암호화 프로그램이 오히려 해커들의 공격 수단이 될 수도 있는 것으로 밝혀졌다.
AP는 e아이디지털시큐리티가 전자우편 암호화 프로그램인 PGP의 플러그인이 해커 공격에 취약하다는 사실을 밝혀냈다고 보도했다.
사실상 업계 표준으로 자리잡은 PGP는 일반 기업은 물론 FBI 등의 첩보기관을 비롯해 미국의 주요 관공서에서 사용하고 있는 프로그램이며 이번에 문제가 된 플러그인은 마이크로소프트 아웃룩 사용자가 단 몇 번의 클릭으로 PGP를 이용해 전자우편 메시지를 암호화할 수 있도록 해주는 부가 소프트웨어다.
e아이에 따르면 해커들은 이번에 발견된 결함을 이용해 특수하게 작성된 전자우편을 전송해 희생자 컴퓨터를 완전히 장악하고 스파이 소프트웨어를 설치해 키 입력 내용, 재정 데이터, 비밀번호 등의 다양한 정보를 캐낼 수 있다.
이에 대해 e아이의 연구원인 마크 메이프렛은 “코드 실행, 전자우편 열람, 백도어 설치, 암호 절취 등 마음만 먹으면 모든 것을 할 수 있다”며 “PGP를 이용하는 사람이 많은 것은 아니지만 이들은 민감한 데이터를 보호하기 위해 이를 사용한다는 점이 문제”라고 설명했다.
그러나 그는 “아직까지 이번에 발견된 취약점이 이용됐다는 증거는 없다”며 “훈련된 연구원조차도 결함을 찾아내기가 쉽지 않다”고 덧붙였다.
전문가들은 플러그인이 소프트웨어의 편의성은 높여주지만 위험도는 높인다고 지적한다. 특히 암호화 소프트웨어는 플러그인 없이 사용이 어려우며 PGP를 개발한 필립 짐머맨도 플러그인을 사용하고 있는 것으로 알려졌다.
한편 짐머맨이 사용하는 유도라나 아웃룩의 축소판 격인 아웃룩 익스프레스는 이번에 발견된 결함에 영향을 받지 않는다.
또 전문가들에 따르면 미 정부기관 중 FBI, 에너지부, 국가안보청 등이 PGP를 사용하는 것으로 알려졌으나 이들은 기밀 문서를 정부 독자망을 사용해 전송하기 때문에 등급 외 정보만이 위험에 노출돼 있다.
한편 상용 및 무료 PGP를 배포해왔던 네트워크어소시에이츠는 지난 2월 수익 문제로 PGP의 배포를 중단했으나 이번에 발견된 결함 문제를 해결한 픽스를 웹 사이트에서 제공한다.
<황도연기자 dyhwang@etnews.co.kr>