화이트햇

3. 역사

윤리적 해킹이 사용된 최초의 사례 중 하나는 1970년대 초 미국 공군이 수행한 "보안 평가"였다. 이 평가에서는 Multics 운영 체제가 "2단계(비밀/일급 비밀) 시스템으로의 잠재적 사용"을 위해 테스트되었다. 평가 결과 Multics가 "다른 기존 시스템보다 훨씬 우수"하지만, "상대적으로 적은 노력"으로 발견될 수 있는 "하드웨어 보안, 소프트웨어 보안 및 절차적 보안에서의 취약점"도 가지고 있다는 점이 밝혀졌다.^[10] 연구자들은 현실성을 기준으로 테스트를 수행하여, 그들의 결과가 침입자가 잠재적으로 달성할 수 있는 접근 유형을 정확하게 나타내도록 했다. 그들은 단순한 정보 수집 연습과 시스템의 무결성을 손상시킬 수 있는 직접적인 공격을 포함하는 테스트를 수행했으며, 두 결과 모두 대상 청중에게 중요했다. 미국 군대 내에서 윤리적 해킹 활동을 설명하는 다른 여러 건의 기밀 해제된 보고서가 있다.

1981년까지 ''뉴욕 타임스''는 화이트 해트 활동을 "장난스럽지만 기이하게 긍정적인 '해커' 전통"의 일부로 묘사했다. National CSS 직원이 고객 계정에서 사용한 패스워드 크래커의 존재를 밝히자, 회사는 그 소프트웨어를 작성한 것이 아니라 더 빨리 공개하지 않은 점을 비난했다. 징계 서한에는 "회사는 NCSS에 대한 이점을 인식하고 부사장, 디렉토리 및 파일의 기타 민감한 소프트웨어에 대한 보안 약점을 식별하기 위한 직원의 노력을 장려한다"고 명시되어 있었다.^[11]

시스템의 보안을 평가하고 취약점을 지적하기 위해 이 윤리적 해킹 전술을 도입하려는 아이디어는 댄 파머와 비츠 베네마에 의해 구상되었다. 그들은 인터넷과 인트라넷 전반의 보안 수준을 높이기 위해, 목표에 대한 충분한 정보를 수집하여 마음만 먹으면 보안을 침해할 수 있었던 방법을 설명했다. 그들은 이 정보를 수집하고 목표를 제어하는 데 악용할 수 있는 몇 가지 구체적인 예와, 그러한 공격을 방지하는 방법을 제공했다. 그들은 작업 중에 사용했던 모든 도구를 수집하여 하나의 사용하기 쉬운 애플리케이션으로 패키지화하여, 다운로드하려는 모든 사람에게 무료로 제공했다. 그들의 프로그램인 네트워크 분석을 위한 보안 관리자 도구 (SATAN)는 1992년에 전 세계적으로 엄청난 언론의 주목을 받았다.^[8]

2016년 10월 20일, 미국 국방부(DOD)는 "펜타곤 해킹"을 발표했다.^[12][13]

4. 활동

화이트햇 해커는 시스템의 보안 강화를 목적으로 다양한 활동을 수행한다. 주요 활동 중 하나는 모의 침투 테스트로, 이는 실제 공격자가 사용할 법한 기술을 이용하여 소프트웨어나 컴퓨터 시스템의 취약점을 찾는 과정이다. 여기에는 포트 스캔, 알려진 결함 검사, 패치 상태 확인 등이 포함될 수 있다.

단순한 기술적 점검을 넘어, 보다 넓은 의미의 윤리적 해킹 활동에는 사회 공학적 기법을 활용한 테스트도 포함된다. 예를 들어, 직원에게 의심스러운 이메일을 보내 암호 정보를 유도하거나, 중요 정보가 담겨 있을 수 있는 폐기물을 조사하는 등의 활동이 이루어질 수 있다.^[14] 때로는 조직 구성원의 동의 없이, 경영진과 같은 핵심 이해관계자만 인지한 상태에서 실제 공격 시나리오와 유사한 환경을 조성하여 보안 수준을 점검하기도 한다. 이러한 테스트는 시스템 사용량이 적은 심야 시간에 진행되거나, 복제된 테스트 환경에서 수행될 수 있다.^[14]

화이트햇 해커는 이러한 활동을 통해 시스템의 잠재적 약점을 파악하고, 악의적인 블랙햇 해커나 그레이햇 해커가 악용할 수 있는 백도어나 정보 접근 경로를 미리 찾아내어 방어 전략을 수립하는 데 기여한다.

