최근 겪은 보안 문제 - 반도에선 이메일만이 살길.
나름 로그인 보안이나 스토리지 암호화, 네트워크 통신 암호화 등에 신경을 쓰고 있다고 생각했습니다. 패스워드는 ‘1Password’가 랜덤으로 생성한 것을 사용하고 덕분에 하나의 패스워드는 하나의 로그인에만 사용했습니다. 어지간한 스토리지는 암호화 되어 있고 제가 관리할 수 있는 네트워크는 최소한 ‘업계 표준 수준’으로 보호하고 있다고 생각했습니다. 하지만 최근 로그인이 필요한 서비스 두 곳과 조선반도 전용 인증 서비스 한 곳이 털리면서 뭔가 잘못됐다고 생각하기 시작했습니다. 결론부터 이야기하자면 귀찮음 때문에 방금 나열한 원칙을 깬 어딘가에서 패스워드가 털렸고 그 덕분이었는데, 과정을 좀 설명해 보겠습니다.
며칠 전 한밤중에 아키에이지로부터 메일이 왔습니다. 제가 패스워드를 방금 바꿨다는 내용이었습니다. 자려고 자리에 누워 알람을 맞추는 도중이었는데 무슨놈의 패스워드 리셋인가 싶어 도로 일어나 노트북을 열고 아키에이지 홈페이지에 접속해 패스워드 리셋을 시도했습니다. 휴대전화 문자 인증을 요구했는데 이걸 시도해보니 이용량이 많다며 인증을 진행할 수 없었습니다. 모르긴 몰라도 이용량이 갑자기 늘어나는 상황에 대응하지 못하는 싸구려 대행사를 아무렇게나 쓰는 모양입니다. 여튼 서너번 시도해도 안되길래 그냥 자고 다음날 오후에 다시 시도해서 패스워드를 바꿨습니다.
오늘 메일 두 통이 왔습니다. 하나는 아이핀 패스워드가 변경되었다는 거였고 다른 하나는 배틀넷 패스워드가 변경되었다는 것이었습니다. 베란다에서 꽃 사진 찍고 있었으니 분명 제 또 다른 인격이 패스워드를 바꿨을 리는 없었습니다. 일단 아이핀 나부랭이보다는 내 배틀넷 패스워드가 더 소중하므로 일단 배틀넷에 갔는데 잘 생각해보니 여기 패스워드를 리셋하려면 아이핀 패스워드가 필요했습니다. 그래서 아이핀 패스워드를 리셋하러 갔습니다.
아이핀은 서비스를 맨 처음 시작할 때 한번 가입해 놓고 쓸 일이 없었는데, 최근에 다시 가보니 서비스 업체가 왕창 생겨났고 로그인할 때마다 아이디가 중복이라며 개 쌩 난리를 치고 있었습니다. 아이핀 홈페이지는 믿을 수 없을만큼 불편한데, 사이트 생긴 것을 보면 어디서 쌍팔년도 웹디자이너를 시급 100원에 데려다가 두어시간 만에 만들어낸 인터페이스입니다. 이건 인터페이스고 뭐고 고려하고 자시고 한 것이 없고 그냥 간신히 동작만 하는 모양새입니다. 여튼 패스워드를 바꾸러면 아이핀 아이디, 내 이름을 넣고 인증 방법을 선택하는데, 신용카드 인증 같은 것도 있었습니다. 하지만 이딴 병신 사이트에 신용카드 번호를 잘도 입력하게 생겼군요. 그냥 전화번호를 넣고 인증을 거쳐 패스워드를 바꿨습니다.
이어서 배틀넷 홈페이지에 가서, 방금 바꾼 아이핀 패스워드로 로그인을 한 다음 패스워드를 바꿨습니다. 배틀넷도 비슷하게 내 계정과 내 이름을 넣고 아이핀 인증만 하면 패스워드를 바꿀 수 있게 되어 있습니다.
자, 여기서 아이핀과 배틀넷이 동시에 털린 이유는 제가 아이핀 패스워드를 ‘짧고’, ‘외우기 쉽고’, ‘허접한 사이트에 사용하는’ 것으로 사용했기 때문입니다. 제 패스워드는 크게 두 가지로 나뉘는데, 하나는 ‘1Password’가 자동 생성해 주는 것입니다. 그럭저럭 가끔 로그인 하는 사이트는 전부 이 패스워드를 사용합니다. 제가 외울 수 없어서 언제나 프로그램의 도움을 받아야만 합니다. 다른 하나는 병신 같은 사이트에 앞으로 영원히 로그인할 일이 없을 것 같고 지금 당장 저 서비스를 딱 한 번만 사용하고 싶은데 가입하라고 지랄을 떨 때 아무렇게나 입력하는 패스워드가 있습니다. 아마 이 패스워드를 아이핀에 넣어 둔 것이 화근이었을 것으로 추정됩니다. 아이핀 패스워드가 털리자 바로 아이핀에 연결된 배틀넷이 털린 것으로 그렇게 추정했습니다.
