스마트폰 보안이 세계적으로 이슈가 되면서 다양한 기사들이 쏟아지고 이와 관련된 IT 기업들의 활동이 활발해 지고 있다. 필자는 어제 스마트폰 잠금해제와 관련된 포스팅을 했다. 삼성은 필기로 잠금해제를 하는 방법을 사용하기 위해 최근 관련특허를 냈으며, 애플은 터치ID 지문인식을 적용시키고 있고, LG에서는 노크 기능을 사용한다.
무엇이 더 좋은 방법인지 아직은 논의가 많이 되어야 하겠지만, 중요한 것은 세계시장이 개인정보유출에 대해 심각하게 받아들이고 있다는 것이다. 특히 스마트기기의 확산으로 사람들은 더욱더 많은 정보를 온라인과 자신이 소지한 기기에 담고 있기 때문에 더욱더 개인정보가 유출될 가능성이 많아졌다. 따라서 스마트기기의 OS의 보안에 대해 많은 IT전문가들은 우려를 표하고 있다. 그 중심에는 구글의 안드로이드가 자리하고 있다. 오픈소스로서 쉽게 APK파일을 다운받아 설치할 수 있는 개방형OS이기 때문에 보안측면에 있어서는 안드로이드가 취약하다는 평가를 계속해서 받아왔다. 그런데 오늘 구글이 새로운 보안관련 프로젝트를 취득했다는 기사가 났다. 물론 구글이 기술을 도입하는 방식인 좋은 기술을 제작한 파트너와의 협의를 통해서이다. SlickLogin라는 다소 생소해보이는 이 로그인 방식이 젊은 3명의 청년들에 의해 소개가 된 것은 5개월 전이었다. 소프트웨어 글로벌 진출을 위해 기획된 작년 9월 샌프란시스코에서 열린 TechCrunch의 Disreupt에 SlickLogin의 젊은 개발자 3명이 참가했고, 이들이 소개한 보안 로그인 방식에 대해 전문가들은 상당히 불만족스런운 평가를 내렸었다. 그런데 구글이 이를 받아들였다.
SlickLogin는 무엇인가? 국내언론에서조차 한번도 소개가 되지 않았던 이 보안 로그인 방식이 해외언론에 다시 언급되자 필자는 흥분되기 시작했다. 왜냐하면 5개월전 SlickLogin에 관하여 처음 영상을 봤을 때 문제점이 많음에도 불구하고 이 젊은 개발자들의 패기가 맘에 들었으며 적절한 보완이 이루어진다면 로그인방식에 대한 획기적인 변화가 일어날 수도 있을 것이란 상상을 했기 때문이다.
말이 길었다. SlickLogin은 아주 간단하다. 스마트폰을 이용해서 웹사이트에서 이루어지는 로그인을 하는 방식이다. 그냥 스마트폰이 자신의 노트북이나 다른 디바이스에 가까이 있으면 자동으로 로그인이 되는 방식이다. 물론 단순히 생각해보면 굉장히 불안해 보이는 로그인 방식이다. 따라서 SlickLogin는 2차적 인증방법에 사용되도록 처음에 소개되었다. 예를들어 국내 사이트에서 아이디와 패스워드를 넣어도 개인인증을 위해 SMS 인증을 추가로 받는 것과 같다고 생각하면 된다.
SlickLogin의 방식 역시 간단하다. 스마트폰의 위치정보를 얻을 수 있는 프로토콜을 사용한다. 예컨데 WiFi, 블루투스, NFC, QR 코드 등이다. 이 모든 기능은 사람들의 귀에는 들리지 않는 전파로 서로의 기기에 통신이 된다. 컴퓨터는 스피커를 통해서 무음의 소리를 내고, 스마트폰에 설치된 앱은 마이크를 통해 그 소리를 잡아낸다. 만약 사용자가 컴퓨터 앞에 있다면, 당신이 스마트폰을 소지하고 있을 때 스마트폰 앱은 본인인증을 위해 서버로 당신이 로그인을 할 수 있도록 그린라이트(허가)를 보낸다. 서버와 연결된 웹페이지나 앱들은 그 신호를 받아 로그인될 수 있도록 하는 것이다. 물론 스마트폰이 오프라인 상태라도 이것은 가능하다고 한다.
