오픈뱅킹 과제, VPN 보안 방안

투이컨설팅 이상익 이사

최근 금융회사들은 오픈 플랫폼을 본격적으로 도입하고 있다. 오픈 플랫폼으로 핀테크 기업과 네트워크를 연결하여 금융 서비스를 제공하기 위한 목적이다.

투이톡_vpn_1.jpg
[그림 1] Open Banking Model
(출처: https://medium.freecodecamp.org/sick-of-your-banks-lame-app-open-banking-promises-more-9770cad2448c)

은행은 최고 수준의 보안 체계를 운영하고 있다. 핀테크 기업의 보안 관리 수준은 은행 정도는 아니다. 은행은 핀테크 기업의 시스템과 네트워크 연결을 어떤 방식으로 할 것인지를 놓고 고민에 빠져 있다.

전자금융감독규정을 준수하려면 전용회선을 선택하는 것이 당연하지만, 영세한 핀테크 기업에서 금융회사와 전용선을 깔려면 비용 부담으로 인하여, 핀테크 기업을 확보하는데 제동이 걸릴 수 있기 때문이다.

따라서 금융회사의 오픈 플랫폼은 VPN을 사용하는 경우가 많다. 금융금융감독규정에서는 전용회선 수준의 연계 보안을 요구하고 있다. VPN으로 써드파티와 뱅킹을 연계할 때 보안 관점에서 문제는 없을까? 오픈 플랫폼 구축 경험을 토대로 문제점과 대응방안을 정리해본다.

투이톡_vpn_2.jpg

[표 1] 전자금융감독규정

VPN의 문제점

투이톡_vpn_3.jpg
[그림 2] Virtual Private Network 체계

1. VPN의 암호화된 트래픽은 복호화할 수 있다

HTTPS, SSH, IPsec, OpenVPN 등 여러 VPN 프로토콜에서 많이 사용되는 디피헬만 알고리즘은 복호화될 수 있다. 소인수분해를 사용하는 알고리즘 자체의 문제라기 보다는 대부분 특정 소수가 많이 사용되고 있기 때문에 복호화 키를 추출해 낼 수 있다고 한다.

NSA 연구가인 제임스 벰포드(James Bamford)는 NSA는 이미 수년 전에 전 세계의 많은 컴퓨터의 복잡한 암호화 시스템을 해독하는 능력을 갖추었다고 했으며 내부 고발자 에드워드 스노든 또한 미국 국가안보국(NSA)이 복호화 할 수 있는 소인수분해를 동원할 충분한 자원을 가지고 있다고 폭로하였다. NSA는 2011년말 1시간에 10만개 넘는 VPN 통신을 해독할 수 있을 것으로 예상하고 있었다고 한다.

즉, 충분한 시스템 자원이 있다면 암호문을 해독할 수 있다는 것이다. 물론, 투입 비용 대비 얻을 수 있는 이득이 크지 않다면 시도하지 않겠지만 금융 거래의 횟수 및 금액이 크거나 거래 전문으로부터 개인정보 및 금융정보를 탈취할 수 있다면 이는 충분히 보안 상 문제가 될 수 있다.

2. VPN은 안전한 공격 침투 경로가 될 수 있다

웹서버 등으로 접속되는 금융 회사의 주요 서비스들은 IDS/IPS, 웹 방화벽 등 많은 보안 장비로부터 네트워크 상에서 보호되고 있다. 하지만 VPN은 이와는 별도의 네트워크이기 때문에 이런 네트워크 보안 장비들을 우회하는 경로가 만들어 지게 된다.

즉, VPN망을 타고 DMZ의 웹서버나 내부망의 서버까지 트래픽이 들어오게 되고 어플리케이션 계층의 보안 적용이 충분치 않다면 금융 서버 깊숙이 침투할 수 있게 된다. 또한 이 금융회사의 서버를 통하여 일반적으로 접근할 수 없는 대외기관 시스템까지 침투할 수 있을 것이다.

3. VPN 프로토콜의 취약점을 공격하여 정보를 탈취할 수 있다

포트 스캐닝 등으로 VPN 프로토콜을 알아낸 뒤 해당하는 프로토콜의 취약점을 공격할 수 있다. VPN 게이트웨이를 포트 스캐닝 해서 500 Port(IKE)가 탐지되면 IPSec 방식, 443 Port 라면 SSL VPN 이라는 것을 알 수 있다.

SSL VPN 이라면 최근에 알려진 SSLv3 의 취약점인 Heartbleed와 Poodle 취약점을 이용하여 SSL 서버 비밀키, 세션키, 쿠키 등 인증 정보와 사용자 개인정보(ID/PW 등)을 탈취할 수 있다. 또한, 1723번은 PPTP 윈도우 서버 VPN이며, MITM (Man-In-The-Middle) 공격 등으로 윈도우의 사용자 자격증명을 획득할 수 있다.

‘부족한 보안’, VPN의 개선 방안

VPN은 비용 등의 이유로 전용선을 깔 수 없는 원격 시스템 간 네트워크 보안성을 강화해 줄 수 있는 도구이지, VPN만으로 보안이 확보되었다고 볼 수 없다. 그렇다면 이 부족한 보안을 위하여 할 수 있는 것들은 무엇이 있을까?

1. 입구 보안 취약점 줄이기

아무리 VPN을 통하여 금융기관의 우수한 보안 환경과 연결된다고 하더라도, 써드파티 업체나 사용자 단말이 보안 취약점 투성이라면 이를 통하여 공격해 들어올 수 있을 것이다.

실례로 업체 실사를 가보면 서버에 Root로 접근할 수 있는 서버 관리자 PC가 인터넷에 동시에 접근 가능하고, 백신, PC 방화벽 등 단말 보안 솔루션이 거의 적용되어 있지 않은 경우도 있다.

2. 주기적인 VPN 암호화키 점검

해커는 VPN의 암호를 풀기 위해 투자하기 보다는 암호키를 훔치는 것을 더 선호한다고 한다. 디피헬만 소수 키 사례에 볼 수 있듯이 암호키를 충분히 복잡하게 설정하고 주기적으로 교체를 하여야, 암호 해독 공격과 복호화 키 탈취에 대응할 수 있을 것이다.

3. 무조건적인 VPN 암호화 신뢰 금지

VPN 서버는 웹 서버, 대외연계 서버 등과 연동하기 위해 DMZ 혹은 대외연계망 구간에 위치하고 있는 경우가 많은데, 이 때 복호화하여 연계 서버에 넘겨 주게 된다.

DMZ는 1차 방화벽과 2차 방화벽 사이에 있는 구간이며 내 땅이지만 나만 쓰는 공간이 아닌 것이다. VPN 서버가 복호화 하더라도 SSL 인증서와 필드 암호화로써 웹서버 이후 단계까지 민감한 정보는 암호문 상태로 넘겨주도록 한다.

통신 데이터의 무결성을 확보하기 위하여 HMAC / SHA-256을 활용한 전문 위변조 방지 기술도 적용하도록 한다.

4. Open VPN 사용 검토

오픈소스 암호화 프로그램은 전 세계 기술자가 다양한 기술로 암호화 수준을 수시로 개선해 나가므로 해독하기 어렵다.

마이크로소프트의 PPTP 같은 보안에 취약한 프로토콜을 사용하지 말아야 하며, VPN 장비 자체의 패치 업그레이드나 프로토콜 취약점 공개 시 지속적인 대응해가는 노력도 필요하다.

- 끝 -

투이컨설팅 다른 콘텐츠 보기