보안 / 애플리케이션

새로 발견된 자바 취약점 공격에 대처하는 여섯 가지 방법

Lucian Constantin | IDG News Service 2012.08.31
크롬-파폭 사용자, 클릭 투 플레이 기능 사용
구글 크롬과 모질라 파이어폭스 사용자는 기본값으로 플러그인 기반 콘텐트 로딩을 차단하고 사용자에게 확인을 요청하는 '클릭 투 플레이(Click-to-play) 기능을 사용하면 된다. 이는 웹사이트 화이트리스팅을 구현하는 기능이다.
 
크롬은 오랜 기간 클릭 투 플레이 기능을 지원해왔다. 따라서 고급 설정(Advanced Setting) 화면에서 이를 쉽게 활성화할 수 있다. 그러나 파이어폭스는 이 기능을 완벽하게 개발하지 못했다. 따라서 파이어폭스 14 이상 버전에서만 'about:config' 인터페이스에서 'plugins.click_to_play flag'를 'true'로 전환해 이를 실행할 수 있다.
 
또한 파이어폭스의 유명한 NoScript 보안 애드온은 플러그인 기반 콘텐츠의 경우 '클릭 투 플레이'로만 실행되도록 강제하는 애드온이다. 이 밖에도 모질라 애드온에서 유사한 기능을 제공하는 애드온 프로그램을 다운로드 받을 수 있다.
 
클릭 투 플레이 방식으로 취약점 공격 코드가 자동 실행되는 것을 막을 수 있다. 그러나 사용자가 수동으로 악성 애플릿을 실행시키면 도움이 되지 않는다. 결국 사용자가 최종적으로 위험을 평가해야 한다.
 
사용자가 중심이 되는 또 다른 악성 자바 애플릿 위험 감소 방법이 있다. 통상적인 웹 브라우저에는 자바를 중지시킨 웹 브라우저를 사용하고, 신뢰할 수 있는 자바 기반 웹 애플리케이션 접속에 또 다른 웹 브라우저를 사용하는 것이다.
 
기업 네트워크에서 이런 정책을 집행하기란 쉽지 않다. 하지만 자신의 PC에서 정기적으로 웹 기반 자바 애플리케이션을 사용해야 하는 사용자에게는 도움이 된다.
 
비공식 자바 패치 배포
마지막으로 과거 다른 자바 취약점을 발견한 경력이 있는 보안 전문가인 마이클 쉬엘이 개발한 비공식 자바 패치가 있다. 딮엔드 리서치 보안 연구원인 안드레 디미노와 밀라 파쿠르가 이 패치를 배포하고 있다.
 
이번 패치는 현재까지 발견된 공격에 사용된 코드를 차단하는 것으로 보인다. 그러나 개발자는 앞으로 사용될 수 있는 취약점 공격 모두를 차단한다고 보장하지 못한다고 말했다.
 
다른 비공식 패치와 마찬가지로, 제한된 테스팅만을 거쳤다. 따라서 설치 이후 정상적인 프로그램의 실행을 방해할 가능성도 있다. 디미노와 파쿠르는 이런 이유로 이메일을 보내 보안 패치가 필요한 이유를 설명한 기업들에게만 패치를 배포하고 있다.
 
결국 모든 사람의 수요를 충족하는 해결 방법은 없다.
안티바이러스 개발업체 ESET의 보안 전문가 스테판 코브는 "기업의 보안 구조, 핵심 앱에서 자바를 사용하는 비중에 따라 전략을 선택해야 한다. 모든 사람에게 특정 전략을 제시하기란 불가능하다"고 언급했다.
 
위즈니스키와 코브 등 상당수 보안 전문가들은 오라클이 패치 발표 시기를 분기별로 한번씩으로 상정하고 있는 것을 앞당겨, 가능한 빨리 이 취약성을 바로잡아야 한다고 주장했다. 예정대로라면, 오라클의 다음 패치 발표 시기는 10월이다. editor@itworld.co.kr
 Tags 자바 취약점
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.