지난달 초에는 CIA의 해킹 도구부터 '밈 매직(meme magic)' 실험에 이르기까지 각종 기밀이 위키리크스에 공개되는 '볼트 7(Vault 7)' 유출 사건이 터지면서 전 세계 사이버보안 전문가들이 술렁였습니다.
그로부터 몇 주가 지나지 않아 3월은 계속해서 눈부신 한 달이 되었는데, 이번에는 LastPass의 브라우저 확장 프로그램에 존재하던 버그로 인해 아무런 경계 없이 서비스를 사용하던 사용자들의 비밀번호가 해커에게 넘어갈 수 있다는 사실이 밝혀졌습니다.
발견된 취약점은 무엇인가?
구글 프로젝트 제로(Project Zero) 소속 연구원인 타비스 오먼디(Tavis Ormandy)는 지난 월요일, LastPass의 구글 크롬 확장 프로그램에서 보안 버그를 발견했습니다. 첫 번째 버그는 해커가 사용자가 로그인하려는 서버와 컴퓨터 간의 통신을 가로채는 과정에서 임의의 코드를 삽입할 수 있게 하여, 결과적으로 사용자의 비밀번호에 접근할 수 있도록 하는 것입니다. 관심이 있다면 해당 보고서에서 개념 증명(proof-of-concept) 코드까지 확인할 수 있습니다.
오먼디가 찾아낸 또 다른 버그는 LastPass 파이어폭스(Firefox) 확장 프로그램 3.3.2 버전(구버전이지만 여전히 많은 사용자가 쓰는 버전)에 있었습니다. 이 버그는 해커가 범용 교차 사이트 스크립팅(universal cross-site script)을 실행해 알림 창을 통해 사용자의 비밀번호를 그대로 노출시킬 수 있게 합니다.
LastPass는 화요일에 문제를 조사하는 동안 인증 정보를 전송하는 내부 서비스 도메인이 존재하지 않는 것처럼 보이도록 조치(NXDOMAIN 처리)했고, 이어 수요일에는 크롬 확장 프로그램의 문제를 수정했다는 공식 발표를 게시했습니다.
반면 파이어폭스 확장 프로그램에 대해서는 별도의 수정 없이 그대로 두었는데, 3.x 버전 브랜치가 어차피 4월에 공식 지원이 종료될 예정이기 때문입니다. 물론 이것이 비난받을 행위는 아닙니다. 회사 측도 공식 발표를 통해 솔직하게 설명했습니다. "이 버그는 작년에 우리 팀에 보고되었고 당시 수정되었습니다. 다만 해당 수정 사항이 레거시 Firefox 3.3.x 브랜치에는 배포되지 않았으며, 이 브랜치는 4월에 공식적으로 지원이 종료될 예정입니다."
사용자가 해야 할 일
LastPass를 사용하고 있다면 브라우저 확장 프로그램이 최신 버전으로 유지되고 있는지 반드시 확인하기 바랍니다. 그 외에는 당장 걱정할 즉각적인 위협은 없습니다. 일반적으로 모든 확장 프로그램에 대해 이런 습관을 들이는 것이 좋습니다. 크롬과 파이어폭스는 기본적으로 자동 업데이트를 수행하므로, 혹시 자동 업데이트를 꺼두었다면 지금이 다시 고민해 볼 좋은 시점입니다.
그러나 더 근본적인 우려가 있습니다
오늘날 IT 업계 분위기에서 이런 말을 하면 환영받기 어렵다는 것을 알지만, 분명히 짚고 넘어가야겠습니다. 편의성과 보안은 대체로 양립하기 어려운 관계입니다. 지난번 CIA 볼트 7 유출 사건을 다룰 때도 열성적인 독자 중 한 명이 비슷한 지적을 한 바 있습니다.
우리가 사용하는 기술과 점점 더 친밀해질수록(비밀번호와 개인 정보를 맡기는 등) 해커 입장에서는 우리를 공격할 수 있는 통로가 하나씩 늘어나는 셈입니다. 데이터 유출 사고가 끊이지 않는 진짜 이유는, 그 기술이 우리를 위험으로부터 보호할 수 있는지 스스로 묻기도 전에 먼저 맹목적으로 신뢰하기 때문입니다.
LastPass는 사용자들이 자신의 비밀번호, 즉 온라인 생활의 열쇠를 안심하고 맡길 수 있도록 온갖 노력을 기울이는 서비스입니다. 하지만 LastPass에 대한 존중에도 불구하고 우리는 스스로에게 물어야 합니다. 만약 어느 날 버그가 악용되기 전에 패치될 만큼 운이 따르지 않는다면 어떻게 될까요? 애플리케이션 코드의 예상치 못한 결함으로 해커가 몰래 침입해 여러분의 모든 정보를 훔쳐본다면?
LastPass 침해 사고는 과거에도 있었습니다. 가장 최근의 사건은 2015년에 발생했습니다. 그 후 2016년 7월에는 선의의 해커가 악용 가능한 버그를 대중에게 공개하기도 했습니다.
핵심은 결코 방심해서는 안 된다는 것입니다. 물론 이런 익스플로잇 중 상당수는 실제 위험보다 과대 포장된 면이 있습니다. 하지만 서비스에 개인 정보를 맡길 때마다 위험한 영역에 들어서고 있다는 사실은 분명히 인식해야 합니다. 때로는 편의성이 위험보다 클 수 있지만, 그 판단은 무엇에 가입하는지 충분히 이해한 후 오직 본인만이 내릴 수 있습니다.
비밀번호 관리자를 사용하고 계신가요? 사용 중인 서비스가 해킹당할 가능성에 대해 어떻게 생각하시나요? 댓글로 의견을 남겨주세요!