Internet 대란, 그리고 MS와 MS-SQL Server와 그 패치...

이번 인터넷 대란을 보면서 저는 도대체 MS는 뭐하는 것들인가 하는 생각을 했었더랬습니다. 그러던 중 다음 글들을 인터넷에서 읽게 되었습니다. 저 개인적으로는 많이 공감하는 내용인데, 여러분들은 어떠실지 모르겠네요. 아래 두 글은 한겨레에서 퍼온 것입니다. ===================================================================================== 번호 : 884 글쓴이: 밤샌사람 추천 : 9 조회 : 715 MS사 대응 태도 비판. 이 글은 아래 어떤분의 글에 대한 답변으로 달았던 내용을 보충하여 재작성한 것입니다. 이번 인터넷 불통 사태와 관련하여, 서버 관리자들 책임이다. KT, 정통부 책임이다. 우리나라 사람들 보안의식이 없다. 등 등 말들이 많습니다. 물론 다 일리가 있는 말씀들이고, 이같은 사태의 재발을 막기위해서 새겨들어야할 말들입 니다. 책임이 있는 사람들은 자기가 져야할 만큼의 책임을 꼭 져야하겠지요. 그러나, 가장 중요한 책임주체가 너무 가볍게 취급되고 있는 것 같습니다. 제조사의 책임은 별로 주목받니 못하고 사용자의 책임만이 너무 강조되고 있는 것 같습니 다. 이번 사태의 핵심 원인이된 MS-SQL2000 서버의 제조사인 MicroSoft 사는 문제의 취약점을 보완한 것이었다고 뒤늦게 알려진 패치를 자신들의 사이트에 올려 놓았 다는 사실만으로 너무 쉽게 엄청난 책임을 자신들의 고객들에게 돌려버린 것 같네요. 사건 발생 직후 부터, 안철수 바이러스 연구소와 하우리 등의 백신제조 업체들이 정말 열 심히 문제의 해결책을 찾고 알리기 위해 초기화면 팝업창을 띄우고 열심히 전화상담 등 을 하고 있을 때, MS사의 홈페이지는 너무나도 조용하게 마치 남의 일 보듯이 변함이 없 었습니다. 사건발생 30여 시간이 지난 다음에야 한 줄짜리 잘 열리지도 않는 보안경고 링크가 생겼네요. 원인의 윤곽이 겨우 밝혀진 어제밤, 현장에서는 적용시켜야 하는 패치가 서비스팩 3 한 글판인지 영문판인지 조차 확인이 안되었습니다. MicroSoft 사의 대응 태도에 문제를 제기하고 싶습니다. 물론 그들도 노력을 했으리라 생각은 하지만, 그것이 과연 자신들의 책임만큼의 충분한 것이었는지. 너무 안이하고 소 홀한 것은 아니였는지 묻고 싶습니다. 정통부에서 권고하여, 내일 수많은 사람들이 방문할 패치 다운로드 사이트에 가보십시오. 그것이 얼마나 심각한 위험을 내포한 취약점에 대한 패치인지 설명되어 있을까요? "보안 패치. SP3에는 사용자에 의해 보고되거나 진행 중인 테스트를 통해 발견된 취약성 에 대한 패치가 포함되어 있습니다. "라는 딱 한 줄이 있습니다. 이 설명과 함께, "SQL Server는 중요한 오류를 Microsoft에 자동으로 전송하도록 구 성되어 있습니다.", "SP3는 사용자가 반드시 관리자가 아니어도 SQL Server 에이전트 를 실행할 수 있는 기능을 제공합니다" 라는 등의 서버 보안 담당자가 보기엔 아주 무시 무시한 설명들도 나와 있습니다. 과연 이렇게 소개된 패치파일을 국가 기간서버 관리자 내지 운용자가 독자적인 판단으로 다운로드 받아서 설치를 해야 할까요? 중요한 장비이니 만큼 MS사의 엔지니어가 그 패치 가 끼치는 영향을 충분히 분석/설명하고, 부작용을 최대한 줄일 수 있는 방법을 마련해 서, 제조회사의 엔지니어가 직접 관리자 입회하에 패치했어야 한거 아닙니까? 만일 그 패치를 깔아서, 하나의 요청을 처리하는데 100만분의 1초가 더 걸리게 된다면, 어제 문제가 된 대한민국 최상위 DNS 서버는 엄청난 성능저하를 격게될 것이고, 국가 기간 시설의 "중요 오류 정보를 Microsoft에 자동으로 전송하도록 구성되어 있습 니다." 라고 설명되어 있는 패치를, 관리자가 알아서 깔 수있는 패치 맞습니까? 이번처럼 중대한 사태를 초래할 수 있는 결함과 관련된 패치라면, 그들이 그것을 충분히 인지하고 패치까지 만들었다면, 언론을 통해 공지도 하고 관리자들에게 패치를 하도록 알 렸어야만, 겨우 정상참작을 받을 수 있지 않을까요. 책임을 피하긴 어렵겠지만, 과연 문제가 된 서버 관리자들이 MS사가 제공하는 수많은 패 치들을 하나도 업데이트 안 했는지 알아봐야 할 것입니다. 일반적으로 WINDOWS 보안 패치의 경우, 대부분의 WINDOWS 계열 서버를 운영하는 관리 자들은 열심히 업데이트하고 있으리라 여겨집니다만. 