아이폰 탈옥이 왜 힘든지 아는가?

코스콤이 9일 서울 여의도 콘래드 호텔에서 개최한 국내 보안컨퍼런스 '시큐인사이드2014' 해킹방어대회에서 단독으로 출전한 일명 '지오핫(본명:조지 호츠)'이 우승을 거머쥐었다. 그는 '톰크루즈(tomcr00se)'라는 1인팀으로 참가해 가장 높은 점수를 받았다. 한국 '코드레드(CodeRed)'팀이 2위를, 러시아 '모어스모크드 리트 치킨(More Smoked Leet Chicken)'팀이 3위를 각각 차지했다.

행사가 끝난 뒤에도 현장에서 많은 참가자들이 지오핫을 둘러싸고 자신의 아이폰, 아이패드 등에 사인을 받는 등 그에 대한 국내 보안인들의 관심이 뜨거웠다.

그가 누구길래 이렇게 많은 이들의 이목이 집중된 것일까. 지오핫이 처음 유명해진 계기는 2007년 애플이 아이폰 출시 당시 이동통신사가 어디든지 상관없이 쓸 수 있도록 하는 '캐리어 언록(carrier unlock)'을 성공하면서부터다. 2009년에는 아이폰3GS에서 구동되는 공개 탈옥툴인 '퍼플레인(purplera1n)'을 공개한 뒤 이어 아이폰, 아이팟 터치 탈옥툴인 '블랙레인(blackra1n)'을 개발한다.

PS3에 대한 해킹은 아이폰 탈옥툴을 활발히 개발했던 2009년 말에 이뤄진 것으로 해당 게임기의 보안시스템을 해킹해 관리자 권한을 획득하는 방법을 고안해 낸다. 그 뒤 이 사건으로 인해 소니컴퓨터엔터테인먼트(SCE)와 6개월 간 법정 소송을 벌이다가 끝내 미국 연방법원은 지오핫이 PS3에 대한 해킹 자료 게시하지 말도록 영구 금지시켰다.

그는 가장 최근에는 미국 AT&T, 버라이즌이 공급 중인 안드로이드 스마트폰을 루팅할 수 있는 툴인 '타월루트(Towelroot)'를 공개한다. 이 툴은 삼성전자 갤럭시S5, 갤럭시 노트3, LG전자-구글이 공동개발한 넥서스5 등에도 적용되는 것으로 알려졌다.

그는 시상식에 앞서 타월루트가 어떻게 구동되는지에 대한 발표를 맡기도 했다. 발표가 끝난 뒤 패널쪽에서 타월루트가 악의적인 해커들에게 악용될 수 있지 않겠냐는 질문이 나왔다. 지오핫은 무료 소프트웨어(free software)이기 때문에 뭘하든 자유이지만 저작권은 따로 있으며 악용(reimplement)되기 쉬운 것도 사실이라고 말했다.

해당 루팅툴에 포함된 소스코드(native code)를 가져다가 악성 앱을 만들 수도 있고, 리버스엔지니어링해서 소스코드를 확보해 악용할 소지도 분명히 있다는 설명이다. 공개된 취약점을 악용하느냐 마냐는 결국 해커의 윤리적인 문제에 달렸다는 뜻이다.

지오핫이 활동하고 있는 미국과 달리 국내에서 공개적으로 보안취약점을 이용한 루팅툴을 공개했다고치면 소송감이나 다름없다. 한국인터넷진흥원(KISA)이 SW 신규 보안 취약점 신고 포상제를 실시하고 있으나 여전히 우리나라에서는 SW기업들 대부분이 취약점이 공개된다는 사실에 대해 민감하게 반응한다. 이날 대회를 진행했던 고려대 김승주 교수도 PS3 소송건이 미국에서는 원활하게 합의가 이뤄졌지만 국내 환경에서는 불가능한 일이라고 밝혔다.

이와 관련 지오핫은 의미심장한 말을 던졌다. 애플 같은 큰 기업에게 저 같은 해커가 만든 탈옥툴은 아주 작은 일이며 이로 인해 한번도 소송이 걸린 일이 었었지만 소니가 건 소송은 오히려 저를 소니와 동급으로 만들었죠.

해킹 혹은 보안취약점을 연구하는 작업은 공개적으로 진행돼야 하는 것이지 이를 두고 소송을 벌이면서 문제 삼는 일 자체가 오히려 기업 이미지 개선에 역효과를 줄 수 있다는 것이다.