액티브X 의존 국내 웹 환경, 무엇이 문제인가?

염흥렬 교수, 기술종속성·보안취약성·서비스 이용제약 등 문제지적

웹 접근성 확대 위해 사용자·기업·정부 간에 폭넓게 의견 교류해야

[보안뉴스 김경애] 현재 국내에는 특정 웹 브라우저에 최적화된 비표준 기술이 널리 사용되고 있다. 그 대표적인 예가 액티브X(ActiveX)이다. ActiveX는 웹사이트에서 정적인 웹문서를 멀티미디어 기술로 동작 가능하게 하는 마이크로소프트사의 플러그인(Plug-in) 기술이다. 웹브라운저를 통해 동영상 또는 음악을 재생하거나 전자서명 등 기타 확장 기능을 지원한다.

그러나 다양한 운영체제 환경 및 브라우저에서의 사용이 불가능하고, 보안의 취약성 등이 문제로 대두되며 웹접근성 문제가 제기됐다.

이와 관련 국회도서관에서 열린 ‘제2회 해킹보안세미나’에서 순천향대학교 염흥열 교수는 ‘웹접근성 향상을 위한 문제점과 향후 대응방향’이란 주제로 웹접근성의 현 문제점과 개선방안에 대해 제시했다.

지난해 방송통신위원회가 조사한 민간 및 행정기관의 ActiveX 사용현황에 따르면 국내 민·관 주요 200개 사이트 중 84%인 168개 사이트에서 웹접근성에 문제가 있는 ActiveX를 사용하는 것으로 조사됐다. 민간영역은 결제·인증이 41.1%, 행정기관은 보안 40%에서 ActiveX를 사용하는 것으로 조사됐다.

그렇다면 왜 이렇게 국내에서 ActiveX를 많이 사용하게 된 것일까? 원래 ActiveX 사용은 1990년대 말에 사용이 대폭 증가했다. 당시 국내 웹 환경은 윈도우 운영체제와 웹 브라우저를 번들 방식으로 묶어 제공하면서 자연스럽게 IE 이용자가 증가하게 되었는데, 마침 1999년 전자서명법이 제정됨에 따라 공인인증서가 도입되기 시작했다.

이와 관련 염 교수는 ActiveX 도입 배경에 대해 “1990년대 말에 미국에서 수출되는 웹 브라우저의 암호 채널인 SSL에서는 암호 채널의 경우 40비트 암호 알고리즘을 이용하지만 당시에 안전하지 않아 한국형 암호 알고리즘이 필요했다”며, “1999년 한국인터넷진흥원(당시 한국정보보호진흥원)에 의해 키 블록 암호 알고리즘인 SEED를 개발했다”고 말했다.

그렇다면 ActiveX 기술이 과도하게 이용되고 있는 시점에서 현재 국내 웹 환경은 어떤 문제점이 있을까? 이와 관련 염 교수는 국내 웹 환경의 주요 현안에 대해 △기술종속성 △보안취약성 증가 △서비스 이용 제약 △모바일 환경 호환성 제약의 문제가 있다고 지적했다.

기술종속성의 경우, 특정 플러그인 기술에 너무 의존한다는 것. 다양한 운영체제 환경과 다양한 브라우저 사용되지 못하고, 국내 웹서비스가 특정 플러그인 기술에 종속되는 현상을 초래했다는 것이다.

보안 취약성 증가는 ActiveX의 과도한 사용으로 보안에 대한 경계심을 약화시키고 바이러스 및 악성코드를 내포한 ActiveX 컨트롤을 무분별하게 수용하게 만드는 결과를 만들었다고 밝혔다.

서비스 이용 제약은 비표준 기술인 ActiveX를 기반으로 제작된 공인인증, 개인방화벽, 키보드 보안 등의 기능은 다양한 브라우저 사용자가 서비스를 이용할 수 없는 제약이 발생했다고 밝혔다.

모바일 환경 호환 제약성의 경우도 이와 마찬가지로 스마트폰, 태블릿PC 등 이용자 환경이 다양해짐에 따라 특정 플러그인 기반의 서비스를 이용할 수 없는 제약이 있다. 뿐만 아니라 일반 사용자 권한으로 실행이 가능하고, 인터넷 익스플로러 브라우저에서만 동작이 가능한 비표준 기술이어서 파이어폭스(Firefox), 사파리(Safari), 크롬(Chrome) 등과 같은 다른 웹 브라우저로 웹 사이트와 서비스를 받을 수 있는 웹접근성 향상이 요구된다는 것이다.

국내 인터넷 이용 환경을 개선하기 위해 염 교수는 “웹서비스·웹개발자, 인터넷 이용자 등 다양한 이해관계자들의 의견을 수렴해 반영하려는 정부의 노력이 필요하다”며 “자바 애플릿, HTML5와 같은 웹표준기술을 적용하기 위한 다양한 기술 가이드 제작과 확산 노력이 필요하다”고 강조했다. 또한, 그는 “웹 표준 기술 활용 방법 또는 가이드가 웹사이트 제작자와 이해당사자에게 제공되어 활용하도록 함으로써 웹표준 기술이 적용된 사이트 구축이 확산되어야 한다”고 덧붙였다.

아울러 국내에 특화된 요구사항을 반영하기 위해 W3C, ITU-T, SG-17 등과 같은 국제 표준화 기구에서 활발히 활동하면서 국제 표준화 작업을 선도해야 하고, 글로벌 기업과의 협력 및 협업을 통해 웹 접근성이 보장되도록 하는 등 웹 환경이 개선되어야 한다고 강조했다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)