“무슨 기능이 추가됐는지 살펴보라. 그리고 그 곳에 보안 문제가 있는지 확인하라.”위 말은 현 운영체제(OS) 개발업체들의 태도를 설명한 것이다. 이들이 새 OS를 개발하면서 멋진 그래픽과 더 좋은 툴에만 치중하는 건 아니다. 현재 OS 개발업체들은 더욱더 탄탄한 방어 시스템도 제공하고 있다.차세대 OS들은 데이터를 좀더 안전하게 유지할 수 있도록 개선될 것으로 전망된다. 오랫동안 해커들의 표적이 됐기 때문에 결국 고객들의 분노를 야기시키고 있는 MS는 윈도우 다음 버전인 코드명 롱혼에 스파이웨어 방지와 같은 기능을 제공하겠다고 약속했다. 그런데 MS가 보안 마케팅에 보수적인 자세를 취하는 사이 애플 컴퓨터, 그리고 리눅스 판매업체인 노벨이 최근 더 강력한 방어 수단을 제공하는 업데이트를 내놓았다.보안에 신경 쓴다는 게 OS 개발업체들이 원만한 협업 지원이나 종합 검색과 같이 기술적인 진보를 내놓지 않는다는 의미는 아니다. 하지만 가정용 PC 소유자들을 중심으로 보안 우려가 늘어나면서 OS 개발업체들은 소프트웨어의 취약성을 방지하고 외부 공격으로부터 보호책을 제공하기 위해 최선을 다하고 있다는 점을 보여주려고 안간힘을 쓰고 있다.포레스터 리서치의 분석가 테드 쉐들러는 “OS 개발업체들은 구매자들이 자사 제품에 갖는 신뢰에 미래가 걸려 있다는 사실을 알고 있다. 하지만 오늘날 구매자들은 컴퓨터를 믿지 않는다”라며 “사람들이 보안에 대한 두려움 때문에 음악 다운로드도 기피하고 있으며 온라인 쇼핑도 줄었고 온라인 뱅킹도 꺼려한다는 현실을 우리는 잘 알고 있다”라고 말했다.초이스포인트 사건과 같은 데이터 절도 사건은 기밀 사항인 개인 정보를 더 잘 보호해야 한다는 점을 일깨워주고 있다. 피싱 등 온라인 사기 수법에 관한 경고도 위험을 공론화하는 데 일조했다. 그렇지만 이 와중에도 악의적인 코드를 작성하는 사람들은 PC 바이러스 유포를 멈추지 않고 있다.쉐들러는 이같은 소비자 보안 위협이 보통 OS의 문제가 아닌 기술적인 약점이나 사람들의 습관을 이용함에도 OS 개발업체들이 비난받고 있다고 지적했다. 그는 “보안은 소비자들이 인지하고 있는 문제인 동시에 분노의 대상이기도 하다. 소비자들은 누군가를 비난하고 싶어한다”라며 “OS 개발업체들이 해야 할 일임은 분명하기 때문에 이들이 주의를 기울이고 있는 것”이라고 말했다.각 운영체제 별보안 강화 내역차세대 OS에서 보안은 적어도 지금보다는 더 강화될 것이다.▲맥 OS 10.4 (타이거)애플리케이션 시작 검증 시스템 : 이전에 설치되지 않았거나 동작한 적이 없는 프로그램을 구동할 때마다 경고하도록 설계커버로스(Kerberos) VPN 지원 : MIT에서 개발된 네트워크 인증 기술방화벽 로그 : 잠재적인 공격을 기록하고 추적방화벽 스텔스(stealth) 모드 : 잠재적인 공격자에게 컴퓨터에 대한 정보가 노출되지 않도록 방어정부 스마트 카드 인터페이스 표준 : 보안 장치 사용 채택▲윈도우 롱혼안티바이러스 툴 : 스파이웨어, 애드웨어 등 악의적인 프로그램 방어 기능 내장보안 업데이트 자동화 : 보안 업데이트와 패치가 나올 때마다 용이하게 관리방화벽 업데이트 : 외부 공격과 외부에서 들어오는 실행 코드를 감시행동 보고 툴 : PC 파일 시스템과 레지스트리에 대한 수상한 행동 탐색인터넷 익스플로러 : 다중 업그레이드. 아직 구체화되지 않음▲노벨 수세 리눅스 프로페셔널 9.3리눅스 서브시스템 : 보안 이슈를 해결하도록 개정방화벽 업그레이드 : 필터링 도구 추가기본 설정 단순화 : 사용하지 않는 애플리케이션이 설치되지 않음을 강조▲레드햇 엔터프라이즈 리눅스 v.4리눅스 서브시스템 : 보안 고려사항 추가·강화컴파일러·라이브러리 업그레이드 : 수상한 활동을 검색메모리 훼손 검사기 : 바이러스 활동을 찾아냄
