차세대 보안 위협 키워드「인공지능 봇」

시만텍코리아 강영호 이사는 “봇은 취약점들을 스스로 검색해 취약점을 파고들 뿐만 아니라 스스로 복제되면서 원본과 다른 모양의 변종으로 바뀌고 있다. 따라서 지금까지 개발된 패턴 방식의 안티바이러스 시스템으로는 대처하기 힘들다”라고 말했다.

시만텍 보안 연구소가 매년 상하반기 2차례에 걸쳐 내놓는 ‘인터넷 보안 위협 보고서’에 따르면 지난 해 인터넷 대란을 불러일으켰던 장본인인 ‘슬래머’ 웜이 여전히 인터넷 공격 유형 1위를 차지하고 있으며 기타 이미 패치가 나왔음에도 불구하고 윈도우 관련 취약점 공격이 상위를 차지하고 있는 것으로 나타났다. ‘웜은 인터넷 환경에서는 멸종되지 않는다’라는 상식을 그대로 보여주고 있는 것.

주목할 만한 위협으로는 지난해 하반기 조사에는 없었던 공격 유형인 ‘봇’의 출현이다. 지난 1월부터 6월까지 기하급수적으로 늘어난 봇의 공격은 이미 3만대의 컴퓨터를 감염시킨 것으로 조사됐다. 아직까지 이렇다 할 피해는 발생하고 있지 않지만 이 봇을 원격으로 조종 가능한 해커가 출현한다면 동시다발적인 피해가 예상되는 상황이다.

시만텍 코리아의 개발실 실장으로 지난 97년부터 일해오고 있는 강영호 이사는 “코드레드가 시한을 정해 특정 사이트를 공격하도록 코딩돼 있었던 것에 비해 봇은 원격으로 임의 조종이 가능하기 때문에 봇에 감염된 컴퓨터는 일제히 공격용 컴퓨터가 될 수 있다”며 주의를 당부했다.

의도된 인터넷 공격이 늘고 있다
그는 이 보고서의 결과를 설명하면서 또 하나 지적한 인터넷 보안 위협으로 사기 유형에 가까운 ‘피싱(Phishing)’에 대해서도 각별한 주의가 필요하다고 말했다.

원래 피싱은 기존 유명 도메인에서 철자 하나만 바꾸는 등 유사한 도메인을 등록시켜 똑같은 레이아웃으로 꾸며 놓은 다음 사용자들이 실수로 들어와 개인정보를 기입하기를 기다리는 인터넷 사기 수법으로 낚시에 물고기가 걸려들 때까지 기다린다고 해서 ’피싱‘이라는 이름이 붙었다.

하지만 최근에는 은행이나 쇼핑몰 등 전자상거래 사이트에서 개인 정보 수정에 대해 공식적으로 요청하는 것처럼 꾸며 사용자에게 이메일을 보내 이메일 안에 있는 링크로 사용자를 유도해 개인정보를 기입하도록 유인하는 수법이 널리 이용되고 있어 해외에서는 피해사례가 종종 발생하고 있다.

강 이사는 “해외의 피싱에 대한 피해 사례가 국내에서는 특별히 없지만 국내 인터넷 뱅킹 사용이나 전자 상거래 이용이 폭발적으로 늘고 있는 국내 현실을 감안한다면 미리부터 이런 사기 수법에 대해 정확하게 이해하고 있어야 피해를 막을 수 있다”고 말했다.

또한 취약점 발견 시기와 발견된 취약점을 공격하는 시기의 시간 간격이 점차 짧아지고 있다는 점도 우려할 만한 사항이다. 시만텍의 보고서에 따르면 취약점 발견 시기에서 이를 이용하는 악성코드의 발생 시점의 평균 시간 간격이 5.8일로 짧아진 것으로 나타났다. 이는 처음으로 일주일 단위 이내로 좁혀진 것으로 당일 악성코드의 출현을 의미하는 ‘제로데이 공격(0-Day Attack)’이 가까워지고 있는 것을 의미한다.

강 이사는 “사실상 제로데이 공격은 이뤄지고 있는지도 모른다. 다만 취약점이 발견되고 패치가 개발된 시점에 이를 이용한 공격이 있었는지 여부를 모르기 때문에 취약점 발견 이후에나 공격이 이뤄지는 것을 인지할 수 있다”라며 취약점 패치를 했다고 해서 피해가 발생하지 않았다는 것을 보증할 수 없다고 말한다.

