오픈 SSL 버그로 인한 보안 비상

김록환

입력 : 2014-04-09 20:33:17

일명 하트블리드 버그로 알려지고 있는 이 버그는, 인터넷 커뮤니케이션에서 정보 보호를 위해 널리 사용되는 암호화 기술인 오픈 SSL에서 발견된 심각한 버그이다. 이 버그로 인해 민감한 개인 정보가 대거 유출 됐을 수 있다는 우려가 나오고 있는 실정이다.

문제가 되는 오픈 SSL은 상당수의 리눅스와 유닉스 계열 OS에 포함돼 있으며, 문제가 되는 취약점을 파고든다면 해커는 암호화키, 인증서, 사용자 계정 정보 등을 암호화 되지 않은 상태로 볼 수 있게 된다.

전 세계 웹서버의 2/3이 문제가 되는 오픈 SSL을 사용하고 있는 것으로 파악되고 있어서, 서버 관리자는 최신 OS 또는 오픈 SSL로 웹서버를 업데이트해야 한다고 권고 하고 있다. 물론 SSL 인증서를 재발급 받아야 하는 것은 필수 조건이다.

야후에 인수된 텀블러는 사용자들에게 사용자 명과 비밀번호 등을 바꾸라고 경고하고 있으며, 아마존은 AWS 내 클라우드 서비스 중 하나인 엘라스틱 로드 밸런서가 하트블리드의 영향을 받은 것으로 확인돼서 거의 모든 지역의 서버들에 대해 문제를 해결했다고 밝혔다.

현재 오픈 SSL 진영은 하트블리드 버그 취약점이 제거된 오픈 SSL 1.0.1g를 배포 중에 있다. 만약에 이전 오픈 SSL 버전을 사용할 경우 ‘-DOPENSSL_NO_HEARTBEATS’ 플래그를 사용해서 컴파일링을 거쳐 취약점을 막을 수 있다고 말하고 있다.

한국인터넷진흥원도 문제의 심각성을 인식하고 국내 정부 및 인터넷 기관에 오픈 SSL을 사용할 경우 보안 패치를 업데이트 할 것을 당부하고 있다.

가뜩이나 개인정보 유출이 빈번히 발생하는 우리나라의 서버 관리자들은 당장에 보안 패치를 업그레이드 해야 할 것이다.