4. 1. 기술

• 디스크 및 메모리 포렌식: 저장 장치나 메모리에 남은 디지털 증거를 분석한다.
• DoS 공격: 시스템의 정상적인 서비스 제공을 방해하는 공격을 시뮬레이션한다.
• 프레임워크 활용:
• Metasploit: 자동화된 익스플로잇 도구를 제공하는 프레임워크를 사용한다.
• 네트워크 보안: 네트워크 트래픽 분석, 방화벽 우회 시도 등 네트워크 관련 보안 기술을 점검한다.
• 리버스 엔지니어링: 소프트웨어의 작동 원리를 역으로 분석하여 취약점을 찾는다.
• 보안 스캐너 활용:
• Burp Suite: 웹 애플리케이션 보안 테스트 도구.
• Nessus: 시스템 및 네트워크 취약점 스캐너.
• W3af: 웹 애플리케이션 공격 및 감사 프레임워크.
• 소셜 엔지니어링 전술:
• 피싱: 이메일이나 메시지를 통해 민감한 정보를 탈취하는 기법을 모방한다.
• 사전 공작(Pretexting|프리텍스팅^영어): 특정 시나리오를 만들어 대상으로부터 정보를 얻어내는 기법을 사용한다.
• 취약점 연구: 새로운 보안 취약점을 발견하고 분석한다.

4. 2. 사회 공학적 공격 대응

• 피싱 (Phishing): 신뢰할 수 있는 출처(예: 은행, 정부 기관, 동료)를 사칭하여 이메일, 메시지 등을 통해 사용자를 속여 개인 정보나 금융 정보를 빼내는 기법.
• 사전 공작 (Pretexting): 특정 상황이나 시나리오를 꾸며내어 대상으로부터 신뢰를 얻은 뒤, 원하는 정보를 자연스럽게 유도하여 얻어내는 기법.

5. 법적 측면

대부분의 국가에서 시스템 소유자의 허가 없이 컴퓨터 시스템이나 네트워크에 접근하는 해킹 행위는 불법으로 간주된다. 하지만 화이트햇으로 대표되는 윤리적 해킹은 시스템의 보안 취약점을 찾아 개선할 목적으로, 시스템 소유자로부터 명시적인 사전 동의나 허가를 받고 수행된다. 따라서 이러한 조건 하에 이루어지는 윤리적 해킹은 합법적인 활동으로 인정받는다. 다만, 국가별로 관련 법규나 규제의 세부 내용은 차이가 있을 수 있다.

5. 1. 국가별 현황

• '''벨기에''': 2023년 2월, 화이트 해킹을 합법화했다.^[15]
• '''중국''': 2021년 7월, 중국 정부는 화이트 해커가 취약점을 발견했을 때, 이를 해결하거나 대중에게 알리기 전에 먼저 정부에 보고하도록 법적으로 의무화했다. 이는 기존의 자발적 보고 시스템에서 변경된 것이다. 일각에서는 이러한 변화가 화이트 해커 활동이 국가 정보 기관에도 기여하게 만드는 "이중 목적"을 가지고 있다고 분석한다.^[16]
• '''영국''': 일반적으로 시스템 접근이 허가된 경우 해킹은 합법적이지만, 그렇지 않다면 컴퓨터 오용법에 따라 범죄로 취급된다. 무단 접근은 비밀번호 추측, 타인의 웹메일 계정 접근, 은행 보안 시스템 해킹 등 다양한 행위를 포함하며, 적발 시 최대 징역 2년과 벌금형에 처해질 수 있다. 만약 해커가 데이터를 수정하는 경우에는 최대 징역 10년까지 형량이 늘어날 수 있다. 전문가에 따르면, 설령 더 큰 공익을 위해 취약점을 노출하려는 목적이었다 해도 무단 접근은 불법으로 간주된다.^[4]

6. 고용 및 경력

미국 국가안보국(NSA)은 CNSS 4011과 같은 자격증을 제공한다. 이 자격증은 질서 있고 윤리적인 해킹 기술과 팀 관리에 대한 내용을 다룬다. 공격 임무를 수행하는 팀은 "레드 팀", 방어 임무를 수행하는 팀은 "블루 팀"이라고 불린다. 2020년 DEF CON 행사에서 NSA는 채용 활동을 하며 지원자들에게 "과거에 몇 가지, 말하자면, '부주의함'이 있었더라도 너무 걱정하지 마십시오. 그것 때문에 자동적으로 채용에서 탈락하지는 않을 것"이라고 설명했다.^[17]

