국방부 사이버 개념연구 - 4
상태바
국방부 사이버 개념연구 - 4
  • 이승준 기자
  • 승인 2020.04.12 00:21
  • 댓글 0
이 기사를 공유합니다

국방부 사이버 개념 연구 2.0 (제2화)

영화를 통해서 본 사이버 개념 연구

   국방부 사이버 개념 연구회는 사이버 개념 연구 2.0의 시작을 대중문화와 사이버개념 연구라는 주제로 영화 속에 나타난 사이버 사건을 통해 사이버전에 대한 이해를 돕고 있어 화제가 되고 있다.

이번 영화에 대한 사이버 사례를 통해 사이버 개념을 한층 더 업그레이드하고 있는 <한승호, 홍성협, 이규형 연구위원들>을 만나 사이버 개념 2.0의 내용을 들어 보았다.

(사진: 디펜스 투데이)
(사진: 디펜스 투데이)

특히 <이규형 연구위원>은 상병으로 복무 중인데 사이버 개념 연구 2.0에 동참한 인물로 사이버 개념 연구회의 진보적인 모습을 보여줄 것이라는 확신이 들었다. 이들과 함께한 인터뷰는 <이기종 사이버 개념 연구회장>이 ‘사이버 개념 연구 2.0은 대중문화와 신세대 장병을 포함하여 보다 사이버 개념을 이해하기 쉽게 풀어갈 것이다.

사이버 개념 연구회는 출신, 계급이 아닌 사이버 개념 확산과 생활화 예방교육을 통해 사이버공격에 대한 대응능력을 증폭시켜 안전과 편리함으로 사이버 세상을 누릴 수 있게 하는 것이 목적이기 때문이다. ’는 말이 와 닿는 인터뷰였다.

영화와 사이버 개념 내용들을 소개하겠다.

 

1. 영화‘코드명 J’와 사회공학적 해킹

 한승호 연구위원은 ‘모든 해킹의 단초는 인간에서 비롯되는 것’이라고 말한다. 그는 사회공학적 해킹을 강조했는데 영화‘코드명 J’를 통해 사이버 개념 2.0에 대해 인터뷰해보았다.

질문 : 해킹 방어의 첫 번째 할 일은?

한 : 네트워크상에서 취약점을 이용하여 ‘기술적으로 데이터를 훔치는 행위’가 ‘해킹’이다. 해킹방어에서 첫 번째로 할 일은 바로 네트워크의 차단이다. 공격을 받고 있는 PC에서 네트워크 연결을 해제하는 것은 레이더에서 목표물이 사라지는 것과 같고, 또한 실시간으로 정보가 유출되는 것도 막을 수도 있다. 이 때문에 침해사고대응반(CERT, Computer Emergency Response Team)에서 침해시도를 발견하면 가장 먼저 하는 것이 ‘망 차단 전파’이다.

질문 : 사례에서 보면 컴퓨터가 네트워크에 연결되지 않았는데 해킹이 발생하는 이유가 무엇인가?

한 : 이는 사람에 대한 취약점을 이용한 ‘사회공학적 해킹’ 때문이다. 즉, 누군가에게 속아서 시스템 파괴형 악성코드가 들어있는 USB를 내부 시스템에 꽂게 된다면 네트워크에 연결되지 않아도 해킹을 당하게 된다.

질문 : 그러한 영화를 소개한다면?

한 : 사회공학적 해킹의 사례는 1995년에 개봉한 영화 ‘코드명J(원제 Johnny Mnemonic)’에서 잘 나타나 있다. 이 영화는 인류가 불치병에 시달리고 있다는 배경으로 시작한다. 치료법을 가지고 있는 제약회사는 정보를 독점한 채 자신들의 이익만 챙기는 상황인데, 회사에 반대하는 3명의 연구원들이 몰래 치료법 자료를 가지고 나와서 주인공(조니 니모딕)과 접선을 하면서 내용이 전개된다.

  이 영화에서 사회공학적 해킹 사례는 영화 첫 장면에서부터 나온다. 주인공은 자신이 전문 산업스파이라고 자부하는 인물이다. 하지만 사실 그는 은밀하게 자료를 받아 고객에게 전달해주는 일종의 ‘심부름꾼’일 뿐이다. 연구원들은 이 점을 알고 오히려 조니를 역이용하여 정보를 유출하는데, 그들은 돈에만 관심이 있는 주인공의 인간적인 특성을 이용하여 조니의 머릿속에 치료법이 들어있는 대용량 데이터를 주입한다.

