윈도우와 NSAKEY 논란 한눈에 보기

마스터 키와 소프트웨어 신뢰

윈도우 같은 OS에서 ‘키’는 일종의 디지털 서명 역할을 해요. 파일이나 드라이버가 제대로 된 출처(즉, Microsoft)에서 왔는지, 변조된 적 없는지 확인하는 데 쓰이죠. 이게 없으면, 파일은 시스템에 설치될 수 없게 막혀요.

1999년, 보안 연구자 Andrew Fernandez는 윈도우 업데이트 코드에서 ‘NSAKEY’라는 이름의 두 번째 마스터 키를 직접 발견해요. 원래는 마이크로소프트의 키 하나만 있어야 정상인데, NSAKEY라는 명칭에 세간이 크게 놀라죠.

NSAKEY는 이론적으로 마이크로소프트의 심사를 건너뛰고, 어떠한 소프트웨어라도 윈도우에 몰래 설치할 수 있게 해주는 역할을 할 수 있었어요. 즉, 보안의 백도어처럼 작동할 여지가 있어 ‘정부가 몰래 감시하는가?’라는 의혹이 일었죠.

발견 소식이 퍼지자 기술 커뮤니티는 물론 일반 언론까지 큰 소동이 일었습니다. “마이크로소프트가 NSA와 협력했느냐?”, “전 세계 PC가 감시에 노출된 것 아니냐?” 등 의혹이 난무했어요.

마이크로소프트는 공식적으로 “NSAKEY는 그냥 내부 백업용 키”라며, NSA와는 무관하다고 밝혔어요. 이름이 단순히 개발 과정에서 잘못 붙여졌을 뿐이라고 주장했죠. 물론, 그 해명에 모두가 안심하진 않았어요.

당시 미국 정부는 기업들이 강력한 암호화 기술을 해외에 수출하는 걸 제한하려고 했어요. ‘클리퍼 칩’ 등 감시 목적의 기술 도입 시도가 많았고, 이런 정부 정책 때문에 NSAKEY처럼 논란이 된 사례가 나왔다는 의견도 있었어요.

NSAKEY가 실제로 악용된 적이 있는지는 아무도 모릅니다. 추측만 남았을 뿐, 증거는 없어요. 이후 마이크로소프트는 키의 이름만 조용히 지웠고, 기능은 그대로 남겨둘 뿐이었죠.

이 사태를 계기로 ‘폐쇄형 소프트웨어, 특히 운영체제는 정말 믿을 수 있는가?’란 논쟁이 아직도 이어지고 있어요. 개발사 한 곳에 모든 권한이 집중되면, 사용자는 투명성을 믿는 수밖에 없죠.

NSAKEY는 한때 실제로 쓰였던 백도어인지 아닌지도 불분명하지만, OS 안에 비밀 정부 키가 들어가 있을지도 모른다는 상상만으로도 사이버보안계의 유명한 도시전설이 되었어요.

출처 :