정보 (및 수학) 국제암호화 표준의 안전성에 대한 논란 확산

미국의 보안솔루션업체이자 국제 암호표준으로 다수의 소유권을 보유하고 있는 RSA Security는 최근 디폴트 알고리즘으로 설정되어 있는 다수의 툴킷들 중 하나가 치명적인 보안취약성을 내포하고 있음을 발표하였는데, 이는 미국의 국가안전보장국에 의해 삽입된 보안유출코드인 것으로 밝혀져 보안표준화 프로세스의 일부가 해킹에 취약한 것으로 나타났다고 한다.

저장장치용 하드웨어 제조사 EMC에 의해 운영되고 있는 보안소프트웨어업체는 미 국가안전보장국이 활발하게 컴퓨터보안표준을 약화시키는 작업을 해왔다는 혐의를 깨끗이 날려버린 최초의 기업이라 할 수 있겠는데, 이를 통해 EMC는 전 세계에 걸친 시스템을 공격하기 위한 취약성을 발견해낼 수 있었다고 한다.

자체적인 조사에 의하면 RSA는 의사난수 (pseudo random number: 초기값을 이용해 이미 결정되어 있는 난수 생성기에 의해 생성되는 수를 의미하며, 이때 생성되는 키 값을 전혀 예측할 수 없음) 기법을 활용해 제품보안과 보안키 관리 시스템을 운영해오고 있었는데, 해당 시스템의 보안성에 치명적인 약점이 발견되었으며, 이를 사용하고 있는 고객들은 보다 안전한 암호화 알고리즘으로 신속히 교체할 필요성이 요구된다고 밝힌 바 있다.

의사난수 생성기는 암호화를 안전하게 보장하기 위한 키를 생성하는 작업을 맡고 있는데, 이때 생성되는 키 값이 충분한 범위로 랜덤변수를 생성해내지 못할 경우, 암호화된 키는 안전하다고 볼 수 없겠다.

최근 언론에서 공개한 미 국가안전보장국의 임직원들이 해당 알고리즘 내부에 국제적인 취약성을 유발하기 위해 부단히 노력해오고 있으며, 난수 생성 알고리즘의 기술 표준인 듀얼 타원형 난수발생기 (Dual EC DRBG)라 불리는 암호화 표준의 취약성을 노려 백도어를 구축한 것으로 알려져 있다. 해당 보안 알고리즘은 미 국립표준기술연구소에서 사용되어 미국과 글로벌 표준으로도 사용되고 있을 정도로 영향력이 강한 보안화 알고리즘이라 할 수 있겠다.

위와 같은 내용에 대한 미 국립표준기술연구소의 응답은 듀얼 타원형 난수발생기 표준에 대한 토론을 다시 열 계획을 세우고 있으며, 기업 및 조직들이 즉시 해당 암호화 알고리즘에 대한 표준도입을 기술적으로 중지해줄 것을 요청하였다고 한다.
[참고: http://csrc.nist.gov/publications/PubsDrafts.html]

국립표준기술연구소는 최근 불거진 문제와 관련해 해당 사안이 해결되기 전까지는 보안표준의 사용을 보류할 것을 권장하고 있으며, SP 800-90A와 듀얼 타원형 난수발생기 표준에 대해서는 `12년 1월 명명된 대로 SP 800-90A 표준에 대한 더 이상의 사용을 금할 것을 요청하기도 하였다고 한다.

이미 2006년에 세부 표준에 대해 승인을 받은 뒤로 국제표준화기구에 의해 도입되어 사용되고 있는 암호화 표준에 대해 최근 RSA에 의해 문제가 불거진 듀얼 타원형 난수발생기의 사용을 중지함과 동시에 새로운 난수발생기를 도입해야 할 필요성이 제기되고 있는 상황으로 보인다. 대다수 라이브러리에서 사용되고 있는 난수발생기를 어떤 방식으로 변화시킬 수 있을지에 대한 기술적 가이드가 시급하게 마련되어야 할 때가 다가온 것으로 보인다.

이 모든 문제가 미 국가안전보장국의 글로벌 단위 인터넷 트래픽 도·감청 사실을 폭로한 Edward Snowden씨에 의해 불거진 문제들이라 할 수 있겠으며, 그의 폭로사실에 따른 사회·정치·경제적 분야의 다양한 여파가 정보통신산업 전반에 걸쳐 한둘씩 영향력을 나타내고 있는 상황으로 보인다.                

         

경축! 아무것도 안하여 에스천사게임즈가 새로운 모습으로 재오픈 하였습니다.
어린이용이며, 설치가 필요없는 브라우저 게임입니다.
https://s1004games.com

자료를 가져가실 때에는 출처 KISTI 미리안 『글로벌동향브리핑』을 밝혀 주시기 바랍니다.