해커 표적된 리눅스 프로젝트「더 무서운 것은···」

리누스 토발즈 ‘오픈소스 서버 해킹보다 사소한 실수가 더 치명적’

오픈소스 프로젝트 개발 서버에 대한 공격이 연이어 발생하면서 오픈소스 개발자들에게 부담이 되고 있다.

지난 4개월 동안 일부 해커들이 리눅스 커널 개발 서버에 침입했다. 공격을 당한 서버들은 데비안 프로젝트, 젠투리눅스 프로젝트, GNU 프로젝트 등 리눅스와 유사 유닉스 시스템을 이용한 주요 프로그램의 개발 과정에 이용된 것들로, 해킹 사고가 늘어나자 주요 오픈소스 프로젝트 리더들도 다시 한번 보안을 점검하고 있다.

젠투리눅스의 해외 배포 시스템을 맡은 인프라팀의 코리 쉴드는 “최근의 해킹 사건들은 주요 오픈소스 개발 서버를 목표로 했다는 점에서 매우 비열한 행위”라며 “만약 침입자가 악의적인 마음을 갖고 있었다면 주요 소프트웨어를 변경해 잘못된 패키지를 배포할 수도 있었다”라고 말했다.

해커들의 오랜 목표이자 경쟁 운영체제(OS)인 MS 윈도우에 비해 오픈소스 프로젝트는 여기에 참여하는 개발자 수가 방대하기 때문에 이들을 통해 해킹에 노출되는 것으로 보인다. 또한 긍정적으로 해석해야 할지 모르겠지만 리눅스가 인기를 끌면서, 해커들이 리눅스 OS와 오픈소스 소프트웨어를 새로운 목표로 삼고 있다. 이에 따라 개발 시스템의 보안을 충분히 강화했다고 믿고 있는 개발자들 조차도 최근의 해킹 경향을 우려섞인 눈길로 지켜보고 있다.

삼바 프로젝트의 공동 창립자이자 개발자인 제레미 엘리슨은 “다음은 내 차례가 아니기를 바라며 해커들보다 한발짝 앞서 대비해야 한다”고 말했다.

삼바 프로젝트는 윈도우 네트워크와 호환 가능한 대중적인 오픈소스 파일 서버를 개발하는 프로젝트다.

젠투리눅스에 대한 해킹은 지난 12월 1일 젠투리눅스 소스 코드를 복사하는 서버 가운데 한 대를 목표로 이루어졌다.

그러나 자원봉사자 105명이 운영하는 이 서버의 메인 소스코드 데이터베이스는 안전했으며, 공격 당시 해당 서버의 보안 프로그램이 이를 즉시 감지해 해킹 관련 상세한 기록을 남기는데 성공했다.

이번 사고는 지난 11월 리눅스 커널 개발 시스템에 대한 공격 이후 연이어 발생한 것으로, 당시에는 개발자 시스템 한 대가 해킹되면서 이를 디딤돌로 사용했었다. 해커는 개발자의 장비를 이용해 2차 서버에 코드를 전송했는데, 이 코드는 해당 리눅스가 설치된 시스템이라면 어떤 시스템이든 해커가 접속할 수 있는 악성 코드였다. 그러나 이와 같은 소스코드 변경 사실은 채 하루가 지나기도 전에 발견됐다.

리눅스 프로젝트에 대한 다른 해킹 사고들은 더 심각하다. GNU 프로젝트 개발 시스템인 ‘사바나’가 해커의 침입을 당했으며 데비안 리눅스 개발 및 프로젝트 관리 서버 4대가 공격을 당하기도 했다. 두 사건의 해킹 수법은 유사했다. 먼저 합법적인 사용자 ID와 비밀번호로 로그인한 후 최신 리눅스 보안 결함을 이용해 시스템 관리자 권한을 획득했다.

현재 데비안과 GNU 프로젝트는 안전을 보장할 수 있을 때까지 시스템을 오프라인으로 유지하고 있어 개발자들조차 접속할 수 없는 상태다.

