'못 믿을 감시 세상' 역대 최악의 소프트웨어 백도어 12종

백 오리피스(Back Orifice) 첫 번째 백도어는 아니지만, 백도어가 무엇인지에 대해 널리 알린 백도어다. '컬트 오브 더 데드 카우(Cult of the Dead Cow)라는 해커 집단이 1998년 개발한 백 오리피스(Back Orifice)는 원격에서 네트워크를 통해 마이크로소프트 윈도우를 운영체제로 하는 컴퓨터를 제어할 수 있는 백도어였다. 영리하게도 윈도우 스몰 비즈니스 서버의 전작인 마이크로소프트 백오피스 서버의 이름을 도용해서 더 인상적이었다. 백 오리피스는 마이크로소프트 윈도우 98의 보안 취약점을 입증하기 위해 개발됐으며, 사용자로부터 자신을 은닉할 수 있는 기능 등을 특징으로 한다. 블랙햇 해커 세대가 그리워할만한 기능이다. 악성 페이로드로 이용할 수 있기 때문이다.

사라지지 않은 DSL 백도어 하드웨어에 백도어가 존재하면 아주 좋지 않다. 그러나 더 좋지 않은 점이 있다. 이를 고치겠다고 약속하고, 그 존재를 감추기만 하는 것이다. 2013년 말에 실제 이런 일이 일어났다. 서콤(Sercomm) 하드웨어에 사용된 다수의 DSL 게이트웨이에 제조업체가 포트 32764에 백도어를 추가한 것이 밝혀진 것이다. 2014년 4월에 이 문제를 고칠 패치가 발행됐다. 그러나 특별히 개발한 패킷(Port Knock)을 전송시켜본 결과 포트 접속을 감추기만 한 패치임이 밝혀졌다. 아직까지도, 이 문제를 제대로 고쳐주기를 기다리고 있는 실정이다.

PGP 풀 디스크 암호화의 백도어 개발사가 백도어가 아닌 기능이라고 강변하는 백도어 중 하나다. 현재 시만텍이 판매하는 PGP 홀 디스크 암호화(Whole Disk Encryption)는 암호화 볼륨을 위한 부팅 과정에 임의의 고정 비밀번호를 추가할 수 있도록 되어 있다. (비밀번호는 처음 사용하면 소멸하도록 기본 설정되어 있다.) PGP는 이 문제가 처음 알려졌던 2007년, 다른 디스크 암호화 제품에도 이와 유사한 기능이 채택되어 있다고 강변했다. 그러나 이런 기능에 대한 정보를 공개하지 않아 불안감을 초래했었다. 현재는 이 사실을 알고 있다. 하지만 애초에 이런 기능을 도입했어야 하는지에 대한 판단은 보류 상태다.

상용 워드프레스 플러그인 해적판의 백도어 워드프레스(WordPress)는 현재 가장 인기 있는 강력한 블로깅 및 콘텐트 관리 시스템 중 하나다. 그러나 그 동안 보안과 관련해서는 유감스러운 문제들이 많았다. 가장 고약한 보안 침해는 값비싼 플러그인의 해적판과 관련이 있다. 은밀하게 백도어를 추가시키기 때문이다. 워드프레스의 파워 유저들조차 감지에 애를 먹곤 한다. 해적판 소프트웨어를 피해야 하는 또 다른 이유다.

줌라(Joomla) 플러그인 백도어 워드프레스 이외에도 플러그인과 관련된 백도어 문제가 있는 CMS들이 있다. 줌라(Joomla)도 유사한 방식으로 백도어 문제의 희생양이 됐다. 또 이와 관련, 무료 플러그인을 통해 코드가 수정된 사실이 밝혀졌다. 해킹을 당했던 웹사이트에 다시 침입하기 위한 수단으로 이런 교활한 공격이 이뤄지는 경우가 일반적이다. CMS 플러그인이 공격 진입점이 될 것이라고 판단해 두 차례나 점검을 하는 사람들은 극소수이기 때문이다.

프로FTPD(ProFTPD) 백도어 오픈소스 FTP 서버에 많이 사용되는 프로FTPD(ProFTPD)에도 백도어가 심어질 뻔 했었다. 2010년, 공격자들은 소스 코드를 호스팅 한 서버에 접속해, 'HELP ACIDBITCHEZ'라는 명령어를 보내도록 루트 쉘(Root Shell)을 증식시키도록 해주는 코드를 추가시켰던 것이다. 이 사건과 관련된 아이러니는 '공격자들이 프로FTPD의 제로데이 취약점을 이용해 사이트에 침입한 후, 악성 코드를 심었다는 것이다.'