 두 번째 사례는 회사의 보스가 주인공을 회유하기 위해 목소리를 변조하여 전화를 하는 장면을 들 수 있다. 조직(제약회사)의 보스를 전혀 다른 사람으로 착각한 주인공은 자신의 위치를 말해주게 되고, 이로 인해 위험에 처하기도 한다.

질문 : 해킹 방법에 대해 설명한다면

한 : 사람들은 일반적으로 해커들이 각종 첨단 해킹도구와 기술을 이용해서 해킹을 한다고 오해한다. 그러나 이것은 사실이 아니다. 가장 쉬운 해킹 방법 중 하나는 바로 속임수를 통해 사람을 조종하는 것이다. 영화에서 결국 해커는 주인공을 도구로 활용하여 정보를 세상으로 공개하게 만든 연구원들이었던 것이다.

질문 : 이 영화가 우리에게 주는 교훈은?

한 :  영화 ‘코드명 J’를 통해 알 수 있는 것은 사이버 보안에서 가장 중요한 것이 ‘인간’이라는 것이다. 즉 아무리 뛰어난 기술이 있어도 그것을 사용하는 사람을 속이면 그 기술도 무력화시킬 수도 있다. 결국 정보를 수용하고 향유하는 것은 인간이기 때문이다.

질문 : 실제 관련된 일화를 소개한다면

한 : 실제로, 미국의 전설적인 해커 케빈 미트닉(Kevin Mitnick)의 일화가 있다. 그가 美국방부를 해킹했을 때의 일인데, 유지보수업체의 직원인 척 전화를 하니 패스워드를 알려줘서 손쉽게 계정을 얻어냈다는 것이다. 이러한 사회공학적 해킹을 통해 외부 네트워크에 연결되어 있지 않은 독립망에도 사람으로 하여금 USB 등 저장장치를 꽂게 만들어 악성코드를 심을 수 있으며, 이를 통해 원하는 날짜와 시간에 시스템을 무력화 시켜버릴 수도 있다.

따라서 정보보호 업무를 하는 사람들은 필연적으로 내부의 인원에 대한 관리가 필수적이다. 그러므로 사이버 보안의 최우선은 인간적 요소를 최우선해야 하는 것이다.

 

2. 영화‘아일랜드’와  사이버 보안기술

(사진: 디펜스 투데이)
(사진: 디펜스 투데이)

<홍성협 연구위원>은 ‘사이버 보안 기술의 핵심은 인간의 특성‘이라고 말한다. 그는 사이버 보안 기술에 대해 강조했는데 영화’아일랜드‘를 통해 사이버 개념 2.0에 대해 인터뷰해보았다.

질문 : 인간의 특성을 활용한 사이버 보안 기술이란?

홍 : 최근 은행, 증권사 등 대부분의 금융권이 홍채인증 관련 기술 도입을 서두르고 있다. 이는 금융당국이 홍채인증을 비대면 실명 확인 수단으로 권고하였으며, 2015년부터 인터넷 뱅킹을 할 때 의무적으로 사용하던 공인인증서 사용의 의무화도 폐지되었기 때문이다.

그래서 인간의 특성을 활용한 보안기술에 관심이 증가하고 있다.

질문 : 홍채인증 관련 기술 도입은 얼마나 진행되고 있는지?

홍 :  2016년 말부터 홍채인증기능이 탑재된 스마트폰이 출시가 되고 있는데, 금융권은 모바일 결제 시장 점유를 위해 간단히 눈으로 인증하는 편리성까지 갖춘 간편 인증 서비스를 선보이고 있다.

일부 업체에서는 “스마트폰에서 가장 안전한 생체보안기술은 홍채인식이다.” 라고 밝히기도 했다. 그러나 현재 보안 인증 기술로 사용하는 있는 지문은 실리콘을 활용한 해킹 사례들이 지속 나타나고 있어서 생체정보 중의 하나인 홍채도 복제를 우려하는 시각도 있다.

질문 : 그러한 영화를 소개한다면?

홍 : 홍채인증과 관련된 사이버 보안 개념은 2003년 개봉한 영화 ‘아일랜드’에서 잘 나타나 있다. 이 영화는 복제인간에 대해서 다루고 있는 영화인데, 주인공은 건강을 최고 수준으로 관리해주는 거대한 폐쇄형 건물에 살고 있다.