“모로 가도 결국 책임은 MS”웹 디자이너인 유진 아보브스키는 여가 시간을 이용해 친구와 가족들의 PC가 보안 문제없이 수월하게 동작할 수 있도록 봐주고 있지만 보안 고려 사항이 갈수록 늘어남에 따라 점점 고된 일이 돼가고 있다. MS 윈도우만으로 작업하는 그는 패치를 설치하고 맬웨어(malware)를 제거하는 데 시간이 너무 많이 들어 대형 소프트웨어 업체라는 MS에 실망할 수밖에 없다고 말했다.아보브스키는 “윈도우를 사용하는 평범한 소비자들에게 제공하는 보호 수준에 대해 MS는 부끄러워야해야 한다”라며 “지인들 집에서 내가 만지는 윈도우 컴퓨터에는 거의 모두 쓸모없는 스파이웨어, 맬웨어, 애드웨어가 극성을 부리고 있었다”라고 말했다.윈도우의 시장 지배 현상과 일맥상통하는 취약점 문제는 MS에게 공격과 보안을 둘러싸고 심각한 두통거리로 해석되고 있다. 덧붙여 MS의 소프트웨어는 역사적으로도 경쟁업체들의 제품보다 해커들에게 더 많은 공격을 당해왔다.이에 대한 대응책으로 MS는 제품의 보안과 공공의 인식을 개선하기 위해 ‘신뢰할 수 있는 컴퓨터 시스템 전략’를 2002년에 시작했다. 이 업체는 이제 매달 보안 패키지를 내놓고 있으며 지금까지 나온 윈도우 업데이트 중 가장 최신인 서비스팩 2도 이 정책에 따라 보안에 중점을 뒀다.MS의 수석 제품 관리자인 그렉 설리반은 이러한 노력들이 좀더 적극적으로 컴퓨터를 방어할 롱혼이라는 OS로 결실을 맺고 있다고 말했다. 무엇보다도 롱혼에서는 스파이웨어 같은 사악한 프로그램의 설치를 적극적으로 차단하며 가정이나 업무 네트워크 외부에서 바이러스를 옮겨올지 모르는 장치를 자동적으로 고립시킨다고 그는 설명했다.설리반은 “우리의 플랫폼이 안전하고 탄탄한 보안 속에서 고객들이 사용할 수 있는 것임을 확신시킨다는 점에서 매우 중요한 역할을 하고 있다. 바로 이것이 하부 아키텍처를 개선하기 위해 롱혼에 엄청난 투자를 하는 이유”라고 강조했다.2006년에 나올 예정인 롱혼에 포함될 보안 툴 몇 가지를 살펴보면 MS가 시만텍과 같은 보안 소프트웨어 벤더와 경쟁하게 될 것이란 점을 예측할 수 있다. 하지만 시만텍과 같은 업체들은 MS가 자체적으로 안티바이러스 기능을 탑재하고 안티 스파이웨어 기능을 개발한 것에 위협을 받지 않는다고 주장한다.애플은 보안이 맥 OS 10.4 타이거를 선보일 당시 주력 사항은 아니었지만 사용자들이 컴퓨터를 이전보다 더 안전하게 보호할 수 있도록 돕는 데 초점을 맞추고 있다고 밝혔다.애플 경영진들의 말에 따르면 4월말에 출시될 타이거 설계에서 주요 보안 개념은 모든 프로그램이 컴퓨터에서 동작되는 모습을 좀더 명확하게 볼 수 있도록 하는 것이다. 이렇게 하면 사악한 프로그램들이 자신을 몰래 설치하거나 해가 없는 것처럼 보이는 문서나 웹페이지 뒤에 숨는 것이 확실히 어려워진다고 이들은 말하고 있다.애플의 소프트웨어 제품 마케팅 수석 담당자 브라이언 크롤은 애플의 OS 보안에서 가장 이득을 본 전략은 핵심 아키텍처를 오픈소스 공동체에서 이용할 수 있도록 한 것이라고 지적했다. 그는 “이 과정을 통해 믿을 수 없을 정도로 많은 리뷰를 얻었으며, 타이거의 기초를 안전하게 하는 데 정말 많은 도움을 받았다”라고 말했다.