1945년, 그 당시 미합중국 해군 제독, 컴퓨터과학자인 그레이스 호퍼는 한 컴퓨터가 제대로 동작하지 않는 것을 발견했어요. 그레이스는 이 컴퓨터에서 오류가 발생하는 원인을 찾기 시작했고, 한 나방이 컴퓨터 안쪽으로 날아 들어와 회로의 합선을 일으켜 컴퓨터가 동작을 제대로 하지 못했다는 것을 찾아냈죠. 😂  이로 인해 나방은 컴퓨터에 흐르는 전류에 감전되어 장렬히 전사(?)하였고 사람들은 그때부터 컴퓨터의 오류 발생 원인을 "bug"라고 부르기로 했어요. 이 나방은 "전 세계 최초의 컴퓨터 버그"로 박제되어 미국 스미스소니언 박물관에 전시되어 있어요.

모든 버그가 돈이 되는 건 아니에요. 예를 들어, 인터넷을 하다가 어떤 버튼을 클릭했는데 버튼이 눌리지 않는다면 이것도 버그라고 할 수 있지만, 이거를 신고한다고 돈을 받을 수는 없어요. 😭  버그에도 종류가 있습니다. 

프로그램 안에는 여러 형태의 버그가 존재합니다. 여기에서는 Memory Corruption 취약점 범주 안에서 설명해볼게요. 단순 프로그램이 이상하게 동작하는 것을 버그라고 할 수 있는데요. 이 중에 프로그램이 완전히 동작하지 못하게 하거나 프로그램을 꺼지게 하는 것을 크래시라고 합니다. 이런 크래시의 원인을 분석해서 제보해도 돈을 주는 경우가 있어요. 예를 들어, 증권거래 프로그램 서버나 게임 서버는 조금이라도 운영이 중단되면 피해가 엄청나겠죠? 😱  따라서 어떤 대상에서의 크래시인지에 따라 포상 여부가 결정되요. 그리고 이런 크래시 중에 악의적으로 활용 가능한 크래시를 취약점이라고 해요. 저희가 매주 수요일 "해킹 알려줄게"에서 다루고 있는 기술들도 악의적으로 활용 가능한지에 따라 버그가 될 수도 있고 취약점이 될 수도 있어요. (해킹 알려줄게 보러가기)

취약점은 회사에 큰 손해를 끼칠 수 있어요. 취약점을 이용하여 서버를 뚫고 개인정보나 공공기관의 기밀 자료들을 유출할 수도 있고 회사에서 운영하는 서비스를 정상적으로 동작하지 못하도록 막을 수도 있어요. 또는 여러분이 자주 열람하는 문서 파일에 악성코드를 숨겨 유포할 수도 있습니다. 😈  이런 사고가 발생하면 회사의 신뢰나 수익에 영향을 끼치게 되겠죠. 따라서 회사들은 자신들의 서비스에서 사고가 발생하는 것을 예방하는 목적으로 버그바운티를 운영하고 있어요. 실제로 사고가 발생해서 사용자들에게 손해배상금을 지불하거나 신뢰 하락으로 인해 잠재적으로 얻는 손실보다 버그바운티로 포상금을 지급하는 금액이 더 낮다는 통계도 존재해요.

취약점을 이용해서 컴퓨터나 서버를 장악할 수 있다든지, 유저가 원래는 할 수 없는 행위들을 할 수 있게 권한을 상승시킨다든지, 어떠한 방식으로든 악의적으로 사용될 수 있다는 것을 증명할 수 있으면 포상 금액은 훨씬 올라가게 됩니다! 👍  취약점의 포상 금액은 취약점 종류와 포상하는 회사의 정책에 따라 다르겠지만 최소 5만 원에서 많게는 25억 원까지 포상해 주기도 합니다. 비싼 취약점도 있지만 그런 취약점을 찾기 위해서는 정말 많이 공부해야겠죠.

취약점을 찾아도 혼자만 알고 있으면 의미가 없겠죠? 취약점을 제보받고 취약점의 가치를 매긴 다음 포상해주는 제도를 "버그바운티"라고 해요. 우리나라에서는 "보안 취약점 신고포상제"라고 합니다. 버그바운티는 보통 회사들이 직접 운영합니다. 여러분들이 잘 아시는 마이크로소프트, 애플, 구글에서도 버그바운티를 자체적으로 운영하고 있고 ZDI, HackerOne 같이 자기 회사 제품에서 발생한 취약점이 아니더라도 취약점을 대신 구매해주거나 중계해 주는 곳들도 있어요. 각 회사마다 버그바운티 정책이 다르고 포상 범위도 다르기 때문에 참여하고 싶은 버그바운티의 정책을 꼼꼼히 읽어봐야 해요. 

KISA 뿐만 아니라 금융보안원은 1년에 한번씩 금융권 버그바운티를 시행하고 있어요. 여러분은 ActiveX에 대해 들어보셨나요? 몇 년전만 하더라도 은행 웹사이트에 들어가면 이걸 꼭 설치하도록 했어요. 하지만 이게 옛날에 만들어진 기술이라 사용자를 충분히 보호하지 못하게 되었고 이 문제점을 극복하기 위해 Non-ActiveX를 활용하게 되었죠. 금융보안원에서는 이런 Non-ActiveX 소프트웨어에 대해서만 버그바운티를 실시하고 있습니다.

해커들은 돈을 벌기 위해 버그바운티를 참여하기도 하지만 꼭 돈만 보고 취약점을 찾지는 않아요. 보통 취약점을 제보하면 회사에서는 취약점을 패치할 때 누구한테 제보를 받았는지 명시해줘요. KISA는 "명예의 전당"을 운영해 취약점을 제보한 해커들의 명단을 게시하고 있습니다. (저도 올라가 있어요! 🙂) 해커들은 이렇게 자신의 이름 혹은 닉네임이 공개적으로 게시되는 걸 자신의 실력을 증명하는 것으로 생각하고 자신이 해당 프로그램의 보안에 이바지했다는 것에 자부심을 느껴요. 저도 지인 해커들을 만나면 가끔 서로 취약점을 얼마나 찾았는지 서로 자랑하고 경쟁하기도 합니다. 그렇기 때문에 더더욱 매일 공부하고 새로운 취약점을 찾으려고 노력하고 있어요.

오늘은 해커들의 부업인 버그헌팅에 대해 알아봤어요. 아직은 낯설고 내가 하기는 힘들겠다는 생각이 들 수 있지만, 저희 뉴스레터를 꾸준히 보시면 조만간 도전해보실 수 있으실 거예요! Hackyboiz 블로그에 전에 제가 작성했던 "버그헌팅 튜토리얼"이라는 글이 올라와 있으니 이걸 보시면서 시도해봐도 좋고 다양한 취약점에 대한 자료들이 많으니 차근차근 공부해보시는건 어떨까요? 😉  그리고 혹시 버그헌팅에 대해 좀 더 알고 싶은 내용이 있으시거나 내용에 대한 질문이 있으시면 아래 "의견 보내기!"를 눌러 전해주세요!

오늘 해커의 TMI는 여기까지!

오늘 전해드린 내용이 마음에 드셨나요?

주위 친구들에게 뉴스레터를 추천해주세요!

다음주에도 알찬 내용으로 돌아오겠습니다. 😙