더트래커 = 김가영 기자
한국정보기술연구원은 ‘화이트햇 스쿨’ 제3기 교육생 팀이 전 세계적으로 널리 쓰이는 압축 프로그램의 보안 취약점을 발견하는 성과를 거뒀다고 9일 밝혔다.
화이트햇 스쿨은 과학기술정보통신부가 주최하고 한국정보기술연구원이 주관하는 정보보안 인재 양성 프로그램이다. 지난 3월부터 제3기 교육을 운영하고 있다.
제3기 교육생으로 구성된 ‘데토네이터’ 팀은 화이트햇 스쿨 실습 교육(팀 프로젝트)을 진행하는 과정에서 ‘윈라(WinRaR)’를 비롯한 다양한 소프트웨어에 영향을 줄 수 있는 보안 취약점을 발견했다. 이를 제보해 보안 문제를 해결하는 데 기여했다.
WinRaR는 파일을 압축하거나 압축을 해제할 수 있는 대표적인 압축 소프트웨어다. 주로 RAR 또는 ZIP 포맷의 압축 파일을 만들거나 풀 수 있다. 전 세계 사용자 수는 약 5억명에 이른다.
데토네이터 팀은 압축 파일을 내려받아 해제하는 과정에서 사용자 시스템에 악성 파일이 접근하는 ‘익스플로잇(Exploit)’에 성공했고, 이를 글로벌 보안 제보 플랫폼인 ‘ZDI’에 공식 제보했다. ZDI는 보안 취약점을 선제적으로 찾아내고 보안 강화를 위해 공유·제보받는 프로그램이다.
이후 ZDI는 해당 취약점을 WinRAR 개발사에 전달했으며, 개발사는 이를 반영해 보안을 개선한 최신 버전(WinRAR 7.12)을 내놨다.
특히 이번 프로젝트에서 WinRaR를 비롯한 국내외 다양한 압축 소프트웨어와 압축 파일 형식을 가진 문서 포맷을 처리하는 프로그램에서 동일한 보안 취약점을 발견해 보고를 진행했다.
데토네이터 팀은 윤준원 멘토와 이장군 프로젝트 리더를 중심으로 강대성, 고승우, 김현아, 안우진, 이준영, 이한필, 원우진, 지현근 교육생으로 구성됐다.
한국정보기술연구원 관계자는 “이번 성과는 정보보안 인재들이 실전 역량을 쌓고 실제 현장에서 의미 있는 기여를 할 수 있다는 걸 보여준 사례”라며 “앞으로도 지속적인 교육과 적극적인 지원을 통해 미래 보안 인재 양성에 힘쓸 것”이라고 말했다.