암호키(Key) 관리 서비스가 `코드서명` 유출을 막는 방법으로 떠올랐다.

지난해에 이어 올해도 소프트웨어(SW) 개발사 코드서명 인증서가 탈취돼 사이버 공격에 악용됐다. 개발사는 SW를 배포할 때 프로그램이 안전하다는 표시로 코드서명을 한다. 코드서명은 사용자에게 안심하고 쓰라는 디지털 도장이다.

이 때문에 해커는 코드서명을 해킹해 악성코드에 붙인다. 코드 서명된 악성코드는 개발사가 배포한 정상 파일로 인식한다. 악성코드라는 의심 없이 파일을 내려받아 대규모 좀비 PC가 생긴다. 대규모 사이버 공격에 이용되는 코드서명 유출을 막고 안전하게 이용하는 방법은 없을까.

한국인터넷진흥원은 외부에서 코드서명 인증서에 접근하지 못하는 관리체계 마련을 권고한다. 별도 폐쇄망에 코드서명 인증서 시스템 구축을 요구한다. 하지만 SW개발사는 이런 방법을 알면서도 제대로 지키지 않아 피해를 입는다.

보안기업은 코드서명 유출 방지책으로 암호키 관리 기술을 제시한다. 코드사인을 하려면 인증서와 암호키가 필요하다.

시만텍코리아는 클라우드에서 코드서명을 호스팅하는 `시큐어앱 서비스`를 제공한다. SW개발사는 코드사인 인증서를 제3의 기관에 저장하고 관리한다. 기업 내부에 보관하지 않아 유출 우려가 낮다. 개발사 코드서명 인증서를 시큐어앱 서비스에 저장하고 관리한다. 각종 SW프로그램과 앱에 서명을 하는 작업도 여기서 진행하며 자동으로 기록으로 남는다. 시만텍 시큐어앱 서비스를 이용하면 사용자별로 계정이 생성되고 승인을 거쳐 처리한다.

윤광택 시만텍코리아 CTO는 “최근 발생한 코드서명 인증서 유출 문제는 서명에 사용되는 키 관리를 기업에서 직접 하다가 실패한다”면서 “제3의 서비스에 맡기면 누가 언제 어떤 프로그램에 서명했는지 중앙에서 관리한다”고 말했다.

한컴시큐어 `제큐어 키 매니저`는 암호키 생성부터 폐기까지 생명주기 차원에서 통합관리하는 제품이다. 코드사인 암호키를 제큐어 키 매니저에 보관한다. 제큐어 키 매니저는 OASIS 상호 운용 표준인 KMIP(Key Management Interoperability Protocol)를 준수하는 키 관리 서버다. 하드웨어보안모듈(HSM)을 기반으로 암호 키를 제큐어 키 매니저에 보관한다. PUF(Physical Unclonable Function)칩이 내장된 보안토큰을 이용한 클라이언트만 키에 접근한다.

펜타시큐리티시스템 암호키 관리시스템 `디아모 에스지 케이엠에스`도 암복화에 사용하는 키를 물리적으로 관리한다. 디아모 에스지 케이엠에스는 양자난수생성기도 추가했다. 코드사인시 필요한 암호를 양자난수생성기로 만든다. 양자난수생성기는 예측이 불가능하면서 이전에 생성된 숫자와 연관되지 않는 암호를 제시한다. 디아모 에스지 케이엠에스는 생성된 키를 하드웨어 보안모듈(HSM)에 저장한다.

김인순 보안 전문기자 insoon@etnews.com