개인 사이버 보안 태세, 왜 강화해야 할까?
어떤 사람들은 사이버 보안과 종단간 암호화에 남다른 진심을 갖고 있습니다. 에니그마 암호기의 작동 원리를 처음 알게 됐을 때 그야말로 열광했던 사람들이죠. 이런 분들은 웃음거리가 되지 않을 수준의 개인 사이버 보안 태세를 구축하는 데 타고난 흥미를 느낍니다.
하지만 안타깝게도 대부분의 사람들은 사이버 보안을 선택 사항으로 여깁니다. 흔히 이런 말들을 하죠.
"나 같은 평범한 사람을 노리는 해커가 어디 있어?"
"어차피 숨길 게 없는데 뭐."
"이런 걸 배울 시간은 없어. 7분 정도에 훑어볼 수 있는 핵심 요약 좀 주면 안 돼?"
그런 독자 여러분께 말씀드립니다. 바로 여기 있습니다. 딱 7분 만에 훑어볼 수 있는 모범 사례 요약이요.
잠깐, 왜 신경 써야 하는데?
평범한 사람 입장에서는 사이버 보안이 왜 중요한지 납득하기 어려울 수 있습니다. 물론 기기가 해킹당하거나 개인 정보가 유출되긴 싫지만, 굳이 '나'를 노리는 사람은 없을 것 같죠?
솔직히 말하면, 당신의 '그 특별한 물건'을 노리는 해커는 거의 없습니다. 대신 사이버 보안은 '낮게 매달린 과일(low-hanging fruit)'이라는 관점으로 이해하면 훨씬 명확해집니다.
당신에게 과일이 좀 있고, 저에게도 과일이 좀 있습니다. 그런데 길 건너 조에는 1.21기가와트 플럭스 커패시터로 작동하는 과일 빼앗기 로봇이 있습니다. 조는 우리 둘이 누구인지도 모르지만, 로봇은 동네를 돌며 문마다 아주 빠르게 과일을 찾아 다닙니다. 제 집 문은 잠겨 있고 당신 집 문은 활짝 열려 있다면, 조의 로봇은 누구의 과일을 가져갈까요?
뻔하고 지루한 '평범한' 보안 이야기라고요? 맞습니다! 사이버 보안은 당신의 과일을 완벽하게 지켜주는 마법 주문을 찾는 게 아니라, 옆집 과일보다 당신의 과일을 더 안전하게 만드는 것입니다. 생각하는 습관 몇 가지면 충분합니다. 마치 과일 도둑 로봇을 막으려고 현관문 잠그는 법을 배웠던 것처럼요.
보안 침해 사고는 매일 일어나고, 대부분은 자동 스캐너가 광범위하게 그물을 던져 보안이 허술한 개인이나 기업을 찾아낸 뒤 해커가 이를 악용하면서 발생합니다. 그 '허술한 사람'이 되지 마세요.
'보안 태세(Security Posture)'란 무엇인가
미국 국립표준기술연구소(NIST)가 정의한 보안 태세는 다음과 같습니다.
"정보 보증 자원(예: 인력, 하드웨어, 소프트웨어, 정책)과 기업 방어를 관리하고 상황 변화에 대응할 수 있는 역량에 기반한, 기업의 네트워크·정보·시스템의 보안 상태." (NIST 특별 간행물 800-30, B-11)
여기서 핵심은 "기업 방어를 관리하는 역량"입니다. 개인 보안의 관점에서 보면, 바로 당신이 그 기업입니다. 축하드립니다.
낯선 새로운 세계(인터넷이니까요)를 탐험하기 전에, 방어를 관리하기 위해 취할 수 있는 단계들이 있습니다. '역량'이라는 단어가 적절한 이유는, 몇 가지만 갖춰도 사실상 사이버 보안 초능력이 생기기 때문입니다. 가장 중요하고 유익하다고 생각하는 세 가지는 다음과 같습니다.
- 다중 요소 인증(MFA) 사용
- VPN 사용
- 건강한 회의심 기르기
이 세 개의 열쇠를 손에 넣으면, 당신의 사이버 보안 태세는 로봇의 먹잇감 수준에서 공격자가 감히 손대지 않는 수준으로 바뀝니다.
1. 다중 요소 인증(MFA) 사용하기
비밀번호는 이미 시대에 뒤떨어졌습니다. 연산적으로는 풀린 문제가 됐고, 비밀번호를 크랙하는 건 단지 시간 문제일 뿐입니다. 불행히도 많은 사람들이 유출된 비밀번호를 여러 계정에 재사용하며 크래킹 속도에 한몫하고 있죠. 패스프레이즈(passphrase)는 더 길고 복잡해서 크랙하는 데 훨씬 오래 걸리므로 강력 추천하지만, 결국 비밀번호만으로는 부족합니다.
적어도 현재로선 답은 다중 요소 인증(MFA)입니다. MFA는 세 가지 인증 요소로 구성됩니다.
