|
제목
|
<오늘의 보안이야기 No.39 - 2020 # 보안전문가>
|
|
작성자
|
onesecure
|
|
작성일자
|
2019-04-06
|
<오늘의 보안이야기 No.39 - 2020 #보안전문가>
보안담당자를 바보로 만들지 말아 주세요.보안 해킹이나 유출사고나면 조직의 보안관리자나 담당자는 "한방에 훅 간다"고 바보나 멍청이가 되고 맙니다. 조직으로부터의 망신창이가 되기 이전에 언론으로 부터 망신창이가 되어버립니다. 무엇이 이렇게 만들어가고 있습니까? 무엇이 여러분을 아무것도 못하는 바보온달이 되게 하였고 그동안 무엇을 관리해왔고 무엇에 가치를 부여해왔습니까?여러분의 집, 아파트 하나를 앞 집에서 관리해 준다면 그렇게 하실건가요? 비교가 다르다고 할지는 모르지만 똑똑한 사람 뽑아놓고 바보로 만들지 말았으면 합니다.아래 내용은 어느 퇴직자가 그룹 CEO에게 보낸 마지막 편지입니다.큰 문제 중의 하나가 지나친 ‘보안(security)’ 강조입니다. 보안이 중요하지 않다는 것은 아닙니다. 문제는 보안을 지나치게 강조하면서 생기는 엄청난 ‘기회 비용’입니다. 이런 기회 비용은 계산하기 힘들어서 그렇지 분명이 엄청 크다고 생각합니다. 몇 가지 예를 들어 보겠습니다.저는 아이디어를 얻는 데에 인터넷만큼 좋은 곳이 없다고 생각합니다. 그런데 보안이라는 이유로 접근이 막힌 사이트 들이 의외로 많습니다. 오늘도 KT의 클라우드 (cloud) 서비스를 알아보기 위해 http://ucloud.xn--com-of0o/ 접근 하려하니 막혀 있었습니다. 어떤 사이트들을 막았고, 어떤 이유로 막았는지 연구원에게 전혀 공지는 없습니다. 연구원들은 그저 받아들일 뿐입니다. 아이디어 조사 차원 으로, 그리고 기술에 대한 궁금중으로 인터넷 에서 검색 하다가 이렇게 접근조차 막히면, 대부분 포기할 수 밖에 없습니다. OO가 앞으로 크게 수익을 낼 수 있는 제품을 만들 기회를, 그동안 이런 이유로 놓치지 않았다고 장담 하기는 어려울 것 같습니다.또, OO본부의 경우 소프트웨어 개발자들이 보안 상의 이유로, 개인 컴퓨터가 아닌 중앙서버에 접속 후 작업을 합니다. 문제는 중앙 서버로 데이터를 넣고 빼는것이 매우 불편하기 때문에 개발자들이 보고 자료라도 만들려고 하면, 중앙서버에 접속해서 내용을 화면으로 보면서 로컬 컴퓨터 에서 다시 타이핑해서 만들어야 합니다. 또 개발자들이 필요한 프로그램이 중앙서버에 없으면, 담당자에게 신청 해서 설치해야 합니다. 몇 일이 걸리는 일이고, 설치된다는 보장도 없습니다. 개발자들은 불편한 환경에서 제한된 사고의 자유를 가지고 개발해야 합니다. 정확히 그 비용을 계산하기는 힘들지만 개발자들의 생산성을 엄청나게 갉아먹고 있는 것은 분명합니다. 이 얼마나 우스운 광경입니까.저는 DTV 기술의 경우 아주 일부를 제외하고는 이제 일반화되었다고 생각하는데, 굳이 모든 정보를 지금처럼 중앙 서버에서 해야 하는 지에 대해서 의문이 갑니다."그렇습니다. 보안이라는 테두리 안에서 서비스를 해야하는 우리는 아무 생각없이 기획하고 실행합니다.그렇다면 이렇게 완벽하리만큼 각종 솔루션을 도입하면서 제대로 관리조차 못할 무한지경에 빠져 있습니까? 그것은 프로세스와 기본의 원칙은 별개로 솔루션으로 차단하고 통제하면서 블랙홀이 생기기 때문입니다. 어렵게 만든 컨설팅을 받고 얻은 결과를 그저 따로 실행하고 관리한 결과입니다.