프로인트, SSH 성능 이상을 추적하다 다년간에 걸친 백도어를 잡아내다 (인터뷰)

2024년 4월 NPR 'All Things Considered' 인터뷰에서 마이크로소프트 소프트웨어 엔지니어 안드레스 프로인트는 오픈소스 소프트웨어를 일상적으로 테스트하던 중 이상한 점을 발견했다고 말한다. 관리자들이 컴퓨터를 원격으로 제어할 때 쓰는 도구인 SSH가, 아무도 로그인 권한이 없는 한 머신에서 '자원을 너무 많이 쓰는 듯했다'는 것이다. 증상은 '내가 계획한 작업에서 조사 쪽으로 전환하지 않는다고 스스로에게 정당화하기 어려울 만큼 이상했다'고 그는 말한다.

더 파고들자 그는 정부, 기업, 은행의 서버를 구동하는 오픈소스 소프트웨어에 주입된 코드를 발견했다. 누군가가 권한 없이 로그인할 수 있게 하는 백도어였다. 그 접근 권한을 가진 사람은 은행 시스템을 마비시키고, 산업 제어를 방해하고, 데이터를 훔치는 등 거의 무엇이든 할 수 있다고 그는 말한다. 프로인트는 그 주입에 여러 해의 작업이 필요했고 혼자서 감당할 수 있는 것보다 더 많은 노력이 들었다고 회상한다.

그 깨달음은 천천히 찾아왔다고 그는 말한다. 그는 계속 자신이 틀렸을 것이라고 생각하다가, 다시 그것이 실제로 사실일 수도 있다는 깨달음으로 돌아왔다. 그가 경보를 울리자 개발자들이 몰려들어 결함을 고쳤고, 한 사이버보안 전문가는 '세계가 안드레스에게 무제한 무료 맥주를 빚졌다'고 말했다.

프로인트에게 더 깊은 문제는 구조적이다. 침해된 구성 요소는 극히 널리 사용됨에도 불구하고 거의 20년 동안 한 명의 무보수 인력에 의해 유지되어 왔다. '우리는 여기서 터무니없을 만큼 운이 좋았고, 앞으로 그저 그 운에만 기댈 수는 없습니다'라고 그는 말한다.

그 백도어는 보안 도구에 의해 잡힌 것이 아니라 그 자체의 부작용, 즉 SSH 로그인마다 추가로 소모되는 CPU에 의해 잡혔고, 한 엔지니어가 그것을 그냥 넘기지 않았다.

탐지는 어떤 보안 검토나 스캔이 아니라 백도어 자체의 부작용, 즉 SSH 로그인에서의 추가 자원 사용에서 비롯되었다.

프로인트의 규율이 차별점이었다. 그 증상은 무시해도 될 만큼 작았지만, 그는 계획 전체를 바꿔 그것을 추적했다.

프로인트 자신의 말에 따르면 그 발견은 운에 의존했고, 그래서 그는 하트블리드 이후 그랬던 것처럼 유지관리자 자금 지원이 바뀌어야 한다고 주장한다.

설명되지 않는 작은 이상은 추적하기는 싸고 무시하기는 비싸다. 그리고 인프라 소프트웨어가 20년 동안 한 명의 무보수 유지관리자에게 의존해서는 안 된다.

프로인트가 이를 보고하자 커뮤니티는 빠르게 움직였다. 사람들이 몰려들어 결함이 고쳐졌고, 그는 '인터넷 영웅'이 되었다. 인터뷰에서 그는 다음에 무엇이 와야 하는지의 모델로 하트블리드를 지목한다. 그 OpenSSL 취약점 이후 기업들이 유지관리자에게 돈을 지급하기 시작해 보안이 실제로 개선될 수 있었고, '그런 일이 더 많이 일어나야 한다'고 그는 말한다.