최근 연구진은 윈도우 10 PC에 침입하는 데 사용된 암호 복구 질문 시나리오를 분석했습니다. 이러한 분석 결과 일부 기능을 비활성화하는 것이 제안되었지만, 가정용 컴퓨터 사용자라면 이러한 조치를 취할 필요가 없습니다.
문제의 핵심
아르스 테크니카의 보도에 따르면, 윈도우 10은 작년에 로컬 계정의 암호 복구 질문을 설정하는 기능을 추가했습니다. 보안 연구자들이 이 기능을 조사한 결과, 비즈니스 네트워크 환경에서는 잠재적인 보안 취약점으로 이어질 수 있다는 사실을 발견했습니다.
여기서 주목해야 할 중요한 두 가지 사항이 있습니다.
첫째, 이 시나리오는 관리되는 컴퓨터가 있는 비즈니스 네트워크, 즉 도메인 네트워크에 연결된 컴퓨터를 중심으로 전개됩니다. 둘째, 취약점은 로컬 계정에만 해당됩니다. 대부분의 PC가 도메인에 연결되어 있다면 로컬 계정 대신 중앙 집중식 도메인 사용자 계정을 사용하고 있을 가능성이 높으므로 이 점은 특히 주목할 만합니다. 또한 기본적으로 도메인 계정에서는 보안 질문을 사용할 수 없습니다.
더욱 중요한 세 번째 요점은, 이러한 모든 일이 일어나려면 악의적인 사용자가 먼저 네트워크에서 관리자 수준의 접근 권한을 얻어야 한다는 것입니다. 그런 다음 로컬 계정이 있는 네트워크 연결 컴퓨터를 식별하고, 해당 계정에 보안 질문을 추가할 수 있습니다.
왜 이런 번거로운 일을 해야 할까요?
이론적으로 악의적인 사용자가 관리자 접근 권한을 획득하고, 관리자가 이를 감지하여 접근 권한을 취소하고 모든 암호를 변경한 후에도, 이들은 사용자 지정 질문을 활용해 암호를 재설정하고 전체 접근 권한을 다시 얻을 수 있습니다. 이처럼 복잡한 과정을 거쳐야 한다는 점이 문제입니다.
연구진은 해시 도구를 사용하여 이전 암호를 확인한 다음, 이전 암호를 복원하여 접근을 위장할 수 있다고 제안했지만, 대부분의 도메인 네트워크에서는 기본적으로 재사용된 암호를 허용하지 않습니다.
아르스 테크니카가 마이크로소프트에 의견을 요청했을 때, 마이크로소프트는 다음과 같이 짧게 답변했습니다.
“제기된 기술은 공격자가 이미 관리자 권한을 가지고 있어야만 가능합니다.”
이러한 답변이 처음에는 다소 둔탁하게 들릴 수 있지만, 마이크로소프트의 지적은 정확하며 문제의 핵심을 짚고 있습니다. 악의적인 사용자가 네트워크에서 관리자 수준의 접근 권한을 얻게 되면, 잠재적인 피해와 공격 경로는 단순한 암호 재설정 트릭을 훨씬 넘어섭니다. 또한, 네트워크가 악의적인 사용자의 관리자 권한 획득을 막을 만큼 충분히 안전하다면, 이 모든 논의는 무의미해집니다.
결론적으로, 악의적인 공격자는 윈도우 도메인을 사용하는 비즈니스 네트워크에서 관리자 수준의 접근 권한을 획득하고, 로컬 계정이 존재할 가능성이 있는 컴퓨터를 찾아내야 하며, 해당 컴퓨터가 잠겨 있을 경우를 대비해 보안 질문을 설정해야 합니다. 이러한 복잡한 과정을 거쳐야만 한다는 점을 고려할 때, 이미 관리자 수준 접근 권한을 얻은 공격자가 훨씬 더 큰 피해를 입힐 수 있다는 사실에 주목해야 합니다.
그렇다면, 나에게도 해당되는 이야기일까?
만약 가정에서 윈도우 10 컴퓨터를 사용하고 있다면, 이 이야기가 당신에게 해당될 가능성은 매우 낮습니다. 그 이유는 다음과 같습니다.
가정용 PC는 도메인에 가입되어 있지 않을 가능성이 높습니다.
도메인에 가입되어 있지 않다면, 로컬 계정을 사용해야 합니다. 하지만 대부분의 윈도우 10 사용자들은 마이크로소프트 계정을 사용하여 로그인합니다. 윈도우 10의 많은 기능이 제대로 작동하려면 마이크로소프트 계정을 사용하는 것이 필수적이기 때문입니다. 물론 추가 단계를 거쳐 로컬 계정을 생성할 수도 있지만, 마이크로소프트는 이를 권장하지 않습니다. 마이크로소프트 계정을 사용하는 경우, 암호 재설정 질문은 사용할 수 없습니다.
이러한 취약점을 악용하려면, 누군가가 원격으로 또는 물리적으로 당신의 PC에 접근할 수 있어야 합니다. 그리고 이러한 수준의 접근 권한이 있다면, 암호 재설정 질문은 가장 큰 걱정거리가 아닙니다.
따라서, 이번 연구 결과가 당신에게 해당될 가능성은 매우 낮습니다. 그러나, 만약 당신이 도메인에 가입된 로컬 계정을 사용하고 있다고 해도, 이는 오랜 논쟁으로 귀결됩니다. 보안을 위해 얼마나 많은 편리함을 포기해야 할까요? 반대로, 편리함을 위해 어느 정도의 보안을 감수해야 할까요?
이 경우, 악의적인 사용자가 컴퓨터에 접근하여 보안 질문을 이용해 완전한 제어 권한을 획득할 가능성은 매우 희박합니다. 반면에, 암호를 잊어버려 질문이 필요할 가능성은 약간 더 높습니다. 이 모든 상황을 고려하여 최선의 선택을 하시기 바랍니다.