이준석 “쿠팡, 대학 2학년 수준 보안 원칙 놓쳐…예견된 인재”

"치명적인 결함 두 가지 발견…직원 전용 문 활짝 열어 둔 것과 다름없어"

개혁신당 이준석 대표. 연합뉴스

개혁신당 이준석 대표(화성을)가 쿠팡 개인정보 유출 사태에 대해 매우 기본적인 설계 원칙을 간과했다며 “예견된 인재(人災)”였다고 지적했다.

이 대표는 2일 국회 과학기술정보방송통신위원회(과방위)에서 쿠팡 사태 긴급 현안질의가 끝난 뒤, 페이스북을 통해 “시작은 키 탈취였지만 그 키를 만능키로 만들어준 것은 잘못된 유저-인증시스템 설계였다”며 “대학교 2학년 수준의 수업에서 알려주는 설계 원칙을 간과했던 것”이라고 말했다.

쿠팡 측은 당초 ‘인증 토큰을 만드는 키(Key)가 탈취된 것이 문제’라고 해명한 바 있으나, 이 대표는 쿠팡 측 해명에 대해 두 가지 의문이 강하게 들었다고 밝혔다.

이 대표는 “아무리 키가 털렸다 한들, 해커가 수천만 명의 사용자 계정을 뚫으려면 각 사용자의 '이메일 주소'를 다 알고 있어야 대입해 볼 수 있는 것 아닌가?”, “그 방대한 이메일 리스트는 애초에 어떻게 확보했는가?”에 대한 의문을 풀기 위해 질의를 이어갔다며 자신이 밝혀낸 결함 두 가지를 설명했다.

이 대표의 설명에 따르면, 쿠팡 보안 시스템의 치명적인 구조적 결함은 첫 번째로, 내부 데이터베이스의 사용자 식별값(Primary Key)을 암호화된 난수나 랜덤 값이 아닌 순서대로 1씩 늘어나는 정수(Auto Increment Integer)로 설정해두고 있었다는 것이다.

이 대표는 이에 대해 “이메일이 아니라 '1, 2, 3...' 숫자만 알면 됐다. 즉, 해커는 굳이 이메일을 알아낼 필요가 없었다. 그저 숫자 1부터 차례대로 대입만 하면, 모든 사용자의 계정을 특정할 수 있었던 것"이라며 “만약 이를 예측 불가능한 값으로만 설계했더라도, 키가 탈취된 것만으로는 수천만 명의 정보가 통째로 털리는 일은 막을 수 있었을 것”이라고 설명했다.

두 번째 결함은 내부에서만 써야 할 API가 밖으로 열려 있었다는 것이다. 이 대표는 “숫자(PK)만 넣으면 인증 토큰을 내어주는 이런 API는, 보통 시스템 내부의 마이크로서비스(Microservices) 간 통신에나 사용되어야 하는 것”이라며 “서로 신뢰하는 내부 서버끼리만 쓰고 닫아뒀어야 할 이 API가, 황당하게도 일반 인터넷에서 누구나 접근 가능한(Public) 상태로 열려 있었다”고 부연했다.

이 대표는 이번 사태에 대해 “결국 단순한 '관리자 키 분실' 사고가 아니라, ‘누구나 예측 가능한 번호표를 달아놓고, 직원 전용 출입구를 활짝 열어둔 것’과 다름없는, 안일한 보안 아키텍처가 불러온 예견된 인재(人災)임이 오늘 질의를 통해 명확히 드러났다”고 비판했다.

그러면서 “국민의 데이터를 다루는 거대 플랫폼이 이런 기초적인 보안 설계를 놓치고 있었다는 점이 매우 뼈아픈 대목”이라며 “과방위 위원으로서 끝까지 책임을 묻고 근본적인 대책을 챙기겠다”고 밝혔다.

김미지 기자 unknown@kyeonggi.com