보안

취약점 정보가 비즈니스 모델?...갑론을박

Lucian Constantin | IDG News Service 2012.11.26
추가적인 세부 정보도 없고 개발업체 측의 확인도 없는 상태에서 취약점의 존재를 확언하기도 어렵다. 그러나 오림마가 취약점 연구원으로서 많은 취약점을 발견한 이력이 있고, 스카다 보안 분야에서 일한 적도 있기 때문에 리번의 주장을 근거 없는 이야기로 보기는 어렵다.
 
오림마는 전 RIM 보안 연구원인 도나토 페란테와 함께 리번을 설립하기 전에 지난 몇년 동안 다수의 스카다 소프트웨어 취약점을 보고한 바 있다.
 
미국 플로리다에 소재한 ICS 보안 연구 및 평가 전문 업체 디지털 본드(Digital Bond) CEO 데일 페터슨은 "루이기 오림마는 과거에 스카다와 ICS(산업 제어 시스템)에서 많은 취약점을 발견했고, 앞으로도 계속 발견할 것이 확실하다"고 평가했다.
 
페터슨은 스카다 소프트웨어에서 취약점을 발견하기란 그다지 어려운 일이 아니라며 "이런 애플리케이션의 문제는 애초 개발 프로세스에 보안이 포함되지 않았다는 점"이라고 말했다.
 
페터슨은 "마이크로소프트가 90년대에 했던 것과 비슷하다. 보안 개발 라이프사이클을 운용하지 않으면 흔한 프로그래밍 실수가 취약점과 침해로 이어지는 일이 계속 반복된다"고 말했다.
 
페터슨은 리번의 비즈니스 모델에 대해 "취약점을 어떻게 처리할지는 그 취약점을 발견한 사람이 결정할 수 있다"며, "개발업체에 보고하든, CERT에 보고하든, 판매하든, 게시하든, 그냥 보관하든 그건 그 사람 마음이다. 우리 또한 이 모든 것을 해봤다. 각 사례별로 어떻게 처리할지 결정한다"고 말했다. 
 
페터슨은 "ICS나 기타 다른 시장을 위해 이것이 좋은지 나쁜지는 중요한 문제가 아니다. 따라서 책임감있는 정보 공개에 대해 논하는 것은 무의미한 일"이라고 말했다.
 
보안 개발업체 이셋(ESET) 선임 연구원 데이빗 할리는 "자신은 책임감있는 완전한 공개를 선호하는 연구원 세대에 속하지만 취약점 연구원이 자신의 노력에 대해 대가를 바라는 것을 이해할 수 있다"고 밝혔다.
 
그러나 할리는 "산업 제어 시스템에서 취약점을 발견한 보안 연구원이 스스로를 규제하지 않거나 정부 프로그램을 통한 지지 기반을 확보하지 못할 경우 법적인 문제를 비롯한 압력에 직면할 수 있다"며 "국가 보안에 영향을 미칠 수 있는 문제는 각별한 관심을 끈다"고 지적했다.
 
할리는 "부펜은 고객을 까다롭게 선정하는 등의 자체 규제책을 갖고 있다. 리번의 경우 어떤지 모르겠지만 최소한 완전히 무차별적인 판매는 하지않고 있다"고 말했다.
 
할리는 "이 비즈니스 모델에 전적으로 동의하는 것은 아니지만, 많은 개인과 비공식 그룹들이 암암리에 거래하는 것보다 합법적으로 수익을 거둘 수 있는 연구 활동이 향후 온라인 환경 측면에서 더 나을 수도 있다"며, "그렇다면 시장이 안정화되기 전까지 피해가 크지 않기를 바랄 뿐"이라고 말했다.
 
오림마는 리번의 고객 선별 과정에 대해 "평판이 좋은 국가의 신뢰할 수 있는 고객들만 받고 있다"고 말했다. 
 
국내에서는 취약점 발견 이후 처리 문제에 대해 한국정보보호진흥원(KISA)이 2006년부터 보안 취약점 신고창(http://www.krcert.or.kr)을 운영해오고 있다. 
 
이 신고창을 통해 보안전문가나 일반 사용자가 발견한 보안 취약점을 신고토록 한 후, 신고된 취약점에 대해 개발업체와 공동으로 보안패치 등 대응책을 마련, 일반에 공개하고 있다.  
 
안랩 연구소장 조시행 전무는 "보안 취약점을 매개로 하는 비즈니스 모델은 부작용을 고려한다면 바람직하지 않다"고 말했다. 그러나 "현재 이런 취약점을 찾은 이에 대해 KISA에서 일정의 보상을 해주고 있는데, 현재 보상 정책에 대한 개선책을 마련해야 한다"고 전했다. editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.