‘하트블리드’ 버그 사태에 대처하는 3가지 자세

IT 기업 ‘이미’ 보안업계 ‘아직’ 스마트폰 사용자 ‘몰라’

‘인터넷 역사상 최악의 버그’로 회자...피해규모 파악 안돼

스마트폰은 체크 앱으로 확인, 가입사이트는 비번 바꿔야

[보안뉴스 권 준] OpenSSL 암호화 방식에서 나타난 보안취약점인 일명 ‘하트블리드(Heartbleed)' 버그 사태가 일파만파로 확산되고 있다.

지난 7일 발견된 하트블리드 버그가 일주일을 넘어서며 국내외 보안업계 등 IT 기업 전반은 물론 일반 스마트폰 사용자로까지 확대되는 양상을 보이고 있기 때문이다.

핀란드 보안업체 코데노미콘의 연구원들에 의해 최초로 알려진 하트블리드 버그가 ‘인터넷 역사상 최악의 버그’ 또는 ‘사상 최악의 인터넷 보안위협’으로까지 일컬어지면서 그 피해와 향후 파장은 더욱 거세질 전망이다.

그럼 이번 하트블리드 버그 사태에 대처하는 국내외 IT 기업, 보안업계, 그리고 스마트폰을 사용하는 일반인들의 자세는 어떨까?

IT 기업 ‘이미’...대부분 패치 완료, 고객사 등에 경고

먼저 국내외를 대표하는 IT 기업 등은 가장 발 빠르게 취약점 대응을 마친 것으로 알려졌다. 전 세계 3분의 2에 해당하는 사이트가 이 기술을 이용중이라는 통계에서도 보듯이 대부분의 글로벌 IT 기업이 이번 버그에서 자유로울 수 없기 때문이다.

일례로 페이스북과 구글 등은 이미 패치를 완료했고, 시스코, HP, IBM, 인텔 등은 고객사에 버그의 위험성을 전파하는데 주력하고 있다. 또한, 대표적인 국내 IT 기업인 네이버나 다음, 카카오 등도 조치가 이루어진 것으로 확인됐다.

보안업계 ‘아직’...취약점 분석 또는 패치 개발중

수많은 보안 솔루션에 적용되는 OpenSSL 암호화 기술로 인해 보안업계도 비상이 걸렸다. 자사의 보안장비가 하트블리드 버그에 취약할 경우 보안에 취약한 보안 솔루션이라는 오명을 되짚어 쓸 수 있기 때문이다.

그러나 보안업계 대응은 아직 진행 중이라는 표현이 적당할 듯싶다. 팔로알토네트웍스를 비롯한 일부 보안업체들이 보안 업데이트를 완료했다고 발표했지만, 아직 상당수 업체들이 자사 장비의 취약성 여부를 파악 중이거나 패치작업을 진행 중인 단계로 알려졌다.

이와 관련 한 보안업체 관계자는 “우리 회사도 이제야 우리 제품의 취약성 여부를 분석해서 패치 작업에 돌입한 상태”라며, “고객사에 들어간 네트워크 보안 장비의 패치 작업이 모두 마무리되는 데는 상당한 시간이 소요될 것”이라고 말했다.

일반 사용자 ‘몰라’...스마트폰엔 무방비 상태

더욱이 최근에는 구글 보안 블로그를 통해 하트블리드 버그로 인한 안드로이드 스마트폰 및 태블릿 PC 등에서의 개인정보 유출 가능성이 제기된 바 있다.

특히, 갤럭시 S3와 갤럭시 노트 2 등 젤라빈 4.1.1이 설치된 스마트폰이 그 대상이 된다는 점에서 스마트폰에서도 매우 위험한 버그지만, 대부분의 일반인들은 그 위험성과 심각성에 대해 전혀 인지하지 못하고 있는 실정이다.

이와 관련해 모바일 보안업체인 룩아웃(Lookout)에서는 자신의 스마트폰이 하트블리드 버그에 취약한지 체크할 수 있는 앱인 ‘하트블러드 디텍터’를 개발해 지난 9일부터 무료 배포하고 있다. 안드로이드 스마트폰 사용자는 이 앱을 통해 취약성 여부를 체크해본 후, 모바일 OS를 업그레이드하는 등의 후속조치를 취할 필요가 있다는 것.

▲ 자신의 스마트폰이 하트블러드 버그에 취약한지 체크할 수 있는 무료 앱 ‘Heartbleed Detector’

또한 일반 사용자들은 포털 등 자신이 가입한 주요 인터넷 사이트들의 버그 패치 여부를 확인한 후, 비밀번호를 변경하는 것이 안전하다는 게 보안전문가들의 조언이다.

취약점을 악용할 경우 정보가 줄줄 새어나와 ‘심장출혈’이라는 무서운 닉네임을 가진 버그. 개인정보를 수집하는 거의 대부분의 인터넷 사이트에서 각종 개인정보 및 금융정보를 탈취할 수 있고, 탈취한 후에도 그 흔적조차 찾을 수 없다는 무시무시한 버그.

이 하트블러드 버그가 잇따른 개인정보 유출사건과 윈도우XP 지원 종료에 이어 또 다른 핵폭탄급 파장을 일으키고 있다.
[권 준 기자(editor@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)