쉽게 악용되고 피해는 광범위한 취약점 대책 시급
이번 보고서에는 또한 인터넷 익스플로러에 대한 취약점 보고가 증가하는 등 상대적으로 웹브라우저 등 웹 응용 프로그램에 대한 공격이 점차 늘고 있다고 지적했다. 데이터베이스에 기록된 웹 응용 프로그램 취약성 중 약 82%가 악용하기 쉬운 대상으로 분류되어 별다른 해킹 툴이 없어도 컴퓨터를 장악할 수 있는 위험한 취약점이 속속 발견되고 있다.

한편 공격 경향을 보면 지난해 하반기에는 공격 대상 가운데 전자 상거래 사이트가 4%에 지나지 않았지만 이번 조사에서는 16%로 갑자기 늘어 점차 인터넷 공격이 특정한 이익을 노리는 경향으로 바뀌고 있음을 보여주고 있다. 이는 예전처럼 해커가 자신의 명성이나 실력을 드러내기 위해 해킹을 시도했던 경향과 달리 자신을 드러내놓지 않고 범죄를 행하기 위해 해킹을 이용하고 있다는 의미로 해석된다.

시만텍이 일년에 2차례 내놓는 인터넷 보안 위협 보고서는 500개 이상의 시만텍 보안 관제 서비스를 받고 있는 고객사와 180개 이상의 국가에서 네트워크 활동을 모니터하는 2만 개 이상의 센서, 그리고 1억 2000만 개 이상의 클라이언트, 서버, 게이트웨이 안티바이러스 시스템 등을 통해 수집된 정보를 기초로 작성되어 공표되는 보고서이다.

이 보고서의 내용을 살펴보면

공격 동향

• 지난 6개월간 가장 일반적인 공격유형은 슬래머웜으로 IP 주소에 대한 공격 중 15%가 슬래머웜이었다. 두번째로 흔한 공격유형은 가오봇(gaobot)과 가오봇 변종으로 올해 상반기 동안 600% 이상 늘어났다
• 전반적으로 2004년 상반기의 인터넷기반의 웜공격이 줄어들면서 일일 공격건수 역시 줄었다. 한편 전자상거래 분야가 가장 많은 공격을 받았으며, 중소기업이 두 번째로 많은 공격을 당한 것으로 조사됐다.
• 2004년 상반기 최대 공격진원지는 미국이며, 그 공격 수치는 2003년 하반기 58%에서 2004년 상반기 37%로 감소했다. 반면 다른 국가들의 수치는 증가하여 공격활동이 보다 국제화되고 있음을 알 수 있다

취약점 동향

• 2004년 상반기동안 취약점 발표부터 관련 취약점의 악용까지의 소요시간은 평균 5.8일이다.
• 시만텍 취약점 데이터베이스(Symantec Vulnerability Database)에 따르면 2004년 1월 1일부터 2004년 6월 30일 사이에 1,237건의 새로운 취약점이 발견됐다. 이 중 96%는 보통 혹은 매우 심각한 취약점이고, 70%는 악용하기 쉬운 취약점이다. 해당 공격코드가 이미 유포된 취약점의 64%는 매우 심각한 수준이었다.
• 2004년 상반기에 479건(총 신규취약점의 39%)은 웹 애플리케이션 관련 취약점이다.

악성코드 동향

• 시만텍은 2004년 상반기에 4,496건 이상의 새로운 윈도우 바이러스와 웜(특히 Win32)을 발견했다. 이는 전년동기 대비 4.5배 늘어난 수치이다.
• 봇 변종이 2004년 상반기에 600% 증가를 나타내며 매우 빠르게 증가하고 있다.
• P2P, IRC(Internet relay chat), 네트워크 파일 공유가 웜과 여타 악성코드의 매개체로서 꾸준히 이용되고 있다.
• 애드웨어가 악성코드 공격사례 상위 50위 중 6위로 나타나 갈수록 문제가 커지고 있다.
• 최초의 이동통신기기 악성코드인 카비르(Cabir)가 등장했다.

최근 동향 및 향후 전망

• 앞으로 클라이언트에 대한 공격이 늘어날 것으로 예상된다. 즉 방화벽, 라우터, 기타 보안기기 등 사용자의 시스템을 보호하는 보안 디바이스를 겨냥한 공격이 늘어날 것으로 우려된다.
• 시만텍은 봇 네트워크가 더욱 정교한 통제 기법과 탐지가 어려운 동시 다발 공격을 감행할 것으로 예상한다.
• 최근 리눅스 및 BSD 취약점을 악용, ‘새롭게 개념을 정의하는(Proof-of-Concept)’ 바이러스 사례가 곧 공격 기반으로 등장할 것으로 예상된다. 아울러 이동통신기기를 대상으로 한 공격 시도가 증가할 것으로 예측한다.

