디도스(DDOS) 주범 '액티브엑스' 사라지나?

방통위, 액티브엑스 대체 기술 추진

이달 초부터 정부 홈페이지 등에 가해진 디도스(DDOS) 공격의 주범이 일부 P2P 공유사이트에서 설치하는 액티브엑스로 밝혀지면서 방송통신위원회가 대체 방안 만들기에 들어갔다. 최근 부각된 보안 위협과 스마트폰의 보급 등으로 웹 표준에 동떨어진 국내 인터넷 환경이 변화할 계기가 될지 주목된다.

방통위는 이르면 이달 중순 '액티브엑스 대체 웹 표준 기술 가이드'를 발표하고 국내 인터넷 사이트의 보안취약성 문제 해소에 나서기로 했다고 7일 밝혔다. 방통위는 이를 위해 지난해부터 '인터넷 서비스 이용환경 개선 협의회'를 구성해 액티브엑스 사용실태 분석과 웹 표준 기술 가이드 등에 대한 방안을 연구해 온 것으로 알려졌다.

액티브엑스란 마이크로소프트(MS)의 인터넷 브라우저인 '인터넷 익스플로러(IE)'에서 사용자가 추가로 설치하는 응용프로그램이다. 주로 정부 공공기관, 금융기관 사이트에서 서비스를 제공할 때 설치되는 보안 및 키보드 해킹 방지 프로그램, P2P 사이트의 파일 공유 프로그램 등이 액티브엑스 형태로 설치된다. 크롬 등의 타 브라우저에서 별도의 사이트에 접속해 내려 받는 확장 기능과 달리 사이트에서 바로 설치하는 형태다.

액티브엑스는 IE에서만 동작하고 웹 표준에도 맞지 않지만, IE 점유율이 90% 후반에 이르는 한국의 인터넷 환경에서 특히 광범위하게 사용되어 왔다. 특히 디도스 공격에 사용되는 악성코드들이 해킹된 P2P 사이트의 액티브엑스를 통해 유포된 것으로 밝혀지면서 단순히 백신에만 의존하는 보안 정책에 한계가 있다는 지적이 나왔다. 또한 이러한 사이트는 대부분 스마트폰과 같은 모바일 기기나 MS 윈도 이외의 운영체계에서는 사용이 힘들다는 점에서 시대에 뒤쳐진다는 주장도 꾸준히 제기되어 왔다.

방통위는 액티브엑스 사용 자체를 제한하는 것은 무리지만 보안 업체 및 민간 사이트들이 액티브엑스에 치우친 환경에 의존하는 경향을 개선해 나가겠다는 입장이다. 금융감독원 홈페이지 등 공공기관 사이트 일부는 액티브엑스가 없는 홈페이지를 준비 중인 것으로 알려졌다.