모질라의 선제적인 보안 대응, 정말 마음에 듭니다!
업데이트: 2009년 10월 19일
이 글에서는 마이크로소프트가 .NET 구성 요소 등의 브라우저 플러그인을 사용자 동의 없이 파이어폭스에 조용히 설치하는 문제와, 모질라가 이런 플러그인이 지닌 보안 취약점을 어떻게 선제적으로 처리하는지 다룹니다. 또한 각 플러그인의 역할과 사용자가 취할 수 있는 실질적인 조치까지 함께 살펴보겠습니다.
팬이라고 불러도 좋습니다만, 소프트웨어 회사가 자사 제품의 보안 문제를 진지하게 받아들이는 모습을 볼 때면 언제나 기분이 좋아집니다. 온라인 보안은 오늘날 가장 뜨거운 화두 중 하나이며, 인터넷 세계의 영웅과 악당을 가리는 명운의 모루라고 할 수 있습니다.
모질라는 그 와중에서도 분명히 돋보이는 존재입니다. 공격적이고 선제적인 보안 접근 방식 덕분입니다. 최근 몇 주간 모질라는 파이어폭스를 더 안전한 제품으로 만들어 주는 새로운 서비스들을 잇달아 출시했습니다.
플러그인 체크(Plugin Check) – 플러그인을 항상 최신 상태로!
공식 링크
모질라 플러그인 체크는 매우 편리한 서비스로, 브라우저에 설치된 모든 플러그인을 검사해 오래되었거나 알려진 보안 취약점이 있는 항목이 있는지 알려줍니다. 문제가 발견되면 업데이트를 찾아 자동으로 설치까지 완료해 줍니다.
서비스가 아직 초기 단계라 일부 항목의 탐지에 문제가 있지만, 곧 해결될 것으로 보입니다.
플러그인 체크는 지난 파이어폭스 업데이트와 함께 시범 운영으로 시작되었습니다. 브라우저를 재시작하자 구버전의 취약한 어도비 플래시 플레이어를 사용 중이던 사용자에게 "플래시 플러그인이 오래되었다"고 알려주는 페이지가 열렸습니다. 대중의 반응은 뜨거웠고, 어도비 웹사이트에는 1천만 건이 넘는 방문이 이어졌습니다. 클릭률도 약 30%에 달해 놀라운 수준이었는데, 이런 종류의 배너 메시지는 보통 5% 정도에 그친다는 점을 감안하면 대단한 성과입니다. 이 단순한 점검 하나로 수많은 파이어폭스 사용자가 더 높은 수준의 보안을 확보했을 뿐 아니라, 파이어폭스 사용자층이 보안에 관심이 많다는 긍정적인 경향도 확인할 수 있었습니다.
향후에는 이 서비스가 브라우저 자체에 통합될 예정입니다. 브라우저와 애드온 업데이트 외에도 플러그인이 자동으로 스스로 업데이트하는 무인 방식이 추가되어, 사용자의 개입이나 성실함에 의존하지 않고도 항상 최신 보안 기준선을 유지할 수 있게 됩니다.
플러그인 체크 페이지에 방문해 내 플러그인 상태를 직접 점검해 보시기 바랍니다.
애드온 차단 목록(Add-ons Blocklist)
공식 링크
.NET 프레임워크 관련 글을 읽어 보셨다면 아시겠지만, 서드파티 회사들, 여기서는 마이크로소프트가 자사 플러그인을 파이어폭스에 끼워 넣으려 한 적이 있습니다. '향상된 웹 경험'이라는 애매한 명목으로요. 다시 말해, 응용 프로그램을 설치하면 요청하지도 않은 웹 브라우저 플러그인까지 따라오는 겁니다.
마이크로소프트는 이후 제거할 수 없던 애드온을 삭제 가능하도록 바꾸며 어느 정도 잘못을 바로잡았지만, 파이어폭스 사용자의 브라우저가 원치 않는 '스테로이드'로 억지로 강화당한다는 사실 자체는 변하지 않습니다. 더 심각한 문제는 이런 애드온 대부분이 보안 구멍투성이라는 점입니다. 튼튼한 브라우저가 스위스 치즈처럼 숭숭 뚫리는 셈입니다.