시만텍코리아 (ZDNet Korea)
2004.09.23

MS가 최근에 발표한 윈도우XP 서비스팩2(SP2)에 대해 보안 전문가들의 찬사가 이어지는 가운데, 웹을 통해 소프트웨어를 배포하고 있는 일부 회사들은 불안과 의구심 담긴 시선으로 MS를 바라보고 있다. 바로 ‘액티브X(ActiveX)’ 때문이다.

지난 몇 년 동안 소프트웨어 개발자들은 MS가 개발한 액티브X라는 강력한 API를 이용해 웹페이지에 ‘플러그인(Plug-In)’ 형태의 외부 애플리케이션을 제공해 왔다. 그러나 브라우저에 꼭 필요한 소프트웨어를 실행시켜 주는 액티브X는 악의적인 소프트웨어에도 마찬가지 역할을 수행한다. 결국 액티브X는 그동안 다양한 보안문제와 결부돼 왔으며, 특히 최근에는 애드웨어나 스파이웨어, 혹은 다른 악성소프트웨어 설치에도 책임이 있는 것으로 밝혀졌다.

그러나 최근 몇차례 출시 연기를 거듭한 끝에 선보인 보안 중심의 윈도우 운영체제 업데이트 SP2를 설치하면 웹사이트에서 팝업창을 띄우거나 액티브X나 다른 코드를 설치할 경우 보다 엄격한 경고 메시지가 나타난다. 기존까지는 익스플로러 사용자가 플러그인을 설치할 때 보안 스크린에서 ‘예’, 혹은 ‘아니요’ 식의 간단한 옵션만 선택할 수 있었으나, SP2를 설치하고 나면 액티브X 설치가 기본적으로 차단되면서, 알 수 없는 소프트웨어가 PC에 해를 끼칠 수 있으며 설치 경로도 불확실하다는 내용의 경고창이 나타난다.

SP2 효과, 일파만파 확산
그러나 액티브X에 크게 의존하는 일부 소프트웨어 업체들은 MS가 자사의 전략적 목적을 위해 보안문제를 이용하는 것 아니냐며 의혹을 제기하고 있다. 1992~1997년 사이 MS 다이렉트X 그래픽 개발에 참여했고 현재 와일드탠전트(WildTangent) 3D 게임 사이트를 운영하고 있는 알렉스 세인트존은 “우리는 SP2가 완전히 배포될 때까지 기다리고 있다. 아마도 사용자들은 SP2 경고문에 대해 크게 혼란스러워할 것이며 플러그인 설치 자체를 취소할지도 모른다. 아무것도 이해하지 못하는 사람들도 많을 것이다. SP2는 브라우저를 통해 컨텐트를 서비스하는 모든 비즈니스 모델을 파괴하고 있다”고 말했다. 다른 업체들도 SP2가 3D 플러그인 제품의 배포를 방해할 것이라는데 동의했다.

샌프란시스코 소재 미디어 머신(Media Machines)의 창업자이자 VRML의 공동 개발자인 토니 파리시는 “SP2는 많은 사용자들에게 혼선을 줄 것이다. 특히 웹과 인터넷 익스플로러를 이용해 제품을 저렴하게 배포해 온 독립소프트웨어개발사(ISV)들의 발목을 잡을 것이다. 보안 강화의 취지는 인정하지만 SP2는 ISV의 활동 영역을 위축시킬 것이다”라고 말했다.

물론 보안문제는 사소한 문제가 아니다. MS가 액티브X 이용을 제한한 조치는 지난 수년간 MS가 시스템 보호를 소흘히 했고, 특히 액티브X 관련 보안문제를 허술하게 처리해 왔다는 불만에 따른 것이었다. 2년 반전 MS 빌게이츠 회장은 보안문제가 MS사의 가장 중요한 과제라고 선언하기도 했다.

인터넷 익스플로러 이전에도 액티브X 컨트롤을 실행하려면 사전에 사용자가 승인해야 했다. 그러나 SP2 이전에는 악의적인 해커가 이런 경고를 반복적으로 보내거나 클릭하기 쉽게 무력화할 수 있을 것으로 밝혀졌다. SP2 작업에 참여한 인터넷 익스플로러 그룹의 프로그램 매니저 덕 스탬퍼는 “우리는 대다수 사용자들이 액티브X 경고문을 읽지 않고 ‘OK’ 버튼을 클릭하는데 익숙하다는 점을 발견했다. 사용자들이 의식하지 못하는 사이에 다운로드를 받는 것을 막기 위해 액티브X 사용 방식을 변경했다”라고 말했다.

