[연중기획-따뜻한 디지털세상]<2부>보안은 생존이다- 무선보안 '구멍'
7일 강남역 일대의 모 카페. 이곳에서 노트북을 켜고 무선랜(LAN) 접속 포트를 찾아봤다. 순간 10여개의 무선 AP(Acess Point)가 줄줄이 검색됐다. 이 중 2~3개를 제외한 대부분은 사용자 인증 과정없이 누구나 네트워크에 바로 연결될 수 있는 구조다. 보안 네트워크 설정 자체를 아예 무시했기 때문이다. 무선 네트워크 구조에 대해 알만한 사람들은 다 아는 '공짜' 네트워크가 바로 이것이다.

유넷시스템 정보보호연구소 이상준 팀장은 "이들 대부분이 이곳 인근의 벤처 사무실에서 운용되는 무선 랜인데, 관리 편의상 보안 네트워크를 설정하지 않아 발생하는 경우"라며 "우려스러운 것은 무선랜 카드만 있으면 인터넷을 공짜로 쓸 수 있다는 것보다 더 심각한 보안문제를 유발할 수 있다는 점"이라고 지적했다.

일반적으로 유선에서 공격자가 기업의 네트워크에 침투할 경우엔 방화벽, 침입탐지시스템(IDS) 등 보안시스템을 뚫어야 가능하지만, 기업의 무선 랜에 바로 접속된다는 것은 이들 시스템을 거치지 않게 돼 결과적으로 상당한 해킹 위험에 노출될 수 있다는 게 그의 설명이다.

가령, 무선랜을 통해 곧바로 내부 네트워크 자원에 연결될 경우, 내부 네트워크에 바로 접속돼 동일한 선상에 있는 모든 PC들의 '공유 파일'을 볼 수 있는 것은 기본이다. 심지어는 핵심 기밀정보가 담겨있는 서버 해킹도 상대적으로 수월하다는 얘기다.

무선랜 보안 취약점은 이미 1~2년 전부터 사이버 보안의 최대 위협으로 자리잡고 있다. 무선랜카드가 장착된 개인 PC와 무선 AP 사이의 전파로 네트워크에 접속되는 무선랜(LAN) 서비스의 특성상, 무선 네트워크가 허용하는 범위내에선 접속 제한이 원천적으로 불가능하기 때문이다.

◆폭발적인 무선랜 시장, '허점'은 여전

'선이 없는 자유'를 표방하는 무선랜 서비스는 이미 우리나라에서도 공항, 호텔, 대학가나 도심 카페에서 활발히 도입돼 생활속의 필수요소로 자리잡고 있다. 최근 들어서는 업무혁신을 위해 무선랜을 도입하는 기업들도 크게 늘고 있다. 그만큼 사용하기 편리하고 설치비용이 적기 때문이다.

무선랜 보안이 이슈화되면서 최근 이를 전사단위로 도입하는 기업들의 경우, 워낙 보안대책을 철저히 강구하다보니 실제 해커가 이들 망을 침투한다는 것이 녹록치 않다.

그러나 소규모 사무실이나 개인 단위로 내려가면 문제가 달라진다.

서울 을지로 일대. 이곳은 강남과는 달리 사무실 밀집지역이 아닌데도 보안 네트워크를 설정하지 않은 무선 AP 7~8종이 쉽게 검색됐다. 그만큼 무선 AP 단말기를 구입해 무선랜을 이용하는 사례가 많다는 얘기다.

공항이나 호텔 등 일부 무선랜 서비스를 무료로 제공하는 곳도 상황은 마찬가지다. 무선 패킷(데이터) 암호화는 물론 네트워크 접속시 사용자 아이디와 비밀번호를 입력하는 사용자 인증과정도 없다. 한마디로 그냥 '열려있는 기업망'들이 어디에나 있는 셈이다.

유넷시스템 보안기술팀 이옥순 컨설턴트는 "아예 네트워크 보안설정을 안했을 경우, 간단한 패킷 스니핑 프로그램을 통해 무선 구간에서 전송되고 있는 정보를 훔쳐내기는 식은 죽 먹기"라고 지적했다.

