“구관이 명관?” 더 이상 사용하지 말아야 할 구식 보안 프랙티스 5가지

필자가 어렸을 때는 "인터넷에서 실명을 절대 사용하지 말라"는 말을 많이 들었다. 하지만 세상은 변했고, 그런 조언을 따르지 않은 지 오래됐다. 마찬가지로, 선의의 온라인 보안 조언도 그 효용성이 오래가지 않는 경우가 많다.

여기서 소개하는 5가지 구식 보안 프랙티스는 각각의 진심을 담고 있지만, 오래된 팁을 맹목적으로 따라 해서는 안 된다. 잘해야 시간 낭비이고, 잘못되면 사용자를 더 큰 위험에 빠뜨릴 수도 있다.

지속적인 비밀번호 변경

"비밀번호를 정기적으로 변경해야 한다"는 조언은 여전히 많은 곳에서 들을 수 있다. 아직도 많은 기업이 직원의 비밀번호를 강제로 만료시키고 있으며, 필자 역시 같은 조언을 하는 금융기관의 온라인 계정을 사용해 본 적이 있다. 비밀번호가 강제로 만료되면 새 비밀번호를 설정하라는 메시지가 표시된다.

비밀번호를 정기적으로 변경하려면 시간이 많이 든다. 필자는 비밀번호 관리 프로그램을 사용하는데, 이는 기억력과 관계없이 웹사이트마다 강력하고 고유한 비밀번호를 사용할 수 있는 유일한 방법이기 때문에 모든 사용자에게 추천한다. 하지만 새로 설정한 비밀번호를 일일이 기억할 필요가 없더라도 주기적으로 비밀번호를 모두 변경하려면 많은 시간이 든다.

ⓒ IDG / Chris Hoffman

더 나쁜 문제는 비밀번호를 계속 변경하면서 취약한 비밀번호를 설정하는 경우가 많다는 것이다. 예를 들어, 많은 사용자가 같은 비밀번호에 끝에 한두 개의 숫자를 추가해 사용한다. 이는 혼란스러운 비밀번호 시스템에 대처하면서 하루하루를 살아가려고 노력하는 것이지, 사용자의 잘못이 아니다. 그렇기 때문에 비밀번호를 자주 변경해야 한다고 앞장서서 주장하던 조직들이 한발 물러서고 있는 것이다.

그렇다면 왜 비밀번호를 정기적으로 변경해야 한다고 생각할까? 이론적으로는 어느 시점에 비밀번호를 알아낸 범죄자가 계속해서 훔친 비밀번호를 사용하는 것을 방지할 수 있으며, 누군가 계정에 액세스할 수 있는 경우 비밀번호를 변경하면 최소한 액세스 권한을 잃을 수 있다는 것이다. 하지만 이보다 더 좋은 방법이 있다.

2단계 인증을 사용하면 비밀번호를 알고 있더라도 비밀번호만으로는 계정에 액세스할 수 없다.

웹사이트가 해킹당해 비밀번호가 유출된 경우, 해당 웹사이트의 계정 비밀번호를 변경하는 것이 현명하다. 대부분 웹사이트는 이런 일이 발생하면 사용자에게 알려주고 새 비밀번호를 요청한다. 또한 여러 웹사이트에서 비밀번호를 재사용하는 경우, 해당 비밀번호를 사용한 모든 웹사이트에서 비밀번호를 변경하는 것이 좋다. 하지만 더 좋은 해결책은 사용하는 웹사이트마다 고유한 비밀번호를 설정하고 비밀번호 관리자에 저장하는 것이다.

수동 바이러스 백신 검사 실행

"컴퓨터에서 바이러스 백신 검사를 실행해야 한다"는 것도 좋은 의미의 보안 조언 중 하나이다. 바이러스 백신 검사가 유용한 것은 사실이지만, 그렇다고 해서 반드시 시간을 할애해야 한다는 의미는 아니다. 컴퓨터는 일을 자동화하도록 설계되어 있으며, 바이러스 검사 역시 자동화할 수 있다.

바이러스 백신을 열어 정기적인 수동 검사를 실행하는 사용자를 볼 때마다 얼굴을 찡그리게 된다. 원한다면 그렇게 할 수도 있지만, 우리 모두의 시간은 한정되어 있고 이는 대부분 불필요한 작업이다.

