"부엌칼은 살인도구" 보도가 또 나왔네요.


http://www.eto.co.kr/?Code=20100201151211710&ts=34419


이메일 패킷감청 시 ‘발·수신’ 모두 확인 가능…메신저도 무방비





[경제투데이] “패킷감청으로 웹메일, 아웃룩, 메신저 등의 감청이 모두 가능하다. 특히 패킷감청의 특성상 감청대상자와 연결된 불특정 다수의 사생활을 침해할 수 있다는 점에서 우려스럽다”


틀린 말은 아니죠. 패킷 감청(sniffing)이 악의적인 용도에 사용되어 지면 사생활 침해의 소지로 충분히 활용될 수 있는 기술이죠. 하지만 과연 이런 얘기를 하는 사람들이 전문적으로, 직업상으로 스니퍼를 돌려서 여러가지 네트워크상의 문제점을 해결하는 모습을 한번이라도 본 적이 있을까요?





1일 국회 의원회관 소회의실에서 열린 ‘패킷감청의 문제점과 개선방안 토론회’에서는 행사에 앞서 패킷감청을 통해 국내 유명 포털의 웹메일과 아웃룩, 메신저 감청이 어떻게 이뤄지는 지 시연이 펼쳐졌다.


안봐도 비디오죠. wireshark, cain & abel, tcpdump 비슷한 툴을 이용해서 보여 주기.





인권운동사랑방의 유성 활동가는 “인터넷에서 쉽게 구할 수 있는 해킹프로그램으로 감청대상자의 웹메일 감청을 시도하면 메일 확인 내용뿐만 아니라 메일 작성 내용까지도 볼 수 있다”며 네이버와 다음의 웹메일을 대상으로 직접 시연에 나섰다.


스니퍼가 해킹프로그램으로 오도되는 보도를 접하는 것이 한두번이 아니라서 이제는 화도 나지를 않는군요.





그는 “국내 모든 포털의 웹메일 패킷감청이 가능하고 POP3를 사용하는 아웃룩의 경우 아이디와 비밀번호까지도 노출된다”며 “메신저에서 이뤄지는 감청대상자와 제3자가 나누는 대화내용도 감청 프로그램을 통해 엿볼 수 있다”며 이를 직접 시연했다.


'칼로 사람을 찌르면 죽는다'라는 얘기. 칼이 사용되어 지는 긍정적인 부분에 대해서는 얼마나 잘 알고 있을까요?





이어, “이메일을 대상으로 한 패킷감청의 경우 감청대상자가 이메일을 사용하지 않으면 감청이 이뤄지지 않는다”고 설명했지만 “불특정 다수를 대상으로 한 패킷감청의 속성상 개인의 사생활 침해가 심각하게 우려된다”고 강조했다.


"이메일을 사용하지 않으면 감청이 이뤄지지 않는다" 이건 뭐, 유머도 아니고.





이날 토론회에 참석한 패널들도 이 같은 이유로 패킷감청이 허용돼서 안 된다는 데 의견을 모았다.


의견을 모았다구요? 스니퍼가 정확히 무엇을 하는데 사용되어 지는리를 아는 사람은 아무도 없다는 얘기인가요? 과연 패널들이 어떠한 사람들일까요? 아래를 봅시다.





아주대 법학전문대학원 오동석 교수는 “패킷감청은 개인은 물론이고 관련된 불특정 다수가 사생활, 비밀의 자유가 침해될 수 있는 광범위한 기본권 침해”라며 “패킷감청은 헌법적으로 허용될 수 없는 절대금지 영역”이라고 강조했다.


민주사회를 위한 변호사 모임의 권정호 변호사는 “패킷감청은 무차별적으로 감청할 수 있다는 것에서 수사목적과 특정되는 영장주의와도 맞지 않다”며 “일례로 인터넷 공유기를 사용하는 소규모 직장이나 가정에 감청대상자가 있으면 이들을 통째로 감청할 수 있고 피의자별로 감청을 허용하는 통신비밀보호법의 취지와도 정면 배치된다”고 말했다.


민주주의 법학 연구회의 오길영 박사는 “통비법이 아날로그 시대의 기술을 상정한 법체계로써 새로운 디지털 기술특성을 반영할 수 없는 한계를 지니고 있다”며 “패킷감청의 기술 위험성은 맹독성 재료로 허용되서는 안되고 상업화 역시 전면 금지돼야 한다”고 주장했다.


법학전문대학원 교수, 민주사회를 위한 변호사 모임의 변호사, 민주주의 법학 연구회의 박사, 역시나... "패킷 감청은 헌법적으로 허용될 수 없다"라네요. 뭐, 이건 네트워크 관련 회사에 입사를 해서 관련 기술을 습득하는 것조차도 이제는 대한민국에서 헌법으로 막으려 하겠다는 얘기로 들리는군요. 패킷 분석 없이 어떻게 네트워크 기술이 발달할 수 있습니까? 기술 자체를 무조건 범법 행위로 간주하려 하니, 아무리 한국 사람들리 머리가 좋고 부지런하다고 해도, 이런 편협한 시각들때문에 기술이 제대로 발전할 수 없는 것입니다.