정책이 만들어지면 원칙과 기준에 의해서 관리되고 실행 되고 모니터링되어야 합니다.얼마전 또 하나의 한수원 유출사고로 보안담당자를 바보로 만드는 사람들이 또 있습니다. 여러분 조직은 이와같은 사건사고가 없다고 안심하실 수 있으십니까? 아니면 불구경하듯 남의 얘기로만 들리십니까?문제는 해당 기관이 아래와 같은 솔루션을 도입했는지 제가 알 수는 없지만 해당 문서에 워터마킹 (워터마크)를 도입 했다면 금새 확인 가능합니다. 그것조차 도입하지 않았거나 없다면 직무유기나 멍청이나 마찬가지입니다. 그렇게 중요하다고 유출이니 뭐니 언론에서 방방뜨게 했다면 말입니다. 안그러면 양쪽 조용히 계시는게 덜 바보들 됩니다.워터마킹(Watermarking)은 문서, 사진이나 동영상 같은 각종 데이터에 저작권 정보와 같은 비밀 정보를 삽입하여 관리하는 기술을 말합니다. 문서, 그림이나 문자를 데이터에 삽입하며 원본 출처 및 정보를 추적할 수 있으며, 삽입된 워터마크는 재생이 어려운 형태로 보관됩니다.이건 유치원생도 다 아는것들입니다. 출력물 워터마킹이 있다면 확인 가능하고 하단에 출력되는 문서정보이외에도 문서에 출력되는 워터마크에 전부 들어가 있습니다. 그 마크가 단순 회사 로고로만 보이십니까? 그냥 찍히는게 아니고 문서 생성기록및 출력에 모든 기록이 그 안에 있습니다. 그래서 나중에 출력물을 버리거나 수집했을때 조사하면 나옵니다.다시말해 워터마킹은 텍스트, 이미지, 비디오, 오디오 등의 데이터에 원 소유주만이 아는 마크 (Mark)를 사람의 육안 이나 귀로는 구별할 수 없게 삽입하고 이를 네트워크 에서 제공합니다. 또한 요즈음 디지털기술은 만약 사용자 들이 멀티미디어 디지털 정보를 불법 복제하여 정당한 대가나 허락 없이 상업용 혹은 기타 용도로 사용되었을 때에는 자신의 '마크'를 추출함으로써 자신의 소유임을 밝힐 수 있고, 이는 재산권 행사에 결정적인 증거가 되기도 합니다.원래 워터마크라는 용어는 지폐 제작과정에서 유래된 용어 입니다. 일반적으로 지폐 제작과정 에서는 젖어있는 상태 에서 그림을 인쇄하고 이를 말린 다음 양면을 인쇄하게 됩니다. 이처럼 젖어 있는 상태에서 그림을 넣는 기술을 워터마크라 부릅니다. 그런데 젖어있는 상태에서 인쇄를 하게 되면 그림이 번지기 때문에 고난도의 인쇄기술이 필요 하게 되는데 실제 이 공정은 지폐제작 과정에서 가장 어렵고 비용이 많이 드는 과정입니다. 흔히 위조지폐 여부를 가리기 위해 지폐를 불빛에 비추어 보는데 이때 지폐의 안쪽에 보이는 것이 워터마크된 그림인 것입니다. 좀 더 거슬러 올라가면 중세기 때 비밀스러운 연애편지나 유서, 혹은 군사 목적의 통신문을 쓸 때 약품 처리를 하여 받은 사람이 특수한 처리를 해야 편지를 읽을 수 있는 처리 과정도 일종의 워터마크 기술에 속합니다. 즉, 비밀표시 (마크)를 보통의 문서나 편지 속에 숨겨서 보낸다는 의미 에서는 일종의 워터마킹이라고 할 수 있습니다. 현재 논의 되고 있는 기술은 디지털 워터마킹 기술로서 인터넷상에서 책이나 그림, 음악 등의 저작물이 대량으로 복사되고 배포 될 수 있기 때문에 중요한 기술로서 떠오르고 있습니다.워터마크 기술은 결국 기존의 예술품에 화가의 도장이나 서명을 넣어두던 낙관이 디지털 시대에 그 형태가 바뀐 '디지털 낙관'이라고 할 수 있습니다. 특히 전자 상거래 시대에는 전자책(Electronic Book), 인터넷 신문과 잡지, TV, Video, MP3(동영상 압축기술인 MPEG에서 Audio 압축기술) 음악 등이 네트워크 상에서 거래되고 제공될 것으로 예상하고 있습니다. 