여기까지만 들으면 이것이 악용될 가능성에 대해 반론을 가지게 될 것이다. 일단 SlickLogin의 개발자 3인 모두는 보안전문가가 되기 전까지 이스라엘 군보안 디바이스를 개발했던 이스라엘 방위군 출신이다. 이스라엘 보안관련된 보직을 맡고 있었기 때문에 보안문제를 고려하지 않고 이것을 개발했을리 만무하다. 굉장히 허술해 보이는 이 방식 뒤에는 아주 무겁고 복잡하게 암호화된 프로그램이 있다. 중간에서 해커들이 오디오 시그널을 수집하거나 다시 들을 수 없도록 철저하게 암호화되어 있다. 매번 로그인이 될 때마다 암호코드가 변경된다는 것이다. 또한, 오디오 시그널이 서로 교차되거나 다른 마이크로폰이 이를 감지할 수 없게 되어 있다. 그래서 SlickLogin가 로그인 프로그램이자 보안 프로그램이라고 소개된 것이다. 결국 중간에서 신호를 잡아내거나 혼선을 줄 수 없도록 보안에 철저했다는 말이다. 이들의 목표는 간단하지만 보안이 확실한 로그인 방식을 개발하는 것이었다.
그렇다면, 스마트폰을 분실했을 경우는 어떻게 되나? 이 문제를 다루고 있는 TechCrunch는 SlickLogin의 시연회 때 이 문제를 지적한 질문을 언급하면서 스마트폰을 잠그지 않고도 이 기능이 사용될 수 있다는 점은 SlickLogin의 모험이라며 아쉬움을 표했다. 물론 아직까지 명확한 답변은 없지만, 신용카드 분실과 같이 신고가 되면 분실된 폰의 신호를 서비에 막거나, 위치추적 등의 기능을 보강하여 이를 보충할 계획이다. 그리고 원칙적으로 보안로그인 프로그램이라는 점에서 이를 이용하는 웹사이트의 기준에 따라 로그인 방식을 강화시킬 수 있다고 덧붙였다.
필자가 SlickLogin의 구글과의 계약을 포스팅하는 이유는 한 가지이다. 이 3명의 이스라엘 청년들에게서 젊은 개발자들의 희망을 발견할 수 있기 때문이다. 작은 아이디어와 열정을 가지고 소프트웨어를 개발하고 그것을 많은 우려에도 불구하고 대담하게 프리젠테이션하는 그들의 용기가 멋있다. 그들이 구글과 계약을 맺고 올린 홈페이지의 글을 보면 그동안 그들이 겪은 설움이 느껴진다. "Our friends thought we were insane, by we knew we could go better." 이 젊은 개발자 3인방은 친구들이 (이 보안 프로그램을 개발하는) 자신들을 향해 비정상이이라고 생각했지만, 자신들은 잘 해낼 수 있을 것이라고 믿었다는 글을 남겼다.
(작년 SlickLogin의 Disrupt의 프리젠테이션 영상)
위의 영상을 보면, 아주 어리숙하다. 전문가들의 질문에 명확한 명쾌한 답변보다는 긴장한 모습이 영력하다. 그리고 이 시연회는 상당히 성공적이지 못했다고 평가받았었다. 그러나 그들은 구글과 계약을 맺었다. 물론 단순히 구글과 계약을 맺었다고 해서 그들이 성공했다고 볼 수 없지만, 더 많은 젊은 개발자들에게 좋은 동기를 부여할 것이며, 지금도 음지에서 컴퓨터 앞에 앉아 꿈을 위해 달려가는 젊은이들에게 또 다른 희망을 갖게 해주었다고 생각한다.
우리나라 IT 개발자의 환경은 IT강국이라는 이름이 무색할 정도로 열악하다. 제니퍼소프트 이원영 대표는 국내 IT 개발자들의 환경은 3가지로 표현할 수 있다고 말을 한다. 1. 적은임금, 2. 근로환경의 열악, 3. 단기근무. 국내를 떠나 세계에는 아주 많은 IT개발자들이 있다. 적어도 이번 SlickLogin의 구글과의 계약은 많은 것을 의미한다. 구글과의 계약(구글의 기업 이미지를 떠나), 젊은 개발자들에게 얼마나 꿈과 같은 일인가? 작은 모니터 앞에서 큰 세계를 꿈꾸며 엉덩이를 키우는 젊은 개발자들에게 박수를 보내주고 싶다.
댓글