ETI 컬럼/ 레노버 사태로 본 기본 설치 소프트웨어 문제

영화 주라기 공원에서는 프로그래머가 주라기 공원을 관리하고 있는 보안 서버의 백도어를 통해 공룡의 유전자를 훔친다. 이 과정에서 일부 보안 기능을 내리려다 전체 공원의 보안을 내리는 바람에 영화는 비극적인 사건을 일으킨다.

소프트웨어 개발 역사에서 프로그래머들은 IBM 호환 PC의 특성상 많은 소프트웨어 및 하드웨어 충돌을 겪어 왔다. 여러 기업에서 생산하는 부품이 다양성과 개성을 높혔지만 호환성 충돌에서는 개발자의 지옥을 만들었던 것이다.

마치 지금의 안드로이드 단편화처럼 당대에는 사운드 카드 드라이버 같은 기본적인 것에서도 많은 호환성 이슈가 있었다. 이런 문제를 단 시간 내에 해결하기 위해 개발자와 개발사들은 자사의 하드웨어나 소프트웨어에 디버깅 용도로 사용자의 PC 정보를 보는 코드를 삽입하기도 했다.

이와 유사하게 온라인게임의 경우 게임 유저의 충돌을 확인하기 위해 너무 많은 암호화되지 않는 통신으로 정보를 가져가는 경우도 있었지만 현재는 이런 관행이 개인 정보 침해의 요소라는 의식이 강화됨에 따라 거의 사라졌다.

IBM이 많은 사업을 매각할 때 격렬하게 반발했던 사업군 중 하나가 열혈 팬을 보유한 씽크패드(thinkpad)로 널리 알려진 노트북 사업이다. 중국 기업 레노버에 인수된 이후 서구 정부에서 레노버 노트북 구입에 민감한 정보를 다루는 부서 사용을 배제하거나 구매 자체를 중단하기도 했다. 다시 이런 음모론에 불을 붙인 사건이 나타났다.

지난해 말부터 레노버 포럼에서 ‘악성코드’처럼 동작하는 광고 소프트웨어, 애드웨어인 ‘슈퍼피시(superfish)’에 대한 보안 이슈가 뜨거운 감자가 됏다. 결과적으로 이 이슈는 2015년 2월 19일 사실로 밝혀졌다. 레노버의 애드웨어 ‘수퍼피쉬’는 잠재적인 보안 취약점을 가지고 있다는 점이 보안 전문가들에 의해서 확증됐다.

논란이 발생한 대목 중 하나는 고객이 검색하는 상품에 대해서 레노버의 슈퍼피시의 알고리즘이 악성코드와 유사한 기술을 적용해 브라우저에서 광고를 강제로 보이도록 하는 기능도 하고 있다는 점이다. 즉, 슈퍼피시는 레노버 PC를 구매한 고객에 대해서 웹브라우저의 검색을 추적하고 고객이 관심을 가질만한 광고를 노출하는 형태의 광고 프로그램인 것이다.

레노버의 슈퍼피시는 정상적으로 인증된 은행과 증권 인증서까지 가로채서 슈퍼피시가 타깃팅한 광고를 심기 때문에 문제는 심각해진다. 정상 발급된 인증서를 악성코드처럼 고의적으로 우회하기 때문이다. 결국 레노버는 더 이상 슈퍼피시라는 애드웨어의 사전 설치를 이번 1월 중단했고, 삭제 방법을 사이트에 고지했다.

http://news.lenovo.com/article_display.cfm?article_id=1929

아직 남은 문제는 이 악성 소프트웨어가 사전 설치돼 있고, 윈도우 복구 이미지 안에 기본 설치돼 구성돼 있어 사용자가 삭제하더라도 나중에 윈도우를 복원할 때 다시 설치된다는 점이다. 기업들이 고객의 정보를 보기 위한 백도어는 거의 발견되기 힘들다.

기업이 기본 설치 프로그램 안에 숨어 있기 때문에 우연한 경우가 아니라면 발견하기 힘들다. 이 점에서 레노버의 슈퍼피시는 너무 무모하고 부주의하게 고객의 웹서핑 광고 검색 정보를 가져갔기 때문에 이슈가 됐을 뿐이다.

미국 국토 안보부는 레노버 노트북 고객에게 사이버 공격의 표적이 될 수 있는 슈퍼피쉬의 삭제를 권고했다. 또 레노버가 시정조치를 할 때까지 슈퍼피쉬가 설치된 레노버 노트북은 해킹공격에 매우 취약하다고 경고했다.

이와 더불어 ‘레노버 브라우저 가드’ 역시 여러 백신 회사로부터 ‘악성 코드’로 의심받고 있다. 몇몇 백신 회사들은 레노버의 브라우저 가드의 행동이 악성 코드와 동일할 뿐 아니라 비정상적임을 지적하고 있다.

△[그림: 브라우저 가드를 악성 코드로 진단한 백신]

아직까지 레노버의 브라우저 가드에 대해서 레노버는 슈퍼피시를 전에 옹호했던 것과 같이 악성코드가 아님을 주장하고 있다.

http://support.lenovo.com/us/en/documents/ht101178

[레노버 – 브라우저 가드 공식 답변]

웹 브라우저의 기본값과 설정에 대해서 변경을 감지하고 원래 설정으로 돌리는 것은 언뜻 보기에는 괜찮은 기능이다. 하지만 이 기능이 악성 코드와 작동 방식이 동일하고 웹 브라우저의 정상적인 제공 기능에서 상당히 벗어나는 예외라면 그것은 해커에게 악용될 목표가 되기 쉽다. 레노버 사용자라면 브라우저 가드를 삭제하는 것을 권한다.

사실 이 문제보다 더 심각한 문제는 바로 스마트폰이 대중화된 한국인이 주로 사용하는 안드로이드 앱이다. 하루에도 안드로이드 마켓에 수천, 수만 개의 앱이 새로 출시되거나 업데이트된다.

사실 보안 전문가들이나 보안 업체에서도 엄청난 수량의 앱에 대해서 보안 점검을 하기 힘들다. 더구나 이런 악성 앱들은 보안 스캐닝을 피하기 위해서 지능적으로 백신 탐색을 피하거나 변조된 패턴을 실시간 업데이트하기도 한다.

일부 중국산 스마트폰의 경우 기본 설치된 앱에 악성 코드가 지속적으로 유입돼 고객의 정보를 훔치지만, 삭제조차 되지 않는 딜레마에 빠지기도 한다.

앞으로 고객은 기업이 설치한 소프트웨어와 앱에 대해서 좀 더 분명하고 많은 정보를 요구하게 될 것이다. 그리고 고객이 원할 때 언제든 삭제할 권리를 요구할 것이다. 이제 스마트폰 개발사와 하드웨어 개발사들이 심는 무분별한 백도어와 고객의 정보의 탐닉이 가능한 시대는 끝났다는 것을 인정해야한다.

추신: 레노버에 슈퍼피시를 납품한 코모디아는 현재 분노한 해커들의 디도스 공격으로 사이트가 폐쇄됐다. 그들이 납품한 대부분의 제품 키, 암호는 허술하게 관리돼 대부분 코모디아였다고 한다.

필자 소개: 김호광-프로그래머 / 나이키 Run the city의 보안을 담당했으며, 현재 여러 모바일게임과 게임 포털에서 보안과 레거시 시스템에 대한 클라우드 전환에 대한 기술을 지원하고 있다. 최근 관심사는 사회적 해킹과 머신 러닝, 클라우드 등이다.