	만약 침입자가 악의적인 마음을 갖고 있었다면 리눅스 커널을 변경해 잘못된 패키지를 배포할 수도 있었다
	- 코리 쉴드, 젠투리눅스

지난 3월 파일 전송 서버가 해킹을 당한 이후 또 인터넷 공격을 받자 GNU 프로젝트는 대응 조치를 마련했다.

GNU 프로젝트를 이끌고 있는 자유소프트웨어재단(FSF) 주창자 에벤 모글렌은 “사바나 해킹 사건 직후 대응 조치를 강구했다”며 “향후 개발자들은 코드를 제출할 때마다 반드시 디지털 서명을 해야 하며, 소스 코드 수정 전 이 서명을 체크하기 위해 무료 버전관리 표준인 ‘CVS(Concurrent Versions System)’를 도입할 계획”이라고 밝혔다.

그는 “디지털 서명은 시스템에 들어 있는 코드가 안전한지 확인하고 시스템 보안을 강화할 수 있는 가장 효과적인 기술적 대안”이라고 덧붙였다.

FSF는 유닉스와 리눅스 시스템용 무료 소프트웨어 개발 프로젝트인 GNU 프로젝트를 주도하는 단체로, GNU는 자체 프로젝트를 통해 개발한 오픈소스 소프트웨어를 GPL 라이선스로 무료 배포하고 있다. GPL은 애플리케이션과 소스코드를 자유롭게 사용하고 수정할 수 있도록 허용하는 라이선스로, 이 소스코드를 이용해 개발한 새로운 애플리케이션과 소스코드는 GPL 라이선스에 따라 배포해야 하는 제약사항이 있다. FSF는 GPL을 통해 누구나 소프트웨어를 무료로 사용하고 수정, 공유할 수 있는 사회를 지향한다.

그러나 FSF를 비판하는 사람들은 이와 같은 오픈소스 개발 모델 속에 숨겨진 비용이 있다고 주장한다. MS의 정보 보안 담당 그렉 우드는 “해킹 사고가 일어났을 때 이것이 보안 약점 때문이 아니라는 명백한 증거를 찾기 위해서는 기업 측이 직접 코드를 상세하게 검토해야 한다”며 “오픈소스 소프트웨어는 이런 과정에서 추가 비용이 발생한다”고 지적했다. 그는 “오픈소스를 사용한다는 것은 결국 안전성 검증이나 업무 과정 적용 등을 기업 스스로 비용을 들여 하겠다는 것”이라고 말했다.

그러나 이처럼 리눅스와 아파치 웹 서버 등 오픈소스 소프트웨어 프로젝트을 공공연히 비난해 온 MS도 해킹 사고를 당한 경험이 있다. 지난 2000년 10월 한 해커가 MS 개발자 컴퓨터를 제어한 뒤 이를 이용해 MS 네트워크에 접속하는 사건이 있었다. 이 사건 이후 MS는 소프트웨어와 개발 과정의 보안을 강화하는 ‘신뢰할 수 있는 컴퓨팅’이라는 새로운 프로젝트를 출범시켰다.

오픈소스 개발자들은 최근 일부 오프소스 프로젝트 개발 서버가 해킹을 당하기는 했지만 지금은 대부분의 프로젝트가 이미 보안을 강화해 큰 영향을 받지 않는다고 주장한다.

리눅스의 창시자이자 오픈소스개발연구소(OSDL) 특별회원인 리누스 토발즈는 “최근 해커들이 서버에 침입했을 때 이를 신속하게 알아 차렸다”며 “핵심 서버의 보안은 매우 철저한데다 여러가지 탐지 애플리케이션을 설치해 놓았기 때문”이라고 설명했다.

그는 현재 보안문제에 대해 다시 검토하고 있다. 토발즈는 핀란드의 헬싱키 대학 재학시 대학의 공공 네트워크용 장비에 설치된 리눅스 초기 버전을 관리했던 이후, 현재의 리눅스 서버는 여러 겹의 방화벽과 SSH를 이용한 암호화 통신 그리고 무결성을 보장하는 암호화된 서명 등으로 보호되고 있다.