백신 소프트웨어는 백그라운드에서 항상 실행되며, 사용자가 해당 기능을 끄지 않는 한 항상 검사를 수행합니다. 바이러스 백신을 설치하지 않았더라도 윈도우 10 및 윈도우 11의 윈도우 보안에 기본 제공되는 마이크로소프트 디펜더 바이러스 백신이 정기 검사를 실행하고 있다. 바이러스 백신은 사용자가 다운로드하고 여는 파일을 정기적으로 검사해 파일이 실행되기 전에 위험한지 여부를 확인한다. 또한 바이러스 백신 앱을 열고 스캔 버튼을 클릭하는 것과 똑 같은 작업을 예약된 정밀 검사를 실행하고 있을 수도 있다.

ⓒ IDG / Chris Hoffman

사용자가 원한다면, 수동으로 바이러스 백신 검사를 실행할 수 있다. 시간 낭비 외에는 별다른 단점은 없지만, 필자는 사람들이 시간을 낭비하는 것을 보는 것이 싫다. 우리 모두에게 주어진 시간은 매일 한정되어 있습니다! 그냥 건너뛸 수 있는 일상적인 작업입니다.

PC가 악성코드에 감염된 것 같다는 구체적인 우려가 있다면 바이러스 백신 프로그램을 실행하고 정밀 검사를 실행하는 것이 현명할 수 있다. 여러 프로그램으로 정밀 검사를 실행해 무엇이 있는지 확인하는 것도 좋다. 악성코드를 검사하는 것은 PC의 안정성이나 성능 문제를 해결하기 위한 첫 번째 조처인 경우가 많다. 하지만 정기적인 수동 검사는 건너뛰는 것이 시간을 절약하는 방법이다.

백신 소프트웨어에 대한 지나친 신뢰

백신 소프트웨어는 완벽하지 않다. 좋은 바이러스 백신 프로그램은 보안 퍼즐의 필수 요소이지만 악성코드는 점점 더 정교해지고 있다. 수십 년 전에는 악성코드가 해커의 장난에 가까웠지만, 이제는 범죄 집단이 돈을 버는 큰 사업이다. 따라서 백신 소프트웨어는 첫 번째 방어선이 아니라 마지막 방어선이 되어야 한다.

백신 소프트웨어는 두 가지 방식으로 작동한다. 이미 알려진 위험한 파일을 찾아내는 바이러스 정의 방식과 정의되지 않은 파일의 위험성을 추측하는 휴리스틱 방식이다. 하지만 어느 쪽도 완벽하지는 않다. 새로운 악성코드는 제로데이 공격을 통해 등장할 수 있으며, 정교한 회피 기술을 통해 휴리스틱을 피할 수도 있다.

ⓒ IDG / Chris Hoffman

웹에서 악성 소프트웨어는 가능한 모든 방법으로 피해야 한다. 솔직히 백신 소프트웨어가 전혀 없는 것처럼 행동하는 것이 좋다. 가장 피해야 할 것은 해적판 소프트웨어와 게임이다. 특히 윈도우 스마트스크린에서 이전에 본 사람이 거의 없다고 경고하거나 백신 소프트웨어에 문제가 있는 경우, 잘 모르는 소프트웨어를 다운로드하고 실행하기 전에 주의를 기울여야 한다.

더 큰 문제는 악성 소프트웨어뿐만 아니라 다른 위험도 있다는 점입니다. 예를 들어, 사기 이메일 및 기타 피싱 공격은 악성코드가 아니기 때문에 백신 소프트웨어가 탐지하지 못하며, PC뿐만 아니라 휴대폰이나 기타 다른 디바이스에서도 공격을 받을 수 있다.

가끔 외장 드라이브에 백업하기

"PC를 정기적으로 백업하라"는 말은 여전히 훌륭한 조언이다. 다만 어떻게 하느냐의 문제일 뿐이다.

중요한 파일을 PC 내부의 두 번째 내장 드라이브에 일정에 따라 백업하면 드라이브 중 하나에 장애가 발생하더라도 보호할 수 있지만, 딱 그 정도이다. 랜섬웨어나 기타 위험한 악성코드에 손상되거나 PC 하드웨어에 문제가 생기면 원본과 백업 파일을 한꺼번에 잃는다.

