비스타 보안 문제가 또 논란이 되고 있다. 호주의 다국적 보안 업체인 린치핀랩스(Linchpin Labs, linchpinlabs.com)는 마이크로소프트(이하 MS)가 자신들의 프로그램을 허용하지 않았다고 강한 불만을 드러내며, MS가 다른 개발자들의 프로그램이 MS의 소프트웨어를 위험에 처하게한다고 비난하기 전에 MS만의 독자적인 독자적인 보안체계를 구축해야할 것이라 말했다. 美 컴퓨터월드(computerworld.com)의 보도를 바탕으로 내용을 재구성한다.
시드니에 위치한 린치핀랩스(이하 린치핀)는 이달 초, 앳시브(Atsiv)라는 프로그램을 출시했다. 이것은 서명이 없는 드라이버를 64비트 체계인 비스타 커널에 로드하는 역할을하며 앳시브 자체는 서명된 프로그램이다. 그런데 MS는 지난 주 앳시브가 비스타의 보안 체계를 위협한다고 발표했다.
64비트 체계의 비스타는 유효한 디지털 승인이 있는 드라이버만을 커널에 수용한다. 이것은 커널 해킹을 막기 위함인데 특히 루트킷(rootkits: 시스템 이용자가 해킹을 인식하지 못하게하는 프로그램. 이 도구를 이용해 나중에 다시 시스템에 접근할 때 들킬 가능성을 줄인다. 편집자 註) 을 대비한 것이다.
린치핀은 앳시브 출시후 이미 베리사인(VeriSign Inc., verisign.com)으로부터 인증을 받았다. 그러나 지난 2일 MS는 베리사인과의 협의 하에 앳시브가 취득한 서명을 취소하며 앳시브 드라이버가 비스타에 로딩되는 것을 막아버렸다. 베리사인은 텔레콤 등에 디지털 상거래와 통신 상품 및 서비스를 제공한다.
당시 MS는 앳시브를 ‘잠재적으로도 실제로도 보안 위협 요소’라 칭했다. 동시에 MS는 자신의 안티스파이웨어 프로그램인 윈도우즈 디펜더에 앳시브의 드라이버를 감지, 차단, 제거하는 서명을 추가했다.
지난 6일, 컴퓨터월드가 보낸 이메일 질의에 대해 린치핀은 앳시브가 ‘정당한’ 프로그램이라 답변했다. 비스타는 적절한 서명이 있는 드라이버를 갖추지 못한 레거시 하드웨어(오래된 언어나 플랫폼으로 만들어져 현재의 운영체계에 맞지 않는 하드웨어. 편집자 註)나 서명 인증을 사용할 수 없는 캐주얼 개발자의 제품을 이용할 수 없다. 따라서 앳시브를 이용하면 레거시 하드웨어를 유용하게 재사용할 수 있고 따라서 비스타의 사용도 대폭 늘어날 것이라는 것이 린치핀의 주장이다.
그렇지만 린치핀은 앳시브를 지원하는 새로운 인증을 획득하지는 않을 것이라고 말했다. 설령 새로운 서명을 얻는다하더라도 MS가 분명히 그것을 또 취소할 것이 뻔하기 때문이다.
린치핀은 앳시브가 이용자의 보안을 위협하지도, 정체불명의 프로그램을 제공하지도 않는다고 잘라 말하며 다음과 같은 근본적인 질문을 던진다.
“서명 없는, 실질적인 위험 소프트웨어로부터 이용자를 보호하기 위해 MS가 취하고 있는 방안은 대체 뭔가?”
“서명이 있다하더라도 보안상 취약한 프로그램에 대해서는 어떻게 대처하고 있는가?”
“보안상 안전을 신뢰할 수 없는 기업이 서명하고 지원하는 드라이버는 또 어떻게 할 것인가?”
린치핀은 또, MS의 윈도우즈 커널 보안 분야에서 일하며 MSDN 블로그에서 MS의 보안 정책을 종종 대변하는 스콧필드(Scott Field)가 앳시브 문제에 관하여 쓴 포스트(원문 과 답글 보러가기)를 언급했다. 린치핀은 MS의 이와 같은 정책은 이 분야에서 실패로 가는 첫걸음”이라며 “MS가 자신만의 잣대로 맬웨어를 정의하고 또 이 결과로 앳시브 인증을 철폐한 것은 매우 중요한 전례가 될 것”이라 덧붙였다.
안티-SRE소프트웨어를 개발한 회사가 자기 제품을 보호하기 위해 제품 안에 스텔쓰 서비스를 심어 놓는 경우나, 어떤 제품이 윈도우즈 커널 안에 리눅스 드라이버를 심고 작동하게하는 경우에는 어떻게 할 것인지를 고려해야한다는 것이다.
린치핀은 MS의 이러한 결정이 결국 소프트웨어 시장 전체에 불신을 불러일으킬 것이라 말한다.
스캇필드의 포스트에 달린 다른 반응에서도 비슷한 의견을 찾는 것은 어렵지 않다. 피터라는 필명의 독자는 “개개인의 컴퓨터에 무엇을 사용해야할지를 MS 혼자 결정한다는 발상을 이해할 수 없다”며 “MS와 경쟁 관계에 있는 기업이 개발한 소프트웨어에 필요한 드라이버를 출시하려는 업체는 대체 어떻게해야하는지 모르겠다”고 덧붙였다.
기술적인 해결책을 제시하는 다른 의견도 발견된다. 컴퓨터를 부팅할 때 F8 키를 누른 후 ‘드라이버 서명 사용 금지’를 선택하면 서명 없는 코드를 로드할 수 있기 때문에 MS가 인증을 철폐했다고해서 꼭 앳시브가 쓸모없게 되는 것은 아니라는 것이다.
하지만 이 의견은 동시에 새로운 의문을 불러일으켰다. 벤이라는 필명의 독자는 “MS도 인정하는 이 방법 자체에 문제가 있어보이진 않는다”며 “그러나 앳시브가 원래 의도했던 것과는 근본적으로 다른 미봉책에 불과하다”고 했다. 앳시브 역시 MS가 인정하는 방법을 사용했다는 뜻이다.
앳시브 논쟁에 대한 이메일 응답을 마치며 린치핀은 또한번 MS를 날카롭게 질타했다. “MS는, 보안 메커니즘과 같이 논쟁의 여지가 너무도 많은 정책에 쓰는 시간을 좀 줄이고 대신 비스타나 좀 제대로 만드는데 신경을 쓰면 좋겠다”며 “우리는 일반 독자들 역시 제대로 된 보안 정책과 마케팅 사이에 어떤 차이가 있는지 인식하는데 도움을 주고 싶다”고 갈무리했다.
애플(apple.com)이 제공하는 레거시 하드웨어 지원 정책 보러가기
그림. 앳시브를 개발한 호주 업체 린치핀랩스(Linchpin Labs)의 홈페이지