어떤 브라우저가 가장 안전한가? 라는 질문에 대한 해답을 얻기 위하여, 美 Information Security는 Internet Explorer 7.0 베타 버전과 Netscape 8.0, 그리고 Firefox 1.0.7의 보안 기능을 평가해보았다. 어떤 브라우저가 기업에게 최고 보안을 제공하는지, 어떤 제품이 최고의 자리를 차지했는지 알아보자.
_제임스 포스터(BY JAMES C. FOSTER)

웹 브라우저는 가장 중요한 데스크탑 애플리케이션으로 성장했고, 이제는 가장 중요한 보안 대상으로 떠오르고 있다. 지난 수년간 웹 브라우저의 취약성이 계속해서 드러남에 따라, 기업들은 도처에 존재하는 이와 같은 대체 애플리케이션에 큰 관심을 보이고 있다. 브라우저는 보안 애플리케이션 관리 인터페이스에서부터 인터넷 액세스, 전통적인 은행 계정 및 MP3 플레이어에 이르는 모든 것에 관련되어 있다. 조직적인 범죄자들은 웹을 이용해 기업의 시스템 및 데이터베이스에 액세스하고 개인 사용자의 암호나 신용 카드 번호를 도용하고 있다.

이에 따라, 많은 사용자들이 2004년 후반에 출시된 오픈 소스 브라우저인 Firefox로 전환하기 시작했고 이로써 IE의 데스크탑 점유율이 떨어지는 결과를 초래했다. 보다 안전하다는 인식과 탭 지원 창과 같은 색다른 기능을 앞세워 Firefox는 세계적으로 8%~11% 정도의 브라우저 점유율을 확보하게 됐다.


이런 현상에 대한 마이크로소프트의 대응은 IE 7.0의 출시다. 아직은 베타 버전밖에 없지만, 완전한 버전이 출시된다면 지난 4년간의 Trustworthy 컴퓨팅 프로젝트에서 가장 최신이자 가장 큰 규모의 제품이 될 것이다. 이 중 한 버전은 XP SP2용이며, 또 다른 버전은 마이크로소프트의 Vista 운영 체제용이 될 것이라고 한다. 이번 출시는 Redmond의 ‘기본적인 보안’ 철학을 계승하고 있으며, 추가적인 보안 정책도 소개하게 될 것이다.
 
그렇다면, 어떤 브라우저가 가장 안전하다는 얘기인가?
언뜻 보기에는 간단한 이 질문에 대한 해답을 얻기 위해,  Information Security는 Internet Explorer 7.0 베타 버전 및 Netscape 8.0, 그리고 Firefox 1.0.7(Firefox 1.5는 이 평가가 끝난 후 출시됨)의 보안 기능을 평가해보았다. 각각의 제품이 SP2가 설치된 Windows XP에서 제작 환경 하에 실행됐다. 가정에서의 보안이 온라인 상거래의 신뢰성 확보에 있어서 필수적이기는 하지만, 이 평가에서 우리의 초점은 기업 환경에 걸쳐 안전한 브라우저 구성을 유지하는 것이었다.
우리의 결론은 가정용 사용자들에게는 다른 브라우저들이 유용할 수는 있어도, 기업 환경에서는 IE 7.0이 확실히 가장 좋은 선택이라는 것이다. 혁신적인 보안 기능의 조합과 IE가 가진 가장 중요한 기능인 세분화된 탁월한 보안 구성 조절 능력이 IE를 가장 우수한 기업용 브라우저로 만들고 있다.
 

< IE 7.0 >


과연 안전한가?

대체적으로, Netscape, Firefox 및 IE 모두 팝업, 피싱 공격 및 스크립팅 공격에 대해 양호한 수준의 보호를 제공하고 있는 것으로 나타났지만, IE 7.0을 차별화시키는 몇 가지 새로운 기능이 발견됐다. 우리는 다음 8가지 주요 영역에서 브라우저를 분석, 테스트 및 비교해 보았다.

1. 스크립팅 언어. IE 7.0은 마이크로소프트 언어를 제어해 ActiveX 및 Net Suite(ASP, VB 및 C#)를 포함시키도록 설정할 수 있는 구성에 있어서 탁월한 유연성을 발휘했다.