어느 날 자신이 복제인간이라는 사실을 깨닫고 외부세계로 탈출하여 건물에 살고 있던 모든 복제인간을 구출한다는 것이다.

 영화 속에서 나타난 홍채인증 사례를 보면, 도망자 신세의 주인공이 자신을 제작요청한 주문자의 집을 찾아가게 된다. 그런데 벨을 눌러도 안에서 인기척이 없자 문 입구 옆에 달린 둥근 카메라처럼 생긴 곳에 우연히 눈을 가져다 대니 적외선이 눈을 스캔하고 문이 저절로 열리게 된다.

질문 : 영화가 주는 교훈은?

홍 : 위에서 말한 장면에서 사이버 보안의 중요한 개념인 ‘유일성’이 깨지는 것을 알 수 있다. 즉, 홍채가 개인마다 다르다는 전제가 무너진 것이다.

고도의 복제 기술이 인간의 특성을 적용한 것인데 언뜻 생각할 때 복제인간은 똑같은 DNA를 가진 사람이기에 홍채도 같을 것이라고 생각할 수 있다.

하지만 사람의 홍채는 생후 18개월 이후에 완성이 되고 그 뒤로 평생 변하지 않는 후천적 특성을 가지고 있다.

그리고 홍채의 패턴은 200여개의 특징을 갖고 있어 20여개의 지문보다 보안성이 뛰어나다. 따라서 홍채가 같을 확률은 10억 분의 1수준으로 가장 안전한 생체인증 수단이다.

질문 : 홍채의 위조 가능성은 없는지?

홍 : 영화와 같은 상황이 실제로 발생하였는데, 2014년 독일의 한 해커 단체가 푸틴 러시아 대통령의 홍채를 복제해 공개한 사건이 있었다.

해커가 간단히 인터넷 검색으로 찾은 고화질 사진과 3D 프린터를 이용하여 홍채를 복제한 것이다. 이는 홍채 위조의 가능성을 보여준 사례이다.

질문 : 홍채 복제 시 문제점이 되는 것은?

홍 : 2015년 10월 미국 연방인사관리처(OPM) 서버에서 560만 개의 지문도 도난당했다. 홍채, 지문 등 생체정보는 비밀번호처럼 변경해서 사용할 수 없기 때문에 한번 유출되면 지속적으로 악용될 수 있어서 유출 방지를 위한 보안기술이 함께 개발되어야 한다.

 질문 : 이에 대한 극복 방법은?

홍 : 최근 ‘아일랜드’를 통해서 나타난 홍채인증보안의 단점을 개선하기 위해서 국내외적으로 노력하고 있다.

세계적인 IT기업들은 각 나라의 업체가 개별적으로 개발하고 있는 생체인증기술의 유출 우려, 호환성, 확장성 저하 등 문제점을 해결하고 인증기술표준을 정하기 위해 국제협의회를 결성하였다.

 또 국내에서는 ‘모바일 기반 바이오인식 성능과 위조 방어 식별 기술’ 관련 개발 사업을 시작했는데, 가짜 생체를 만들어 위조를 가려내는 방어 기술도 개발하고 생체정보 인식기술이 위조를 판별할 수 있는지를 시험 평가하는 등 관련 절차를 만든다고 한다.

질문 : 보안인증 기술에 대한 발전 가능성은?
홍 : 앞으로 인간의 특성을 활용한 보안인증기술은 점차 고도화가 될 것이다.

영화 ‘아일랜드’를 통해 알 수 있는 것은 인간으로써 존재하기 위한 생체가 인증기술에 활용된다는 것이다. 인간 생체와 기술의 이해를 바탕으로 인증기술의 발전은 점차 빠르게 진행될 것이다. 인간은 필연적으로 편리함을 추구하는 존재이기 때문이다. 

 

3. 영화‘미션임파서블 3’과 실물복제 고도화

 <이규형 연구위원>은 ‘해킹 기술의 신패러다임 중에서 실물복제 고도화‘를 강조한다. 그와 영화 ’미션 임파서블 3‘를 통해 사이버 개념 2.0에 대해 인터뷰해보았다.

질문 : 실물복제 고도화에서 중요한 것은?

