"자포드는 그냥 평범한 녀석이야, 알다시피?"
– 할프런트, 더글러스 애덤스의 『은하수를 여행하는 히치하이커를 위한 안내서』 중. 책 기준이며, 영화는 절대 아닙니다.
어떤 사람들은 사이버 보안과 종단 간 암호화에 남다른 진심을 가지고 있고, 에니그마의 작동 원리를 처음 접했을 때 흥분을 감추지 못하기도 합니다. 이런 사람들은 웃음거리가 되지 않는 개인 사이버 보안 체계를 구축하는 데 타고난 흥미를 지니고 있을 가능성이 높습니다.
불행히도 대부분의 사람들은 사이버 보안을 선택 사항으로 여깁니다. 흔히 이런 말을 하죠.
"나 같은 걸 노릴 사람은 없어."
"어차피 숨길 것도 없는데."
"이런 걸 배울 시간은 없어. 딱 7분이면 훑어볼 수 있는 모범 사례 요약 좀 주면 안 돼?"
바로 그런 분들을 위해 준비했습니다. 안녕하세요, 가상의 독자님! 딱 7분이면 훑어볼 수 있는 모범 사례 요약입니다.
잠깐, 왜 신경 써야 하는데?
평범한 사람 입장에서는 사이버 보안이 왜 중요한지 와닿지 않을 수 있습니다. 물론 기기가 해킹당하거나 개인 정보가 도난당하는 건 싫지만, 굳이 나를 특별히 노리는 사람은 없을 테니까요.
네, 맞습니다. 누군가 당신의 특정한 물건을 노릴 가능성은 낮습니다. 다만 사이버 보안을 이해하는 데 도움이 되는 관점이 하나 있습니다. 바로 '낮게 매달린 과일(low-hanging fruit)'로 생각하는 것입니다.
당신에게도 과일이 있고, 저에게도 과일이 있습니다. 그런데 동네의 조(Joe)는 1.21기가와트 플럭스 커패시터로 구동되는 과일 훔치기 로봇을 가지고 있죠. 조는 우리 둘의 존재조차 모르지만, 그의 로봇은 (엄청난 속도로) 문마다 돌아다니며 과일을 찾습니다. 제 집 앞문은 잠겨 있는데 당신 집 앞문이 활짝 열려 있다면, 조의 로봇은 누구의 과일을 가져갈까요?
지루하고 뻔한 '일반적인' 보안 이야기처럼 들린다면 정답입니다! 사이버 보안은 과일을 완벽하게 지켜주는 마법 주문을 찾는 것이 아닙니다. 옆집 과일보다 내 과일을 더 안전하게 만드는 것이죠. 과일 훔치기 로봇을 막기 위해 앞문 잠그는 법을 배웠듯이, 몇 가지 신중한 습관만 들이면 됩니다.
보안 침해 사고는 매일 발생합니다. 대부분은 자동화된 스캐너가 광범위하게 표적을 조사하다가 허술한 보안을 가진 개인이나 기업을 발견하고, 해커가 이를 악용하면서 일어납니다. 그런 사람이 되지 마세요.
잠깐, 보안 태세(Security Posture)란 정확히 뭐야?
미국 국립표준기술연구소(NIST)는 보안 태세를 다음과 같이 정의합니다.
"기업의 네트워크, 정보, 시스템의 보안 상태로서, 정보 보증 자원(예: 사람, 하드웨어, 소프트웨어, 정책)과 기업 방어를 관리하고 상황 변화에 대응할 수 있는 역량에 기반한다." (NIST 특별 출판물 800-30, B-11)
여기서 핵심은 "기업 방어를 관리할 수 있는 역량"입니다. 개인 보안의 관점에서 보면, 당신이 곧 기업입니다. 축하합니다. 이제 아무도 가본 적 없는 곳으로 담대히 나아가시길.
낯선 새로운 세계(어차피 인터넷이니까요)를 탐험하기 전에, 방어 체계를 관리하기 위해 취할 수 있는 조치들이 있습니다. '역량'이라는 단어가 꼭 들어맞는데, 특정 도구들을 갖추기만 해도 사실상 사이버 보안 초능력을 얻게 되기 때문입니다. 가장 중요하고 유익하다고 생각하는 세 가지 단계는 다음과 같습니다.
- 다단계 인증(MFA) 사용
- VPN 사용
- 건강한 회의심 기르기
이 세 가지 열쇠를 손에 넣으면, 당신의 사이버 보안 태세는 로봇의 먹잇감에서 영화 『워 게임즈(WarGames)』 수준으로 올라섭니다. 공격자의 최선의 전략은 '플레이하지 않는 것'이 되는 거죠.
1. 다단계 인증(MFA) 사용
비밀번호는 이미 죽었습니다. 연산적으로 풀린 문제이며, 비밀번호 크래킹은 단지 시간 문제일 뿐입니다. 불행히도 많은 사람들이 유출된 동일한 비밀번호를 여러 계정에 재사용하며 크래킹 속도에 한몫하고, 상상하기 어려운 대가를 치르고 있습니다. 패스프레이즈(passphrase)는 더 길고 복잡해서 크랙에 훨씬 오랜 시간이 걸리므로 강력히 추천하지만, 결국 비밀번호 자체는 크게 중요하지 않습니다.
적어도 현재로선 답은 다단계 인증(MFA)입니다. MFA는 세 종류의 인증 요소로 구성됩니다.
