얼마전 한창 시끄러웠던 LG전자 입사서류 유출.
당사자가 이제 구속되었습니다.
뉴스는 여기에서
그런데 기사를 보면 다들 '해킹당했다', '뚫렸다' 라고 표현이 되어 있더군요.
이런 말들은 개인정보를 남이 볼 수 없게 막고, 감추고, 잠그는 처리를 했는데도 그걸 뚫어 냈을 때는 쓸 수 있겠지만 이번 경우는 처음부터 막혀 있던 것이 아니므로 해킹과는 거리가 멀다고 봅니다.
물론 남의 개인정보를 뽑아내서 뿌렸으니 잘못한 것도 맞고 당연히 처벌을 받아야 합니다만, 이걸 '해킹'이라고 부르기는 좀 그렇습니다. 말하자면 개인정보를 책으로 만들어서 회사 창고에 보관하면서 자물쇠로 잠그고 경비도 세웠는데 그걸 몰래 들어가서 훔쳐냈다면 해킹이겠지만, 이번 경우는 그 책을 회사 응접실 한켠의 서랍에 넣어 뒀는데 가져간 것에 가깝습니다.
이번에 문제가 된 경우를 아주 간단히 설명하자면.
예를 들어 제가 A사에 입사지원을 해서 1357이라는 아이디를 받고, 사이트에서 입사지원서를 다 작성했습니다. 좀있다 다시 들어가서 확인을 하면서 웹브라우저 위쪽의 주소창을 보니
http://www.aaa.co.kr/newentry/personalinfo?id=
1357
이렇게 보였습니다. 그래서 한번 1357을 1358로 해볼까? 하고
http://www.aaa.co.kr/newentry/personalinfo?id=
1358
이렇게 주소창에 넣고 엔터키를 눌렀더니 1358번 지원자의 지원서가 보이는 겁니다.
그래? 그럼 1359 1360 1361 1362... 한번 다 봐 보자. 어떤 사람들이 원서 넣었는지...
이렇게 했더니 좌르륵 다 나오는 겁니다.
물론 간단히 이야기한 거지만 대략 이렇습니다.
개개인의 데이터는 위와 같이 해서 볼 수 있었다고 할 때, 수많은 사람들의 데이터를 한번에 빼낸 방법도 역시 간단히 이야기하면 다음과 같습니다.
누구나 사용하는 압축프로그램에도 암호를 거는 기능이 있습니다. 압축할 때 암호를 걸어 놓았는데 암호를 잊어서 난감한 경우가 다들 있지 않으신가요. 저도 그런 경험이 몇 번 있습니다.
만약 누군가가 압축 프로그램의 암호화 알고리즘을 분석해서 거꾸로 푸는 방법을 알아내는데 성공한 다음, 암호 걸린 압축파일에서 암호를 제거하는 프로그램을 만든다면 이것은 해킹입니다. 말하자면 Reverse Engineering 이라고도 할 수 있겠습니다.
하지만 0, 1, 2, 3, 4, 5, 6, 7, 8, 9, A, a, B, b, .... , 00, 01, 02, ... 이런 식으로 점점 자릿수를 늘려 가면서 무작정 대입해 보는 프로그램을 만들고서 이걸 암호 제거 프로그램이라고 내놓더라도 이건 암호 제거 / 암호 맞추기와 거리가 먼 그냥 노가다 프로그램입니다.^^; 사람이 해도 똑같이 할 수 있는 일을 사람보다 훨씬 빠른 속도로 대신 해 줄 뿐입니다.
실제로 현재 나와 있는 압축파일 암호 제거 프로그램들이 다 이런 방식이지요. 물론 CPU가 무한정 빠른 컴퓨터라면 이걸로도 암호를 풀 수 있겠지만 아직은 별로 실용적이지 못합니다.
이번 사건에서 많은 사람들의 데이터를 뽑아낸 방식도 이처럼 연속적인 대입을 통해서 하나하나 가져오는 방식이었습니다. 물론 이번 건은 이와는 다른 방식이고 암호화와도 관계가 없습니다만 요점은 어떤 프로그램이냐 그런 게 중요한 게 아니고 '
막은 곳을 뚫어서 가져온 것이 아니라, 가져올 수 있는 곳에서 가져왔다' 라는 점입니다.
이와 같은 일이 없으려면 처음 ID와 비밀번호로 로그인할 때 데이터베이스에 저장된 비밀번호와 비교해서 1차적으로 불법적인 접근을 차단하고, 세션 처리를 안전하게 하는 등의 처리를 해야 합니다. 브라우저에서 사용자가 어떻게 입력하든 그로 인해 잘못된 결과가 나오지 않도록 여러 가지로 검사하고, 문제가 발생하면 보완책을 강구합니다. 이것은 특별한 일은 전혀 아니며, 일반적으로 로그인을 거쳐 로그인할 때까지 로그인 상태가 유지되는 모든 사이트들은 이렇게 운영되고 있습니다. 물론 이렇게 한다고 해서 100% 안전하다는 것이 아니라 기본적으로 이렇게 해야 한다는 것입니다.
이번에 문제가 된 사이트들은 채용 시즌마다 한시적으로 잠깐씩 운영하므로 이러한 체제로 개발하지 않은 것으로 보입니다.
정리하자면
1) 타인의 개인정보를 무단으로 유포한 것은 분명히 범죄입니다.
2) 타인의 개인정보를 볼 수 있도록 되어 있는 시스템은 잘못된 시스템입니다.
3) 개인정보는 본인만 볼 수 있도록 시스템을 개선해야 합니다.
이상입니다.
Posted by liquidbird