이 때문에 외장 드라이브에 백업을 하는 것이 좋다. 윈도우 파일 히스토리를 사용하면 별도의 소프트웨어 없이도 쉽게 백업할 수 있으며, 필요에 따라 다양한 백업 툴을 활용할 수 있다. 하지만 파일의 사본이 PC와 연결된 외장 드라이브에만 있는 경우, 예를 들어 랜섬웨어가 컴퓨터와 백업 드라이브를 모두 손상시키는 등의 문제가 발생할 수 있다.

ⓒ IDG / Chris Hoffman

따라서 랜섬웨어, 장치 고장, PC 도난 및 기타 모든 종류의 재해로부터 파일을 안전하게 지키기 위해 로컬 백업 경로만 사용하는 경우, 최소한 외부 백업 드라이브를 여러 개 마련하고, 하나는 집 밖 어딘가에 보관하는 것이 좋다.

필자는 온라인 백업 소프트웨어의 열렬한 팬이다. 일정에 따라 자동으로 수행되며 랜섬웨어나 기타 악성코드가 모든 백업을 잠그거나 지울 수 없기 때문이다. 클라우드 백업이라고도 하는 온라인 백업은 파일이 여러 물리적 위치에 저장되기 때문에 집에 있는 모든 하드웨어에 문제가 발생하더라도 보호받을 수 있다.

공용 와이파이 피하기

"공용 와이파이는 위험하니 조심하라.” 이제 우리가 정말 알아야 할 것이 있다. 무제한 데이터 요금제의 확산 덕분에 공용 와이파이를 사용하지 않는 것이 그 어느 때보다 쉬워졌다. 하지만 보안을 위해 꼭 그렇게 해야 할까?

그렇지 않다. 우선, 공용 와이파이 네트워크는 생각만큼 스누핑에 취약하지 않다. 웹에서 HTTPS 보안이 널리 보급되기 전에는 적절한 소프트웨어만 있으면 공용 와이파이 네트워크의 다른 사용자가 웹사이트에서 무엇을 입력하고 무엇을 하는지 볼 수 있는 경우가 많았다. 이 때문에 파이어폭스용 파이어쉽(Fireship) 애드온 같은 툴이 출시됐다. 하지만 그때는 2010년이었다.

웹사이트에서 HTTPS를 사용하는 한 연결이 안전하고 암호화되어 있기 때문에 더 이상 이런 식으로 페이스북에서 보내는 메시지나 아마존에서 검색하는 제품을 엿볼 수 없다.

ⓒ IDG / Chris Hoffman

물론, 공용 와이파이 네트워크에는 다른 위험도 여전히 존재한다. 예를 들어 공용 와이파이 핫스팟이 손상된 경우, 은행이나 이메일과 같은 웹사이트에 연결할 때 실제 웹사이트를 모방한 악성 웹사이트나 피싱 웹사이트로 리디렉션될 수 있다. HSTS 같은 보안 기술은 이를 막을 수 있지만, 모든 웹사이트가 이런 기술을 구현하는 것은 아니다. 하지만 이런 공격은 공용 와이파이 핫스팟 자체가 손상되는 것을 전제로 하므로, 관리 주체가 있는 스타벅스나 공항 와이파이는 이런 공격에 취약하지 않을 것이다.

그렇기 때문에 신뢰할 수 있는 공용 와이파이 핫스팟에만 연결하는 것이 좋다. 지역 비즈니스의 핫스팟은 그렇다 치더라도, 신원을 확인할 수 없는 낯선 공용 와이파이 핫스팟은 멀리하는 것이 가장 좋다.

공용 와이파이를 이용해도 괜찮은 이유가 한 가지 더 있다. VPN은 이런 위협으로부터 사용자를 보호할 수 있다. VPN에 연결하면 모든 네트워크 트래픽이 VPN 연결을 통해 VPN 서버로 안전하게 터널링된다. 와이파이 핫스팟을 운영하는 누군가가 사용자를 엿보려고 해도 VPN 서버에 연결했다는 사실만 알 수 있을 뿐, 어떤 웹사이트에 연결했는지 알 수 없다.

암호화되지 않은 HTTP를 사용하는 오래된 웹사이트에 연결한다 해도, 핫스팟에 있는 다른 누구도 사용자가 무엇을 하는지 볼 수 없다. 그리고 와이파이 핫스팟 자체가 손상된 경우에도 VPN이 사용자를 보호한다.
editor@itworld.co.kr

Chris Hoffman editor@itworld.co.kr
저작권자 한국IDG & ITWorld, 무단 전재 및 재배포 금지