- 아는 것 — 패스프레이즈 등
- 가진 것 — 칩 PIN 카드나 휴대폰 등
- 본인임을 증명하는 것 — 얼굴이나 지문 등
이 요소 중 두 가지 이상을 조합하면 비밀번호 하나만 쓰는 것보다 월등히 안전합니다. 특히 당신의 비밀번호가 유출 목록에 올라 있다면 더욱 그렇습니다.
다중 인증은 이제 대부분의 계정 서비스와 소셜 미디어에서 지원됩니다. 선택권이 있다면 문자 메시지(SMS)로 인증 코드를 받는 방식은 피하세요. SMS 인증은 SIM 스왑 공격에 취약합니다. 대신 Google Authenticator 같은 인증 앱을 사용해 기기에서 직접 코드를 생성하세요. 이렇게 하면 해당 기기를 사용하는 본인만이 올바른 인증 코드를 가질 수 있습니다.
Google Authenticator는 설정한 특정 기기와 연동되므로, 새 기기로 바꿀 때는 앱을 새 휴대폰으로 옮겨야 합니다. YubiKey 같은 하드웨어 인증 키는 기기 교체 시 번거로움이 덜하지만, 아직 인증 앱만큼 폭넓게 지원되지는 않습니다.
2. VPN 사용
VPN을 쓰는 것과 쓰지 않는 것의 차이는 『다크 나이트 라이즈』가 훌륭했고 『배트맨 대 슈퍼맨』이 정말, 정~말 형편없었던 것과 같습니다. 같은 프랜차이즈인데 기준이 완전히 다른 거죠.
편지를 자주 보내는데 봉투에 넣지도 않고 반으로 접지도 않는다고 상상해 봅시다. 보려는 사람이라면 누구든 당신이 '공포의 해적 로버츠'가 아니라는 사실을 알게 됩니다. VPN(Virtual Private Network)을 사용하면, 특히 공용 Wi-Fi에 자주 연결하는 경우라면, 편지를 암호화로 봉인한 봉투에 넣어 특별한 배달 서비스로 보내는 것과 같습니다. 의도된 수신자 외에는 아무도 편지를 읽을 수 없고, 당신과 배달원 외에는 누가 수신자인지도 알 수 없습니다.
VPN은 열린 Wi-Fi를 스캔하는 기회주의적 공격자뿐 아니라, 광고 수익을 위해 이용 데이터를 판매할 수 있는 인터넷 서비스 제공업체(ISP)까지도 통신을 엿보지 못하게 막아줍니다.
신뢰할 수 있는 VPN 업체를 고르려면 어느 정도 조사가 필요하며, 그 자체로 별도 글의 소재가 됩니다. 우선 로깅을 하지 않겠다는 확고한 정책을 가진 업체를 찾고, 월 5~10달러 정도의 비용을 예상하세요. 무료 VPN 앱이나 프라이버시 정책이 모호한 서비스는 피하세요. 대체로 알 수 있는 것보다 훨씬 큰 대가를 치르게 됩니다.
3. 건강한 회의심 기르기
궁극적으로 사이버 보안 방어의 가장 약한 고리는 바로 당신 자신입니다. 아무리 MFA와 VPN을 갖춰도 사기나 멀웨어 봇이 당신을 속여 성문을 열게 만들면 소용이 없습니다. 네, 알아요. 그 나무로 만든 말이 참 멋져 보인다는 거요. 게다가 공짜고요. 주문한 적 있나요? 없죠? 그럼 밖에 두세요.
가상의 현관 앞으로 배달되는 모든 것을 의심하는 습관을 들이세요. 이메일, 전화, 메신저 사기는 엉성한 대량 발송형부터 인지 편향을 교묘히 활용하는 정교한 소셜 엔지니어링 공격까지 다양합니다. 자신이 너무 똑똑해서 안 당한다고 생각하지 마세요. 인간은 의외로 예측 가능한 존재입니다.
대신 질문하세요. 링크 클릭이나 웹사이트 방문을 요청하는 메시지는, 아는 사람이나 평소 쓰는 회사에서 온 것이라도 반드시 이중으로 확인하세요. 직접 만난 적이 없다면 친구, 은행, 어머니가 보낸 이메일인지 확신할 수 없습니다. 전화를 걸어 확인하세요. 확실하다고 생각해도 전화로 확인하세요. 어차피 어머니께 드리는 전화는 부족하잖아요.
아, 그리고 전화 상대가 세무서 직원이라면서 "실명이 잘못 연결돼 말리부의 초대형 요트 대출금 미상환 혐의로 형사 고발됐고, 곧 계좌를 동결하겠다"는 경우라면 그냥 전화를 끊으세요. 세무 당국은 이런 식으로 전화하지 않는다는 걸 아시잖아요.
당신의 개인 사이버 보안 스타터 팩
이제 튼튼한 개인 사이버 보안 태세로 가는 세 개의 문을 여는 세 가지 열쇠를 갖게 됐습니다. 호기심까지 자극됐다면, 파고들 토끼굴은 아직 많습니다. Binary Blogger의 훌륭한 조언을 담은 『Security in Five』 팟캐스트를 강력 추천합니다. 이 글의 상당 부분도 여기서 영감을 받았습니다. 또한 『Surveillance Self-Defense』에서는 EFF(전자 프론티어 재단)의 온라인 통신 보안 팁을 확인할 수 있고, Troy Hunt의 유튜브 시리즈 『Internet Security Basics』는 온라인에서 스스로를 보호하는 방법을 더 깊이 있게 다룹니다.
새로 얻은 사이버 보안 능력을 선한 목적으로 사용하시길 바랍니다. 배운 것을 명심하세요. 도움이 되기를.