|
|
자유게시판입니다. 아무 글이나 올려 주세요. 
|
|
본 글의 외부 링크는 허용하나 무단 복제는 금지하고 있습니다.
링크 : http://www.gilgil.co.kr/bbs/zboard.php?id=free&no=2823
Code란 무엇인가?
Code란 2가지의 의미를 가집니다. 하나는 너랑 나랑 이해를 같이 하는 "약속"의 의미이고 다른 하나는 남들은 알아 들을 수 없는 "암호"의 의미를 가집니다. 많은 사람들이 알고 있는 "A는 숫자로 65이다"(ASCII Code)라는 것은 전자(약속)의 가장 대표적인 예라고 할 수 있겠습니다.
현재 VoIP 통신에서 널리 사용되는 기술(H323, SIP, RTP, Audio Codec 등)은 전부 "약속"의 의미를 가지지 "암호"의 의미를 가지지는 않습니다. 네트워크상으로 송수신되는 패킷을 살펴 보니 사람이 알아 들을 수 없는 바이너리 형태라고 해서 이를 "암호"로 보지는 않습니다. 최소한 지금까지 발전해 왔던 VoIP 기술들은 전부 "약속"이지 "암호"의 영역은 아니었습니다.
간혹 언론에서 "이번에 어디어디에서 조사를 한 결과 VoIP가 도감청의 위험이 있을 수 있음을 최초로 알아 내었다"라고 하는 기사를 종종 보게 되는데, VoIP쪽으로 몸을 담았던 사람의 입장에서 봤을 때, 아무 도움도 되지 않는 Gossip성 기사로밖에 보이지 않습니다. 이는 "A는 65이다"라는 이미 다 알고 있는 사실을 "A는 65임이 입증되었다"라고 하는 것과 별반 다르지 않기 때문입니다.
이에 반해 VoIP 보안과 관련된 규약들은 전부 전자(약속)와 후자(암호)의 2가지 성격을 동시에 지닙니다. SIP over TLS(SIP 메세지를 TLS상에서 송수신하기), SRTP(RTP 암호화하기), ZRTP(짐머만의 특이한 기법), 구체적인 암호화 기법(AES, ARIA), Key 교환 협상 방법(PSK, PKE, SDES)등이 전부 여기에 속한다고 볼 수 있습니다.
Role Model의 부재
암호학은 지금까지 많이 발전되어 왔습니다. 100% 완벽한 암호란 있을 수 없지만, 지금의 암호 기술은 수학적인 증명에서부터 시작해서 "현재까지는 믿을만한 수준"이라고는 얘기할 수 있겠습니다. 그런데 이 암호 기술을 VoIP 분야에 도입(도감청 방지)시키는 데에는 많은 어려움을 겪고 있습니다. 그 이유는 암호화 기법 자체가 부실해서라기 보다는, 국가적, 기업적인 차원의 손익 경쟁이 더 크다고 할 수가 있겠습니다. 현재 거론되고 있는 VoIP 보안의 암호 알고리즘은 많은 암호화 기법이 있지만 가장 대표적인 예로 AES와 ARIA를 얘기해 보도록 하겠습니다.
전 세계의 많은 VoIP 벤더들이 현재 자사의 제품의 암호화 기법을 적용시키는데 있어서 AES라는 국제 표준을 채택하고 있지만, 이도 아직 완성단계로 보기는 힘듭니다. 외국 VoIP 보안 커뮤니티를 가 봐도, 아직 "우리 회사에서 사용하는 기법이 정석이에요!!!"라고 자신있게 주장하는 경우는 잘 보지를 못했습니다. 이는 Role Model을 자처할 수 있는 제품이 아직 나오지 않았기 때문입니다. 간혹 Cisco 장비에 이러한 암호화 기법이 적용되어 있기는 하지만, 이는 단순한 하나의 implimentation일 뿐이지 그를 정석(standard)로 보기는 힘들기 때문입니다(Key 교환 방식은 아직 제품마다 다를 수 밖에 없습니다).
결국 지금의 상황은 시험을 바로 치고 나온 학생들끼리 서로 정답을 맞춰 보는 단계 정도로 보면 됩니다."너는 정답을 뭐로 썼어? 나는 이렇게 썼는데?"라고 확인을 해 가는 상황이랄까요?
언론 보도
"ARIA 암호기술"이라는 검색어로 검색을 한 결과(네이버 뉴스)를 정리해 봤습니다.
VoIP 국산 암호기술 탑재 재검토
http://www.dt.co.kr/contents.html?article_no=2009041602010860739004
VoIP 암호기술 적용, 美에 발목
http://www.asiatoday.co.kr/news/view.asp?seq=233750
VoIP 암호기술 적용, 美에 발목(종합)
http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=100&oid=001&aid=0002610034
한-미, 1조 규모 행정용 인터넷전화 두고 암호기술 갈등
http://itnews.inews24.com/php/news_view.php?g_serial=407989&g_menu=020300
VoIP 국내 암호기술 적용, 美에 발목
http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=100&oid=001&aid=0002609414
보도의 정리
개인적인 견해를 적어 봅니다.