지난주에 급한 프로젝트 하나가 들어 왔습니다. 인천 공항의 주차 관제 시스템에 문제가 생겨서 문제점을 파악해 달라고 하는 프로젝트입니다. 중앙에서 운영자가 명령을 내리면 네트워크상으로 실시산으로 명령이 전달되어 주차장 단말기에서 차단기가 올라 가고 내려 가고 하도록 하는 시스템인데, 네트워크 & 프로그램의 문제로 인해서 가끔 먹통이 된다고 합니다. 먹통이 되는 경우에는 차단기가 작동을 하지 않기 때문에 차들이 나가지도 들어 오지도 못하는 경우가 발생을 하죠. 이 문제점 때문에 아는 사람으로부터 급하게 의뢰가 들어와 전체 시스템을 검토해 보았고, 현재 스니퍼를 통한 정확한 원인을 파악하도록 하고 있습니다. 현재 문제점을 파악할 수 있는 프로그램을 제작중이구요, 물론 스니핑 기술을 기반으로 하고 있습니다. 이처럼 스니퍼라는 것은 이러한 네트워크 장애을 파악하고 원인 분석을 해서 문제점을 해결할 수 있도록 하는 데 사용되어 지는 것입니다.





"첫번째, 인천공항 주차 관제 시스템의 문제점을 스니핑으로 해결했다" 라는 것과 "두번째, 스니핑 기술을 이용해서 POP3 ID/Password를 알아 냈다"라는 2가지 사실을 가지고 아무 언론의 기자에게 연락을 합니다. 그러면 기자는 어떻게 나올까요? 첫번째는 당연히 기사거리가 되지 않습니다. 두번째는 언론의 좋은 소재(source)입니다. 네트워크 관련 분야야 전공이 아닌 이상 스니핑 기술을 아무리 설명을 해도 이해의 전달이 쉽지가 않습니다. 평소 스니핑에 대한 기술이 무엇인지를 접해 보지 못한 사람이 이렇게 부정적인 부분(사생활 정보 누출)에 사용되어 질 수 있다는 단적인 현상을 보고서, 일반인들에게 이러한 취약점의 위험성을 널리 알려야 한다는 대의 명분을 가지고 무분별하게 보도를 하는 경우를 너무나 많이 봐 왔습니다. 덕분(?)에 오픈 소스로 계속해서 공개를 하고자 했었던 저의 프로그램도 한바탕 홍역을 치루게 되었고, 이제 더이상은 오픈 소스 개발을 하지 않고 있죠. 오픈 소스 개발 & 운영을 열심히 해 봤자 "범법"행위를 하는 사람으로 간주되는 결과만 야기될 뿐이이까요. SnoopSpy version 3는 절대 절대로 한글로 번역해서 공개하지는 않을 것입니다. "절대로!!!"





대부분의 컴퓨터와 관련된 기술들은 언론을 통해서 일반인들에게 알려 지지 않습니다. 그럴 필요가 없기 때문이죠. 그런데 유독 스니핑 기술은 아무것도 모르는 사람들에 의해서 ID/Password 정보가 누출되어 지는데 사용되어 지는 기술이라는 편협한 시각만을 가지고 위에서 열거한 개인정보 사생활 노출에 사용되어 지는 해킹 기술이라고 단정지어 버리게 되죠. 마치 부억칼이 요리를 하는데 사용되어 지는 것은 전혀 모르는 사람이 살인을 위해 사용되어 졌다는 정보만을 가지고 부엌칼은 없어 져야 한다는 생각을 가지듯이. 기술을 모르는 사람들이 그 기술의 일부 활용(악용) 부분만을 가지고, 전체로 호도하는 경우를 너무나 많이 봐 왔습니다.





스니핑 기술은 네트워크의 기초적인 학문입니다. 스니핑을 알아야 라우터 & 스위치를 이해할 수 있고, 고가의 네트워크 장비를 만들 수 있고, 관련된 산업들이 발달할 수 있습니다. 하지만, 이러한 기술을 모르는 사람들에 의해서, "스니핑 기술이 악"으로 단정지어져 버리고, 관련 기술들이 보급이 되어 지지가 않죠. 컴퓨터 관련 학과를 나온 대부분의 학생들 중에 스니퍼 한번 돌려 보지도 않고 졸업을 하는 사람들이 태반입니다. 왜 그럴까요? 바로 위와 같이 "스니핑은 범죄"라는 인식이 만연되어 있기 때문에 제대로 된 기술의 보급이 힘들기 때문입니다. 국내에서 네트워크와 관련된 제대로 된 오픈 소스 하나 없고, 세계적으로 내세울 만한 네트워크 관련 업체가 나오기 힘든 것도 바로 이러한 연유에서입니다. 알려고 하는 시도 자체마저도 그릇된 시각으로 바라 보려 하는 인식.





거의 불가능에 가까운 바램이지만, 이제 더 이상은 패킷 캡쳐를 범죄 행위로 단정 지어 버리려 하는 무지한 발언들은 더이상 없었으면 하는 바램입니다. 

You would..