윈도우에서 웹브라우저 사용시 보안 문제

원제: Revisiting the Safari Vulnerability on Windows - by Brian Krebs

워싱턴포스트에서 컴퓨터 보안 문제를 담당하는 Brian Krebs기자는 6월 8일, 자신이 5월 31일에 쓴  윈도우용 사파리 브라우저를 사용할 때의 보안 취약성에 대한 글에 대해 이 보안 문제는 애플 사파리 브라우저의 문제라기보다는 MS의 Winddows의 디자인 상의 결함이라고 밝혔습니다. 윈도우의 많은 보안상 헛점, 특히 IE의 보안상 헛점을 찾아내어 알려진, Liu Die Yu라는 신뢰할만한 보안전문가의 테스트용 코드를 예로 들면서 윈도우용 사파리에서 이 코드를 클릭하면 "schannel.dll." 이라는 파일(물론 테스트용이라 시스템에 아무런 해를 끼치지는 않는다.)을 자동으로 다운로드 하게 되는데 이는 다음번에 IE를 구동하게 되면 자동으로 IE에서 기본텍스트 에디터로 설정되어 있는 notepad( 메모장   )를 실행시킨다는 것입니다. <그림참조>

이것은 단순히 메모장을 여는 데 불과하므로 아무것도 아니지만, 이러한 악성코드는 어떤 것도 할수 있다고 합니다. 예를 들면, 사용자의 컴퓨터에 있는 정보를 빼내거나, 심지어는 악성 프로그램을 심어 놓고 실행시킬수도 있다고 합니다. 하지만, 중요한 점은 운영체제가 다른 회사가 만든 브라우저(여기서는 애플 사파리가 되겠죠)에게 이러한 9줄짜리 악성 코드를 데스크탑에 쓸수 있도록 허용하는 점이며 이것이 다른 프로그램을 구동시키기 때문에 커다란 보안상 구멍이 윈도우에 있는 것이라고 할 수 있다는 것입니다.

Liu Die Yu는 Brian Krebs에게 이 문제는 윈도우 XP, Vista에서 어느 version의 IE에도, 심지어 IE8 beta에서도 나타난다고 밝혔으며, 이문제는 전혀 새로운 문제가 아니며 IE7이 처음 나온 2006년 11월에도 다른 사람에 의해 밝혀진 바 있다고 합니다.

일단 여기까지만 번역을 간단히 해 보았습니다. 자세한 내용은 영문으로 되어 있는데 관심있으신 분은 아래 링크를 보시면 되겠습니다.

http://blog.washingtonpost.com/securityfix/2008/06/revisiting_the_safari_vulnerab_1.html#more

그 밖의 내용은 2006년에 밝혀진 내용의 설명으로 "DLL-load hijacking." 에 대한 내용인데 보안에 대해 잘 모르는 제가 이해하기 어려워서 대강 내용만 훑어보았습니다.

현재 IE7, firefox3.0 RC2, safari 3.1, The World Browser 2.0등을 쓰고 있는데, 새로 나올 IE8에 보안 문제가 있는것 같아 앞으로 웹브라우저를 무엇을 선택할지 생각하게 되네요.

관련글
2008/06/06 - [Internet/IT news] - 웹브라우저 `2차대전` 시작된다
2008/06/06 - [Internet/IT news] - IE8 vs 파이어폭스3, 보안이 승부처
2008/06/06 - [Internet/IT news] - 보안강화 구글 “윈도 버리고 웹으로 오라