윈도우 비스타와 ActiveX

[타로]

이달 31일 출시를 앞두고 있는 비스타, 이를 두고 네티즌 사이에서 액티브X 논란이 가열되고 있다.

새로게 출시되는 OS 윈도비스타선 사용자계정콘트롤(UAC)과 액티브X 설치를 막는 강력한 보안 기능으로 액티브X 사용에 제약이 있다. 하지만 우리나라의 경우 정부의 정책을 통해 SEED 알고리즘을 사용하면서 액티브X 사용이라는 고립의 길을 걷게 됐다는 비판과 함께 액티브X에 대한 가열찬 논란이 벌어지고 있다.

김국현 IT칼럼리스트는 ZDNet 칼럼을 통해 "은행 일이라도 한번 보려면 여러 개의 컨트롤을 일단 깔아댄다. 내 PC를 유린하듯 설치되는 컨트롤의 면모는 살펴 보니 하나 같이 '보안 모듈'"이라면서 "외국 굴지의 은행들은 브라우저만으로 인터넷 뱅킹을 무리 없이 수행하고 있으며 IE와 파이어폭스 모두 필요 충분한 수준의 암호화 기능은 물론 인증서 관리 기능도 들어 있다. 왜 보안을 웹의 외부 기능에 의존해야 하는 것인지 의문이 든다"고 전했다.

액티브X 논란「극과 극」
이에 대해 국내 공인인증시스템 개발/도입 당시부터 깊게 관여했던 사람이라고 밝힌 네티즌은 "당시 SEED를 강요함으로써 국내 업체만이 시장에 진입할 수 있도록 한 것은 사실이나 당시의 분위기는 각 국가별 독자 알고리즘 활성화가 당연했었던 상황"이었다고 전했다.

이어 "SEED가 아니더라도 브라우저의 SSL(서버인증서만의) 만으로는 사용자 인증 및 전자서명이 불가능했고, 사용자 인증서를 사용한다고 했다면 유료로 인한 문제 및 발급절차 자체의 어려움을 감당할 수 있었을까"라고 꼬집었다.

반면 다른 네티즌은 "문제는 왜 액티브X 이어야만 했는가이며, 중요한 것은 현재 우리나라의 공인인증서는 특정OS의 특정 브라우저만 지원한다는 것"이라며 "개발자들의 허접함과 관계부처의 안일한 태도가 오늘의 문제를 만든건 아닌지 생각해 봐야한다"고 비판했다.

네티즌 "엔지니어" 역시 "보안을 위한 샌드박스도 없이 인증만 믿고 설치하는 순간 PC에 대한 제어권을 가지게 되는 기술로 MS가 급조해낸 것이 액티브X"라며 "지금 포털과 정부는 비스타 출시 후 그냥 보안레벨을 낮춰서 우회하도록 유도하고 있다. 보안을 강화시켜놓으니 그 보안을 낮추도록 해서 일단 급한 불 끄고 보자는 근시안적인 대책으로 일관하고 있는 것에 한숨만 나온다"고 전했다.

한국MS「액티브X 사용 무리 없어」
한편 23일 한국마이크로소프트(이하 한국MS)는 정통부-국정원-금감원 등을 주축으로 한 보안 관련 협의 내용에 대해 발표할 예정이다.

한국MS 조원영 보안총괄 이사는 "윈도비스타로 인해 액티브X를 전면 못쓰게 된다고 생각하는 것은 잘못된 생각"이라고 꼬집으며 "액티브X를 통한 해킹 위험이 많이 있어, 이를 위한 시스템 파일만 못 건드리도록 설정돼 있는 것이므로 액티브X만 안전하게 변경하면 웹페이지를 문제없이 사용할 수 있다"고 전했다.

그는 이어 "대부분의 은행권과 메이저 포털들의 경우 거의 대부분 이러한 변경작업이 완료된 것으로 알고 있으며, 게임이나 온라인 쇼핑 등의 다른 온라인 사이트들도 늦어도 2월 말까지는 변경 작업이 모두 완료돼 불편 없이 사용할 수 있다"고 강조했다.

금융보안연구원 보안기술팀 성재모 팀장도 "일부에서 윈도XP 수준으로 보안이 떨어지는 것이 아니냐는 우려도 있었지만, 대부분의 보안 업체들이 비스타 버전으로 보안 솔루션을 개발한 상태로 1~2주 안으로 적용테스트를 끝내 빠르면 2월 초에 적용이 가능할 것으로 보인다"고 전했다.