	다음 공격의 피해자는 자신이 아니기를 바라며, 해커들보다 한발짝 앞서 조치를 마련하기 위해 노력해야 한다.
	- 제레미 엘리슨, 삼바 프로젝트

리눅스 커널 프로젝트용 소스코드 관리 애플리케이션을 개발한 비트무버의 설립자 래리 맥보이는 “소스코드가 해커에 의해 조작되지 않았음을 확인하려면 모든 오픈소스 프로젝트가 디지털 서명을 사용해야 한다”며 “데이터에 서명을 하지 않는 것은 해커들을 불러들이고 있는 것과 다를바 없다”고 말했다.

현재 데비안 프로젝트와 젠투리눅스 그리고 삼바 프로젝트 등이 외부 해킹으로 인해 파일이 변경됐는지를 확인할 수 있는 외부 체크섬을 사용하고 있다.

자사의 리눅스 배포본을 보호하기 위해 디지털 서명 기술을 사용하고 있는 맨드레이크소프트의 공동 설립자 게일 듀벌은 “이같은 방법으로 프로젝트 관리에 따르는 많은 위험을 제거할 수 있다”며 “보안 문제나 솔루션은 새로운 것이 아니지만, 디지털 서명 기술은 시스템 관리자와 사용자들이 보안 문제를 인식하는 첫 단계가 될 것”이라고 말했다.

한편 아파치소프트웨어재단(ASF)은 아파치 개발 프로젝트에 GNU 프로젝트가 적용한 CVS가 아닌 또다른 소스코드 관리 시스템 ‘섭버전’을 적용할 예정이라고 밝혔다. ASF의 개발자 저스틴 에런크랜츠는 “우리는 섭버전이 CVS보다 더 우수한 보안 모델을 제공한다고 결론내렸다”며 “섭버전은 개발자용 유닉스 계정을 줄이고 모든 트랜젝션에 체크섬을 추가해 보안을 강화한다”고 설명했다. 그는 “우리는 지원해야 할 계정수를 줄여 주요 해킹 매개체 가운데 하나를 제거했다”고 덧붙였다.

또한 그는 오픈소스 개발 방식의 특성상 해킹의 위험이 많이 줄어든다며, 여러 사람이 나누어 개발한다는 것은 결국 소스코드를 여러 곳에 보관해 메인서버의 코드가 임의로 변경됐는지 확인할 수 있다고 말했다.

	커널 소스 코드는 지금도 끊임없이 복사되고 있으며 여기에 어떤 악의적인 코드가 추가됐다면 우리는 이를 찾아낼 수 있다
	- 리누스 토발즈, 리눅스 창시자

에런크랜츠는 “apache.org가 공격 받았을 때 우리는 개발자들이 갖고 있던 소스코드가 메인 서버에 저장된 소스코드와 일치한다는 사실을 통해 이번 해킹으로 어떤 악의적인 코드도 삽입되지 않았음을 확인할 수 있었다”라고 말했다.

토발즈 역시 커널 개발용 메인 서버가 공격당하는 것과 관련해 오픈소스 커뮤니티는 커널 변경 여부를 확인할 수 있는 여러가지 방법을 갖고 있다며 에런크랜츠와 같은 의견을 피력했다.

그는 “중요한 점은 소스코드의 변경 여부는 결국 다 밝혀진다는 사실”이라며 “커널 소스 코드는 지금도 끊임없이 복사되고 있으며 여기에 어떤 악의적인 코드가 추가됐다면 우리가 이를 알아낼 수 있다”라고 말했다.

토발즈는 오히려 악의적인 해커보다 사소한 실수가 더 피해가 크다고 말했다. 그는 “개인적으로 일상적인 버그들을 더 걱정하고 있다”며 “사람들이 찾아내는 커널 상의 약점이란 어떤 영리한 해커의 장난이기 보다는 데비안이 공격당한 경우처럼 대체로 간단한 버그에 지나지 않는 경우가 많다”라고 지적했다.