그 변경의 핵심은 웹 주소창 바로 아래에서 메세지를 표시하는 ‘정보막대(information bar)’이다. SP2는 사용자가 이 경고문을 지나치지 않도록 관련 대화상자를 표시하며, 사용자가 이에 대한 조치를 확실히 마무리할 때까지 계속 나타나도록 돼 있다.

정보막대는 특정 웹사이트가 시도하는 작업에 따라 다양한 경고 메세지를 보낸다. 웹사이트가 액티브X 콘트롤을 실행하는 경우에는 “이 사이트에서 액티브X 콘트롤을 필요로 합니다. 해당 액티브X 컨트롤을 설치하려면 클릭하세요”라는 메시지가 사라지지 않고 계속 남아 있는다. 공짜로 설치되는 리얼플레이어 같은 경우에도 “보안을 위해 인터넷 익스플로러가 이 사이트에서 파일 다운로드를 차단했습니다. 다른 옵션을 보려면 여기를 클릭하시오”라는 경고문이 나타난다.

MS는 자사의 연구결과 새 시스템이 완벽하지는 않지만 대다수 사용자가 사용할 수 있다고 밝혔다. 스탬퍼는 “사용가능성 시험과 엔지니어링 시험 결과 정보막대와 경고메세지가 잘 작동하는 것으로 보인다. 100% 완벽하지는 않지만 대다수는 정보막대의 목적을 이해했다”라고 말했다.

SP2에는 액티브X 이외에도 또 다른 잠재적인 문제가 숨어 있다. MS와 다른 제휴업체들은 SP2 출시 이후 기술지원을 요청하는 전화문의가 폭주할 것으로 전망하고 있다. 한 연구에 의하면 IT 매니저들은 SP2가 지금까지의 윈도우 업데이트 중에서 가장 까다롭다는 사실에 대해 우려하고 있는 것으로 조사됐다. 또한 컴퓨터 제조업체들도 소비자들이 윈도우의 자동업데이트를 통해 SP2를 다운받기 전에 충분히 관련사항을 숙지하라고 경고하고 있다.

보안 가장한 독점 전략의 일환?
인터넷 보안문제가 끊임없이 발생하는 가운데 한 IT 애널리스트는 MS의 액티브X 사용 제한 조치를 옹호하고 나섰다. 버튼 그룹의 애널리스트 피터 오켈리는 “이 문제는 MS가 어떤 방식으로 처리해도 곤욕을 치를 수 밖에 없는 사안이다. 모든 사람들을 위한 보안 강화와 일부 ISV와 사용자의 불편함 중에서 선택해야 한다면 결론은 명백하다”라고 말했다.

그러나 MS의 비판자들은 MS가 보안 문제를 해결하는 다양한 방법 가운데 자사의 사업을 강화하고 다른 회사를 위축시키는 방안을 선택하고 있다고 지적한다.

와일드탠전트의 세인트존은 이러한 주장의 근거로 일반적인 웹기술 대신 MS의 닷넷 프레임워크와 C# 언어를 사용하면 새로운 액티브X 보안 프로토콜을 우회할 수 있다는 점을 들었다. 그는 대다수의 게이머들이 전화접속으로 연결되어 있기 때문에, 대규모 다운로드가 필요한 닷넷 방식은 그리 적합하지 않다며 그럼에도 불구하고 MS가 SP2를 통해 액티브X를 차단했기 때문에 닷넷을 검토할 수 밖에 없다고 지적했다. 세인트존은 “이 모든 과정이 보안문제 해결을 명분으로 이루어지는 것이 문제”라고 덧붙였다.

더구나 액티브X의 사용을 어렵게 한 SP2는 MS의 경쟁 소프트웨어 업체들을 더욱 궁지로 몰아넣고 있다. 예를 들면 애플의 퀵타임 미디어 플레이어나 리얼네트웍스의 리얼플레이어, 어도비 시스템의 애크로뱃 리더기, 그리고 매크로미디어의 플래시 애니메이션 소프트웨어와 플렉스 애플리케이션 서버 소프트웨어 등이 모두 간접적으로 피해를 볼 것으로 전망된다.

