유럽연합과 미국의 세이프 하버 조약, 사법재판소서 부정
랜섬웨어의 강력한 도구, 앵글러 익스플로잇 킷 절반 이상 해부

[보안뉴스 문가용] 유럽연합이 세이프 하버 조약을 사실상 백지화했습니다. 미국이 약속을 어겼기 때문이라고 합니다. 유럽인의 개인정보에 접근해야 하는 사업을 허락해줬더니 되려 유럽 정부들을 감시하고 있었다는 스노우든의 고발이 이런 판결을 낳게 되었습니다. 미국으로서는 ‘실망’이라고는 했지만 사실 이런 날이 올 걸 알았을 겁니다. 스노우든은 미운털이 더 박혔습니다. 그러나 러시아 생활이 만만치 않은지 다시 고향으로 가고 싶다는 마음의 표현을 잇달아 하고 있습니다. 스노우든, 그냥 거기 있는 게 좋을 거 같은데...




1. 유럽과 미국의 세이프 하버 조약 결렬되나
트럼프 호텔 해킹 확정 - 공격 1년간 지속(Infosecurity Magazine)
미국과 유럽의 세이프 하버 조약, 수명 다한 듯(Security Week)
유럽, 미국의 스파이 행위 때문에 세이프 하버 조약 무시(SC Magazine)
유럽연합, 미국과의 데이터 공유 협약 깨는 판결 내려(CU Infosecurity)
세이프 하버 관련 판결, 미국과 유럽의 관계는 혼돈 속에(CSOOnline)
유럽연합의 새 판결에 백악관 “실망이 크다”(The Register)
미국과 유럽연합의 관계에 금이 살짝 갔습니다. 이 둘은 세이프 하버(Safe Harbor) 조약이라는 걸 2000년부터 맺고 있었는데요, 유럽에서 사업을 하고 있는 미국 기업들이 유럽인 고객들의 개인정보를 다루는 것에 관한 내용을 담고 있는 것이었습니다. 유럽에서 사업하고 싶어? 개인정보가 필요해? 사용하게 해줄게, 다만 조건이 있어, 이런 거였는데요, 스노우든이 미국 정보가 이 협약을 악용해왔다는 걸 고발하면서 유럽은 배신감을 느끼고 있었죠. 그리고 드디어 어제 유럽사법재판소에서 어제 이 세이프 하버 조약은 더 이상 유효하지 않다고 판결을 내렸습니다. 백악관은 이에 실망이 크다고 발표했다고 합니다.

2. 랜섬웨어 무력화시킨 시스코의 활약
앵글러 익스플로잇 킷 생태계 무력화 시킨 보안업계(Threat Post)
시스코, 대규모 랜섬웨어 작전 무력화시키는 데 성공(Security Week)
시스코, 앵글러 익스플로잇 킷 인프라 낚는 데 성공(The Register)
시스코에서 지난 여름 내내 앵글러 익스플로잇 킷을 공략해 약 50%를 무력화시키는 데 성공했다는 발표가 있었습니다. 앵글러 익스플로잇 킷은 현존하는 가장 최첨단의 익스플로잇 킷이라는 평이 많고, 여러 가지 랜섬웨어 캠페인의 기반이 되었습니다. 그렇기 때문에 이 익스플로잇 킷을 파괴해나가기 시작하면 상당 수 랜섬웨어 캠페인이 사라지게 되는 건데요, 보다 자세한 내용은 추가로 보도하도록 하겠습니다.

3. 구글의 스테이지프라이트 2.0
보안 전문가들, 아마존 클라우드에서 비밀 RSA 암호화 키 탈취 성공(CSOOnline)
구글이 어제 스테이지프라이트(Stagefright) 2.0에 대한 패치를 넥서스 기기를 대상으로 먼저 발표한데 이어 오늘도 관련된 패치 2개를 배포하기 시작했습니다. 스테이지프라이트라는 취약점이 저 멀리 2008년까지 거슬러 올라가는 취약점이라 패치가 쉽게 되지는 않는 듯 한데요, 다행히 아직까지 이로 인한 사고 사례는 보도된 바가 없다고 합니다.

4. CREST와 NIST
CREST, 펜테스트 인증서 싱가포르 정부에 발급키로(Infosecurity Magazine)
NIST, 더 안전한 이메일 만들기 위하여 프로젝트 진행 중(SC Magazine)
보안 실험 및 침투 테스트 등을 실행하는 영국의 비영리 단체인 크레스트(CREST)가 아시아로도 진출하고 있습니다. 그 첫 발판이 되는 국가는 싱가포르이고, 싱가포르의 정보보안 정부기관인 CSA와 MOI를 맺고 CREST 싱가포르를 개설했다고 합니다. 침투테스트 혹은 펜테스트에 대한 수요가 점점 커지고 있는 걸 그대로 보여주는 사건입니다.

또한 NIST에서는 트러스트워디 이메일(Trustworthy Email)이라는 프로젝트를 시작했다고 합니다. 이메일이 여러 해킹 사건에서 보안 구멍이 되는 일이 많은데, 이를 방지할 방법과 기술을 마련하고자 나선 것이죠. NIST는 그러나 기술을 기반으로 한 조직이 아닌지라 아마도 ‘안전한 이메일은 이러이러해야 한다’는 가이드라인 및 표준을 정할 것으로 보입니다.

5. 사건사고, 그 후
코카콜라 침해사고 관련 집단소송, 아직 진행 중(SC Magazine)
스노우든, “러시아 정부 기관과 비밀 계약 맺은 적 없다.”(The Register)
작년에 코카콜라에서 55대의 랩탑이 도난당하는 사건이 있었고, 이로 인해 적잖은 개인정보가 유출되었습니다. 이 사고로 피해자들이 집단소송을 진행 중에 있는데요, 사실 소송자체가 성립하지 않는다는 코카콜라 측의 주장이 있어서 실제 사건의 피해규모나 보상 등 진짜 문제에 대해서는 다루지 못하고 있었습니다. 하지만 얼마 전 법정이 ‘사건이 성립한다’고 판결을 내려주어서 이제는 피해 경위와 규모에 대한 증거 수집에 들어갔다고 합니다. 즉 본선이 이제 시작되었다는 건데요, 법정싸움 참 지지부진합니다.

한편 미국 정부로서는 스노우든의 영향이 대부분 ‘피해’로 인식되고 있는데요, 게다가 스노우든이 러시아로 망명을 갔기 때문에 ‘스노우든이 러시아와 비밀 계약을 맺었다’는 소문이 공공연하게 돌았는데요 스노우든이 최근 이를 강하게 부인하고 나섰습니다. 아마 ‘감옥에 가더라도 러시아에 있느니 미국에 가겠다’고 심정을 토로한 것과 연관이 있어 보입니다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>