“보안에 오픈소스, 독점 방식 여부는 중요치 않다”오픈소스 OS가 더 안전한지 독점적 OS가 더 안전한지에 대한 토론은 지금도 격렬하게 계속되고 있다. 독점적 OS 지지자들은 소스코드에 접근할 방법이 없기 때문에 악용될 소지가 적다고 말한다. 오픈소스 후원자들은 프로그래머 커뮤니티가 지지한다는 것은 즉 더 많은 사람들이 코드를 시험하고 작업한다는 것을 의미하며, 따라서 버그가 곧바로 발견돼 수정될 가능성이 매우 높다고 주장한다.최근 노벨이 출시한 일반 사용자용 OS인 수세 리눅스 프로페셔널 9.3은 오픈소스의 토대 위에서 만들어졌다. 노벨 경영진은 제품 설계 면에서 MS나 애플의 제품보다 투명할지 모르지만 자사의 보안 접근 방법은 독점적 지위를 지닌 경쟁 업체들의 방식과 유사하다고 말했다.노벨의 리눅스 보안 아키텍트인 고만 드라트뮐러는 “리눅스든 타이거든 롱혼이든 모두 보안을 상태가 아닌 과정으로 바라봐야 한다”라며 “사용자의 환경이나 네트워크를 안전하게 만들 수 것은 어떤 제품에만 있는 유일한 특징이나 해결책, 혹은 제품 그 자체가 절대 아니다. 소프트웨어 보안이 일반적으로 어떻게 다루어지는지 고려하는 절차와 과정에 관한 것이다”라고 지적했다. 뒤이어 그는 “리눅스가 다른 것보다는 적합하다고 생각할 수도 있지만 나는 모든 업체들이 이런 방식으로 보안을 바라봐야 한다고 믿는다”라고 말했다.OS 개발업체들은 차세대 OS들에서 이뤄지는 보안 업그레이드는 하부 아키텍처의 개선에서부터 안티 스파이웨어와 같은 기능 지원 등 다양하다고 설명했다.애플의 제품군 수석 관리자인 윌리 호지스는 타이거의 신규 보안 기능 중 핵심적인 것들은 대부분 OS 상에 추가하는 프로그램의 제어를 도와주는 기술이라고 밝혔다. 그는 “사용자의 행동에 따라 OS의 보안이 좌우되는 것은 명백한 사실”이라며 “우리는 그걸 이해하고 있다. 우리가 지금껏 해온 많은 일들은 이런 부분에서 영감을 얻었다. 우리는 시스템 안정성을 쉽게 확보하고, 결국 보안을 쉽게 유지할 수 있도록 하는 일에 초점을 맞춰왔다”라고 말했다.드라트뮐러는 노벨의 경우 사용할 보안 기능과 전략의 선택권을 사용자에게 위임하는 데 주안점을 두고 있다고 밝혔다. 노벨의 라이벌인 레드햇은 지난 2월 선보인 레드햇 엔터프라이즈 리눅스(RHEL) 4의 새로운 리눅스 서브시스템이 제품의 하부 코딩 보안을 상당 수준 강화시켰다고 밝혔다.설리반은 롱혼이 MS 윈도우 서버 2003 SP1을 기반으로 보안의 기초를 다졌다고 전했다. 그는 코드에서 이뤄진 개선 사항 중 상당 부분이 중심에 위치한 프로그래밍 커널의 “견고화”를 통해 이뤄졌다고 말했다.결국 OS 개발업체들은 온라인 상태에 있을 때나 다른 사람들과 정보를 공유할 때 사용자들이 제대로 판단해 외부 위협으로부터 컴퓨터를 안전하게 유지할 수 있다는 점에서 사용자 그 자신이 큰 역할을 할 것이라는 데에 동의하고 있다. 그러나 이들은 또한 OS가 사용자들이 자신을 방어하는 최고의 도구라고 결론내리는 진원지로 남을 것이라고 시인한다.애플의 호지스는 결국 OS가 소비자들이 의존할 수 있는 가장 중요한 기술적 방어선이 된다는 것은 좋은 일이라고 말했다. 그는 “궁극적으로 사용자들은 어떤 수준에서 그들이 하는 것에 대해 스스로 책임을 질 수밖에 없다”라며 “고객들이 시스템의 보안과 능력을 이해하고 구현하기 쉽게 만드는 일은 OS 개발업체들의 책임”이라고 지적했다. @