IE 7.0만 독보적으로 CSS/XSS(교차 사이트 스크립팅) 또는 XD(교차 도메인) 스크립팅 공격에 대한 방어 기능을 가지고 있었다. 즉, 침입자가 사용자나 세션을 현재 브라우저 개체 내로부터 신뢰할 수 없는 리소스로 재전송하는 것을 예방할 수 있다는 의미이다. 우리는 본 테스트에서 XD 공격을 IE 7.0에 전송한 다음, 사용자를 외국 사이트로 유도하고 현재 브라우징 쿠키를 그대로 운반하도록 시도했으나 성공하지 못했다.

Firefox는 사이트별 스크립팅 구성에서 부족함을 보였다. 또한 스크립팅 언어 수준까지 각 사이트가 가져야 하는 인증이 무엇인지 사용자가 지정할 수 있는 능력을 제공하지 않았다. 이 부분에서는 Netscape와 IE가 훨씬 우세했다. Netscape와 IE는 Java, ActiveX, JavaScript 뿐만 아니라, 이미지까지 특정 사이트에서 실행 또는 표시할 것인지 사용자가 지정할 수 있도록 지원하는 기능을 가지고 있었다. 또한, Java와 ActiveX가 기본적으로 비활성화되어 있었는데, 바로 이것이 마이크로소프트의 ‘기본적인 보안’ 정책의 대표적인 예라고 할 수 있다. 스크립트 실행을 허용하기 전에 신뢰할 수 있는 사이트임을 지정해야 한다는 것이다.

2. SSL. SSL 1.0 및 2.0의 알려진 취약성과 악용에 있어서는 세 가지 브라우저가 모두 한층 안전한 SSL 3.0 및 TLS 1.0을 지원했다. 하지만, IE 7.0은 한 수준 더 높은 보안을 제공했다. TLS가 기본적으로 활성화되어 있었으며, SSL 2.0은 더 이상 지원되지 않았다. Netscape와 Firefox는 모두 기본적으로 TLS 및 SSL 3.0 뿐만 아니라 SSL 2.0까지 활성화시키고 있었다.

3. 사용자 정보. 세 가지 브라우저 모두 사용자들이 잠재적으로 민감한 정보(히스토리, 임시 파일에 있는 미디어 플레이어 컨텐츠와 같은 오프라인 컨텐츠, 쿠키, 임시 파일 캐시, 레지스트리 수정 정보 및 기타 민감한 데이터)를 삭제할 수 있도록 지원했다.

하지만, 이렇게 삭제된 정보도 Undelete 또는 ActiveWin과 같은 툴을 사용하면 쉽게 액세스할 수 있었다. 데이터를 삭제하면 일반적인 염탐 정도는 차단할 수 있겠지만, 보다 강력한 보안을 원한다면 이 기능을 맹신하지 않는 것이 좋다. IE 7.0은 사용자들이 단추 클릭 한 번만으로 이 모든 ‘민감한’ 정보를 삭제할 수 있도록 지원하는 뛰어난 기능을 제공한다. Firefox와 Netscape는 브라우저 옵션 탭 내에서 조금 더 탐구해야 이 기능을 찾아낼 수 있다. Netscape와 IE는 모두 사용자가 자동으로 브라우징 히스토리와 같은 데이터 삭제 일정을 짤 수 있도록 지원한다.

4. 멀티 쓰레딩. 세 가지 브라우저 모두, 데이터 검색을 위해 여러 쓰레드를 발생시키고 다운로드를 신속하게 만들어주는 사이트 파싱 엔진을 가지고 있었다. Firefox는 이 엔진이 장착된 최초의 브라우저였으며, 바로 이 기능을 통해 인기를 얻기 시작했었다. 멀티 쓰레딩에 연관된 보안 문제는 동시 발생 세션을 각각 보호할 수 없는 것이다. 우리는 중간자 공격(man-in-the-middle attack)을 통해 신뢰할 수 없는 코드를 주입하여 개별 터널에 침입하려고 했지만, 세 가지 브라우저 모두 우리의 시도를 차단해냈다.

5. URL위장. 모든 브라우저에서 안티 피싱 기능의 파생물은 URL의 패턴을 위장하고 있는 사이트들을 식별해낼 수 있는 능력이다. 예를 들어, 사용자의 신용 카드 정보를 훔치려고 하는 악성 사이트에서 실제 온라인 뱅크와 똑같은 브라우저 윈도우를 띄우는 경우도 있다.