기업들은 시스템과 네트워크 환경을 보호하기 위해 버그를 찾아내는 화이트햇 해커를 중요한 인력으로 여긴다. 뛰어난 화이트햇 해커는 기업의 대응책 마련에 기여하며, 시스템, 애플리케이션, 엔드포인트 전반의 위험을 줄이는 데 도움을 줄 수 있다.^[18]

최근 연구에 따르면, 화이트햇 해커는 기업의 네트워크 보안을 지키는 데 점점 더 중요한 역할을 하고 있다. 이들은 단순한 침투 테스트를 넘어서, 변화하는 위협에 맞춰 기술을 발전시키고 있다. 이제 화이트햇 해커의 기술 영역은 소셜 엔지니어링, 모바일 기술, 소셜 네트워크까지 포함한다.^[19]

7. 주요 인물

• 짐 브라우닝(Jim Browning): 북아일랜드 출신의 화이트 해커이자 사기 미끼, 저널리스트. 그의 조사는 유튜브와 BBC의 ''파노라마'' 및 ''사기 인터셉터스(Scam Interceptors)''와 같은 프로그램을 통해 공개되었다.
• 찰리 밀러(Charlie Miller): 전 국가안보국(NSA)과 우버에서 근무한 미국의 화이트 해커. 2014년 크리스 발라섹(Chris Valasek)과 함께 지프 체로키의 컴퓨터 취약점을 이용하여 가속, 제동, 조향을 원격으로 제어하는 해킹 시연을 발표했다.
• 타메르 사힌(Tamer Şahin) (1981년 출생): 터키 출신의 화이트 해커. 마이크로소프트와 같은 기술 기업 시스템에서 제로데이 취약점을 발견하고 이를 공개하는 활동을 한다.
• 제니퍼 아쿠리(Jennifer Arcuri): 미국의 기술 기업가. 2016년에 화이트 해커 컨설팅 회사인 해커 하우스(Hacker House)를 설립했다.

참조

_[1] 웹사이트 What is white hat? - a definition from Whatis.com http://searchsecurit[...] Searchsecurity.techtarget.com 2012-06-06
_[2] 논문 Cyberspace, Black-Hat Hacking and Economic Sustainability of Corporate Organizations in Cross-River State, Nigeria 2022-09-05
_[3] 논문 Sabotage in cyberspace https://www.newscien[...] 1996-09-14
_[4] 논문 License to Hack http://www.infosecur[...] 2009-10-16
_[5] 논문 A Method for Automatic Penetration Testing and Mitigation: A Red Hat Approach 2021
_[6] 서적 Ninja Hacking: Unconventional Penetration Testing Tactics and Techniques https://books.google[...] Elsevier
_[7] 웹사이트 What is the difference between black, white, and grey hackers https://us.norton.co[...] Norton Security 2018-10-02
_[8] 웹사이트 What is a White Hat? http://www.secpoint.[...] Secpoint.com 2012-03-20
_[9] 논문 Ethical Hacking http://pdf.textfiles[...]
_[10] 보고서 MULTICS SECURITY EVALUATION: VULNERABILITY ANALYSIS https://csrc.nist.go[...] 1974-06
_[11] 뉴스 Case of the Purloined Password https://www.nytimes.[...] 1981-07-26
_[12] 웹사이트 DoD Announces 'Hack the Pentagon' Follow-Up Initiative https://www.defense.[...] 2023-12-15
_[13] 웹사이트 Pentagon leak leads to limits on who gets access to military's top secrets {{!}} CNN Politics https://www.cnn.com/[...] 2023-04-13
_[14] 서적 Black Hat Python, 2nd Edition: Python Programming for Hackers and Pentesters https://python.engin[...] No Starch Press 2021-04-14
_[15] 웹사이트 Belgium legalises ethical hacking: a threat or an opportunity for cybersecurity? https://www.law.kule[...] 2023-05-03
_[16] 뉴스 China Raises Private Hacker Army To Probe Foreign Governments https://www.newsweek[...] 2024-01-18
_[17] 웹사이트 Attention DEF CON® 20 attendees http://www.nsa.gov/c[...] National Security Agency
_[18] 논문 Ethical hackers: putting on the white hat
_[19] 논문 Ethical hackers: putting on the white hat https://www.scienced[...] 2011-07-01