아이핀 패스워드는 최대 20글자까지 설정할 수 있는데, 조선반도 웹사이트가 늘 그렇듯 특수문자 사용 없이 영문자와 숫자만 사용 가능한데다가 신비롭게도 숫자를 8글자 이상 써야 합니다. 이게 무슨 의미냐 하면 공격자에게 20글자 중 적어도 8글자는 숫자라서 0~9 까지만 시도하면 된다는 의미입니다. 어떤 또라이새끼가 이런 정책을 만들었는지 모르겠지만 내일 오전에 출근하다가 사고로 죽길 바랍니다. 여튼 아이핀 패스워드를 ‘1Password’로 관리하기 시작했으니 아이핀에 연결된 다른 로그인이 털리는 일이 없길 기대합니다. .. 물론 아이핀 패스워드 리셋 과정으로 봐선 내 행세를 한 누군가에 의해 쉽게 털릴 수 있을 것 같아 보이긴 합니다만. :(
이번 경험으로 인터넷 로그인 보안의 핵심은 이메일이라는 것을 다시 한번 느꼈습니다. 이상의 문제를 인지하게 해준 것도 이메일이었고 패스워드를 리셋하는 과정에 휴대전화와 이메일을 사용해 인증을 해야 했습니다. 또 신용카드 번호 보다는 이메일 계정을 통한 인증이 조선반도 보안에서는 좀 더 유리하기 때문에 이메일은 정말 중요합니다. 만약 이메일이 털린다면 정말 끔찍한 상황이 벌어질 겁니다. 내가 패스워드를 얼마나 길고 까다롭고 또 다른 사이트와 다르게 설정해 놓았다고 하더라고 이메일을 통해 리셋해버리면 그만이기 때문입니다.
결국 이 일을 겪고 나서 한동안 귀찮아서 꺼놓았던 2차 인증 옵션을 켜고 로그인 할 때마다 랜덤 번호를 추가로 입력하도록 해놨습니다. 아이핀이고 공인인증서고 나발이고 조선반도에서 ‘패스워드’를 사용해 로그인하는 모든 행동의 맨 마지막은 이메일로 지켜지고 있습니다. 이메일이 털리면 정말 끝장입니다. 다른 것은 몰라도 이메일 로그인 하나만은 보안에 크게 신경 써야 합니다. 적어도 반도국에서는 그렇습니다.
윈도우 8은 이 이미지 하나로 설명할 수 있습니다. 다들 예쁜 ‘메트로 인터페이스’에 집중하지만 그건 윈도우 8의 절반일 뿐입니다. 나머지 절반인 ‘데스크탑 인터페이스’가 어떻게 만들어져 있는지 살펴봐야 윈도우 8이 어떤 환경인지 이해할 수 있습니다. 윈도우 8은 터치 인터페이스를 상당 부분 받아들였지만 지금까지 20여년의 세월 동안 마이크로소프트를 죽도록 괴롭혀 온 하위 호환의 굴레를 벗어버리지 못했습니다. ‘OS X’을 발표하면서 시스템 9를 관 속에 처박아버리거나 뻔뻔하게 ‘이번 버전부터 로제타 지원은 없어’라는 식의 무책임한 애플과 달리 마이크로소프트는 하위 호환이라면 목숨을 걸고 지켜 왔습니다. 윈도우 95와 심시티 2000이나 윈도우 7에서도 돌아가는 비즈칼크의 전설은 다들 아실테고, 이 기조는 터치 인터페이스를 대규모로 받아들인 윈도우 8에서도 계속됩니다. 그러니까, 메트로 인터페이스를 도입하고 나서도 데스크탑 인터페이스를 차마 치워버릴 수 없었던 겁니다.
이 기계에 달린 여러 버튼은 윈도우 운영체제에 절대적으로 의존합니다. 기계 전면에 달린 홈 버튼은 아이패드의 홈 버튼과 같은 기능을 할 거라고 예상하기 쉽지만 그렇지 않습니다. 이 버튼은 키보드에 달린 ‘왼쪽 윈도우 키’입니다. 그래서 윈도우 8 환경에서 홈 버튼을 누르면 시작 메뉴가 나타납니다. 여기까지는 아이패드 홈 버튼과 같지만 절전 모드가 되면 이야기가 달라집니다. 절전 모드에서 홈 버튼을 눌러도 아무 반응이 없습니다. 어쩌면 제어판 깊숙한 어딘가에서 키보드 입력으로 절전 모드를 해제하는 옵션을 켜면 달라질 수도 있지만 기본 상태에서는 절전 모드에서도 반드시 전원 버튼을 눌러야만 기계를 켤 수 있습니다. 또 윈도우 로고 키 입력을 받지 않는 앱이 포그라운드에 떠 있으면 홈 버튼은 먹통이 됩니다. 윈도우 운영체제에 의존성이 있는 것 자체가 문제는 아닙니다만, 하드웨어 입장에서 같은 버튼이 상황에 따라 서로 다른 동작을 하는 것은 문제입니다.
