[보안 따라잡기]보안논란 극복 안간힘 `줌(Zoom)`…"좀 더 지켜봐야"

[이데일리 이후섭 기자] 코로나19 확산으로 화상회의 서비스 `줌(Zoom)`이 부각됐지만, 보안사고가 잇따르면서 홍역을 겪었다. 줌은 보안 강화 계획을 밝히고, 줌 5.0 버전을 선보이는 등 보안 이슈 극복에 박차를 가하고 있다. 다만 전문가들은 이미 갖췄어야 할 보안 조치들을 이제서야 마련하고 있는 상황이라며 줌의 보안 개선 상황을 좀 더 지켜볼 필요가 있다고 진단한다. 해커들의 표적이 돼 새로운 공격에 끊임없이 노출될 것으로 예상되는 만큼 보안에 대한 투자도 지속적으로 이뤄져야 한다는 조언이다.

줌은 코로나19 확산으로 원격근무, 원격수업이 늘어나면서 지난해말 1000만명이었던 사용자가 지난 3월에는 일평균 2억명 이상으로 급증한 것으로 알려졌다. 그러나 사용자가 폭발적으로 늘어나면서 해커들의 표적이 돼 이른바 `줌 폭격(Zoom bombing)`을 당하고 말았다. 사용자들이 개인정보 유출을 이유로 집단소송을 제기하기도 했다.

◇`보안기능 추가` 줌 5.0 선보여…종단간 암호화 적용 초안도 공개

이에 줌은 지난달 플랫폼의 보안과 개인정보 보호 기능을 적극적으로 규명, 개선한다는 `90일 보안 계획`을 발표했고, △AES 256비트 GCM 암호화 △데이터 라우팅 제어 △대기실 기능 기본 적용 등의 보안 기능을 추가한 줌 5.0을 선보였다. 줌은 오는 30일까지 줌 5.0의 시스템 전체에 AES 256비트 GCM 암호화를 적용할 계획이다. 30일부터는 줌 룸(Zoom Rooms)을 포함해 줌 5.0 클라이언트 이상 버전에서만 줌 회의에 참여할 수 있게 된다.

줌의 보안 문제는 영상회의에 참가하는 사용자와 사용자간의 암호화가 지원되지 않는 점에서 기인한 것으로 알려졌다. 이에 줌은 이달 초 보안기업 키베이스를 인수하는 등 종단간 암호화 구축에도 박차를 가하고 있다. 회사는 지난 22일 글로벌 오픈소스 저장소인 `깃허브(GitHub)`에 암호화 적용을 위한 백서 초안을 공개하고, 사용자나 기술 커뮤니티에서 초안에 대해 리뷰하고 피드백을 남길 수 있도록 했다.

줌은 지난 27일 진행한 주간 웨비나를 통해 “줌의 최우선 과제는 줌 회의 서비스에 실질적인 종단간 암호화를 먼저 구축하는 것이며, 종단간 암호화 적용 범위와 시점은 초안에 대한 피드백에 따라 달라질 예정”이라며 “초기 검토 기간은 2주이며, 종단간 암호화를 적용한다 해도 회의 품질에는 어떠한 영향도 주지 않는다”고 설명했다.

줌은 90일 보안 계획 발표 이후 주간 웨비나 `에릭에게 무엇이든 물어보세요`를 통해 이용자들과 소통하고 있다.(자료=줌 비디오 커뮤니케이션즈 제공)

◇“기본으로 갖췄어야 할 보안 환경…공격 위험도 더 커질 것”

보안업계와 학계에서는 종단감 암호화 적용 등은 사실 줌 입장에서 기본적으로 갖췄어야 할 보안 환경이라고 지적한다. 보안업계 관계자는 “종단간 암호화를 적용한다 해도 이미 알려져 있는 취약점이나 공격 패턴을 방어하는 것이라, 모든 보안 위협으로부터 안전한 것은 아니다”라며 “종단간 암호화는 당연히 문제가 터지기 전부터 고려됐어야 할 상황이고, 지금은 이후의 새로운 보안 위협에 대비하는 데 집중해야 하는 상황인데 줌의 대처가 아쉬운 점이 있다”고 진단했다.

줌의 보안 논란이 전 세계적으로 이슈가 되면서 해커들의 관심을 받게 된 만큼 앞으로 공격에 더욱 노출될 위험성이 높다는 우려가 나온다. 코로나19로 인해 언택트(비대면) 문화 확산으로 화상회의 솔루션 등은 계속 해커의 주요 표적이 될 것으로 예상된다. 주요 기업이나 기관의 임직원들이 집에서 서버에 접속하는 보안 수준은 아무래도 회사 내부보다 상대적으로 낮을 수 밖에 없어 이를 통해 회사 내부로 침투하려는 해커들의 공격 시도가 이어질 확률이 높다.

◇`지속성`이 관건…새로운 보안기술 개발 위한 투자 이어져야

결국 줌이 보안 강화를 위한 노력을 얼마나 잘 유지해 나갈 것이냐가 관건으로 꼽힌다. 이번 사태로 보안에 대해 뼈저리게 느낀 줌이 90일의 일회성 조치로 그치지 않고, 보안 강화를 위한 다각적인 노력과 투자 등 종합적인 대책으로 이어가야 한다는 것이다.

정수환 한국정보보호학회장은 “지금까지는 멀티포인트에 적용하는 보안 이슈에 대해 많이 고민하지는 않았으나, 플랫폼에 보안 기술을 내재화할 필요가 있는지 등에 대해 검토할 필요가 있다”며 “보안을 강화하기 위한 기술을 적용하려다 보면 솔루션 자체의 성능을 제한할 수도 있는데, 앞으로 이를 뛰어넘는 보안기술 개발에 대한 요구가 굉장히 커질 것”이라고 내다봤다.

김승주 고려대 정보보호대학원 교수는 “줌의 보안 취약점이 드러난 것은 어쩔 수 없지만, 앞으로 대응을 얼마나 잘 해나가느냐가 문제”라며 “일단 지금은 대응 과정이라 이후의 조치들에 대한 결과가 나올 때까지 지켜봐야 할 것”이라고 말했다.