인터넷 애플리케이션 개발에 필요한 플래시 소프트웨어를 제공하는 한 회사는 이 문제를 명확하게 설명하낟. 샌프란시스코 소재 래즐로시스템(Laszlo Systems)의 최고기술책임자(CTO) 데이빗 템킨은 “대부분의 네트워크 보안문제는 액티브X와는 관계가 없다. MS는 이번 기회를 이용해 클라이언트 기술을 통제하고자 하는 것이다. 이것은 플렉스나 리얼, 퀵타임과 같은 소프트웨어에 매우 불리하다”라고 말했다.

MS는 보안 문제를 전략적 구실로 이용하고 있다는 이러한 지적에 대해 전면 부인했다. 스탬퍼는 “우리들은 고객들이 최대한의 정보를 갖고 모든 것을 결정할 수 있도록 올바른 경고문을 제공해, 플러그인을 설치할 것인지 제대로된 동의 과정을 거치자는 것이다. 소프트웨어 판매업체의 활동을 방해하려는 것이 아니다”라고 말했다.

되풀이되는 과거?
그러나 윈도우 운영체제의 역사를 잘 알고 있는 사람들이라면 MS의 이런 변명이 처음이 아니라는 것을 알 수 있을 것이다. 지난 1999년 DR-DOS의 개발사인 칼데라는 MS가 DR-DOS 소프트웨어에 대해 매우 불쾌한 에러 메시지를 표시한다며 비난하고 나섰다. 이 사건은 2000년 MS와 칼데라 사이의 합의로 마무리됐지만 당시 MS는 이번 사건과 똑같은 방식으로 부인했었다.

MS에 비판적인 사람들은 현재 SP2의 액티브X 시스템이 직접적으로 제어하는 분야, 즉 미디어 플레이어와 인터넷 기반의 생산성 애플리케이션 시장의 경쟁이 매우 치열하다는 점을 지적한다.

윈도우 미디어 플레이어는 MS 운영체제에 이미 통합돼 있기 때문에 SP2의 경고 메시지가 표시되는 리얼플레이어나 퀵타임과 달리 큰 이점을 누릴 수 있다. 만약 MS의 새로운 경고창을 보고 사용자들이 액티브X 컨트롤 사용을 기피한다면 윈도우 미디어 플레이어로서는 더욱 유리해지는 것이다.

이와 관련해 현재 리얼네트웍스는 MS를 상대로 반독점 소송을 진행중이다. 이번 소송에서 리얼네트웍스는 윈도우의 독점으로 인해 온라인 미디어 플레이어 분야에서 소비자들의 선택폭이 제한을 받고 있다고 주장하고 있다. 리얼넷웍스는 반독점 소송에 대해서는 활발하게 의견 표명을 하면서도 SP2의 액티브X에 대해서는 논평을 거절했다.

MS와 점점더 경쟁적인 관계로 발전하고 있는 어도비 역시 자사의 애크로뱃 리더 플러그인이 SP2로 어떤 피해를 입을 것인지에 대해 논평을 의견 표명을 자제했다. 애플은 인터뷰는 거절했지만 성명을 통해 “우리는 윈도우 XP에 SP2를 설치해 퀵타임을 테스트해 보았으나 플러그인 기반의 컨텐트에 실제 부정적인 결과를 미치는지 목격하지 못했다”라고 밝혔다.

한편 매크로미디어는 자사의 플래시 플레이어를 SP2 설치 상태에서 배포하는데 따른 문제점에 대해 언급을 피하면서, 지난 봄부터 보안과 편리한 사용이라는 개념 사이에서 균형을 이루기 위해 MS와 함께 연구해 왔다고 밝혔다.

매크로미디어의 수석 소프트웨어 아키텍트인 케빈 린치는 현재 액티브X 경고창에 문제가 있다고 생각하는 ISV들은 테스트 버전을 보아야 한다고 밝혔다. 그는 “일단 액티브X 컨트롤을 설치하는 일반 사용자들은 이를 성공적으로 설치하는 것이 쉽지 않다는 것을 경험했다. 경고창의 표현이 너무 애매해서 사용자들은 무엇을 해야 하는지 판단하기 힘들고, '이것은 당신 PC에 위험할 것이다'라고 말하는 단계에서 너무나 많은 실수가 있었다. 그러나 MS가 이런 문제들을 매우 잘 해결해 주어 우리는 결국에는 매우 만족하고 있다”라고 말했다.

