카이스트, ‘토르’ 보안 취약점 발견해 해결…“단돈 2달러로 사이트 마비 가능”

전산학부 강민석 교수 연구팀, 2025 유즈닉스 보안 학술대회 우수논문상 수상
토르 창립자도 연구 성과 인정…국내 최초 토르 보안 연구로 국제 협력 확대

[보안뉴스 여이레 기자] 카이스트(KAIST) 연구진이 세계 최대 익명 네트워크 '토르’(Tor)에서 치명적 보안 취약점을 발견하고 해결책까지 제시해 국제적 주목을 받고 있다.

카이스트는 전산학부 강민석 교수 연구팀이 지난달 미국 시애틀에서 열린 유즈닉스 보안 학술대회(USENIX Security 2025)에서 우수논문상을 수상했다고 12일 밝혔다.

유즈닉스 보안 학술대회는 정보보안 분야 세계 최고 권위 학회로, 구글 스칼라 h-5 인덱스 기준 보안·암호학 분야 1위를 차지하고 있다. 우수논문상은 전체 논문의 약 6%에만 주어진다.

연구팀은 토르의 혼잡도 인식 방식이 안전하지 않다는 점을 규명하고, 실제 네트워크 실험을 통해 단 2달러의 비용만으로 토르 웹사이트를 완전히 마비시킬 수 있음을 보였다. 이는 기존 공격 대비 0.2% 수준의 비용이다.

기존 토르에 구현된 서비스 거부(DoS) 공격 방어 기법이 오히려 공격을 더욱 악화시킬 수 있다는 사실도 최초로 밝혔다.

또 연구팀은 수학적 모델링을 통해 이 취약점이 발생하는 원리를 규명하고, 토르가 익명성과 이용가능성 사이에서 균형을 유지할 수 있는 가이드라인을 제시했다.

이 성과는 토르 개발진으로부터도 인정받았다. 2월 토르 창립자 로저 딩글다인이 직접 카이스트를 방문해 연구팀과 협력 방안을 논의했다. 토르 운영진은 연구팀의 선제적 취약점 제보에 감사의 뜻으로 6월 약 800달러의 버그 현상금을 지급했다.

연구팀이 제시한 수학적 모델링 기반 해결 가이드라인은 토르 개발진에 전달돼 점진적으로 패치가 적용되고 있다.

강민석 교수는 “토르 익명성 시스템 보안은 세계적으로 활발히 연구되고 있지만, 국내에서는 이번이 최초의 보안 취약점 연구 사례”라며 “이번에 확인된 취약점은 위험도가 매우 높아 학회 현장에서 다수의 토르 보안 연구자들의 큰 주목을 받았다”고 했다. 그는 “앞으로는 토르 시스템의 익명성 강화뿐 아니라 토르 기술을 활용한 범죄 수사 분야까지 아우르는 종합적 연구를 이어가겠다”고 말했다.

▲사진 왼쪽부터 이진서 박사과정, 김호빈 연구원, 강민석 교수 [자료: 카이스트]

이번 연구는 이진서 박사과정(제1저자)과 김호빈 연구원(제2저자)이 수행했으며, 연구팀의 성과는 2025년 과학기술정보통신부 기초연구사업(글로벌 기초연구실) 선정에도 결정적 역할을 했다.

연구팀은 향후 3년 간 이화여대, 성신여대와 국내 협력체계를 구축하고 미국·영국 연구자들과 국제 공동연구를 통해 토르의 익명성 강화와 범죄 수사 분야 활용까지 아우르는 종합적 연구를 이어갈 계획이다.

[여이레 기자(gore@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다