2019.05.14

"파이어폭스 애드온 먹통"··· 모질라, 대규모 장애 사과

Gregg Keizer | Computerworld
인증서가 만료돼 사용자 대부분이 파이어폭스 애드온을 사용하지 못한 이달 초 장애에 대해 모질라가 공식 사과했다. 



파이어폭스 엔지니어링 담당 임원인 조 힐데브랜드는 최근 회사 블로그를 통해 "우리는 파이어폭스의 사용성을 개선하기 위해 노력해 왔다. 하지만 최근 장애로 사용자를 실망하게 했고 우리에 대한 신뢰가 흔들렸다. 사과한다. 그러나 이번 실수를 만회할 기회를 주기를 기대한다"라고 밝혔다.

이번 장애는 5월 3일 오후 9시부터 시작됐다. 파이어폭스 확장기능 서명에 사용하는 인증서가 만료됐기 때문이다. 모질라가 인증서를 갱신하지 않으면서 파이어폭스가 애드온을 신뢰할 수 없는 것으로 간주하고, 즉 잠재적인 악성코드로 판단하고 기존에 사용하던 모든 애드온을 사용하지 못하도록 막았다. 같은 이유로 애드온을 추가하는 것도 불가능했다.

사용자 항의가 빗발치자 모질라는 스터디즈 시스템((Studies system)을 통해 응급조치에 나섰다. 이 시스템은 그동안 테스트 코드를 소스의 사용자에게 배포하거나 스폰서 콘텐츠에 대한 반응을 수집하는 데 사용됐다. 그러나 이 방식 역시 모든 사용자에 해당하는 것이 아니어서 5월 5일부터 7일까지 모질라는 2번의 업데이트를 내놨다. 66.0.4와 66.0.5 버전에서 인증서 체인 문제가 해결됐다.

힐데브랜드는 이번 장애의 구체적인 내용에 대해서는 밝히지 않았다. 대신 그 해답은 파이어폭스의 CTO(chief technology officer) 에릭 리스콜라가 내놨다. 그는 파이어폭스 애드온의 디지털 서명 방식을 설명하고 이번 사건의 발생 원인과 일부 사용자가 오랜 기간 동안 애드온 장애 공지를 받지 못한 이유를 해명했다. 또한, 모질라 엔지니어가 문제를 해결한 절차와 향후 계획에 대해 밝혔다.

리스콜라는 "우리는 장애 당시에 여러 해법이 잘 작동할지 확신하지 못했다. 그래서 여러 방법을 동시에 사용하기로 했다. 먼저 잘 통하는 것처럼 보이는 방법을 처음 적용했고, 같은 날 두 번째 방법 즉 새 인증서를 배포했다"라고 말했다.

가장 중요한 것은 이런 일이 재발하지 않는 것이다. 그는 "우리는 확실히 프로세스를 수정해야 한다. 이번 사건과 비슷한 것이 덜 일어나도록 해야 한다. 동시에 다시 이런 일이 발생해도 더 쉽게 해결할 수 있도록 프로세스를 만들어야 한다"라고 말했다.

리스콜라는 "이를 위해 먼저 파이어폭스에서 일어나는, 즉 잠재적으로 큰 문제가 될 수 있는 모든 것을 추적할 수 있는 더 좋은 방법을 확보해야 한다. 예상할 수 없는 상황이 발생했을 때 바로 대체할 수 있어야 하는 것은 물론이다"라고 말했다. 인증서가 만료되도록 간과한 것에 대해서도 대책도 명확히 했다. 그는 "둘째 사용자에게 업데이트를 더 빠르게 배포할 수 있는 메커니즘이 필요하다. 특히 사실상 사용 불능 상태가 됐을 때 대응하기 위해 필요하다"라고 말했다. 

그는 스터디즈 시스템을 '불완전한 툴'로 지칭하며 파이어폭스의 업데이트 메커니즘을 더 신속하게 바꿔야 한다고 지적했다. 모질라는 이번 사고에 대한 더 철저한 조사 결과와 함께 구체적인 조치 사항을 곧 발표할 예정이다. ciokr@idg.co.kr
 



2019.05.14

"파이어폭스 애드온 먹통"··· 모질라, 대규모 장애 사과

Gregg Keizer | Computerworld
인증서가 만료돼 사용자 대부분이 파이어폭스 애드온을 사용하지 못한 이달 초 장애에 대해 모질라가 공식 사과했다. 