실제로 매크로미디어와 MS는 ‘협조적인 경쟁(cooperative competition)’ 관계의 교과서라도 해도 손색이 없다. MS는 윈도우 XP에 매크로미디어의 플래시 플레이어 버전 5를 번들링하며 플래시 플레이어 배포를 지원했다. 매크로미디어 플래시는 SP2에 탑재된 유일한 써드파티 소프트웨어로, 윈도우 사용자들은 자동적으로 플래시 5에서 6버전으로 업그레이드할 수 있다.

MS, SP2와 롱혼 무기로「닷넷 도입 강요?」
그러나 MS는 매크로미디어의 최신 플레이어인 플래시 7은 번들하지 않기로 결정했다. 플래시 7은 매크로미디어 플렉스(Flex) 플랫폼에서 인터넷 기반 애플리케이션을 실행하는 필수적이다. 플렉스 서버 소프트웨어와 플래시 7이 목표로 하고 있는 것은 궁극적으로 그래픽 중심의 초고속 애플리케이션으로, 이것은 MS가 윈도우 XP의 차기버전 롱혼에서 구현하고자 하는 것과 일치한다.

물론 MS의 한 중역은 MS가 플래시 7보다 플래시 6을 선택한 것은 기술 및 보안상의 이유라고 밝혔다. 그러나 버튼의 애널리스트 오켈리는 “MS는 이전 버전과 달리 플래시 7을 경쟁자로 보고 있다. 제공하고 싶지 않은 마음을 이해할 수 있다”라고 말했다.

매크로미디어는 EU에서 MS가 플래시 7과의 경쟁을 의식해 자동 업데이트되는 소프트웨어에 대해 우려를 표시한 적이 있었다고 밝혔다. 그러나 MS는 곧 이 문제에 대한 언급을 중단했다. MS의 진정한 의도가 무엇인지 분명치 않지만, 분명한 것은 이번 결정으로 SP2가 설치된 PC에서 플래시 7이 필요한 웹페이지를 열기 위해서는 액티브X의 보안이라는 장애물을 뛰어 넘어야 한다는 사실이다.

매크로미디어에 따르면 현재 플래시 7은 매우 빠른 속도로 보급되는 것으로 알려졌다. 미국내에서는 인터넷에 연결된 컴퓨터의 66%가, 그리고 유럽에서는 81% 이상이 플래시 7을 채택한 것으로 추정하고 있다.

한편 다른 소프트웨어 업체들은 SP2라는 새로운 보안 질서에 대해 우려를 표시하고 있다. 미디어 머신의 창립자 파리시는 “이것으로 플러그인 문제가 더 악화됐다. 우리 고객들의 클라이언트들은 플러그인 설치 문제를 겨우 해결했다고 해도, 또다시 넘어야할 장애물을 얻게 된 셈이다”라고 말했다.

플러그인 개발업체들이 SP2로 잔뜩 긴장하고 있지만, 래즐로시스템은 더 큰 문제를 걱정하고 있다. 즉 플래시와 액티브X에 의존하고 있는 소프트웨어 개발자들은 MS의 선처를 기다릴 수 밖에 없는 처지에 놓였다는 것이다.

래즐로시스템의 기술 담당자 템킨은 “현재 정말 불확실한 것은 SP2가 아니다. 정말로 큰 문제는 롱혼이다. MS가 어떤 종류의 플래시든지 번들링하기는 할까? MS가 사람들에게 겁을 잔뜩 주면서 플러그인을 다운받지 않도록 하지는 않을까? 우리는 롱혼 출시 전까지 닷넷 프레임워크와 개발툴을 도입해 우리 소프트웨어가 닷넷 클라이언트와 호환되도록 할 예정이다. 액티브X의 보안을 피하기 위해서는 어쩔 수 없이 이를 도입해야 한다”라고 말했다.

윈도우 사용자 49.2%, MS 보호 못받는다  

윈도우 XP가 아닌 구 버전 윈도우를 사용하는 사람은 전세계으로 약 2억 명이다. 인터넷 익스플로러(IE) 최신 보안 업데이트의 혜택을 받고 싶다면, 이들은 이제 구형 윈도우를 폐기하고 윈도우 XP를 새로 구입해야 한다.

MS는 이번 주 내내 IE 브라우저의 새로운 보안 업데이트는 윈도우 XP SP2에 포함된 것 외에 다른 윈도우 버전으로는 배포하지 않을 것임을 여러 차례 강조했다.

윈도우 XP의 박스 가격은 미국 현지에서 199달러이며, 이전 윈도우 사용자가 XP로 업그레이드 할 경우엔 99달러다. 이 가격은 운영체제는 바꿀 생각 없이 단지 '안전한 브라우저'만 구하는 사용자에겐 지나치게 높은 가격이다.

