바야흐로 무선네트워크 시대다. 앞으로 세상은 더욱 말할 것도 없다. 우리 일상 속에 깊숙이 자리잡은 무선 네트워크. 그래서 더욱 보안을 생각하지 않을 수 없다. 데일리시큐는 무선네트워크 보안전문 기업으로 경쟁력을 갖춘 유넷시스템에 무선랜 보안과 관련 알기 쉽게 맥락을 잡을 수 있는 특별연재를 부탁했다. 다음은 이상준 유넷시스템 연구소장이 작성한 무선랜 보안 특별기고를 총 4편으로 나누어 게재한 내용이다. <편집자 주>
 
◇스마트폰의 등장과 Wi-Fi의 대중화
필자가 근무하는 유넷시스템에서 무선랜 인증시스템을 출시한 것은 2004년 경이며, 이 때만해도 무선랜은 극히 제한적인 환경(물류 창고의 산업용 PDA를 이용한 재고 조사, 백화점의 무선 POS 등)에서 제한된 용도로 주로 사용되었다.

 
당연히 일반 사용자들은 무선랜하면 잘 모르거나, 사용하기 불편한 네트워크로 인식하고 있는 경우가 대부분이었다.
 
스마트 폰의 등장은 Wi-Fi가 빠르고 편리하다는 마인드를 보편화하는데 결정적인 기여를 했다. 이러한 마인드의 변화는 다양한 네트워크 환경에 Wi-Fi를 촉진하는 계기가 되었다. 더불어 스마트 워크, FMC, 무선 인터넷 전화 및 공공 Wi-Fi Zone의 확대 등에 힘입어 무선랜 인프라는 폭발적인 성장을 거듭하고 있는 상황으로, 지하철을 타도 Wi-Fi가 서비스되는 세상이니, 가히 Wi-Fi의 대중화라 해도 과언이 아니다.
 
◇복잡한 무선랜 보안체계
무선랜 보안 체계를 언급할 때 보면 많은 용어가 등장하며, 이에 따른 혼란이 가중되는 느낌이다. 이런 복잡성 때문에 초기 무선랜 활성화의 저해 요인으로 작용한 측면도 있다. 최근의 스마트폰이나 윈도우즈는 AP와의 negotiation을 통해 보안 설정을 포함한 무선랜 연결 설정을 단순화하였고, 이런 사용자 편의성이 Wi-Fi 대중화에 기여한 측면도 있을 것이다.
 
무선랜은 알다시피 전파를 사용하여 데이터를 전송하는 기술로서, 그 자체로 유선랜보다 보안적으로 취약할 수 밖에 없다. 즉 가청 범위 내에 존재하는 무선랜의 전파를 무선랜카드와 데이터 수집 S/W만 구비하면 누구라도 쉽게 수집할 수 있다는 것이다.
 
이로 인해 유발되는 보안 위협에 대응하기 위해 IEEE 802.11b에 포함된 보안 체계가 인증과 데이터 암호인데, 인증에는 Open system과 Shared Key 인증이 있고, 데이터 암호에는 WEP 방식이 있다. Open System 인증은 말 그대로 누구나 접속을 허용하는 것이고, Shared Key 인증은 WEP을 이용한 인증 방법으로, 사실 IEEE 802.11b에 포함된 보안 체계는 WEP만 존재한다고 해도 과언이 아니다.

 
그러나 IEEE 802.11 기반의 무선 LAN 표준화의 초기 과정에서 설계했던 WEP(Wired Equivalent Privacy) 알고리즘의 취약점이 밝혀지면서 무선 LAN MAC(Medium Access Control) 계층 보안기능 향상을 위하여 2001년 5월부터 IEEE 802.11 TGi(TG는 Task Group)가 결성되어 표준화를 진행하였다.
 
그 결과, 2004년 4월에 IEEE 802.11i D10.0 문서를 최종적으로 발표되었고, 2004년 6월에 IEEE 802 SEC(Sponsor Executive Committee)의 스폰서 투표를 통과하여 IEEE 표준으로 확정되었다. IEEE 802.11i 규격은 무선 LAN 사용자 보호를 위해서 사용자 인증방식, 키 교환 및 키 관리 방식, 향상된 무선 구간 암호 알고리즘을 정의하고 있다.
 
한편 IEEE 802.11 TGi의 표준화 논의가 길어지면서, 점점 높아만 가는 시장에서의 보안 규격 요구에 따라 Wi-Fi 협회(WFA)에서는 2003년 2월에 IEEE 802.11i Draft 3.0을 기반으로 WPA(Wi-Fi Protected Access)라는 표준을 제정한다.
 
WPA에서는 사용자 인증 방법으로 Personal mode(PSK)와 Enterprise mode(IEEE 802.1x 인증서버 이용)를 규정하고 있으며, 암호화 방식으로는 WEP의 고정 키 방식을 개선한 Rekeying 방식인 Dynamic WEP, TKIP 등을 정의하고 있다. Dynamic WEP은 기존의 WEP와 동일하나, 주기적으로 WEP KEY를 자동 갱신할 수 있도록 하는 방법이며, TKIP은 WEP의 문제점을 소프트웨어적으로 개선한 암호 방식이라 할 수 있다.
 
또한 정식 IEEE 802.11i에 기반한 WPA2를 2004년 7월에 제정하였으며, WPA와 차이점은 암호 방식으로 CCMP-AES가 추가된 것이다.
 
글. 이상준 유넷시스템 연구소장 / sjunee@unet.kr