보안 기술은 특성상 공격과 방어로 많이 표현된다. 이로 인해 때로 도움이 되는 기술과 그렇지 않은 기술로 평가된다. 방어는 좋은 기술이고 공격은 나쁜 기술일까. 그렇지 않다. 기술은 중립 성격이고, 누구 편도 아니다. 기술의 이로움과 해로움은 이를 좋게 쓰느냐 나쁘게 쓰느냐에 따라 결정된다. 필자는 기술 중립성과 함께 국가 주도의 해킹이 대중화하는 현실 속 비대칭 기술이 국가에 필요하다는 점을 말하고 싶다.
기술 중립에 관한 몇 가지 예를 살펴보자. 안티드론 기술은 드론을 이용한 기반시설과 주요 인사 테러를 방지한다. 크게 드론을 탐지하는 식별 기술과 적의 드론을 무력화하는 기술로 나뉜다. 이때 '좋은' 무력화 기술이란 무엇일까. 공격자가 우리 측 방어 체계를 알더라도 우회할 수 없고, 항상 무력화할 수 있는 기술을 말한다. 즉 패치가 불가능한 취약점이 존재해야 한다. 그런데 이를 이용하면 적 역시 우리 쪽 정찰 드론을 언제든 떨어뜨릴 수 있다.
2012년 5월 미국 브레인게이트 팀은 전신 마비 환자가 로봇 팔을 움직여서 본인 의지로 커피를 마시는 기술을 개발했다. 뇌 신호를 전기 신호로 변환, 의지를 판단하고 로봇 팔을 환자 생각에 따라 움직이게 한 기술이다. 이를 보며 필자는 '이제 인간의 뇌 해킹도 가능하구나'라고 생각했다. 뇌 해킹은 허가 받지 않고 기억을 읽어 내는 것뿐만 아니라 새로운 기억을 쓰거나 지우는 연구까지 포함할 수 있다. 쥐를 대상으로 기억을 쓰거나 지우는 연구도 현재 진행되고 있다. 이 같은 연구는 뇌가 손상된 전쟁 상이용사의 트라우마 치료에도 쓰일 수 있다.
또 다른 예를 보자. 2002년에 시작된 토르 프로젝트는 송·수신자 클라이언트 정보를 네트워크 공격자로부터 보호하기 위해 만들어졌다. 주요 기능 가운데 클라이언트뿐만 아니라 서버의 익명성도 보장하는 익명 서비스가 있다. 익명성에 기반을 둔 다크웹은 마약 거래, 신용카드 사기, 포르노, 해킹 등 불법 서비스에 이용되면서 악명을 떨쳤다. 심지어 일부 전문가는 토르와 익명 서비스가 사라져야 할 기술이라고 주장한다. 그러나 가디언, 와이어드, 워싱턴포스트 등 언론은 다크웹에서 '시큐어드롭'이란 기술을 활용해 국가와 기관 검열이 심한 환경에서 내부자 고발을 지원한다. 각국 정보기관 역시 정보원 간 안전한 통신을 위해 토르를 쓴다.
이 같은 기술 중립성에도 공격과 방어 측면에서 다른 나라에 없는 비대칭 세계 1위 기술은 여전히 필요하다. 스턱스넷 출현 당시 핀란드 보안 전문가 미코 휘푀넨은 “세계가 사이버 군비 경쟁에 들어가게 될 것”이라고 예측했다. 이후 각국은 실제로 사이버사령부를 만들고 사이버 공격·방어 기술 경쟁에 들어갔다. 제로데이 취약점이라는 용어는 결국 상대방이 현재 막을 수 없는 기술을 의미하며, 비대칭 정보의 존재를 내포한다.
보안 산업과 국가 보안 발전은 군비 경쟁처럼 남이 갖추지 못한 공격과 수비 기술이 있을 때 가능하다. 적 드론을 항상 격추할 수 있는 안티드론 기술과 이를 막을 수 있는 보안 기술 모두를 갖추고 있어야 드론 보안 기술을 선도할 수 있다. 세계 최고 수준의 사이버 취약점 분석 기술은 국가 인프라 약점 보강에 쓰일 수 있을 뿐만 아니라 사이버 군비 경쟁의 핵심 요소다. 앙겔라 메르켈 독일 총리에 대한 미국 측 도청은 사이버 군비 경쟁에서 비대칭 보안 기술의 필요성을 보여 준다. 핵 보유는 핵 억지력을 의미하듯 공격과 수비 기술을 모두 보유하는 것이야말로 사이버 공격 억지력을 보장할 것이다.
김용대 한국과학기술원 교수 yongdaek@kaist.ac.kr