- 알고 있는 것 — 패스프레이즈 등
- 가지고 있는 것 — 칩 카드나 휴대폰 등
- 본인인 것 — 얼굴이나 지문 등
이 요소 중 두 가지 이상을 조합하면 비밀번호 하나만 쓰는 것과는 비교할 수 없이 안전합니다. 특히 당신의 비밀번호가 유출 목록에 포함돼 있다면 더욱 그렇습니다.
다중 인증은 이제 계정 서비스와 소셜 미디어에서 폭넓게 지원됩니다. 선택이 가능하다면 문자 메시지(SMS)로 인증 코드를 받는 방식은 피하세요. SMS 인증은 SIM 스왑 공격에 취약합니다. 대신 Google Authenticator 같은 인증 앱을 사용해 내 기기에서 코드를 생성하세요. 그러면 해당 기기를 사용하는 당신만 올바른 인증 코드를 가질 수 있습니다.
Google Authenticator는 설정된 특정 기기와 연동되므로 새 기기로 바꿀 때는 앱을 이전해야 합니다. YubiKey 같은 하드웨어 인증 키는 기기를 바꿀 때 번거로움이 덜하지만, 아직 인증 앱만큼 널리 지원되지는 않습니다.
2. VPN 사용하기
편지를 봉투에 넣지도 않고 접지도 않은 채 보내는 사람이라면, 훔쳐보는 사람 누구든 내용을 알 수 있습니다. 가상 사설망(VPN)을 사용하면, 특히 공공 WiFi에 자주 연결하는 경우라면, 암호화로 봉인된 봉투에 편지를 넣어 특별한 배달 서비스로 보내는 것과 같습니다. 받는 사람 외에는 아무도 편지를 읽을 수 없고, 보내는 사람과 배달원만 수신자가 누구인지 압니다.
VPN은 열린 WiFi를 훑어보는 기회주의적 공격자뿐 아니라, 사용 데이터를 광고 수익으로 팔 수도 있는 인터넷 서비스 제공업체(ISP)조차 당신의 통신을 엿보지 못하게 막아줍니다.
신뢰할 만한 VPN 업체를 고르려면 어느 정도 조사가 필요하고, 그 자체로 별도 글감이 됩니다. 출발점으로는 로깅(기록 저장)에 대한 확고한 반대 정책을 가진 업체를 찾고, 월 5~10달러 정도의 비용을 감수하세요. 무료 VPN 앱이나 개인정보 처리방침이 애매한 서비스는 피하세요. 결국 알게 모르게 훨씬 큰 대가를 치르게 됩니다.
3. 건강한 회의심 기르기
결국 당신 사이버 보안 방어의 가장 약한 고리는 당신 자신입니다. 인터넷의 모든 MFA와 VPN이 있어도, 스캠이나 멀웨어 봇이 성공적으로 속여 성문을 열어젖히면 소용없습니다. 네, 알고 있습니다. 그 나무말 참 멋있어 보이죠. 게다가 공짜고요. 주문한 적 있습니까? 없다면 밖에 두세요.
가상 현관 앞에 배달된 것들은 의심하는 습관을 들이세요. 이메일, 전화, 메시지 스캠은 허술하게 대량 발송되는 로봇 문자부터 인지 편향을 교묘히 이용하는 정교한 소셜 엔지니어링 공격까지 다양합니다. "난 똑똑해서 안 당해"라고 생각하지 마세요. 인간은 아주 예측 가능한 존재입니다.
대신 질문하세요. 링크 클릭이나 사이트 방문을 요청하는 연락은, 아는 사람이나 사용 중인 회사에게서 왔다 해도 반드시 이중으로 확인하세요. 실제 직접 소통한 경험을 근거로 확신하지 못한다면, 친구든 은행이든 어머니든 직접 전화를 걸어 확인하세요. 확신한다고 생각해도 전화로 확인하세요. 어차피 어머니께 드리는 전화는 부족할 겁니다.
아, 그리고 전화 상대가 세무서나 국세청 직원이라며 "신원 확인 착오로 대출 미상환 혐의로 형사 처벌 대상이 됐고 곧 계좌가 동결된다"고 한다면 그냥 끊으세요. 세무 기관은 그런 식으로 전화하지 않습니다.
개인 사이버 보안 스타터 팩
이제 튼튼한 개인 사이버 보안 태세로 통하는 세 개의 문을 여는 세 개의 열쇠를 갖게 됐습니다. 호기심까지 열렸다면 더 깊이 파볼 토끼굴은 무궁무진합니다. Binary Blogger의 훌륭한 조언을 담은 'Security in Five' 팟캐스트(이 글의 많은 부분에 영감을 준 곳)를 강력 추천합니다. Electronic Frontier Foundation의 'Surveillance Self Defense'는 온라인 통신 보안 팁을 제공하고, Troy Hunt의 YouTube 시리즈 'Internet Security Basics'는 온라인 자기 보호 방법을 더 깊이 있게 다룹니다.
새로 얻은 사이버 보안 능력을 좋은 일에 쓰시길 바랍니다. 배운 것을 명심하세요.