[기고문] 강력한 보안 없이 프라이버시는 없다

▲ 삼성전자 MX사업부 Security 팀장 신승원 상무

사이버 범죄에 취약한 환경

원격 근무자의 증가로 안전하지 않은 공공 와이파이에 대한 의존도가 증가했다. 블록체인과 같은 새로운 분야의 사기 유혹은 쉬워지고, 사이버 공격은 증가하고 있다. 물리적 공격에 앞서 필수 인프라에 대한 디지털 공격과의 전쟁은 시작됐고, 유사한 범죄는 더욱 늘어날 것이다. 아이러니하게도, 나쁜 의도와 기술적 지식을 가진 사람에게는 범죄를 저지르기에 매우 이상적인 상황이다.

일상 생활의 많은 부분을 스마트폰에 의존하는 지금, 이 모든 것은 우리가 당면해야 할 현실이다. 스마트폰은 지갑이고, 집 열쇠이자, 신분증이나 다름없다. 단 한 번의 침입으로도 막대한 피해를 입을 수 있기 때문에, 우리가 사용하는 기기의 보안이 그 어느 때보다 중요한 시점이다. 마음 편히 세상 밖으로 나가 자유로운 삶을 누릴 수 있도록 기기의 안전을 위해서는 무엇이 필요한지 살펴보고자 한다.

‘정보 보안’과 ‘정보 보호’의 구분

‘나는 분별 있는 사람이기 때문에 괜찮다’고 생각할 수 있다. 하지만, 이는 보안에 대한 오해에서 비롯된 생각이다. 앱이 이름, 이메일, 습관을 공유하지 않도록 설정해 뒀다면 물론 잘 한 일이다. 하지만, 개인정보보호(Privacy)와 보안(security)을 혼동해선 안 된다. 누군가 문을 부수고 들어온다고 가정할 때 커튼을 치는 것은 아무런 소용이 없다. 우리는 담장으로 둘러싸인 정원처럼 안전한 모바일 생태계를 선택했다고 생각하지 쉽지만, 해커는 공격 대상에 맞춰 진화한다. 안전하지 않은 와이파이나 사회공학적 해킹 사기 등은 생태계 환경과 상관없이 발생할 수 있는 위협이다.

누구든 의심스러운 첨부파일은 열지 않을 것이다. 하지만, 사용자가 아무 것도 하지 않아도 기기를 감염시키는 ‘제로 클릭’ 공격도 있다. 대중적인 메시지 시스템의 취약점을 공략한 스파이웨어 페가수스가 대표적인 사례로, 사용자가 메시지를 받기만 하면 해커가 침입한다. 실제보다 안전하다고 느끼면 안주하게 되는데 사이버 범죄자들은 이를 노린다.

위협은 많은데 안전지대는 없다고 느껴지면 불안할 수밖에 없다. 삼성전자는 이러한 문제를 인식하고 세계 여러 정부가 승인한 업계 최고 수준의 강력한 보안 플랫폼인 ‘삼성 녹스(Samsung Knox)’를 통해 문제 해결에 나서고 있다. 개방적 협업, 하드웨어와 소프트웨어 통합 보안, 실시간 보호 등 총체적이고 다층적인 접근 방식으로 자타가 공인하는 최상급의 신뢰 수준을 달성했다.

협업을 통한 견고한 신뢰 구축

인터폴과 협업하면서 얻은 교훈은 함께 일할 때 더 강하고 더 안전하다는 것이다. 신뢰는 개방적 협업을 통해 구축된다. 안드로이드 생태계의 장점 중 하나도 누구나 안드로이드 운영체제(OS) 소스코드에 접근할 수 있어 집단 지성을 통해 생태계를 강화할 수 있다는 것이다. 기술 분야 기업들이 서로 견제하고 도전하면서, 결과적으로 함께 발전할 수 있다.

삼성전자는 시스템 강화를 위한 지속적인 내부 노력 못지 않게 개방적 파트너십과 협업에 대한 자긍심을 갖고 있다. 삼성전자는 구글과 긴밀히 협업하며, 정기 보안 회의를 통해 모든 위협 데이터를 서로 공유하고 있다. 동시에 안드로이드 보안 표준화를 위해 100여개 이상의 파트너와 협업하고 있다.

또한, 갤럭시 생태계를 이해하는 폭넓은 커뮤니티와도 협력하고 있다. 모바일 보안 보상 프로그램(Mobile Security Rewards Program)을 통해 학계와 윤리적 화이트 해커 등의 연구자들과 협력하며 정기적인 보안 업데이트에 여러 도움을 받고 있다. 지금까지 350만 달러가 넘는 포상금이 지급되었다.