또한 "하지만 IE7과의 호환성 문제가 남아있는 문제도 있어 이를 자체적 수정하기 위해선 시간이 조금 걸릴수도 있으나 2월 말경에는 모든 은행에서 문제가 해결될 수 있을 것으로 전망된다"고 말했다. @

출처 : ZDNet Korea 유윤정

비스타 출시를 10여일 앞두고 있는 현 상황에서 오픈웹이 금융결제원과 행정자치부를 상대로 이달 안에 소송을 개시할 예정이어서 관심이 주목된다.

18일 오픈웹(http://www.openweb.or.kr)은 마이크로소프트(이하 MS) 익스플로러를 이용해 인증서를 발부하는 금융결제원을 상대로 1주일내 민사소송을 개시하고, 행정자치부를 상대로 전자정부 웹사이트의 차별적 서비스 제공에 대한 행정소송을 개시할 예정이라고 밝혔다.

윈도우 비스타는 사용자계정컨트롤(UAC) 기능과 액티브X 설치를 막는 기능을 통해 보안성을 강조해 개발됐다. 전문가들은 MS가 새로운 OS인 비스타에서 자사의 기술인 액티브X를 제한하게 된 것은 보안상 많은 허점이 존재할 수 있다는 점을 자각했기 때문으로 분석하고 있다.

하지만 현재 대부분의 국내 사이트들이 정보통신부의 한국정보보호진흥원이 1998년 만들어낸 128비트 대칭형 키 블록 알고리듬인 SEED 때문에 액티브X 컨트롤 기능을 사용하고 있다. 때문에 비스타가 출시되면 온라인 게임이나 각종 인터넷 서비스에 일부 장애가 발생한다.

함께하는시민행동은 "넷스케이프사가 개발한 인터넷 상거래시 보안 유지 프로토콜인 SSL(secure sockets layer)이 로열티를 지불하지 않는 국제 표준으로 전 세계적(ebay.com, amazon.com 등)으로 사용되고 있으나 한국은 액티브X에서 효과적으로 작동하는 SEED 보안 기술로 고립의 길을 걷게 됐다"고 비판했다.

오픈웹「소송 더이상 미룰수 없어」1주일 내 소장 접수 예정
시민단체는 정부의 당국자들이 현재와 같은 순간에도 액티브X를 살려내는 것에 관심을 두고 있다고 비판하고 있다. 익스플로러 브라우저의 부분 패치를 통해 액티브X를 유지시키려는 노력을 수개월째 하고 있다는 것.

시민단체 측은 "대한민국 정부가 액티브X를 통해 리눅스나 맥 OS를 사용하는 사람들의 선택권을 박탈하면서 다양한 위험을 노출시켜 왔다"면서 "공공기관의 홈페이지들과 전자정부홈페이지는 그 절대적인 증거품들"이라고 전했다.

오픈웹은 "정통부가 지난해 말까지 공인인증 서비스의 차별적 제공 문제를 해결하도록 노력하겠다는 언급을 해 연말까지 소송개시를 미뤘으나, 이제 더 이상 미룰 이유가 없어 소송을 진행하겠다"고 전했다.

오픈웹은 금융결제원을 상대로 한 민사소송을 진행하고 행정자치부를 상대로 한 행정소송의 전 과정은 법무법인 한결을 통해 소송을 진행할 예정이다. 또한 금결원에 대한 민사소송 과정에서 공정거래위원회에 금융결제원의 공정거래법 위반 혐의에 대한 신고절차도 고려 중이며 민사소송은 약 1 주일 안에 소장을 접수할 계획이다.

이에 대해 행자부 관계자는 "아직까지 오픈웹 측의 소송 얘기는 전해들은바 없다"며 "보안팀에서 비스타 문제를 해결하기 위해 노력하고 있는 것으로 안다"고 답했다.@

출처 : ZDNet Korea 유윤정

요즈음 ActiveX, 정확히는 'ActiveX 컨트롤'이란 기술이 시끄럽다. 브라우저 밑으로 손을 뻗어 그 밑에 깔린 시스템의 기능을 만지작거릴 수 있게 하는 요물. 웹은 웹이로되 PC가 할 수 있는 모든 일을 하게끔 하는, 웹을 웹 이상으로 조작하기 위한 '만능 컨트롤' 도구, ActiveX. 90년대의 프로그래머들은 ActiveX가 포함된 COM이라는 테크놀로지 조합으로 PC 전성기를 풍미했다.