디렉션온MS의 애널리스트 마이클 체리는 "브라우저의 보안만 강화하고 싶은 경우에도 반드시 전체 운영체제를 업그레이드 해야 한다는 것이 MS 업데이트 정책의 문제"라며 "이는 XP로의 업그레이드를 종용하려는 의도가 있는 것으로 보인다"고 말했다.

MS는 IE의 최신 보안 업데이트가 XP 사용자들에게만 제공될 것이라는 점을 분명히 했다. 이 회사는 성명서에서 "윈도우 XP SP2에 포함된 보안 업데이트를 윈도우 2000을 비롯한 구 버전 윈도우용으로 제공할 계획은 갖고있지 않다"며 "현재 가장 안전한 윈도우는 윈도우 XP SP2다. 우리는 사용자들에게 가능한 한 빨리 윈도우 XP, SP2로 업그레이드 할 것을 권고한다"고 밝혔다.

구 버전 윈도우 사용자들에게 IE의 최신 보안 업그레이드를 제공하지 않음으로써 MS는 XP 업그레이드 수요를 촉진시킬 수 있을 것이다. 현재 MS의 운영체제 비즈니스는 정체돼 있는 상황이다.

MS가 윈도우 XP를 선보인지 이미 3년이 지났고, 다음 버전인 코드명 '롱혼'의 출시는 2006년으로 연기됐다. 그나마도 일정을 맞추기 위해 원래 롱혼에 포함시키기로 했던 최신 기술 일부를 빼기로 결정했다.

미 금융권은 롱혼 출시 전까지 매출을 발생시킬 수 있는 새로운 운영체제를 학수고대하고 있지만, MS는 2억 명의 구 버전 윈도우 사용자를 XP로 업그레이드 시킬 계획에 골몰하고 있는 형국이다.

XP외의 구 버전 윈도우는 보호 못받아
XP 수요를 확대시키기 위해 고의적으로 인터넷 보안 문제를 이용한 게 아니냐는 지적에 MS는 반박하고 있다.

이 회사 대변인은 "어떠한 보안 관련 문제나 상황도 업그레이드 촉진에 이용하지 않고있다"며 "다만 한가지 확실한 것은 최신 (윈도우) 버전이 가장 안전하다는 것"이라고 덧붙였다.

MS는 수년 전 브라우저를 운영체제의 일부분으로 포함시키면서 미 연방정부와 반독점법 위반 소송을 벌인 바 있다. 지난해 MS는 "앞으로의 IE는 운영체제와는 독립적인 제품으로 제공될 것"이라고 발표했으나, 이번 주 브라우저와 운영체제를 긴밀히 연계시킨다는 계획을 공개함으로써 결국 입장을 번복하고 예전 상황으로 되돌아간 셈이 됐다.

MS 대변인은 "IE는 처음 만들어질 당시부터 운영체제의 일부분이었다. IE는 곧 윈도우의 미래"라고 말했다. 운영체제 독립적인 무료 소프트웨어로서의 IE는 어떻게 되는 것이냐는 질문에 대해 대변인은 "옛날 이야기"라고 일축했다.

한편 MS는 "지원되는 모든 윈도우 및 IE에 대해서 보안 업데이트는 지속적으로 이뤄질 것"이라고 밝혔다. 하지만 MS가 말한 보안 업데이트에는 SP2에 들어있는 사항은 포함되지 않는다. SP2에는 팝업창 차단, 새로운 액티브X 컨트롤 시스템 및 다운로드 컨텐트 관리 등의 IE 보안관련 업데이트가 포함돼 있다.

IDC에 따르면 MS는 현재 소프트웨어 출하 기준으로 전세계 운영체제 시장의 94%를 차지하고 있다. 전세계 3억 9000만 명의 윈도우 사용자의 버전별 분포는 XP 프로페셔널이 26.1%, XP 홈 에디션이 24.7%다. 절반에 가까운 나머지 49.2%는 윈도우 2000 프로페셔널(17.5%), 윈도우 98(14.9%), 윈도우 ME(6.5%), 윈도우 95(5.4%), 윈도우 NT(4.9%) 순으로 분포돼 있다.

즉, 전체 윈도우 사용자의 49.2%가 앞으로 IE 등 소프트웨어의 중요 업데이트에서 배제된 채 내팽개쳐질 상황에 처한 것이다. SP2의 보안 업데이트가 없는 IE는 일련의 보안 문제에 이미 직면하고 있다. 이중 상당수가 느슨한 액티브X API나 애플리케이션 프로그래밍 인터페이스와 관련된 문제들이다.

