코스콤 공인인증서 ActiveX 컨트롤 취약점

국내 비밀 채널에서 불거져 나온 보안 취약점 정보가 외부로 샜다. 정부 관련 인력들도 가입해서 모니터링하던 것은 알고 있었지만, 언론에 까지 나올 줄은 몰랐다.

코스콤 공인인증서 ActiveX 컨트롤 취약점이 발표되었다.

뉴스 기사 : http://www.dt.co.kr/contents.htm?article_no=2007033002010351713002

기사에는 어처구니 없게도

코스콤 보안인증팀의 한 관계자는 "가능성은 적지만 해커가 해당 취약점을 이용 별도의 사이트를 제작해 사용자들의 접근을 유인해 정보를 빼내는 피싱에 악용될 수 있다"

고 나오는데, 이 말을 한 사람은 보안에 대해 전적으로 무지한 사람이거나, 자사의 이미지 실추를 의식해 의도적으로 문제를 축소해서 표현한 것일 것이다.

ActiveX 에 보안 취약점이 있다는 것을 해커가 알았다고 해보자. 해커는 자기 웹 사이트에 간단히 몇 줄을 추가하기만 하면 된다. 평범한 사용자가 이 웹 사이트를 방문하면, 저절로 ActiveX 가 실행되고, 사용자 몰래 공격을 수행해 원격에서 명령어 프롬프트가 떨어지게 된다. 웜을 퍼뜨린다던지, 트로이목마를 설치할 수도 있다.

취약한 웹 사이트를 공략해 iframe 을 삽입해두는 중국발 해킹 사례처럼, 취약한 웹 사이트에 ActiveX 공격 코드를 심어두는 것도 방법이다. 어차피 몇 줄 안되기 때문에 사이트 관리자가 홈페이지 변경된 걸 알아채기 어렵다.

이 공격 방법의 장점은
 1. 피해를 입은 사용자 스스로는 언제 어디서 피해를 입었는지 알 수 없다.
 2. 피해 PC 에 직접 침투할 필요 없이 그물을 쳐두고 걸리기만 기다리면 된다.
 3. 공격자의 위치나 신분이 드러날 위험이 거의 없다.
 4. 널리 쓰이는 ActiveX 컨트롤이라면 단시간 내에 많은 PC 를 장악할 수 있다.
는 점이다.

위와 같은 장점 때문에 해커들 사이에 상당히 즐겨 사용되는 방법임에도 '가능성이 적다' 고 표현한 것은 잘못된 표현이다.

해당 제품의 문제는 처음에 보안 전문가들끼리 국내 보안 환경에 대한 주제로 비밀 채널을 통해 대화를 하다가 누군가 실수로 "이러 이러한 경우도 있고 국내 ActiveX 컨트롤의 보안 수준에 문제가 심각하다" 고 말하면서 언급되었다.

관련 제품을 사용 중인 모 포탈 보안 담당자가 '무책임한 보안 취약점 공개' 문제에 대해 불만을 토로하면서 이 문제가 조용히 일단락될 것으로 생각했는데, 오늘자 디지털 타임스의 기사를 보니 NCSC 에서 해당 채널을 모니터링하다가 정보를 터뜨렸나 보다.

머릿속에서 '어쨌든 보안 취약점에 대한 패치가 나오고, 일반인들에게도 문제의 위험성을 알려 피해를 예방했으니 결과적으로는 잘된 것 아닌가' 하는 생각이 들면서도, 한편으로는 '우리 사이의 문제를 상의 한번 없이 외부에 유출했다'는 배신감이 드는 것도 사실이다. 그 외에도 여러모로 복잡한 감정이 드는데, 왜 그런지는 곰곰히 자아 성찰을 해봐야 할 듯...

다른 분들 생각은 어떠신지?

--- 추가 ---
고민할 필요가 사라졌다.
Full-Disclosure 에 이미 해당 취약점이 public 하게 공개되어 있었다.
http://seclists.org/fulldisclosure/2007/Mar/0471.html

왜 비밀채널에만 공개된 거라고 생각했을까.... 쩝...
착각~