그런데 새 버전의 인터넷 익스플로러와 새 OS 윈도우 비스타는 자신들의 기술 ActiveX를 유리 상자 안에 가둬 버리고 만다. ActiveX란 뭐든지 만들 수 있지만, 뭐든지 망칠 수도 있는 양날의 검이었다. 새 플랫폼이 ActiveX에 거리를 두는 이유는 '시스템의 기능을 만지작거리는 일'이 악인에 의해서도 자행될 수 있다는 자각 때문이다. ActiveX는 모두가 순박했던 목가적 시절에나 어울리는 기술이었던 것이다.

게다가 이미 업계는 웹을 임의로 '컨트롤'하여 변경하는 일이 그리 바람직한 일도 아님을 공감하고 있다. 웹 표준 운동도 그 일환이다. ActiveX같은 로우레벨 아키텍처에 의존한 플랫폼을 만드는 일이란 플래시 수준의 입지를 지닌 플랫폼 제공자가 아니라면 비즈니스적으로도 별 의미가 없다는 것을 깨달았다. 마치 고급 언어를 배운 이래 어셈블리어를 만질 필요가 없듯, 굳이 웹을 개선한다는 목적만으로는 ActiveX라는 위험한 칼을 만질 이유가 없는 것이다.

물론 아이디어란 표준으로 묶어 놓기에는 너무나 자유분방한 것이기에, 올해도 내년에도 웹의 확장은 일어날 것이다. 그렇기에 웹을 초월한 무언가를 덧붙이려는 확장 욕구는 건전한 것이다. 브라우저로 하지 못하는 일을 새로운 아이디어로 '확장'하려는 욕망은 멈추기 힘들고, 이 점을 강조하기 위해서 일까? 파이어폭스가 ActiveX '컨트롤(Controls)'을 금지하고 대신 파이어폭스 '확장(Extension)'이란 개념을 도입한 의도는 그 용어에 잘 나타나 있다. 마이크로소프트도 이미 닷넷을 중심으로 기술 구조를 재편한지 오래다. ActiveX를 위시한 Win32의 리거시 기술들은 배후로 밀려나고, 웹의 확장 기능도 ActiveX라는 칼을 직접 만지지 않도록 유도하고 있다. 더 편하고 더 쉬운 확장을 할 수 있는 방안과 로드맵이 따로 있는 것이다.

그러나 우리는 유난히 ActiveX라는 날카로운 칼을 좋아했다. 그리고 무척이나 잘 드는 이 칼로 웹을 확장한 것이 아니라 오히려 웹의 여기저기를 도려내며 우리만의 아키텍처를 만들었다. 대한민국의 웹을 서핑하다 만나게 되는 수 없는 경고창들, 칼을 조심하라는 시스템의 경고지만 개의치 않는다. 수저가 필요한 곳에 칼이 놓이고 있다. 손잡이가 필요한 곳에 날이 서 있다.

칼날이 난무한다. 특히 은행 일이라도 한번 보려면 여러 개의 컨트롤을 일단 깔아댄다. 뭐가 뭔지 도무지 모르겠지만, 여하튼 설치하지 않으면 아무 것도 못하니 방법이 없다. 게다가 왜 이렇게 회사마다 종류가 골고루인지. 그렇게 내 PC를 유린하듯 설치되는 컨트롤의 면모는 살펴 보니 하나 같이 '보안 모듈'.

여기에서 의문이 생긴다. 왜 보안을 웹의 외부 기능에 의존해야 하는 것인가? 사실을 말하자면, 한국 수준의 보안은 모르겠으나 적어도 세계 수준의 보안은 브라우저 만으로도 얼마든지 확보할 수 있다. 외국 굴지의 은행들은 브라우저만으로 인터넷 뱅킹을 무리 없이 수행하고 있다. IE와 파이어폭스 모두 필요 충분한 수준의 암호화 기능은 물론 인증서 관리 기능도 들어 있다.

그런데 한국은 세계에서 통용되는 이러한 표준 기능은 활용하지 않은 채, 보안을 웹의 외부 기능으로 빼내어 독자적으로 처리하고 있다. 놀라운 기술 독립이다. 마이크로소프트도 모질라 재단도 놀라고 있는 일이다. 그들은 이해를 못하는 일이다.

왜? 도대체 왜 이 상황이 된 것일까?