>>이는 미국 측이 '세계무역기구(WTO) 협정 위반'이라는 이유를 들며 국제 표준만 적용해 달라고 요구하고 있기 때문이다.
WTO 협정을 위반했느냐 그렇지 않느냐 라는 논의는 제가 봤을 때 별 의미가 없는 것 같습니다. 자국의 이익에 따라 얼마든지 해석을 달리 할 수 있기 때문입니다. 법 조항 운운하면서 잘잘못을 가리는 것은 쓸데 없는 논쟁만 야기시킬 뿐입니다.
>>한국정보사회진흥원은 지난해 12월 인터넷전화 보안기술에 국제 표준과 아리아를 병행 채택하기로 하고, 사업 설명회 등을 통해 인터넷전화 장비업체에 통보한 바 있다.
제가 탐탁치 않게 생각하는 중의 하나가 바로 이점입니다. VoIP 통신 암호화의 설계&구현 과정에 있어서 왜 VoIP 벤더(회사)가 중심이 되지 못하고, 정부 기관이 그 중심에 서냐 하는 것이죠. 회사와 정부간의 "협의"가 아닌 "통보"로 비춰 진다는 것은 바람직한 일이 아닙니다.
>>아리아는 국가정보원의 국가보안기술연구소에서 개발한 암호기술이고, 행정용 인터넷전화 도입은 행안부와 지방자치단체들의 전화 90여만대를 인터넷전화로 바꾸는 사업으로 장비 도입가격만 4천억원이 넘을 것으로 예상되는 대규모 사업이다.
주위 사람들이 A라는 메신저를 많이 사용하면 자기도 따라서 A라는 메신저를 사용하게 되죠. 이와 마찬가지입니다. 행정기관에 도입되는 VoIP 단말기는 이렇게 봤을 때 굉장히 중요한 의미를 지닙니다. 단순 4천억원으로 끝나는 것이 아니라 그것을 중심으로 한국 VoIP 시장이 재편되기 때문입니다.
>>시스코 등 미국 업체들은 내부 시스템상 아리아 적용에 상당한 시간이 걸리는 것으로 국내 업계에서는 판단하고 있으며, 시스코는 공식적으로 국제 표준만 적용하는 게 회사 방침이라고 못박고 있다.
간혹 VoIP 엔지니어중에 ARIA 모듈을 추가시키는 것이 얼마나 어렵다고 그러느냐 하는 분이 계신데, 이는 단순히 모듈 추가의 문제로 끝나는 것이 아닙니다. VoIP 통신은 단말기에서부터 시작하여 상대방 단말기에 이르기까지 하나의 공통된 규약으로 통일시킴이 굉장히 중요합니다. 이는 인터넷에서 "VoIP Phone"으로 검색을 해 봐도 금방 알 수가 있습니다(제품이 한두개가 아님). 또한 단말기만의 문제로 국한되는 게 아닙니다. 예를 들어 보자면, 의무적으로 통화 내용을 녹취해야 하는 업체도 많이 있고, SBC 장비 등에서 코덱 변환 기능을 구현해야 한다던지 하는 등, 고려 대상이 한두가지가 아닙니다. 암호화 프로토콜은 이런 모든 제품(SW, HW)에 똑같이 탑재되어야 하며, 연동 테스트에서부터 향후 유지보수까지 쉽게 봐서는 안되고, 결론적으로 단순한 라이브러리 탑재의 개념만으로 끝날 문제는 아닙니다.
>>이와 관련, 정부 관계자는 "한국 측은 안보문제를 위해 아리아를 국제표준과 함께 병행탑재해야 한다며...
ARIA를 도입한다고 해서 얼마나 안보에 도움이 될런지 모르겠습니다. ARIA와 관련된 자료가 한글 중심이기 때문에 외국인들한테는 암호나 마찬가지로 보일 수 있겠지만, 소스가 공개되어 있는 있는 마당에, ARIA 도입한다고 해서 안보상으로 도움이 된다는 얘기는 전혀 설득력이 없습니다. AES라던지 ARIA라던지 도감청의 위험(혹은 안전성)은 기술적으로 봤을 때에는 똑같습니다.
>> 한 정부 산하기관 관계자는 "아리아를 적용하더라도 호환성에 문제가 없다"면서 "현재 국제 표준은 2000년대 초반 미국이 채택한 AES(Advanced Encryption Standard)이지만 일본도 자체 암호 기술을 사용하는 등 국제적으로 국가 정보 보안을 이유로 자체적인 암호 기술을 사용하는 추세"라고 말했다.
