이번 사태의 원인과 관련해 정부에서는 아직 정확한 상황 파악을 하지 못하고 있다.
앞서 행정안전부에서는 공무원들이 업무 시스템에 접속하는 과정에서 사용하는 행정전사서명(GPKI)에서의 문제일 가능성을 시사했는데, 정작 행정전자서명 인증관리센터 측은 GPKI 문제가 아니라 국가정보자원관리원의 네트워크 단에서 생긴 문제라고 설명한 것으로 알려졌다.
이렇듯 사고 발생 원인을 두고서도 정부에서 혼선이 발생하고 있는 것이다.
금번 ‘정부24’ 먹통 사태뿐만 아니라 카카오톡 중단사태, 2차 인증의 우회기술 및 피로 공격으로 사이버 범죄에 악용된 삼성전자, MS, 우버, 레딧 등의 공통적으로 모두 별도의 인증서버(Gateway) 방식이라는 점이 IT 보안에 시사하는 바가 크다.
간편성과 편리성을 내세운 별도 인증 서버를 필요로 하는 인증서버 방식인 Gateway(+Proxy) 방식을 사용하는 것은 해커들이 너무도 좋아하는 우회접속 및 원격 접속이 가능한 솔루션으로 보안 전문가들은 이런 분류의 솔루션은 보안 솔루션으로 취급하지도 않는다.
Gateway(+Proxy)/FIDO 방식의 제일 큰 문제는 빈번하게 발생하는 통신 장애 또는 보안 지역에서 인증 서버와 통신할 수 없어서 인증을 받을 수 없다는 점, 인증 폭주로 인하여 인증 속도가 저하된다는 점, 인증 서버에 장애가 발생하면 관련 서비스가 모두 중단된다는 점이다.
이미 예견된 인재로 보이네요. 왜냐하면 근본적으로 별도의 인증서버 방식이라서 인증서버나 통신망에 장애 발생 시 서비스가 중단되는 장애에 취약한 치명적인 문제가 발생하는 방식이다.
아직도 이런 방식이 사용되고 있다는 현실이 안타깝다.
새로운 시대는 별도의 인증서버 방식이 아니라 개별 또는 분산인증 방식을 신중히 고려해야 할 것으로 보인다.
"아무 것도 하지 않으면 중간은 간다"는 건 오래된 말이고, 클라우드 시대에는 통하지 않는 말이다. 새로운 시대에는 새로운 보호 장치가 어울린다. 시스템과 인프라는 자꾸만 새 것으로 바뀌는데 왜 예전 것들을 부여잡고 있는지 각자가 스스로를 검토해야 할 때다.
이제는 장애에 취약한 별도의 인증서버 방식이 아닌 인증이 필요할 때 손쉽게 적용할 수 있는 플러그인 가능한 모듈인증 방식인 BaroPAM 솔루션이 각광 받는 이유인 것이다.
마지막 한마디로 IT 환경은 하루가 다르게 변하고 있는데,옛 것에 사로 잡혀서 현실을 따라 잡지 못하고 있는 것은 아닌지 되집어 봐야 할 것 같다.