사용자는 이 사이트가 자신의 Acme Bank 사이트인 www.acmebank.com이라고 믿지만, 실제 숨겨진 URL에서는 조작된 www.my-acmebank.com 사이트를 가리키고 있는 것이다. IE 7.0은 반드시 각 웹 사이트에서 URL을 표시하도록 요구하지만, Firefox와 Netscape는 여전히 이 주소 막대를 숨길 수 있는 옵션을 제공하고 있다. 또한, IE 7.0은 사용자가 원하는 언어로 URL 문자 세트를 제한할 수 있도록 하여 외국어 문자를 사용하는 해커들이 사용자를 속이지 못하도록 차단하는 기능을 제공한다. 물론 사용자 친화적인 인터페이스를 제공하지만, 이렇게 구성을 중앙에서 통제하고자 하는 관리자의 능력을 제한하기도 하는 것이다.

6. 팝업. 팝업은 귀찮기는 해도 악성 사이트에 대한 노출 위험은 가장 적다. 테스트한 각 브라우저는 모두 양호한 팝업 차단 능력을 보였다. Netscape와 IE는 특정 사이트의 팝업은 허용하고 사이트 보안 항목으로 보관할 수 있도록 허용하는 세심함을 보였으며, 반면에 Firefox는 단추 하나만 누르면 팝업 창을 차단할 수 있는 기능을 제공했다. 하지만, Firefox도 팝업이 허용된 사이트 목록을 구성할 수 있는 기능을 제공하므로, 결과적으로 각 브라우저는 큰 차이가 없었다.

여기서 가장 중요한 것은 ActiveX와 자바와 같은 웹 스크립팅 언어를 통해 실행되는 팝업 메커니즘을 통제할 수 있는 기술이 발달되었다는 것이다. 세 가지 브라우저 모두 이런 기술을 사용하는 팝업 창 호출은 성공적으로 차단했다. 하지만, 우리의 테스트에서는 일부 비밀스러운 악성 클라이언트측 애플리케이션이 발견되었다. 이에 많은 P2P 프로그램이 비밀리에 기초 시스템 호출로부터 새로운 팝업 창을 띄울 수 있는 여러 애플리케이션을 설치했고, 세 가지 브라우저 모두 이런 기술에 대해서는 취약함이 드러났다.

7. 암호. 암호의 기억과 사용은 항상 존재하는 보안 이슈다. 암호가 암호화되어 있으며 얼마나 접근성이 높다는 점에 있어서는 걱정할 것이 없다. 세 가지 브라우저 모두 애플리케이션 암호를 AES 암호화를 통해 저장했으며, 실제 문자들은 표시하지 않았다. 하지만 여전히 암호 전송은 주요 관심 대상이 되어야 한다. 만약 사용자들이 인터넷에서 공개된 텍스트 포맷으로 암호를 전송하려고 할 때 브라우저에서 이 사실을 알려주면 얼마나 좋겠는가.

8. 피싱(Phishing). 조직적인 범죄자 그룹에 의해 꾀해지는 피싱 공격은 침입자를 발견하는 데 있어 필수적인 요소이며, 온라인 소비자의 신뢰를 얻는 데 있어 심각한 위협이다. 피싱 공격자들은 별 의심을 사지 않고 사용자들을 허위 웹 사이트에(보통 훔친 서버) 쉽게 끌어드린다. 세 가지 브라우저 모두 이런 피싱 공격의 차단을 돕고 사용자들에게 허위 사이트에 들어갈 수 있는 가능성이 있음을 경고하는 초기 단계는 확보하고 있었지만, 이 정도로 과연 얼마나 도움이 될 것인가 하는 의문은 여전히 남아있다.

Firefox 사용자들은 웹 서비스 제공업체 Netcraft(IE 6.0용도 있음)로부터 무료 안티 피싱 툴바를 다운로드할 수 있지만, IE 7.0 및 Netscape는 이런 기능을 고유 코드에 내장하고 있다. 세가지 브라우저 모두 알려진 피싱 사이트들의 블랙 리스트에 의존하고 있는 실정이다.

물론 이것도 유용하지만, 피싱 사이트들은 대상을 끊임없이 변경하는 것으로 유명하다. 자신들이 발견되는 즉시 조치를 취해서 훔친 다른 서버로 옮겨간다. IE 7.0은 또한 스트링 패턴에 기반하여 잠재적으로 위협을 식별할 수 있는 파싱 엔진을 사용한다.

※본 기사는 TechTarget이 발행하는 Information Security와의 기사 협약에 의해 전재한 것이며, 기사의 저작권은 TechTarget에 있음을 알려드립니다.

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지.>