여러 가지 도시 전설이 횡행하지만, ① 당시 미국의 128비트 암호화 수출 금지 조항에 맞선 독자 기술(SEED)의 개발과 적용 지도, ② 한국의 특수 상황이 발생시킨 정보 기관의 지침(보안 적합성 검증), ③ 독자적 최상위 인증 기관 운영 욕구, ④ 해킹 피해 발생 보도에 대한 과민 반응. 등이 복합적으로 작용했다는 설이다. 인터넷이 너무 일찍 퍼진 한국은 너무 급했고 너무 불안했던 것이다.

이 과정에서 얻은 일도 있을 것이다. 내수 보안 산업이 자생적 생태계를 꾸릴 수 있었다. 척박한 국내 IT 시장에서 나름대로 고용을 창출하고 기술을 연마해 온 그들에게 과연 “당신들의 존재 자체가 틀렸어!”라고 감히 말할 수 있을까? 누구도 그럴 용기가 없다. 완전한 기술 쇄국을 이끈 정부도 금융권도 IT 업계도 국민도 어느 누구도.

그러나 잠시 스스로를 돌아 볼 때다. 우리는 정말 세계 어느 나라보다 안전할까? 인증서 파일을 PC에서 PC로 옮겨 들고 다니는 일이 과연 최고의 보안 솔루션일까? 다른 나라처럼 암호 발생 카드나 암호 발생 열쇠고리를 사용하는 것이 차라리 안전하지 않을까? 전세계적으로 테스트되고 사용되고 있는 브라우저 들의 내부 보안 기능보다, 버그가 있을 수 있는 개별 기업의 외부 보안 솔루션이 더 안전하다고 우리는 진정 믿을 수 있을까? 우리에게는 잠시 쉬어가며 백지에서 다시 생각해 볼 여유가 필요한 것이다.

ActiveX의 문제란 결국 독자 기술의 꿈이 불러 온 기술 쇄국의 딜레마였던 것이다.

사실 아무 일도 아닐 수도 있다. 쇄국의 아키텍처를 끝까지 고수하며 업체를 압박한다면 어떻게든 솔루션은 생길지 모른다. 그러나 언제까지 그렇게 아슬아슬한 아키텍처를 우리는 가져갈 수 있을까? 새로운 OS가 등장할 때마다, 새로운 브라우저가 등장할 때마다 우리는 '우리의 실정'을 부르짖어야 할 테니까.

기술은 도구인 이상, 양날의 검이다. 잘 쓰면 유용한 도구이지만 목적을 잊은 채 수없이 주머니에 품고 있기에는 거북한 존재인 것이다. 잘못 들어가 있는 칼은 서서히 걷어내야 한다. 그리고 그 칼의 사용은, 그리고 더군다나 민생에 직결되는 서비스에서의 사용은 더 신중히 논의되어야 하는 것이다.

칼을 드는 순간, 내 스스로 누군가를 소외시키지는 않는지, 그리고 그 칼을 드는 순간 내가 세상으로부터 소외되지는 않은지 생각해 봐야 한다. 도구의 의미를 생각하지 않은 채, 용도를 숙고하지 않은 채, 도구의 방향을 관찰하지 않은 채, 도구를 본래의 취지와 맞지 않게 남용하는 것이 얼마나 무모한지 우리 사회는 그리고 업계는 어쩌면 매우 비싼 값을 치르며 배우고 있는 것인지도 모른다.

출처 : ZDNet Korea 김국현

[타로]

MS는 스스로가 만든 ActiveX 라는 기술을 없애려고 하고 있습니다. 문제는 당연히 보안이겠죠. 사실 전세계적으로 이것은 큰 문제가 되지 않습니다. 유독 우리나라에서만 ActiveX 를 지나치게 많이 사용했기 때문입니다. 한마디로 다른 나라와는 전혀 동떨어진 길을 걸어왔던 것이죠. 지나치게 MS에 의존해서 웹브라우저도 IE, OS도 윈도우즈에 존속된 결과라고 생각합니다. IE7의 발표와 함께 기존의 IT업체의 지각변동이 이미 예고되어 있지만 비스타의 출시로 인해 아예 대대적인 변화가 불가피할 것으로 예상됩니다.

