레저 CTO "취약점 눈길끌기용 폭로 말라"…업계에 공개 원칙 촉구

본문

샤를 기유메(Charles Guillemet) 레저(Ledger) 최고기술책임자(CTO)가 하드웨어 지갑 업계에 책임 있는 취약점 공개 원칙을 지켜달라고 촉구했다. 인공지능(AI)으로 취약점을 찾는 문턱이 크게 낮아진 상황에서 이목을 끌기 위한 성급한... 샤를 기유메 레저 최고기술책임자가 AI로 취약점 발견이 쉬워진 만큼 하드웨어 지갑 업계가 '협조적 공개' 절차를 지켜야 한다고 밝혔다. 인공지능(AI)으로 취약점을 찾는 문턱이 크게 낮아진 상황에서 이목을 끌기 위한 성급한 공개가 오히려 이용자 위험을 키운다는 지적이다. 기유메 CTO는 소셜미디어 게시물에서 AI가 취약점 발견의 문턱을 크게 낮췄지만, 이 때문에 공격 측과 방어 측 사이의 기존 비대칭 우위도 함께 줄었다고 밝혔다. 그는 이런 이유로 제조사에 비공개로 먼저 알리고 수정 기한을 정한 뒤 공동으로 공개하는 '협조적 공개' 절차가 그 어느 때보다 중요해졌다고 말했다.

이미 수정된 취약점을 '진행 중인 침해'처럼 포장하거나, 아직 고치지 않은 취약점의 세부 내용을 미리 흘리거나, 예고편 형태로 관심을 유도하는 폭로를 내놓는 사례를 문제로 꼽았다. 그러면서 실제 자금 손실이 없더라도 불필요한 공포를 조성하면 이용자들이 자가 보관(셀프 커스터디)을 포기하는 결과로 이어질 수 있다고 지적했다. 취약점 공개 방식 자체가 이용자의 보안 습관에 영향을 줄 수 있다는 취지다. 레저를 비롯해 트레저(Trezor), 파운데이션 디바이스(Foundation Devices), 앵커워치(AnchorWatch), 보안연합체 SEAL(Security Alliance) 등 여러 기관이 협조적 공개를 업계 공개 원칙으로 유지하자는 데 뜻을 같이했다고 포어사이트뉴스는 전했다.

레저는 당시 TestMachine이 제기한 결함이 공개되기 전 이미 수정을 마쳤다며 반박했는데 , 이번 기유메 CTO의 발언은 이런 공개 방식 자체를 둘러싼 논쟁을 하드웨어 지갑 업계 전반의 문제로 확장한 것으로 볼 수 있다.

하드웨어 지갑은 이용자가 블록체인 거래를 최종 승인하기 전 주소, 금액, 계약 호출 내용 등을 기기 화면에서 직접 확인하도록 설계된 보안 장치다.