볼랜드 인터베이스(Borland Interbase) 백도어 소름이 돋도록 만드는 백도어 중 하나다. 1994년에서 2001년, 볼랜드(이후 Inprise) 인터베이스 4.0에서 6.0 버전까지 하드코어 백도어가 심어져 있었다. 그것도 볼랜드 소속 엔지니어가 심어놓은 백도어였다. (포트 3050을 매개체로 하는) 네트워크 연결을 통해 접속을 할 수 있는 백도어였다. 사용자가 로그인을 하고 나면 인터베이스 데이터베이스를 100% 통제할 수 있는 것이 특징이다. 괴이한 프로그래머의 '유머'를 보여주는 것인지 백도어를 여는데 사용하는 ID와 비밀번호가 흥미롭다. '사용자명: Politically (정치적으로), 비밀번호: Correct (옳은)'였다.

실패로 돌아간 리눅스 백도어 2003년, 누군가 리눅스 커널용 소스 코드에 백도어를 심으려 시도했다. 코드가 호스팅 되어 있던 서버에 침입한 누군가가 백도어 존재 사실을 숨기면서, 리눅스 소스에 추가되는 코드를 개발했었다.코드 두 줄이 바뀌었다. 대다수가 간과할 수 있는 그런 코드 변경이었다. 이론적으로는, 공격자는 바뀐 코드를 이용해 장치에 대한 프로세스 루트 권한을 확보할 수 있었다. 다행히 자동 코드 감지를 통해 코드 변경을 감지하면서 백도어를 발견해 무능력화시킬 수 있었다. 아직까지도 누구의 소행인지를 놓고 추측이 무성하다. 어쩌면 알만한 정부 기관이 리눅스 토발즈로 하여금 백도어를 추가시키도록 요청했는지도 모른다.

TCP덤프(TCPDump) 백도어 누군가 리눅스 커널에 백도어를 심으려 시도하기 1년 전, 또 다른 누군가가, 리눅스(그리고 유닉스)에서 많이 사용하는 유틸리티인 TCP 덤프(TCPDump)에 백도어를 심어 침입하려 시도했었다. 그러나 리눅스 백도어보다는 '은밀성이' 떨어지기 때문에 코드 변경이 명백하게 드러났다. 포트 1963의 트래픽으로 활성화되는 프로그램을 명령해 통제하는 코드 변경이었다. 리눅스 백도어와 마찬가지로, 공격자는 소스 코드가 호스팅 된 서버에 침입해 직접 코드를 추가하는 방법으로 소스 코드를 변경시켰다. 발견과 제거 역시 리눅스 백도어와 유사했다.

NSA의 TAO 하드웨어 백도어 당연히 미 정보기관 NSA도 비장의 무기를 숨겨두고 있었다. 최근 공개된 NSA의 정보 수집 활동인 TAO(Tailored Access Operations)는 NSA의 교묘한 정보 수집 방법들을 보여주고 있다. 그 중 하나는 해외에 판매되는 하드웨어를 가로채, 펌웨어를 심은 후 해외로 내보내는 방법이다. NSA는 네트워크 장치 외에도 다양한 PC 및 하드 드라이브 같은 구성 부품의 펌웨어에도 정보 수집 및 감시용 소프트웨어를 심은 것으로 알려지고 있다.

의심 받는 윈도우의 '_NSAKEY' 백도어 NSA와 관련된 '음모 이론' 중 하나다. 1999년, 윈도우 NT 4 서비스 팩 5를 자세히 조사한 연구원들이 1024 비트의 퍼블릭 키가 첨부된 _NSAKEY라는 변종 코드들을 발견했다. 이와 관련, 마이크로소프트가 윈도우의 암호화 데이터에 대한 백도어를 NSA 제공한 것이 아니냐는 의구심이 증폭됐다. 마이크로소프트는 이를 부인했다. 보안 전문가인 브루스 슈나이어 또한 이런 음모론을 뒷받침할 근거가 없다고 지적했다. 그러나 이런 의혹이 계속되고 있는 실정이다.

듀얼 EC(Dual Elliptic Curve)의 백도어 NSA와 관련된 또 다른 백도어다. 어쩌면 가장 '고약한' 백도어 일 수 있다. 암호화에 많이 사용되는 무작위 번호 생성 기술을 은밀하게 무력화시키는 백도어이기 때문이다. NIST가 인증한 듀얼 EC DRBG(Dual Elliptic Curve Deterministic Random Bit Generator) 표준에 공격자가 암호를 해독할 수 있는 취약점 하나가 존재한다는 사실이 드러났다. 이런 사실이 알려진 계기는 에드워드 스노든의 NSA 내부 메모 유출이었다. 이 메모에 따르면, NSA는 이 표준의 승인 프로세스를 조작해 알고리즘에 백도어를 유지시킬 수 있다. 다행히 다른 무작위 번호 생성기들이 많다. NIST는 이후 듀얼 EC DRBG에 대한 추천을 철회했다. 그러나 몇몇 사람들은 NSA가 소매 속에 또 어떤 무기를 숨기고 있는지 궁금해하고 있다.