스니핑 프로그램은 네트워크상에서 오가는 데이터를 훔쳐볼 수 있는 프로그램으로 실제, '에어XXX', '이더XX', '에어XX' 등 무선랜 전용 스니핑 프로그램들은 인터넷 자료실에서 유무료로 누구나 쉽게 다운받을 수 있다.

이 중 일부 프로그램은 무선랜 전송구간에 데이터를 암호화해주는 WEP(Wired Equivalent Privacy) 보안 매커니즘을 적용했더라도, 128비트 암호키값을 푸는데 불과 2시간도 걸리지 않는 것으로 알려졌다.

이 컨설턴트는 "15분 이하로 간격으로 암호키값을 바꿔주는 '다이나믹 WEP'을 적용한 경우엔 상대적으로 크래킹될 가능성이 현저히 줄어들지만, 소규모 사무실에서 사용하는 무선랜이나 무료 무선인터넷 서비스의 경우, WEP은 물론 사용자 인증 등 기본적인 보안구성을 아예 손대지 않은 경우가 대부분"이라고 전했다.

◆사이버 추적, 따돌리는 경유지로도 악용

유선랜과 달리 다양한 공격에 노출될 수 없는 무선랜의 속성상 기술적으로는 완벽한 방어대책이 없는 게 현실이다. 그럼에도 현재 개발된 보안기술을 적극 활용한다면 어느 정도 안전하게 사용할 수 있다. 문제는 관리상의 문제다. 이에 대한 상시적 관리가 부실할 경우, 상당히 큰 위협에 봉착할 수 있다는 것이다.

얼마 전 국내 모 기관에서 무선랜(LAN)을 통해 내부 정보가 밖으로 유출된 사건이 발생했다. 해당기관이 진상을 파악한 결과, 해당 기관 직원이 단순히 업무 편의 목적으로 무선 AP 단말기를 달아 사용했던 것으로 밝혀졌다.

환경에 따라 다르겠지만, 유선 네트워크에 AP 단말기 1대를 연결해 사용할때 아무런 보안조치가 이루어지지 않으면, 그 빌딩 근처에서 내부망에 접속할 수 있었던 사실을 간과했던 것.

실제, 무선랜 해킹피해는 이같은 관리점 허점에서 주로 발생하고 있다. 가령, 전사적으로 유선랜을 사용하는 기업에서 업무 편의목적으로 AP 단말기를 달아 사용할 경우, 자신의 전송데이터는 물론 내부 전산망 자체가 크래킹 위험에 그대로 노출된다. 또한 AP 단말기의 서비스 범위가 건물 외부로 전달될 경우, 이 또한 공격 표적이 될 수 있다는 지적이다.

뉴욕시가 미국 역사상 처음으로 최근 기업들의 보안 네트워크가 안된 무선 AP 설치를 불법으로 규정하는 새로운 법안을 검토하는 이유도 바로 이 때문이다.

누구나 쉽게 접속할 수 있는 개방형 무선랜은 실제 사이버 범죄자들이 국가기관이나 기업 네트워크 침투시, 역추적을 피하기 위한 중간 경유지로 악용되는 경우도 허다하다. 타 기업의 내부 IP들을 훔쳐 쓰는 것이기 때문에 유선 랜포트를 이용할 때와는 달리, 실제 침투자를 찾아낸다는 것이 극히 어렵기 때문이다.

업계의 한 전문가는 "무선랜 보안대책은 기술적인 보완만으로는 완벽하지 않기 때문에, 반드시 관리적인 측면의 보안대책을 적절히 수립하는 것이 무엇보다 중요하다"고 지적했다.

무선랜 뿐만 아니다. 현재 우리나라에서 구축을 서두르고 있는 차세대 무선네트워크 기술도 무선 환경에서는 여전히 비슷한 보안 취약점이 존재할 수 있다고 전문가들은 우려하고 있다.

무엇보다 제대로된 보안 인프라 구축이 선행되지 않고 상용화될 경우, 곧바로 막대한 피해로 이어질 수 있다. 이 때문에 전문가들은 범 정부차원에서의 일관된 무선 네트워크 관리기술과 정책이 시급하다고 입을 모으고 있다.