이번에 문제가 된 것은 안타깝게 도, MS-SQL 2000 서버의 보안 결함입니다. 우리가 [시작] 버튼을 눌러 종종 들어가는 WINDOWS 업데이트 SITE에서는 볼 수 없는 패치입니다. 그렇다면, 서버관리자들은 매일매일 출근 직후에 MS 사의 WINDOWS 업데이트 사이트, OFFICE 제품군 업데이트 사이트, MS SQL 업데이트 사이트.... 등등등 자기가 관리하고 있는 NT 계열 서버에 깔린 수많은 MS 제품군 사이트를 일일히 돌아다니 면서 혹시 오늘나온 업데이트가 없나... 두 눈 부릅뜨고 찾아봐야만 하는 것일까요? 만일 현대자동차 제품에 중대한 결함이 발생해서 수천 수만대의 차들이 도로에 주저앉아 버리는 엄청난 사태가 터졌다면, 운전자들이 현대 자동차 정비소에 수개월 내에 방문해서 점검 받았어야만 했는데 그러질 않았다는 것이 가장 큰 원인이다. 라고 말해야 합니까? 운전자들은 매일매일 운행전에 현대 자동차 웹사이트에 들어가서, 엔진제품군 사이트, 전기 기관 제품군 사이트, 연료 기관 제품군 사이트 등등 모든 페이지를 일일히 뒤져가면 서 새로 발견된 제품 결함이 있는지 찾아보고, 있다면 웹사이트에서 주문해서, 부품이 배 달되면 운전자 스스로 교체해야 하는 건가요? MS사는 이번 사태에 대하여 책임을 져야하고, 대책 또한 마련해야 합니다. 이번 기회에 MS사에도 그들이 얻어가는 이익 만큼의 합당한 책임을 요구해야 한다고 생각합니다. 저는 UNIX 계열의 서버들 때문에 기간 시설이라 할 수 있는 곳에 불려들어가, 특별히 할 일도 없이 밤을 새면서 MS사가 아닌 안철수 또는 하우리 쪽 사이트의 자료를 바탕으 로 원인 파악 및 복구 작업하는 모습을 지켜 보았습니다. 곁에서 지켜보는 입장이었기 때 문에 MS 사에서 정확히 어떤 액션을 취했는지 잘 알지는 못합니다. 개인적으로 MS사를 좋아하지는 않지만, 그렇다고 특별히 싫어하지도 않습니다. 대책없는 불매운동 같은 것도 바람직하지 않다고 생각합니다. 원칙에 따라 이성적으로, 법과 제도를 정비해 가면서 잘못된 것들을 바로 잡아갈 수 있 는 시대가 왔다는 생각에 두서없이 적었습니다. ===================================================================================== 번호 : 884 글쓴이: 보이지않는손 추천 : 1 조회 : 207 인터넷 업계의 특성을 잘 모르신듯... MS사 책임이 맞습니다. 일반 피씨와 달리 서버컴퓨터는 팻치에도 상당히 신경이 쓰입니다. 똑같은 MS사의 프로그램으로 백대의 컴퓨터를 똑같은 방법으로 세팅하면 몇대는 분명 오 류가 뜹니다. 결과부터 말씀드리자면 MS사 프로그램이 완벽하지 않다는 것이죠. 때문이 패치가 나와도 서버 관리자들은 그걸 즉각 메인서버에 적용시키기를 주저합니다. 해야 된다는 것을 알아도 안정성이 입증되기 전에는 절대 깔지 않습니다. 일례로 전에 윈도우ME라는 개인용 PC OS가 있었죠. 당시에 윈도 98을 사려다 윈도me를 선 택하신 PC방 업주들이 꽤 있었습니다. 결과부터 말씀드리자면, 현재 대한민국에서 망할려 고 작정하지 않은 이상 윈도me를 쓰는 피씨방 업다는 것입니다. 만약 서버관리자가 MS패치를 시켰을 때 문제가 발생하면 즉시 해고감입니다. 일반 피시 와 달리 서버 컴퓨터의 오작동은 엄청난 물리적 피해를 가져올 수 있기 때문입니다. 또 한 서버 컴퓨터의 경우 보안망을 최 우선으로 하기 때문에 아무리 MS라고 하더라도 믿지 는 않습니다. 일례로 중국에서는 국가 기간망에 MS사 제품을 쓰지 못하도록 규정하고 있 습니다. 이번 패치의 경고문에도 MS사로 정보송출 문제가 포함되어 있습니다. 즉 패치로 서버가 안전하다 하더라도 MS사로 정보가 유출되면 더욱 더 큰 손실이란 말이죠. 귀하의 말씀처럼 컴퓨터는 자동차나 기타 물품과 다릅니다. 어떤 새 프로그램이 출시되 면 모든 회사에서는 프로그램의 안정성을 의뢰합니다. 그 기간은 짧게 걸리면 며칠이면 되지만, 때론 몇달이 걸릴 수도 있습니다. 이에 입증이 되면, 그 후에 서버 컴퓨터의 모 델링 테스트를 거쳐 안정성을 확인한 후에 서버컴퓨터에 비로서 세팅을 하게 됩니다. 즉 컴퓨터 프로그램의 경우 선구자는 막말로 테스터일 뿐입니다. 이는 컴퓨터에 깔리는 어떤 OS나 프로그램도 마찬가지 입니다. 처음에 글 쓰신 분의 의견을 전적으로 지지합니다. =====================================================================================