DRJ 뉴스
최근 미국 유타주에서는 25만 5,000명의 사회보장번호가 누출되는 데이터 침해 사고가 있었다. 비밀번호는 공격자들이 시스템에 완벽하게 접근할 수 있을 만큼 취약했다. 네 개 서버는 원격 사용자가 접속해 공유 파일을 변경할 수 있도록 설정이 되어 있었다. 또 한 개 서버의 관리자 계정은 기본 비밀번호로만 보호가 되고 있었다.
<재난포커스 -편집자 주>

비밀번호는 공격자들의 먹잇감
지난 4월 초, 결제대행 업체인 글로벌 페이먼트에서 데이터 누출 사고가 발생해 150만 명의 신용카드 및 현금카드 정보가 새어 나갔다. 관리자 계정에 쉽게 접근할 수 있도록 되어 있는 취약한 인증 메카니즘이 문제였다. 이뿐만이 아니다. 지난해, 중국 해커들의 미국 상공 회의소 공격이나 오픈 소스인 와인 데이터베이스 침해 사고 또한 관리자 계정의 취약성이 원인인 것으로 분석됐다. 기업들은 수백 개에서 수천 개의 계정명과 비밀번호를 보유하기도 한다. 이 가운데 상당수는 애플리케이션, 데이터베이스, 네트워크, 운영 시스템에 접근이 가능한 특권 계정이다. 이들 모두가 중요하지는 않다고 하더라도, 만약 악용된다면 전사적으로 큰 혼란을 초래할 수 있는 수많은 계정이 있다.

과거 연구 사례들을 살펴보면, 유지보수나 패치와 업그레이드 같은 작업을 위해 관리자 접근이 필요한 사람이 많은데, 책임자가 이를 알지 못하거나 추적하지 않은 경우가 아주 많았다. 그럼에도 불구하고, 많은 기업이 사용자나 관리자가 쉬운 비밀번호나, 더 나아가 기본 비밀번호를 설정해 계정을 보호하도록 허용하고 있다. 다중요인 인증을 채택하고 있는 경우에도, 사용자가 ‘첫 번째 애완견의 이름은?’이나 ‘좋아하는 영화는?’ 같은 보안 질문에 답을 할 때 크랙이 쉬운 KBA 메카니즘을 사용하고 있는 사례가 빈번하다.

그중 소매 산업과 서비스 산업에서는 취약한 비밀번호 때문에 초래되는 공격이 아주 잦다. 한 관계자는 “여전히 공격자들이 개발업체의 사이트를 방문해, 고객 리스트를 획득하고, 여기에서 힌트를 얻어 사용자명과 비밀번호 조합을 추측하거나, 기본 조합을 사용해 접속할 수 있도록 되어있다. 즉 자세한 정보가 없거나 창의력을 발휘하지 않고도 상대적으로 쉽게 공격을 할 수 있다”고 분석했다. 또 “많은 사람이 여러 계정에 동일한 비밀번호를 사용하는 것도 또 다른 문제가 되고 있다”고 지적하며 “최근 공격 사례를 보면, 다른 외부 서비스에서 사용자 비밀번호를 획득한 후, 이를 이용해 내부 애플리케이션이나 이메일 시스템에 침입하곤 했다. 개인적으로 ‘비밀번호 재활용에 따른 저주’라고 부르는 문제라고 말했다.
 
보안강화 메카니즘에 대한 기준을 높이는 것
기업들이 보안 수준을 높일 수 있는 방법 가운데 하나는 비밀번호와 인증 메카니즘에 대한 기준을 높이는 것이다. 보안 전문가는 “브레이크를 밟아야만 ‘P’에서 ‘D’로 기어를 변속할 수 있듯이, 기본 비밀번호를 바꿔야만 소프트웨어를 사용할 수 있도록 ‘안전 장치’를 마련해야 한다”고 주장했다. 관리자 비밀번호 관리용 개발 수석 부사장은 “기업들은 복잡한 문제에 직면해 있다”며 “관리자는 복잡한 비밀번호를 사용해야 하지만, 동시에 이 비밀번호를 관리해야 하는 문제가 있다”고 설명했다. 이러다 보니, 여러 관리자가 한 시스템에 접속해야 할 경우, 기본 비밀번호나 기억하기 쉬운 비밀번호를 사용한다. 가장 간편하기 때문이다.따라서 복잡한 비밀번호를 사용할 경우, 관리자는 세 단계를 거칠 필요가 있다.

각자가 안전하게 비밀번호를 공유해야 하고, 필요시 비밀번호를 변경하는 절차를 밟아야 하며, 모든 사람에게 변경된 비밀번호를 알려줘야 한다. 특히 많은 특권 계정을 사용해야 하는 대기업에서는 문제가 가중될 수 있다.정보보안 전문가는 “중요한 자산을 보호하기 위해서는 다중요인 인증이나 다른 보완 보안 수단을 사용해야 한다. 비밀번호 방식은 인적 요소가 개입된다는 점을 포함해 많은 취약점을 갖고 있다”고 말했다.그는 “다른 인증이나 록 아웃 관리 체계의 보호를 받지 못하는 비밀번호 시스템은 공격에 취약하다. 예를 들어, 자동화 툴을 이용해 비밀번호를 추측하는 공격이 있을 수 있다. 한 가지 분명한 사실은, 기본 비밀번호를 사용하는 것은 변명의 여지조차 없다는 것”이라고 강조했다.

저자 : Jaikumar Vijayan