은행 보안 프로그램 과연 필요한가? / 보안 플러그인 일괄 삭제

과거 ActiveX 로 사용자들에게 고통을 줬던 보안 프로그램들.. 이 액티브 액스를 퇴출하겠다고 정부가 선언을 하고, 실제 ActiveX가 퇴출된것 처럼 보였으나 보안프로그램 플러그인을 사용자가 직접 다운받아 설치하는 방식으로 대체되며 국민들에게 빅엿을 선사했다.

국민들은 사이트를 이용하기 위해 무언가를 내려받아 설치해야 한다는 점. 그 자체에 짜증을 느끼고 있었는데, 문자 그대로 ActiveX 라는 이름이 exe로 바뀌었을 뿐 기존의 불편한 웹 환경은 그대로 유지 되었다.

인터넷 뱅킹이나 카드사 홈페이지, 보험사 홈페이지에서 뭔가를 하려면 위와 같은 1조 1억개의 보안 프로그램을 깔라고 난리를 친다.

그런데 과연 이런 프로그램들, 효과는 있는 거고 대안은 없는건가? 보안프로그램 플러그인에 대한 고찰부터 보안프로그램 한방에 모두 삭제하는 방법까지 이 글에서 다뤄보도록 하겠다.

이 글의 목차

1 보안 프로그램 과연 필요한가?
2 보안프로그램의 방향과 대안은?
3 금융사는 왜 아직도 보안 프로그램을 고집하나
4 보안프로그램 일괄 삭제 방법

보안 프로그램 과연 필요한가?

보안은 매우 중요하다. 이는 구지 강조하지 않아도 삼척동자도 다 아는 사실이다. 그럼에도 은행에서 제공하는 보안프로그램 플러그인에 대해 일반인들은 기능도 제대로 하지 못하는 정크 프로그램 이라는 인식이 절대 대다수이다.

보안프로그램 정말로 필요한 것일까?

정답은 필요할 수도 있고, 불필요할 수도 있다.

대답이 애매해서 미안하다. 하지만 조건에 따라서 답이 달라지니 어쩔 수 없다.

인터넷 뱅킹을 이용하면서 동작하는 보안프로그램들 플러그인들은 현재의 웹 표준이나 HTTPS(TLS)로는 구현할 수 없다. 웹 관련된 보안 기술들은 통신 과정에서의 해킹을 막아주는 역할을 할 뿐 PC가 바이러스나 악성 코드로 감염 되었을 때는 보호해주지 못한다.

바이러스나 악성코드의 감염으로부터 인터넷 뱅킹 환경을 보호하기 위해서는 별도의 보안 프로그램이 필요하다는 의미이다.

그렇다면 앞으로도 이런 플러그인 형태의 보안프로그램을 계속 써야 하는것인가?

완벽하고 통일된 보안프로그램이라면 쓰는 것이 맞다.

하지만 현실은 각 금융사마다 자기네들의 보안프로그램 플러그인을 사용하고 있고, 금융사 몇 군데만 돌아다니면 보안프로그램이 20~30씩 쌓여 운영체제 리소스를 좀 먹고 있다.

또한 깔린 보안프로그램 플러그인들은 수준 낮은 성능과 엉망진창 최적화로 인해 시스템에 많은 오류를 일으키고 있다.

심지어 보안프로그램의 취약점을 통해 해킹이 이루어진 사례도 있다. 보안을 책임져야 할 프로그램이 보안 헛점이라니… ‘구라제거기 제작자’의 말을 인용하면 열림교회 닫힘이라는 표현이 딱 맞는 듯 하다

이 정도의 부작용 이라면 보안프로그램의 기능을 대체할 확실한 다른 보안 장치를 도입하고 보안 프로그램 플러그인을 제거하는 것이 낫지 않을까?

보안프로그램의 방향과 대안은?

지금도 금융 서비스를 받으려면 이런저런 이슈로 사용자 스트레스가 극에 달한 보안프로그램들을 계속 써야 하는 상황이다.

이러한 보안프로그램 플러그인의 가장 큰 문제는 사용을 강제하면서 exe 파일 만을 제공한다는 점이다. 이는 PC보다 모바일 기기의 점유율이 높고 다 매체 시대에 살고 있는 현대에 윈도우 만을 강요하는 코메디를 연출하고 있다.

그렇다면 앞으로 웹 보안 방향은 어떻게 잡아야 할까?

금융사 이용에 있어서 모든 플렛폼에서도 편리하게 이용할 수 있는 범용성이 있어야 하며, 모든 플렛폼에서 안전한 이용이 가능해야 한다. 즉 온라인 뱅킹에서 exe 파일을 대신 할 보안 프로그램의 역할을 할 수 있는 다른 장치가 필요하다.

그 대체할 수 있는 보안 장치 중 하나는 거래연동 OTP가 있다. 현재도 OTP가 있긴 하지만 지금은 시간 기반의 OTP 이다. 거래연동 OTP는 시간정보 뿐만 아니라 거래정보까지 같이 이용하여 인증코드를 생성하기 때문에 거래 정보까지 추가로 검증할 수 있어 시간기반OTP에 비해 보안도가 훨씬 높고 메모리 해킹을 원천적으로 방지할 수 있다.

즉 해킹된 컴퓨터라고 해도 정보는 최대한 주지 않으면서 외부 인증을 통하지 않으면 아무것도 못하는 환경을 만들어야 한다는 것이다.

금융사는 왜 아직도 보안 프로그램을 고집하나

사실 나는 금융기관에서 보안프로그램 플러그인을 도입하는 주된 이유는 “보안사고 시 면피를 하기 위해서“라고 본다.

금융사들 입장에서는 “자체적인 보안 프로세스보다 외부의 전문 보안프로그램을 사용하여 최고의 보안을 유지하고 있다”고 하는 논리이고 실제로 그것이 우리나라에서는 먹힌다.

금융사 입장에서는 ‘보안 사고가 일어났다’ 하면 보안프로그램을 통해 고객을 보호에 최선을 다하였으니 “최선을 다했지만 어쩔 수 없었다”라는 스텐스를 취할 수 있는 것이다.

물론 보안은 보안 전문가에게 맡겨야 하는 것이 맞다. 하지만 현재의 보안프로그램 플러그인들이 그 역할을 충분히 하고 있는가? 나는 아니라고 본다.

전체 보안 시스템 성능과 사용자 편의성에 대한 고민보다는 책임과 정치, 이득이 먼저가 되버리고 그 불편함과 피해는 사용자들이 뒤집어 쓰는 형태다.

또한 금융사고 발생 후 고객에게 물어낼 비용이나 정부로부터 행정 처분을 받을 경우 해당 보안 프로그램 개발 회사에게 책임을 전가할 수 있다.

물론 금융사는 모든 책임으로부터 자유로울 수는 없다. 하지만 사고 초기 보안플러그인 개발사로 화살을 돌려 정치적으로 대응할 수 있는 시간을 벌고 질타와 집중된 시선을 충분히 분산시킬 수 있는 여력이 된다. 최종적으로는 함께 책임을 지는 형태가 될 것이다. 하나의 책임과 시선을 둘로 나누게 되는 것이다. 나는 이것을 “보안 시스템의 외주화” 가 아닌 “보안 책임의 외주화“라고 본다.

그것이 이러한 시대에 뒤떨어진 보안프로그램이 아직까지 난무하는 이유다