IDC 부사장인 댄 쿠즈넷스키는 "MS가 내부적인 프로세스를 간소화하려는 것은 이해할 수 있는 일이지만 보안 패치, 버그 수정, 새로운 기능을 묶어 제공하는 것은 받아들이기 힘들다"고 말했다. 그는 "단지 보안에 관련된 업데이트만 원할 경우에도 'XP로 가서 모두 설치하느냐, 아니면 아무것도 하지 않느냐'의 선택을 해야 하는 상황"이라고 지적했다.

IE 대안, 파이어폭스 인기
기업 및 개인 사용자들이 이러한 '패키지 업데이트'의 장단점을 조율하고 있는 동안 IE에 대항하고 있는 오픈소스 브라우저 '파이어폭스(firefox)'가 반사이익을 보고있다.

모질라 재단의 파이어폭스는 1.0 정식 버전이 아직 나오기 전인데도 이미 브라우저 시장에서 MS IE의 잠재적인 위협이 되고 있다. 지난주 발표된 파이어폭스 1.0 프리뷰 버전은 10일간 100만 건 다운로드를 목표로 했는데 4일만에 이를 돌파하는 등 인기를 끌고있다.

현재 브라우저 시장에서는 IE의 독주 하에 파이어폭스와 애플컴퓨터의 사파리, 오페라 브라우저 등이 미미한 점유율을 나누고 있다. 비록 점유율은 낮지만 탭 브라우징, 팝업 차단 등 다양한 기능을 갖추고 있어 얼리 어댑터들을 중심으로 사용자층을 확보하고 있다. MS 블로거 중에서도 파이어폭스를 선호하는 사람이 있을 정도.

한편 롱혼 출시까지 아직 많은 시간이 남은 상황에서 MS는 브라우저 개발에 대해 다방면으로 압력을 느끼고 있다. 웹 개발자들은 IE에서 파이어폭스를 비롯한 다른 브라우저로 전환할 것을 권고하는 캠페인을 벌이고 있으며, 모질라도 자체적인 마케팅을 강화하고 있다. 웹 로그와 뉴스그룹은 IE가 지난 수년간 아무런 혁신 없이 정체돼 있음을 비난하는 글들이 꾸준히 올라오고 있다.

MS의 IE 에반젤리스트(evangelist : 기술을 홍보하고 알리는 사람) 데이브 매시는 자신의 블로그에서 IE의 정체를 비판하는 의견에 대해 "MS가 최근 보안 강화에 주력하느라 어쩔 수 없었다"는 해명을 하고있다.

모질라 재단 대변인 바트 데크림은 "파이어폭스 때문에 MS가 IE를 업데이트한다면, 그것 만으로도 성공"이라고 말했다. 그는 "선두 업체임에도 그동안 별다른 혁신이 없었던 것은 그들이 독점적인 위치에 있기 때문"이라며 "결국 모질라 재단의 임무는 유의미한 선택권을 제공하는 것이다. 만일 파이어폭스로 인해 MS가 IE 혁신에 다시 주력하도록 만든다면 임무를 완수하는 것"이라고 말했다.

일부 애널리스트들은 MS가 SP2에 포함된 브라우저 보안 기능을 XP 외의 윈도우 사용자에게 제공하는 것을 꺼리는 것은 XP 도입 확산을 위한 것도 있지만 투입할 자원이 부족하다는 측면도 있다고 설명한다.

디렉션온MS의 또 다른 애널리스트 매트 로소프는 "MS의 최대 중점 사안은 현재 롱혼 IE"라며 "결국 인력배치와 비용의 문제에서 여타 윈도우 사용자의 우선순위가 뒤로 밀려난 것"이라고 말했다. 로소프 역시 MS의 윈도우 버전 별 브라우저 업데이트 차별 정책이 파이어폭스를 비롯한 '2진' 브라우저에 긍정적으로 작용할 것으로 예상했다.

그는 "일반 소비자 입장에서 IE 외의 다른 브라우저를 고려하는 것은 타당한 일"이라며 "MS는 점점 더 많은 사람들이 IE와 다른 브라우저를 병행해 사용하는 상황을 맞이하게 될 것이다. 파이어폭스는 이들에게 다양한 기능을 제공하며, 이 기능들은 운영체제를 업그레이드할 필요도 없다"고 말했다.

Paul Festa (ZDNet Korea)

2004.09.07