미국, 일본이 그렇게 한다고 우리도 그렇게 해야 한다는 당위성을 주장은, 글쎄요, 그 나물에 그 밥이 되겠다는 얘기로만 들리는군요. 나라마다 다른 암호화를 채택하게 되는 경우 향후 발생할 호환성의 문제를 고려했을 때 얼마만큼의 장점이 있을까요?
>>네트워크 장비 업체 관계자는 "삼성전자 등 국내 업체들은 이미 자사 장비에서 AES와 아리아를 모두 구현했지만, 시스코나 어바이어는 그렇지 못해 제품 출시에 1~2년 정도의 시간이 걸릴 수 있다"면서 "그래서 외국 장비 업체들이 미 상무부를 동원해 암호 표준 문제를 거론하는 것"이라고 말했다.
이 점이 바로 논쟁의 가장 중요한 이슈가 아닐까 생각해 봅니다, 결국 돈 문제라는 것. 어느 주장이 더 설득력이 있느냐는 솔직히 모르겠습니다. 그들의 주장이 맞을 수도 있고, 정부(혹은 언론을 조장하는 특정 업체)의 주장이 맞을 수도 있고...
결론
기사의 논조를 보면 "AES만 해라"라는 쪽과 "AES와 ARIA 둘다 하자" 라고 양분되어 보입니다. 기사의 소재를 누가 제공했는지에 따라 논조는 크게 달라질 수 있습니다. 어느쪽이 맞는 말인지 단정 짓기는 어렵습니다. 보는 관점에 따라 정답은 다를 수 밖에 없기 때문이죠. WTO 운운하기, 보안상으로 좋다 나쁘다 얘기하기 등은 아무런 의미가 없고, 결국에는 얼마나 "많은 이익을 자국의 업체에게 돌아 가게 하느냐"라는 요인이 가장 큰 관건이 되겠습니다.
제가 보기에 정말 안타까운 것은 본 쟁점은 한국 정부 vs 미국 정부간의 논쟁이 아니고 한국 정부 vs 외국 글로벌 업체간의 논쟁으로 느껴 진다는 것입니다. 참 우습죠, 정작 가장 중심이 되어야 하는 국내 VoIP 업체는 본 논쟁의 중심에 끼지도 못하니 말이죠. 작년 말 VoIP 보안 세미나에서 개인적으로 든 느낌은, 뭐랄까요, VoIP 업체의 목소리에 얼마나 귀를 귀울였을까 하는 의구심이 들었다는 겁니다. 그냥 "정부 기관의 일방적인 통보(내가 시키는 대로 따라만 해)"로만 들렸을 뿐이었습니다. 정부에서 얘기하는 "권고"라는 것이 "강제"나 다름 없는 국내 산업의 현실에서 정부가 얼마나 국내 VoIP 산업의 발전에 도움이 될까 하는 진정한 고민을 해 봤을까 하는 걱정이 들었을 뿐입니다.
개인적으로 ARIA의 도입에는 찬성도 반대도 하지 않는 입장입니다. ARIA를 도입해야 하느냐, 말아야 하느냐라는 논의에 앞서서 "이러한 정책이 얼마나 VoIP 산업의 발전에 도움이 될 수 있을까"를 먼저 고민해 봐야 할 것입니다.
보호 정책이냐, 쇄국 정책이냐?
국가 차원의 전략이냐, 글로벌 시대의 역행이냐?
자국 기술에 대한 자긍심이냐, 불필요한 표준의 남발이냐?
지금은 첫 단추를 잘 끼우느냐 끼우지 못하느냐를 판가름 짓는 아주 중요한 시기입니다. |
|
|
|
|
잘 읽어 봤습니다 ^^ |
|
|
|
개인적으로는 원래부터 한국의 논쟁의 중점은 정부가 맞는거 같네요
그리고 더 사견적으로는 아리아로 갔으면 하네요
^^
아시겠지만 우리기술에 대한 자긍심이나 그런차원은 아닙니다.
다만, 같은 안정성을 확인된다면, 국내 암호기술 발전을 위한 거름이 되었으면하고
(혹 아리아가 쉽게 깨진다하면, 그래서 정부의 어딘가가 망신을 당한다면 그거또한 터닝포인트가 될지도..)
그리고, 외산기업이 보안분야에서 적어도VoIP시장에는 주춤하게 될때, 국내보안기업이 좀 제대로 물건도 팔고, 이익으로 R&D도 좀 해서, 종국에는 제대로된 기술과 장비를 국내기술로만 만들 수 있게된다면..(너무 SF적인가)
그런 장미빛 희망에서 아리아로 갔음 합니다^^ |
|
|
|
강동현님 / 감사 ^^
니뽕맨님 / 말씀대로 기술의 수출도 되면 참 좋겠지만, 쉬운 일은 아니라고 보여 집니다. 이미 AES가 전 세계의 표준 규약으로 되어 버린 마당에... ㅎㅎ |
|
|
|
본 사이트에 대한 모든 저작권은 이경문에게 있습니다. All rights reserved
to GilGil |
|
|
