보안

끊이지 않는 취약점 위협, "자바를 제거해야 할 시점인가?"

Andrew Brandt | PCWorld 2012.09.05
자바 수정과 패치
썬에 이어 오라클도 자바의 보안 문제를 수정하기 위한 정기 업데이트를 제공하지만, 수백만 명의 최종 사용자들이 사용하는 모든 컴퓨터와 기기에 이러한 업데이트가 설치되도록 하는 것은 여전히 어려운 일이다.
 
최종 사용자 PC에 설치된 소프트웨어 현황을 파악하는 보안 업체 시큐니아(Secunia)는 분기별로 자바의 취약점과 이러한 취약점이 얼마나 신속하게 수정되었는지에 대한 보고서를 발행한다. 이 업체의 4분기 자바 시큐리티 팩트시트에 따르면, 2011년 오라클은 5개의 보안 공지를 통해 자바와 관련된 58개의 취약점을 경고했다. 공지가 게시된 당일 패치나 업데이트가 제공된 경우는 5건 중 3건에 불과했다. 2011년에는 맬웨어 공격의 78%가 자바와 어도비 플래시, 아크로뱃을 포함한 취약한 서드파티 애플리케이션을 목표로 삼았다.
 
인터넷에 접속하는 소프트웨어를 장기간 업데이트하지 않아 공격에 취약한 상태로 컴퓨터에 설치해 두는 것은 재앙을 부르는 행위다.
 
안티 맬웨어 업체 파이어아이(FireEye)의 선임 과학자인 다리안 킨드룬드는 “자바에 내장된 업그레이드 기능이 제대로 작동하지 않아 일반적인 사용자가 곤경에 빠지는 경우가 많다”며, “64비트 윈도우 7이 주류로 자리잡은 후 자바를 비롯해 플래시와 같은 애드온에서는 32비트/64비트 분화 관련 문제가 빈번하게 발생하고 있다. 32비트 버전의 자바가 보안 결함이 방치된 채로 시스템에 설치되어 있는 경우 패치된 64비트 버전의 자바를 설치한다고 해서 완전히 보호된다고 할 수 없으며, 그 반대의 경우도 마찬가지”라고 지적했다.
 
에일리언볼트의 카그는 “현재 자바는 대부분의 운영체제에 더 이상 기본 요소로 포함되지 않는다”며, “자바는 일반적인 OS에 사전 설치되어 제공되어서는 안된다. 리눅스에도 기본적으로 자바가 없고 최신 윈도우 버전에도 포함되지 않는다”고 말했다.
 
플래시백 맬웨어가 맥 OS X를 강타한 이후 잘 알려졌듯이 애플은 자체적으로 자바 업데이트를 내놓는다. 즉, 맥 사용자는 경우에 따라 윈도우 사용자에 비해 몇 주 또는 몇 달이 더 걸려야 최신 버전을 받을 수 있다.
 
자바에 대한 고민
결국 문제는 최종 사용자가 컴퓨터에 설치된 자바를 그대로 둬야 하는지, 업데이트하는 대신 완전히 제거해야 하는 지이다.
 
산토렐리는 “홈 PC로 페이스북이나 유튜브를 이용하는 사용자도 범죄자들의 흥미를 끌겠지만, 이들에게 가장 구미가 당기는 대상은 기업의 급여 또는 재무 등을 관리하는 사람”이라고 말했다.
 
한편 자바는 안드로이드 운영체제의 내부적인 작동에 중요한 역할을 하며, 시트릭스는 고투미팅(GoToMeeting), 고투웨비나(GoToWebinar), 고투마이PC(GoToMyPC) 서비스를 브라우저를 통해 로드할 때 자바를 사용한다.
 
일부 전문가들은 자바 기반 서비스를 사용해야 하는 기업에게 해결책으로 가상화를 제시한다. 자바를 가상 컴퓨터에 설치함으로써 핵심 시스템과 거리를 두는 방법이다. 개인 사용자의 경우 특히 페이스북과 웹을 중심으로 사용한다면 아예 자바가 없어도 된다.
 
HTML5 지지자들은 웹 발전의 초기에 자바가 담당했던 멀티미디어 기능을 HTML5가 대신 제공할 수 있다고 강조한다. HTML5는 자바보다는 플래시를 대체하는 성격이 강하지만, 어도비와 AT&T도 HTML5에 초점을 두는 등 올해 탄력을 받고 있다.
 
팀킴루의 산토렐리는 자바를 유지할지 말지의 문제는 결국 “사용자 각각의 위험 현황과 시스템의 중요도에 따라 결정할 일”이라고 말했다. 또 자신이 환경이 자바로 인해 큰 피해가 발생할 가능성이 있다면 자바를 제거하라고 조언했다.  editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.