|
|
[보안뉴스 오병민] 문서보안 솔루션으로 널리 쓰이고 있는 DRM(Digital Rights Management)에서 문서 유출이 가능한 취약점이 방치된 채 이용되고 있는 것으로 알려져 대책이 요구되고 있다.
이는 국내 DRM 제조사들이 고객사의
성능개선 요구로 인해 API에 대한 검증 기능을 빼고 공급해 나타나는 문제다. 전문가들은 이로 인해 문서가 열람된 상태에서 API 후킹을 이용한 유출이나 DRM 자체를 무력화 할 수도 있다고 이야기 한다.DRM은 콘텐츠의 저작권을 보호하는 솔루션으로써 기업이나 공공기관 등에서는 문서 유출을 막기 위해 권한이 있는 사용자만이 문서를 이용할 수 있도록 통제하는 솔루션으로 이용되고 있다. 가령 일반적으로 많이 사용하고 있는 워드나 엑셀, 파워포인트 및 한글로 작성된 문서를 비롯해 CAD와 같은 설계도면을 암호화함으로써 문서 유출에 대한 대비하기 위한 솔루션이다.
현재 DRM은 청와대를 비롯한 각부처 및 공공기관과 군관련 기관, 수사기관, 금융기관 및 제조 유통 등 많은 분야의 기업에서 주요 문서 보안을 위해 도입해 사용하고 있다.
이번에 발견된 문제점은 DRM 설계상의 한계에 의한 문제라고 볼 수 있다. 열람 권한을 가진 이용자가 문서를 열람하고 있는 상태에서 특수하게 설계된 API를 이용해 열람한 문서를 DRM이 해지된 상태로 문서를 저장할 수 있는 취약점이다.
물론 이 같은 문제는 API 후킹이나 디버깅을 모니터링 할 수 있는 기능 및 차단 기능을 적용하면 해결할 수 있는 문제다. 따라서 국내 DRM 제조사들은 국정원 보안적합성 검증 심사에서는 이 같은 기능을 적용해 심사를 통과한 것으로 파악되고 있다. 그러나 문제는 기업에서 DRM이 사용될 때는 API 차단 기능들이 적용 안되거나 축소돼 이용되고 있는 것으로 나타나고 있다. 그 이유는 API 차단 기능이 이용자 시스템 성능에 영향을 주기 때문이다.
업계의 한 관계자는 “사실 원래 DRM제품에는 API 후킹을 방지할 수 있는 기능이 적용돼 있지만 이런 기능을 이용할 경우 이용자 PC가 느려진다는 이유로 고객사 측에서 먼저 기능을 빼달라고 한다”면서 “물론 API를 통한 후킹의 위험이 존재하긴 하지만 이 또한 열람 권한을 가진 경우에만 해당되기 때문에 큰 문제가 되지 않을 것”이라고 덧붙였다.
업계의 이런 주장은 면피성 변명에 지나지 않는다는 주장도 나오고 있다. 지금까지 나타난 대부분 기밀문서 유출이 내부자의 소행인 경우가 많기 때문이다.
중소기업청 중소기업기술보호상담센터에 통계 자료에 따르면, 산업기밀 유출의 대부분이 퇴직사원, 협력업체 직원, 현직사원 등 문서를 열람할 수 있는 내부직원에 의한 것으로 해킹에 의한 경우는 매우 적은 상황이다.
DRM 취약점을 제보한 국내 유명 화이트해커 구사무엘은 “만약 열람 권한을 가진 내부자가 내부 정보를 유출하고자 마음먹는다면 저장이 가능하도록 설계된 API를 이용해 DRM을 무력화하거나 내용을 복사할 수 있다”면서 “이 문제는 근본적으로 DRM 소프트웨어의 잘못된 설계에서 파생된 문제이기 때문에 고치는 것은 사실상 불가능할 것으로 보인다”고 주장했다.
이어 그는 “이미 DRM으로 암호화되어 축적된 문서들은 DRM 설계구조상, 열람권한이 있는 공격자가 취약점이 있는 DRM 클라이언트를 악용하여 전부 복호화가 가능한 상태이며 이 문제는 DRM 클라이언트가 패치된다고 해서 해결되는 문제도 아니라고 생각된다”면서 “업체들은 별 문제가 없을 것이라 말하지만 DRM 클라이언트에서 한번 발견된 취약점은 지금까지 DRM으로 암호화된 모든 문서가 유출 가능함을 의미하는 것으로, 본 발견자가 비전공자임에도 불구하고 5시간 만에 뚫을 수 있는 정도라고 봤을 때 현재 DRM은 제 기능을 하기 힘들다고 생각된다”고 말했다.
그리고 그는 이런 문제가 이미 업계에서도 몇 번 제기된 적 있었고 업체들도 해당 문제점을 인지하고 있지만 해당 업체들은 이를 해결하고자 하는 의지가 불분명해 보인다고 지적했다.
[오병민 기자(boan4@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
오병민기자 기사보기
[2024-10-31] .jpg)