[타로]

아마도 이제까지 너무나 먼 길을 독자노선으로 걸어왔다는 부담에 단기적인 처방책을 내놓으려고 하고 있는 것 같습니다. 하지만 언제나 단기적인 해결책은 더욱 큰 문제를 야기시킬 뿐입니다. 현재 웹표준을 따라갈 수 밖에 없는 상황에서 한번더 시류를 역행하게 된다면 나중에 미치게될 파급효과는 정말 엄청날 것 같습니다. 이것 역시 생각없이 행동한 결과가 아닐까 합니다. 생각이라고 하는 것은 단기적인 눈앞의 불을 끄는 것이 아니라 장기적인 관점에서 어느것이 유리할까를 타진해 보는 것입니다.

[타로]

여태까지는 나름대로 IT강국이라고 자부해왔지만 앞으로도 그 자리를 지속적으로 유지할 수 있을지 걱정됩니다. 노력한다고 해서 성공하는 것은 아닙니다. 방향을 잘 잡고 그 방향으로 노력하는 것이 중요합니다. 방향을 잘 잡기 위해서는?? 당연히 생각해야 합니다. 눈앞의 불을 끄는 것을 생각이라고 할 수 없습니다. 어떤 일을 할때도 단기가 아닌 장기적인 관점에서 유리한 방향을 택해서 처음에는 느리더라도 나중에 빠른 길을 택하는 것이 바로 생각입니다. 지금이라도 길을 잘못 들었다는 것을 안다면 여태까지의 길을 돌려 올바른 길로 나아가야하지 않을까 생각합니다.

[오빠맨]

IT 강국이라기 보단 인터넷 강국이기 때문에 Active X와 같은것 무리없이 사용할 수 있었던게 더 크다고 생각하는데요.. 타로님이 말씀하신 잘못된 길은 악성코드,악성코드 제거 프로그램 같은 류의 active x 프로그램입니다. Active X가 없다면.. 이 카페처럼 현재 카페 접속자, 채팅, 뮤직과 같은 서비스를 사용할 수 있나요..

[타로]

그럼요. ActiveX가 없어도 사용할 수 있습니다. 예를 들면 ajax, Flash, applet 등등의 기술이 있죠. 더 나아가자면 파이어폭스에서 지원하는 그리스몽키와 같은 xul이라던지 MS의 XAML과 같은 언어도 있습니다.

[워렌버핏후계자]

Active X가 없어지면 유난히 외국사이트보다 화려하던 인터넷배너광고도 많이 없어질듯.ㅎㅎ 제발 없어져라. 무슨 은행사이트 하나 가는데 왜케 까는게 많은지...ㅎㅎ 근데 엑티브X 없어지면 네이버랑 다음의 손실은 장난아닐듯.

[ELITE]

네이버 떨고 있을까?

[타로]

네이버 지도의 경우에는 이미 AJAX 기술로 구현이 되어 있고 상당부분 받아들이고 있는 중입니다. 구글맵과 비슷하죠? 구글 서제스트도 한번 보세요. 네이버랑 비교해보면 재미있을 겁니다. 광고기법이 들어간 굉장히 비지니스적으로 적용될 가능성이 높은 기술입니다. 네이버도 이 부분을 빠르게 적용했습니다. ^^ 구글 스프레드 시트 보셨습니까? 그건 웹으로 구현된 오피스입니다. 개인화페이지의 원조인 넷비비(http://www.netvibes.com/). 이젠 야후나 구글에서 사용하고 있죠. 어떻게 변해가는지 방향을 익히는 것이 중요합니다.

[타로]

사실 구글이나 다음과 같은 인터넷 포털 관련 업체에 투자하는 분들이라면 이런 IT 기술의 변화나 동향에 대해서는 빠르게 이해하고 해석할 수 있어야 한다고 생각합니다. 저 역시 이러한 기업들의 미래예측이 불가능한데 어떻게 확신하고 2~3년 후를 예측할 수 있을지 상당히 의문입니다. 저평가 되어있다고 해도 투자하기가 좀 꺼려질것 같습니다. 자동차 부품업체의 이익이 자동차 회사에 종속되어 있다면 인터넷 포털 업체의 이익은 웹브라우저 회사에 종속되어있다고 봐야 합니다. ^^

[타로]

아.. 참고로 최근에 등장한 야후 위젯이나 구글 위젯 역시 쓸만한 것 같습니다. 점차 웹 브라우저와 OS의 경계선은 무너지고 있다는 느낌입니다. 이대로 가다가는 OS 없이 웹브라우저만 장착한 PC도 가능할 것 같네요. 참고로 비스타의 경우에는 OS 차원에서 RSS도 지원하고 아무튼 그 둘의 경계가 모호해집니다. ^^