해답없는 USB 키보드 해킹, 관련업계 '속앓이'

"USB 키보드 보안 대책을 마련하라."

키보드 보안 관련 업체들이 USB 키보드 보안 취약점 대응 마련에 나섰지만 해결책을 찾는 것이 쉽지 않아 고심 중인 것으로 알려졌다.

이번 대책은 해커들이 e메일 등을 이용해 USB 키보드를 사용하는 PC에 'USB 모니터링 프로그램'을 설치할 경우 키 입력값이 그대로 노출, 해킹에 무방비 상태에 놓일 수 있는 문제를 해결하기 위한 것.

지난 7월 초 USB 키보드 해킹 위험이 처음 알려진 이래 금융보안연구원을 비롯해 ▲소프트캠프 ▲소프트포럼 ▲안철수연구소 ▲잉카인터넷 ▲킹스정보통신 등 5개 업체는 대책 회의를 갖고 올해 10월까지 대책을 내놓기로 했지만 아직까지 뚜렷한 해결책을 찾지 못해 고심을 거듭하고 있다.

한국정보보호진흥원(KISA) 인터넷침해사고대응센터 해킹대응팀 최중섭 팀장은 "생각보다 고려해야 할 사항이 많아 대응책을 마련하는 데 시일이 걸릴 것으로 예상된다"고 말했다.

◆"USB 키보드 제조업체와 협의 중"

금융보안연구원 등이 USB 해킹 문제를 해결하기 위해 공통적으로 합의한 것은 경고창 기능을 활용하는 것이다. USB 취약 부위에 접근하는 프로그램 이나 해킹 툴이 있을 경우 '사용자 경고 메시지'를 표시해 주의를 하도록 해주는 기능이다.

하지만 이는 말 그대로 '경고 기능' 일 뿐 근본적인 대응책은 아니라는 평가다. 또 일부 업체의 경우 해킹 툴을 감지, 이를 제거하는 기능을 제공하고 있지만 정상적인 프로그램까지 해킹 툴로 간주하는 경우가 있어 사용자 편의성을 저해한다는 지적을 받고 있다.

따라서 경고창 기능을 활용할 때 블랙리스트·화이트리스트를 적용해야 한다는 의견이 있지만 이 역시 미봉책에 머물고 있다.

각 업체는 또 USB 키보드 보안 위협을 제거하기 위한 방안으로 물리적인 장치인 하드웨어와 가장 밀접한 위치에 키보드 보안 드라이버를 설치, 보안 드라이버 작동 영역을 확대하는 방안을 제시했다.

하지만 이 방안 역시 실효성 여부에 대한 의문이 제기되고 있다. 관련업계의 한 전문가는 "기존 키보드 보안의 경우 휴먼인터페이스디바이스(HID) 중 키보드 입력만 보호하면 됐지만, USB 키보드의 경우는 USB 버스를 통해 들어오는 모든 디바이스 정보 중 키보드 입력값을 구분해 보호하기는 힘들다"고 말했다.

킹스정보통신 김준현 솔루션사업팀장은 "USB 키보드 외 다른 USB 사용 제품과 충돌이 일어나는 현상이 발생, 호환성 확보도 쉽지 않을 것으로 보인다"고 말했다.

잉카인터넷 유인향 부서장은 "키보드 보안 프로그램 자체에서 해결하려면 적용상 한계가 있다"며 "USB 키보드 하드웨어 문제일 수 있으므로 USB 키보드 제조사와 협의중"이라고 밝혔다.