"한국, 세계 2위 하트블리드 취약점 보유국"

세계 각지 웹사이트와 서버 20만곳이 암호화 통신을 엿볼 수 있는 취약점 '하트블리드(Heartbleed)'를 3년째 방치해온 것으로 드러났다. 이런 서버가 많은 나라 순위를 매기니 미국이 1위, 이어 한국이 2위였다.

하트블리드는 보안소켓계층(SSL) 암호화 통신 라이브러리 '오픈SSL(OpenSSL)' 구버전의 취약점에 붙은 별명으로, 지난 2014년 4월초 발견됐다. 오픈SSL은 2012년 3월 1.0.1 버전이 공개된 이래 2년만에 세계 웹사이트 수백만곳에 적용됐는데, 그만큼 하트블리드 취약점 공격에 당하기 쉬운 곳도 많은 상황이었다. 오픈SSL 오픈소스 프로젝트 개발자들은 2014년 7월 새 로드맵을 내놓고 2016년 1월 보안패치를 공개했다.

하트블리드 서버 (출처=CNET)

여전히 오픈SSL 기반 암호화 통신을 사용하는 환경이더라도 공개된 패치를 적용하면 하트블리드 취약점 위협을 잠재울 수 있다. 세계 다수 웹사이트와 서버 관리자들은 이런 조치를 마쳤지만, 그렇지 않은 곳도 20만곳에 달하는 것으로 파악됐다.

25일(현지시간) 미국 지디넷은 사물인터넷(IoT) 검색엔진 '쇼단(Shodan)'이 지난 22일 공개한 2017년 1월자 '하트블리드 보고서'를 인용, 거의 20만곳에 달하는 웹사이트와 서버가 널리 사용되는 암호화 라이브러리의 발견된지 3년이 돼가는 취약점을 품고 있다고 보도했다.

IoT검색엔진 쇼단이 공개한 2017년 1월 하트블리드 보고서. 나라별 하트블리드 취약점 보유서버 규모가 10위까지 제시돼 있다.

[☞참조링크: Heartbleed bug still affects thousands of sites]

[☞참조링크: Heartbleed Report (2017-01) - Shodan]

쇼단의 보고서에 취약점을 품었다고 기재된 실제 서버 수는 19만9천594대다. 취약한 서버가 많은 나라(서버수) 1위부터 10위까지 열거하면 미국(4만2천32대), 한국(1만5천380대), 중국(1만4천116대), 독일(1만4천72대), 프랑스(8천702대), 러시아(6천673대), 영국(6천491대), 인도(5천827대), 브라질(5천497대), 이탈리아(4천845대) 순으로 나타났다.

IoT검색엔진 쇼단이 공개한 2017년 1월 하트블리드 보고서. 취약점을 품은 시스템 운영체제(OS)별 규모가 제시돼 있다.

나라 순위로는 한국이 2위지만, 이런 취약한 서버를 많이 보유한 조직별로 보면 한국 통신사업자들이 상위권을 점하고 있어 눈길을 끈다. 조직(서버수) 서열은 상위부터 SK브로드밴드(6천376대), 아마존(5천163대), 버라이즌(4천347대), KT(4천147대), 베를린 스트라토레첸젠트룸(3천512대), 보라넷(3천374대), OVH SAS(3천133대), 1&1인터넷AG(2천942대), 컴캐스트케이블(2천692대), 하이넷(2천252대) 순으로 나타났다.

IoT검색엔진 쇼단이 공개한 2017년 1월 하트블리드 보고서. 조직별 취약점을 품은 서버 보유 규모가 제시돼 있다. 한국 사업자들의 이름이 상위에 잡혀 있어 눈길을 끈다.

미국 지디넷에 따르면 3년전 하트블리드 취약점이 발견된 후 2개월 이상이 지난 2014년 6월 하순에도 30만대 이상의 서버는 이를 해결하지 않은 상태였다. 이후 현재까지 2년7개월간 취약점을 품은 서버가 3분의 2 수준으로 줄어든 셈이다.

[☞참조링크: Heartbleed: Over 300,000 servers still exposed]

IoT검색엔진 쇼단이 공개한 2017년 1월 하트블리드 보고서. 취약점을 품은 서버에서 쓰는 인터넷 도메인명을 열거하고 있다. 아마존웹서비스(amazonaws.com) 도메인이 가장 많은 서버군으로 표기돼 눈길을 끈다.

하트블리드 취약점은 공개 직후 세계 IT업계를 충격에 빠뜨렸다. 취약점을 품은 오픈SSL이 널리 쓰이는 리눅스 기반 웹서버 환경에 흔히 적용된 상태였고, 취약점을 악용할 경우 '남이 내용을 엿볼 수 없다'는 암호화 통신의 기본 전제가 무너지기 때문이었다. 하트블리드에 관한 세부 정보가 궁금할 경우 아래 기사를 참고하면 된다.

[☞관련기사: 그런데요, 하트블리드가 대체 뭔가요?]