국내 대학생 중 최고의 해킹방어 실력자 최상명씨의 ‘해킹론’
순천향대 정보보안동아리 시큐리티 퍼스트 소속 최상명·홍영우·하동주씨(왼쪽부터)는 지난 5월 말에 열린 ‘해킹방어대회’ 에서 대학부문 1등을 차지했다.
충남 천안에 위치한 순천향대학교 교정을 걷고 있던 최상명씨(23·정보보호학과 석사과정)의 휴대전화가 급하게 울리기 시작했다. 발신지는 학교 전산실. 학교 내 서버 중 한 군데가 이상하게 속도가 느려졌으니 확인해달라는 내용이다. 순천향대에 정보보안 컨설팅을 해주고 있는 동아리 ‘시큐리티 퍼스트’의 한 명인 최씨는 가지고 있던 노트북으로 학교 서버에 접속해 시스템을 확인하기 시작했다. 일단 로그인 기록을 분석했다. 마지막 사용자가 누구인지, 그 사용자가 접속한 뒤 어떤 일을 했는지 확인했다. 곧 해킹 시도를 파악했다. 패스워드를 바꾸고 보안패치를 새롭게 깔자 문제는 해결됐다. 걸린 시간은 10분 가량. 최씨는 노트북을 덮고 긴장 때문에 굳은 온몸의 관절을 풀었다.
해킹방어대회 대학생부문 1위 차지
최씨는 국내 대학생 중에서는 최고의 해킹방어실력을 가졌다고 할 수 있다. 한국정보보호진흥원이 지난 5월 말 개최한 제3회 해킹방어대회에서 최씨와 팀동료 하동주씨(24·정보보호학과 석사과정), 홍영우씨(24·정보보호학과 3년)는 대학생 부문 1위를 차지했다. 최씨는 지난해 열린 2회 대회에서도 최고의 성적을 거둔 바 있다.
최씨가 이 부분에 관심을 가지게 된 것은 고등학교 3학년 때인 2001년 11월쯤이다. 수능이 끝난 뒤 진로를 고민하고 있을 때, 우연히 ‘해커스쿨’, ‘해커스랩’이라는 워게임 사이트를 알게 됐다. 이 사이트에서 최씨는 해킹 관련 문제를 접했다. 한번 시작하자 마지막 단계(해커스쿨 22단계, 해커스랩 17단계)까지 다 풀어야겠다는 생각이 들었다고 한다. 해킹에 관심을 가지면서 악의적인 목적을 가진 크래커를 잡는 사이버 수사대가 되고 싶었고 결국 정보보호학과가 개설된 순천향대에 지원했다. 이후 이론은 학과 수업에서, 실기는 인터넷을 통해 쌓아왔다.
최씨는 서버나 컴퓨터에 대한 공격을 막는다. 이를 위해서는 우선 공격하는 방법을 알아야 한다. 최고의 해킹기술을 갖고 있는 자만 정보를 보호할 수 있기 때문이다. 그러나 우리나라에서 어떤 목적이든 무단으로 다른 컴퓨터나 서버를 ‘침입’하는 일은 명백히 불법이다. 2003년 말 한 해킹그룹 소속 회원 여러 명이 90여 개 인터넷 사이트를 공격하고 개인정보를 유출한 사건이 발생했다. 당시 이들은 “우리는 남에게 피해를 입히는 ‘크래커’(블랙해커)가 아니라 시스템의 문제점을 지적하고 시정에 도움을 주는 ‘화이트해커’들이다”라고 항변했지만 소용없었다. 취약점을 지적해 좀더 안정적인 시스템을 구축하는 데 도움을 주려고 했더라도 무단으로 침입한 행위 자체가 불법이기 때문이다. 일반적으로 해커는 다른 컴퓨터에 불법적으로 침입해서 자료를 불법적으로 열람, 변조하거나 파괴하는 침입자·파괴자인 크래커와 혼동되고 있지만 원래는 ‘컴퓨터 시스템 내부구조와 동작 등에 심취해 이를 알고자 노력하는 사람으로서 뛰어난 컴퓨터 실력을 가진 사람’이라는 긍정적인 의미를 갖고 있다.
최씨는 공격기술을 연마하기 위해 한국정보보호진흥원이 제공하는 해킹훈련장(www.sis.or.kr)이나 순천향대 정보보호학과가 자체적으로 만든 가상훈련장에서 가상으로 공격하는 훈련을 하고 있다. 사실 이쪽이 더 재미있다고 한다. 마음만 먹으면 웬만한 곳에는 침투할 수 있지만 해봤자 실리도 없고 일정 정도 실력을 쌓은 지금에는 재미도 없는 반면, 가상훈련장의 경우 어려운 문제를 심어놓아 ‘뚫는 재미’가 있기 때문이다.
