올해로 10주년을 맞이하는 국제 해킹 보안 컨퍼런스 POC2015(www.powerofcommunity.net/)가 5일 서울 양재동 더케이호텔서울 가야금홀에서 국내외 해킹 보안 전문가 500여 명이 모인 가운데 최신 해킹 시연 및 제로데이 취약점 공개 그리고 다양한 해킹 보안 이벤트 등이 열렸다.

 
POC2015 발표자들도 국제적으로 유명한 해커들이 대거 참여했다. 한국 해커를 비롯해 중국, 독일, 루마니아, 러시아, 미국, 싱가포르, 아르헨티나, 일본, 캐나다, 프랑스, 터키 등 다양한 국가의 유명 해커들이 POC 10주년을 함께 축하하기 위해 의미있는 연구 결과물들을 들고 한국에 모인 것이다.
 
이날 중국의 유명 해킹 보안 기업 ‘Keen Team’의 멤버 Liang Chen(량 첸)과 Shuaitian Zhao(슈아이티엔 짜오)는 ‘OS X kernel is as strong as its weakest part’란 제목으로 발표를 진행했다. 데일리시큐는 현장에서 이들을 만나 간략한 인터뷰를 진행했다. Keen Team은 캔섹웨스트(CanSecWest) Pwn2Own에서 5회 우승 경력을 가진 해커들이 주축을 이루고 있는 해킹보안 전문 기업이다.

 
-‘Keen Team’은 세계적으로 유명한 팀으로 알려져 있다. 한국 독자들에게 간략한 소개를 부탁한다.
처음에 마이크로소프트(MS)에 소속돼 MS의 OS나 오피스 프로그램들의 취약점을 찾아내고 보안성을 높이는데 기여하는 업무를 전담해 왔다. 취약점을 직접 연구해 찾기도 하고 글로벌 커뮤니티에서 발표되는 취약점을 리서치해서 MS 제품의 취약점을 패치하는 것이 주요 업무였다. 이후 2011년 네트워크 보안회사로 독립해 지금에 이르고 있다. 지금도 MS, 구글, 애플 등 글로벌 기업들을 상대로 보안업무를 진행하고 있다. 특히 최근에는 안드로이드나 iOS 등 모바일 운영체제 취약점 연구도 활발히 진행하고 있다. 현재 총 50명의 직원이 근무하고 있으며 해킹 보안 전문 연구 인력은 20명 정도 된다. 또 우리 회사는 캔섹웨스트(CanSecWest) Pwn2Own에서 어도비 리더, 플래쉬, OS X Maericks 버전 등에 대해 해킹성공으로 5회 우승을 차지한 바 있다.
Keen Team은 모바일 앱과 네트워크 시스템 연구도 같이 하고 있다. 특히 크롬, 사파리, IE 등 브라우저 취약점 연구도 하고 있고 취약점을 찾을 경우 해당 회사에 전달해 보안이 강화될 수 있도록 전달해 준다.
 
-POC2015 발표에 참여하게 된 이유가 있다면
우선 POC 운영자와 친분이 있고 올해 POC가 10주년이 돼 축하하는 마음에 참여하게 됐다. 또POC는 아시아에서 해킹 보안 컨퍼런스로는 아주 유명한 대회다. 이런 유명한 컨퍼런스에 발표자로 참여하는 것은 의미있는 일이라고 생각한다. 그리고 한국 해커들과 정보공유도 할 수 있어 기쁘게 생각한다.
 
-이번 발표내용을 간략하게 소개한다면
최신 OS X 커널 취약점을 공개했다. 총 4개의 취약점에 대해 현장에서 공개한 것이다. OS X는 사용자가 증가하면서 해커들이 취약점을 찾는 기술도 발전하고 있고 관련 트로이목마도 증가하고 있다. 그에 따라 보안의 중요성도 더욱 커지고 있는 상황이다.
오늘은 OS X 이전 버전과 최신 버전의 커널 취약점에 대해 발표했다. 이 취약점으로 인해 악의적해커는 OS X 시스템을 장악하고 루트 권한도 탈취할 수 있게 된다. 특히 지난달 공개된 OS X 엘 캐피탄(El Capitan)의 커널 취약점과 지난해 10월 발표된 OS X 요세미티(Yosemite) 등에 대한 취약점을 발표했다.
 
-중국 해커들이 모바일 취약점 연구를 많이 하고 있나
중국은 인구가 많아 안드로이드나 iOS 사용 인구가 많다. 모바일 사용자가 급속도로 증가하면서 취약점이 있을 경우 해커들의 공격이 증가하고 사용자들의 피해가 클 수 있다. 그래서 모바일 취약점에 대한 연구가 활발하게 진행되고 있다.
 
-취약점을 발견하면 어떻게 처리하고 있나
구글은 버그바운티 프로그램을 운영하고 있어 취약점을 발견해 전달하면 중요도에 따라 비용을 받게 된다. 또 애플은 취약점을 전달하면 패치 발표 내용에 최초 취약점 발견자를 공개해 주고 있어 이름을 알 릴 수 있다는 점에서 긍정적이다.
 
-중국 해커들은 어떤 교육을 받고 해킹 보안 분야에 일하고 있나
대학에서 컴퓨터 전공자들이 이 분야에 많이 일한다. 또 최근 보안학과가 생겨서 전공자들이 이 분야에 취업을 하고 있다. 2013년 이전에는 보안전문가들 수입이 크게 좋지 못했지만 최근 보안 분야 중요도가 올라가면서 보안전문가의 가치도 올라 가고 있다.
 
★정보보안 대표 미디어 데일리시큐!★
 
<데일리시큐 길민권 기자> mkgil@dailysecu.com