파이어폭스 엔지니어링 담당 임원인 조 힐데브랜드는 최근 회사 블로그를 통해 "우리는 파이어폭스의 사용성을 개선하기 위해 노력해 왔다. 하지만 최근 장애로 사용자를 실망하게 했고 우리에 대한 신뢰가 흔들렸다. 사과한다. 그러나 이번 실수를 만회할 기회를 주기를 기대한다"라고 밝혔다.

이번 장애는 5월 3일 오후 9시부터 시작됐다. 파이어폭스 확장기능 서명에 사용하는 인증서가 만료됐기 때문이다. 모질라가 인증서를 갱신하지 않으면서 파이어폭스가 애드온을 신뢰할 수 없는 것으로 간주하고, 즉 잠재적인 악성코드로 판단하고 기존에 사용하던 모든 애드온을 사용하지 못하도록 막았다. 같은 이유로 애드온을 추가하는 것도 불가능했다.

사용자 항의가 빗발치자 모질라는 스터디즈 시스템((Studies system)을 통해 응급조치에 나섰다. 이 시스템은 그동안 테스트 코드를 소스의 사용자에게 배포하거나 스폰서 콘텐츠에 대한 반응을 수집하는 데 사용됐다. 그러나 이 방식 역시 모든 사용자에 해당하는 것이 아니어서 5월 5일부터 7일까지 모질라는 2번의 업데이트를 내놨다. 66.0.4와 66.0.5 버전에서 인증서 체인 문제가 해결됐다.

힐데브랜드는 이번 장애의 구체적인 내용에 대해서는 밝히지 않았다. 대신 그 해답은 파이어폭스의 CTO(chief technology officer) 에릭 리스콜라가 내놨다. 그는 파이어폭스 애드온의 디지털 서명 방식을 설명하고 이번 사건의 발생 원인과 일부 사용자가 오랜 기간 동안 애드온 장애 공지를 받지 못한 이유를 해명했다. 또한, 모질라 엔지니어가 문제를 해결한 절차와 향후 계획에 대해 밝혔다.

리스콜라는 "우리는 장애 당시에 여러 해법이 잘 작동할지 확신하지 못했다. 그래서 여러 방법을 동시에 사용하기로 했다. 먼저 잘 통하는 것처럼 보이는 방법을 처음 적용했고, 같은 날 두 번째 방법 즉 새 인증서를 배포했다"라고 말했다.

가장 중요한 것은 이런 일이 재발하지 않는 것이다. 그는 "우리는 확실히 프로세스를 수정해야 한다. 이번 사건과 비슷한 것이 덜 일어나도록 해야 한다. 동시에 다시 이런 일이 발생해도 더 쉽게 해결할 수 있도록 프로세스를 만들어야 한다"라고 말했다.

리스콜라는 "이를 위해 먼저 파이어폭스에서 일어나는, 즉 잠재적으로 큰 문제가 될 수 있는 모든 것을 추적할 수 있는 더 좋은 방법을 확보해야 한다. 예상할 수 없는 상황이 발생했을 때 바로 대체할 수 있어야 하는 것은 물론이다"라고 말했다. 인증서가 만료되도록 간과한 것에 대해서도 대책도 명확히 했다. 그는 "둘째 사용자에게 업데이트를 더 빠르게 배포할 수 있는 메커니즘이 필요하다. 특히 사실상 사용 불능 상태가 됐을 때 대응하기 위해 필요하다"라고 말했다. 

그는 스터디즈 시스템을 '불완전한 툴'로 지칭하며 파이어폭스의 업데이트 메커니즘을 더 신속하게 바꿔야 한다고 지적했다. 모질라는 이번 사고에 대한 더 철저한 조사 결과와 함께 구체적인 조치 사항을 곧 발표할 예정이다. ciokr@idg.co.kr
 

X