모질라 쪽에서도 참을 만큼 참았나 봅니다. 그래서 나온 것이 바로 애드온 차단 목록입니다! 짠! 알려진 미패치 취약점이 있는 플러그인을 설치하려 하면 해당 플러그인은 차단 목록에 올라 기본적으로 비활성화됩니다. 브라우저는 안전하게 유지됩니다. 정말 훌륭한 조치입니다.
차단 목록을 들여다보면 별볼일 없는 각종 툴바, 일부 다운로드 관리자, 심지어 백신 구성 요소 하나, 그리고 마이크로소프트 .NET Framework Assistant가 포함되어 있습니다.
실제로 .NET 3.5 SP1을 설치하고 파이어폭스를 실행하면 다음과 같은 안내창이 뜹니다:
이미 해당 플러그인이 설치되어 있다면, 안정성 또는 보안 문제로 취약한 플러그인이 비활성화되었다는 팝업이 표시됩니다. 이때는 파이어폭스를 재시작하고 평소처럼 작업을 계속하면 됩니다.
저는 아주 만족스럽습니다.
이번 조치는 마이크로소프트와 협의된 것이었고, 플러그인은 향후 차단 해제되었다가 다시 차단되는 등 오갈 수도 있습니다. 하지만 올바른 사고방식과 사용자 보안에 대한 진지한 의지를 보여준다는 점이 중요합니다.
그 밖의 플러그인들
브라우저 안에서 마이크로소프트 DRM 항목 등 몇 가지 플러그인을 더 만나게 될 수 있습니다. 핵심 질문은 이렇습니다. 이것들은 과연 문제가 되는가? 비활성화해야 하는가?
모질라 지식 베이스 문서를 읽어 보시길 권합니다.
이 플러그인들은 모두 윈도우 미디어 플레이어와 관련이 있습니다. 두 개의 DRM 플러그인과 동적 라이브러리(Dynamic Library)는 표준 플러그인이고, 윈도우 미디어 플레이어 파이어폭스 플러그인은 최신 버전의 윈도우 운영체제와 파이어폭스 브라우저를 위한 새로운 플러그인입니다.
제 생각에는 구식 레거시 플러그인들은 안심하고 비활성화해도 됩니다. 브라우저 안에서 윈도우 미디어를 재생하는 데 아무 문제가 없을 겁니다. 만약 기능에 이상이 생기면 언제든 다시 활성화하면 됩니다. 가장 중요한 것은 두 가지를 모두 유지할 필요가 전혀 없다는 점입니다. 구버전은 레거시 잔재일 뿐 새 플러그인이 그 역할을 대체합니다. 게다가 미디어 콘텐츠의 99.9%는 플래시 기반이므로, 뭔가 크게 놓치는 부분은 없을 겁니다.
결론
이 접근 방식이 정말, 정말 마음에 듭니다. 사용자들이 촛불과 쇠스랑을 들고 성문 앞에 몰려올 때까지 기다리는 대신, 모질라는 세 걸음 앞서 나가 혼돈 그 자체인 브라우저 시장의 변덕스러운 요구를 미리 헤아립니다. 보안에 무게를 실으면서도 사용자 경험을 해치지 않는다는 점이 돋보이며, 파이어폭스 사용을 최대한 매끄럽게 만들기 위해 만들어지고 활용되는 수많은 서비스에서 그것이 확인됩니다.
더군다나 이것은 심각한 문제에 대한 올바른 대응입니다. 브라우저가 침해당하면 사람들은 플러그인 제조사에 항의하러 가지 않습니다. 자기 브라우저가 뚫렸다는 사실만 알 뿐입니다. 모질라는 이런 일이 벌어지는 것을 감당할 수 없기에, 자신들의 '아이'를 이토록 강력하게 통제하는 것입니다.
플러그인 체크와 애드온 차단 목록 덕분에 파이어폭스의 보안은 두 단계나 도약했습니다. 보안을 사랑하는 파이어폭스 팬이라면 누구에게나 반가운 소식입니다.
건배!