그러나 정보기술의 발전으로 대량의 복사가 순식간에 가능해지고, 통신망의 발달로 공간 제약 없이 대량의 배포가 순식간에 가능하게 되어 그에 대한 대책이 필요한 실정입니다.실제로 네트워크에서 음악 파일을 다운로드 받을 수 있는 MP3 플레이어와 네트워크로부터 영상을 다운로드 받을 수 있는 영상 플레이어 장치의 경우 불법 복제행위가 심각한 문제로 떠오르고 있습니다. 이러한 불법 사용자를 차단, 색출하기 위해서는 워터마킹 기술이 절실히 요구되고 있습니다.적용분야 및 사례로는 워터마킹 기술을 디지털 컨텐츠 분야에 적용하게 된 것은 1990년 K. Tanaka 등에 의해서 제안된 것으로 컨텐츠 자체에 공급자 정보나, 사용자 혹은 구매자에 대한 정보를 은닉하는 기술이기 때문에 컨텐츠에 항상 따라다니는 정보라는 장점을 가지고 있습니다. 디지털 워터마크는 저작권 보호를 위한 영역에서 다음의 용도로 사용할 수 있습니다.- 저작권 보호 : 지적 재산권의 보호를 위해서 컨텐츠 소유자가 자신의 컨텐츠에 저작권 정보를 나타내는 워터마크를 삽입하고, 누군가 자신의 저작권을 침해했을 때 법정에서 자신의 소유권을 증명할 수 있는 정보로 사용합니다.- 불법 복제 추적 (핑거프린팅) : 불법복제의 원천지를 추적 하기 위해서 컨텐츠 소유자가 핑거 프린팅 기술을 사용 할 수 있습니다. 이 경우에 컨텐츠 소유자는 컨텐츠를 공급 받는 사용자마다 ID나 일련변호와 같은 다른 워터마크 를 삽입함 으로써 라이센스 계약을 위반하고 불법배포를 한 사용자를 찾아내는데 사용할 수 있습니다.- 복제방지 (기기 제어) : 워터마크내에 저장된 정보는 복제방지를 위한 목적으로 직접 디지털 기록장치를 제어할 수 있습니다. 이 경우에 워터마크는 복제방지 비트를 나타내고, 기록장치의 워터마크 검출기는 컨텐츠가 복제 가능한 것인지 아닌지를 결정합니다. MP3 Player, PDA, Wireless Phone 등의 휴대용 기기(Portable Device)에 워터마크 검출용 칩을 decoder와 같이 장착하여 오디오, 비디오 등의 불법 사용을 방지 하기도 합니다.- 방송 모니터링 : 상업성 광고 속에 워터마크를 삽입하는 것에 의해서 자동화된 모니터링 시스템이 광고가 계약대로 방송되고 있는지를 확인할 수 있습니다. 광고뿐 아니라 TV 프로그램도 이러한 방법으로 보호될 수 있습니다. 뉴스와 같은 경우에 시간당 $100,000의 가치가 있으나 지적 재산권 침해를 받기 쉬운 컨텐츠입니다. 방송 감시 시스템 은 모든 방송채널을 체크할 수 있고 발견 여부에 따라서 TV방송국에 과금을 할 수 있습니다.- 위변조 적발 및 방지 ; 연약한 워터마크는 데이터의 위변조 여부를 체크하는데 사용할 수 있습니다.보안담당자 여러분은 최근 취약점 보고나 보안동향을 수시로 보셔야 합니다. 그냥 솔루션 제안서등도 이런 정보 등에서 추출하게 됩니다.제안서를 업체로부터 받기만 하지 마시고 직접 만들어서 검토하시고 추가적 필요한 내용만 요구하시면 업체도 편리하고 수월해집니다.일부 악덕업체들을 방지하는것도 여러 보안 담당자가 공부 하고 재질의하면 근본적으로 차단할 수 있습니다. 상술이나 거짓정보를 분간해내지 못하는 스스로 바보가 되지는 말아주십시요.알아야 살고 알아야 대처하실 수 있습니다.
|
|
첨부파일
|
|
|
|
|
|
