를 사용한다면 ISP로부터 경고 편지를 받을 각오를 해야 합니다. ISP는 모든 웹 트래픽을 상시 감시하며, 최근에는 Kodi를 통한 TV·영화 불법 복제 행위에 대해 특히 강경한 태도를 보이고 있습니다.
편지를 받은 이후 어떤 일이 벌어지는지는 아직 아무도 확실히 모릅니다. 서비스가 중단될 수도 있고, 정보가 다른 정부 기관에 넘겨질 수도 있습니다. 그 이후는 아무도 장담할 수 없습니다.
5. 사전 설치형 Kodi 박스
Kodi는 초보자가 설정하기 까다로운 편이라, 미리 설정된 '프리로디드(pre-loaded)' Kodi 박스 시장이 급성장했습니다. NFL이나 프리미어리그 경기가 있는 날 트위터를 훑어보면 이 문제가 얼마나 만연한지 짐작할 수 있습니다.
이런 박스는 대개 Linux, Android, Chrome OS 기반으로 동작하며, Amazon Fire Stick처럼 TV에 연결만 하면 바로 쓸 수 있는 제품도 있습니다.
Kodi는 공식 블로그를 통해 이런 제품이 두 가지 측면에서 위험하다고 지적했습니다.
- 금전적 손실 — 판매자 대부분은 안정적으로 작동하는 제품을 만들 생각이 없습니다. 빠른 부수입만 노리는 경우가 많습니다.
- 불법 복제 — 프리로디드 박스의 콘텐츠는 흔히 '완전 합법'이라고 홍보되지만 사실이 아닙니다. 불법 콘텐츠를 원한다면 그에 따른 책임은 본인이 져야 하며, 누군가에게 속아 모르게 저지르는 일이 없어야 합니다.
결론은 명확합니다. 프리로디드 박스는 구매하지 말고, 시간을 들여 직접 학습하고 자신의 필요에 맞게 설정한 박스를 구축하는 것이 좋습니다.
6. Kodi의 시청 기록(Watched Status)
지금까지 외부 위협을 살펴봤다면, 이제는 좀 더 가까운 곳에 있는 개인정보 문제를 짚어볼 차례입니다.
그중 하나가 Kodi의 시청 상태 기록 기능입니다. 시청한 모든 영상에 체크 표시를 남겨, 드라마나 영화를 이어서 보기 쉽게 해줍니다.
편리해 들리지만 개인정보 측면의 우려가 따릅니다. 비밀번호를 훔치거나 네트워크를 위협하지는 않지만, 상황에 따라 곤란해질 수 있습니다. 딸에게 자신이 '길모어 걸스' 덕후라는 사실을 들키고 싶으신가요?
다행히 비활성화는 어렵지 않습니다. 사용 중인 스킨(skin)이 다양해 만능 해법은 없지만, 스킨 설정 메뉴 안에서 해당 옵션을 찾을 수 있습니다.
7. 데이터베이스 잔여 기록
Kodi는 앱에서 시청한 모든 영상의 기록을 데이터베이스에 저장합니다. 원본 영상을 삭제했거나, 저장소를 제거했거나, 애드온이 작동을 멈췄더라도 상관없습니다. 모든 항목이 성실히 기록됩니다.
물론 이것도 개인정보 문제입니다. 그런데 앱 자체에는 데이터베이스를 청소하는 기능이 없습니다. 'Clean Library' 버튼이 있긴 하지만, 미디어 라이브러리에 추가된 콘텐츠에만 적용됩니다.
일부 Kodi 애호가들이 이 문제를 해결하기 위해 나섰습니다. 'Database Pre-Wash Scrub'이라는 애드온을 출시해, 앱 소스에 더 이상 등록되지 않은 오래된 경로와 파일 참조를 제거함으로써 영상 데이터베이스를 정리할 수 있게 했습니다.
다만 이 애드온은 아직 베타 단계이므로, 사용 여부와 그에 따른 책임은 본인에게 있습니다.
당신이 우려하는 문제는 무엇인가요?
지금까지 Kodi 사용 시 주의해야 할 7가지 보안·개인정보 이슈를 살펴봤지만, 이 외에도 더 있습니다.
Kodi를 사용하면서 무엇이 가장 걱정되시나요? 이런 문제들을 이미 알고 계셨나요? 그리고 이를 예방하기 위해 어떤 조치를 취하고 계신가요?
아래 댓글로 여러분의 생각과 팁을 자유롭게 공유해 주세요.