보안과 네트워크

Inspired by Bob Blakley's THE EMPEROR'S OLD ARMOR (1996)

보안에서 reference monitor라는 개념이 있다(많은 정의가 있겠지만 그 중 간단한 것을 하나 적으면 다음과 같다. access control concept that refers to an abstract machine that mediates all accesses to objects by subjects. 출처) 주체가 객체에게 시도하는 모든 접근을 감시한다는 것인데, 군대에서 보초 서는 것을 떠올리면 된다. 내가 보초를 서면서 지키려고 하는 울타리가 있을 것이고 외부에서 누군가 접근하면 암호를 묻는다. 누가 오든 모든 사람에게 다 묻는다. 그걸 통과해야만 울타리 안으로 들어오는 것이다. 울타리의 모든 영역은 보초병이 감시한다. 사각(쥐구멍)은 없다고 가정한다.

이렇게 간단한 개념에 reference monitor라는 이름을 붙여 놓으니 참 어려워 보인다. 이것은 information fortress라고 불리기도 한다. fortress라는 단어가 붙은 건 위에서 말한 '울타리'를 떠올리면 감이 올거고. 이 개념은 '지켜야 할 것'이 1) 굉장히 소중할 때, 2) 몇 개 없을 때, 3) 고립된 상태에서도 잘 활용될 수 있을 때 적합하다. fortress라는 용어 자체가 이런 조건을 암시하고 있다.

하지만 컴퓨터 보안에서 이런 시절은 갔다. 컴퓨터는 점점 더 싸지고 네트워크로 연결되고 있으니까.  컴퓨터는 몇 대 없었고 그들에게 접근하는 것은 매우 어려웠던 옛 시절이 떠오르지 않나? 잘 연결된(well-connected) 네트워크를 상상해보라. 요새에 개구멍이 슝슝 뚫리는 그림이 보이지 않는가. 요새에 문이 몇 개 없을 때는 그 문만 잘 지키면 되었는데, 이제 문이 너무 많은 것이다. 문이 너무 많은 성벽이라. 꼭 벽이 있어야 할까? 하는 의문이 들만 하다. 인터넷은 광장이 되었다. 요새는 무너지고 광장만 남았다. 모든 것이 open된 세상. 아름답다.

하지만 보안은 힘들어졌다.

문지기 몇 명만 고용하면 되었던 옛 시절은 가고 치안 유지를 위한 순찰대를 고용해야 했다. 훨씬 더 많은 숫자가 필요하고 따라서 많은 비용이 들어간다. 보안은 '완벽(perfection)'을 추구해야'만'하는 분야인데 비용은 더 많이 들어가면서도 치안은 더 힘들어졌다. 예전엔 문지기가 잘 지켜주기만 하면 요새 안은 평화로웠으나 이제는 순찰대가 열심히 순찰을 다녀주어도 사각에서는 범죄가 발생하기 때문이다.