방어기술 연마에도 게을리 할 수 없기에 최씨는 학교 정보보안 컨설팅을 최대한 이용한다. 얼마 전 서버를 점검하다가 한 서버가 침입당한 사실을 발견한 그는 점검에 나섰다. 루마니아의 한 블랙해커가 영화 등 동영상을 공유할 수 있는 와레즈 사이트 서버로 만들어놓았다는 점을 알았다. 왜 이런 짓을 했냐는 최씨의 질문에 루마니아 출신 블랙해커는 ‘우리나라 인터넷은 너무 느리지만 한국은 무척 빠르다’며 ‘빠른 것을 찾다보니 너희 학교 서버를 발견했다”고 말했다고 한다.
일부러 취약점을 만들어놓고 블랙해커를 유인하기도 한다. 공격이 들어오면 분석을 통해 최신 공격기술을 습득한다. 이른바 ‘컴퓨터 포렌직’이다. 인기 외화시리즈 ‘CSI’에서는 부검을 통해 사람이 왜 죽었는지 파악하지만 최씨는 ‘컴퓨터 포렌직’을 통해 왜 공격을 당했는지, 어떻게 당했는지 파악하고 이후의 공격을 대비한다.
최씨는 ‘해킹방어대회’ 처럼 화이트해커 양성에 도움이 될 수 있는 ‘장’이 늘어나기를 바라고 있다. 지난 5월 말 열린 해킹방어대회에서 참가자들이 문제를 풀고 있다. 한국정보보호진흥원 제공
“규제완화 않더라도 인식 개선 필요”
컴퓨터 불법침입은 급속히 늘고 있다. 국가정보원 산하 국가사이버안전센터에 따르면 2000년 2045건에 불과했던 크래킹은 지난해 3만8182건으로 늘어났다. 이는 앞으로 더 늘어날 전망이다. 외국의 한 사이트(www.zone-h.org)에는 크래킹당한 웹사이트가 올라와 있는데, 이중 한국의 웹사이트를 찾아보자 크래킹당한 수많은 국내 사이트의 이름이 보였다. 2006년의 경우 6월 16일 현재 하루 평균 약 8곳의 웹사이트가 공격당했다. 요즘에는 초보자도 쉽게 크래킹할 수 있다. 중국의 블랙해커 집단은 여러 인터넷 사이트 중에서 자동으로 취약점이 있는 사이트를 검색해주는 프로그램과 이 프로그램에서 검색된 사이트를 자동으로 공격해주는 프로그램을 만들었다. 심지어 프로그램의 사용법까지 알려주는 동영상까지 제작했다. 실제로 이 프로그램을 실행시키자 국내의 수많은 사이트가 취약점이 있는 것으로 검색됐다. 만약 여기에 자동 공격 프로그램을 실행시킨다면 여지없이 뚫리는 셈이다.
가장 좋은 방법은 시스템의 취약점을 없애는 것이다. 그러나 우리나라에서 화이트해커가 공식적으로 활동하기는 어려운 것이 현실이다. 한 화이트해커(35)는 “외국의 경우 규제가 심하지 않아 화이트해커가 실제상황에서 취약점을 찾는 데 반해 우리의 경우 자기만의 테스트 환경에서만 하는 편”이라며 “해킹 방어 등 실제상황 대처능력을 따지고 본다면 다양한 환경을 접한 이와 그렇지 못한 이 사이에는 응용능력에 차이가 있을 것”이라고 말했다. 하지만 규제를 완화했다가는 블랙해커가 활개치는 상황이 벌어질 수도 있어 규제 완화가 쉽지만은 않은 상황이다.
규제 완화가 이뤄지지는 않더라도 인식 개선은 필요하다. 해커라고 하면 국가기관의 서버를 공격하고 정보를 빼내 누군가에게 넘겨주고 그 대가로 돈을 받는 등 부정적인 모습으로만 생각하지만 실제로는 그렇지 않기 때문이다. 최씨는 “사이버 전쟁이 벌어지는 미래에는 화이트해커가 나라를 지키는 큰 힘이 될 수 있을 것”이라며 “진정한 해커를 키울 수 있도록 정부나 사회가 힘을 쓰는 한편 앞으로라도 조금씩 해커에 대한 인식 개선이 이뤄졌으면 한다”고 말했다. 최씨는 또한 화이트해커가 많이 양성될 수 있도록 ‘해킹방어대회’ 같은 대회가 자주 열렸으면 하는 바람을 드러냈다.
<천안/정재용 기자 jjy@kyunghyang.com>