집단 지성을 통해 우리는 문제를 파악하거나 사전에 예측해 더 나은 솔루션을 만들 수 있다.  개방된 생태계는 취약성 확대가 아니라, 한층 더 우수하고 다양한 보안 사례로 이어질 수 있다.

칩셋부터 소프트웨어까지, 통합적인 보안 방식

삼성전자는 제품을 설계하고 제조하는 글로벌 기업으로서 프로세서 단계부터 모든 부품에 보안을 강화할 수 있다. 보안에 특화된 하드웨어와 독립된 소프트웨어가 전 제품 포트폴리오와 공급망에 통합적으로 적용되어 소비자는 제품을 접하는 순간부터 안심하고 사용할 수 있다. 디바이스 내부 칩에서 서비스 앱까지, 사용자의 모바일 경험 전 단계에 걸쳐 통합적이고 전면적인 보호 체계를 갖추고 있다.

세계가 다시 개방되면서 새로운 위험이 생겨나고 있다.  최근 녹스 볼트(Knox Vault)의 보안 조치도 한 단계 강화됐다. 보안 프로세서와 새로운 보안 메모리칩을 결합하여 PIN과 암호, 생체 인식, 디지털 인증서, 보안용 키 등 가장 중요한 정보를 별도의 위치에 격리하여 안전하게 유지하도록 했다. 일례로, 기기에 보안 위험이 감지되면 삼성 녹스가 삼성 페이나 삼성 패스 등의 민감한 서비스를 잠금 처리해 오직 사용자만이 본인의 데이터를 확인할 수 있도록 보호한다.

실시간 보호 시스템

일상 생활을 하면서 대부분 스마트폰을 끄는 일은 거의 없다. 따라서, 어떤 회사는 스마트폰을 부팅할 때만 보안 검증을 하면 충분하다고 주장하기도 한다. 하지만, 공격자들은 쉬지 않기 때문에 보안은 잠시도 쉬어 갈 수 없다.

삼성전자는 사용자를 위한 보호의 지속성을 위해 노력하고 있다.  부팅 후에는 RKP(Real-Time Kernel Protection, 실시간 커널 보호)와 DEFEX(Defeat Exploit, 비정상 커널 접근 차단) 기술을 통해 사용자가 허용한 것에 대해 의심스럽거나 승인되지 않은 변경사항을 지속적으로 감지하고 차단한다. 지속적으로 위협을 모니터링하며, 머신 러닝 기술을 활용해 미래의 위협을 예측하는 사건 대응 관리 팀도 운영하고 있다.

매년 새 스마트폰을 구입하는 사람들도 있겠지만 대부분은 더 오랜 기간 사용하길 원할 것이다. 삼성전자는 기기의 보안을 위한 보안 업데이트를 제품 출시 후 최대 5년간 지원한다.   어느 때보다 사이버 보안이 중요해진 만큼 구형과 신형 관계없이 모든 스마트폰 사용자는 안전한 기기 경험을 누릴 수 있어야 하기 때문이다.

개인정보 보호는 선택, 보안은 필수

종합하자면, 삼성전자의 고객이라면 누구나 우리가 만든 가장 강력한 하드웨어와 소프트웨어 보호 체계와 개방적 협업, 업계 검증을 통해 구축된 신뢰 기반의 강력한 보안을 기반으로 안전한 모바일 경험을 즐길 수 있다.

이와 같은 포괄적 보안을 통해서만 사용자가 원하는 대로 쉽게 조정 가능한 투명한 개인정보보호가 이뤄질 수 있다. 개인정보보호 기능을 어떻게 활용할지는 사용자의 선택이며, 본인이 선택한 개인정보 보호 설정에서 보안이 타협되지 않을 것이란 믿음을 바탕으로 사용자는 어떤 선택을 하든 안전하다는 확신을 갖고, 자유롭게 모바일 경험을 누릴 수 있어야 한다.

기술이 그 어느 때보다도 세계를 가깝게 연결해주고 있지만 그에 따른 위험도 갈수록 늘어나고 있다. 그렇지만 그만큼 더 많은 기회가 있는 것 또한 사실이다. 삼성의 최우선 과제는 고객이 새로운 경험을 시도하는 동안에도 안전하게 보호받을 수 있도록 하는 것이다. 삼성 갤럭시와 함께라면 누구든 원하는 수준의 개인정보 보호와 필요로 하는 보안을 토대로 자유를 누릴 수 있을 것이다.