이 : 프린터이다. 프린터는 일반적으로 출력하고 싶은 내용 또는 사진이 있을 때 여러 가지 색의 잉크를 사용하여 종이에 인쇄해주는 기계라는 것으로 알고 있고 이를 사무적으로 대부분 사용한다.

만약에 프린터를 활용해서 자기가 원하는 실물을 실제로 제작할 수 있다면 사회적으로 영향이 크겠지만 이는 말도 안되는 이야기라고 생각할 것이다.

질문 : 이러한 사례는?

이 : 3D 프린터를 활용해서 누구나 실물과 같이 제작할 수 있다. 실제로 외국에서 프린터로 활용하여 실제 사격까지 가능한 권총을 제작하는데 성공했다.

물론 우리가 일반적으로 사용하고 있는 2D 프린터가 아닌, 기존의 X축(가로), Y축(세로)를 종이에 출력해주는 원리에 상하운동인 Z축을 추가한 ‘3D 프린터’로 만들었다. 이점을 비추어 볼 때 3D 프린터의 활용도는 앞으로도 늘어날 것으로 생각한다. 

질문 : 그러한 영화가 있다면?

이 : 3D 프린터의 활용 가능성은 2006년에 개봉한 ‘미션임파서블3’에서 엿볼 수 있다.

이 영화는 최신 IT 기술들을 활용한 첩보 장르이며, 주인공(톰 크루즈)이 오웬(불법암거래상)을 추격하여 그의 음모를 제지하는 것이 큰 줄거리이다.

 질문 : 영화에서 주목해야 하는 것은?

이 : 영화 속에서 나타난 3D 프린터 활용 사례는 주인공이 ‘오웬(불법암거래상)’을 납치하는 과정에서 나타난다. 주인공은 오웬이 교황청 행사에 참가하여 구매자하고 접선한다는 정보를 입수하고, 암거래 정보를 얻어내기 위해 행사장 화장실에서 오웬을 납치한다.

목적을 달성한 주인공은 오웬의 얼굴 가면을 착용하여 경호원을 속이고 유유히 행사장을 빠져나오면서 마무리된다. 특히, 얼굴 가면을 만드는 과정을 보면 초소형 카메라로 사진을 찍고 이를 활용하여 3D 프린터가 가면을 제작하는 모습이 나오는데 이 당시에는 정보 기관의 요원들만 가능한 이야기였을 것이다.

하지만, 2017년 지금은 고화질 사진이 있다면 영화처럼 가면을 제작하는 것이 기술적으로 쉽게 가능하다. 

질문 : 실제 사례를 소개한다면?

이 : 실제로 미국의 한 연구팀은 2D 지문 사진을 3D 지문으로 복제하여 지문 인증을 우회하는데 성공했고, ‘세미 캄카르’라는 해커는 자물쇠 열쇠를 3D 프린터로 복제하는 동영상을 자신의 유튜브(Youtube)에 올렸다.

본래 자물쇠 열쇠 복제는 전문가들만 할 수 있는데, 쉽게 열쇠 전문가가 아닌 일반인도 3D 프린터로 복제하여 사용할 수 있다는 것은 자물쇠와 같은 물리적 보안에 큰 영향을 끼칠 것이다. 즉, 3D 프린터는 해킹 공격에 활용될 수 있다는 것이다.

질문 : 3D 프린터의 특징은 무엇인가?

이 : 기존의 해킹 방식은 프로그램 구조의 취약점을 찾아서 악용하지만, 3D 프린터로 관리자의 생체 정보를 복제하여 활용할 수 있고, 실물인 열쇠도 복제가 가능하기 때문에 제품의 설계 과정에서부터 이를 고려하지 않으면 보안 체계가 취약해진다.

 질문 : 그렇다면 극복 방법은?

이 : 복제 기술의 발전에 대비한 사이버 보안 연구가 필요하다. 영화 ‘미션임파서블3’를 통해 알 수 있는 것은 해킹에 실물 복제를 악용할 수 있다는 것이다. 그래서 기존 보안 업체들은 ‘지문인증 + 비밀번호’ 또는 ‘서명 + 지문인증’ 등 인증 방법을 교차 사용하면서 해킹 기술의 변화에 대비해나가고 있다. 따라서 앞으로도 3D 프린터 등 신기술 발전에 대비한 사이버 보안 연구가 필요하다. 

[사이버개념연구2.0은 다음에도 계속 됩니다.]

[디펜스투데이]


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.