레저 CTO "취약점 눈길끌기용 폭로 말라"…업계에 공개 원칙 촉구

샤를 기유메(Charles Guillemet) 레저(Ledger) 최고기술책임자(CTO)가 하드웨어 지갑 업계에 '책임 있는 취약점 공개' 원칙을 지켜달라고 촉구했다. 인공지능(AI)으로 취약점을 찾는 문턱이 크게 낮아진 상황에서 이목을 끌기 위한 성급한 공개가 오히려 이용자 위험을 키운다는 지적이다.

기유메 CTO는 소셜미디어 게시물에서 AI가 취약점 발견의 문턱을 크게 낮췄지만, 이 때문에 공격 측과 방어 측 사이의 기존 비대칭 우위도 함께 줄었다고 밝혔다. 그는 이런 이유로 제조사에 비공개로 먼저 알리고 수정 기한을 정한 뒤 공동으로 공개하는 '협조적 공개' 절차가 그 어느 때보다 중요해졌다고 말했다. 포어사이트뉴스(Foresight News)는 7일 그의 발언을 전했다.

그는 일부 행위자가 이런 절차를 건너뛰고 곧바로 이목을 끄는 방식을 택하고 있다고 비판했다. 이미 수정된 취약점을 '진행 중인 침해'처럼 포장하거나, 아직 고치지 않은 취약점의 세부 내용을 미리 흘리거나, 예고편 형태로 관심을 유도하는 폭로를 내놓는 사례를 문제로 꼽았다.

기유메 CTO는 이런 행위를 두고 "타인의 위험을 담보로 트래픽을 챙기는 것"이라고 표현했다. 그러면서 실제 자금 손실이 없더라도 불필요한 공포를 조성하면 이용자들이 자가 보관(셀프 커스터디)을 포기하는 결과로 이어질 수 있다고 지적했다. 취약점 공개 방식 자체가 이용자의 보안 습관에 영향을 줄 수 있다는 취지다.

그는 이용자에게는 소프트웨어를 최신 상태로 유지하고 기본적인 보안 수칙을 지킬 것을, 연구자에게는 제조사가 마련한 공식 채널을 통해 취약점을 알릴 것을 요청했다. 업계에는 협조적 공개를 공동 원칙으로 삼고 이목 끌기용 폭로에는 함께 선을 그어야 한다고 제안했다.

레저를 비롯해 트레저(Trezor), 파운데이션 디바이스(Foundation Devices), 앵커워치(AnchorWatch), 보안연합체 SEAL(Security Alliance) 등 여러 기관이 협조적 공개를 업계 공개 원칙으로 유지하자는 데 뜻을 같이했다고 포어사이트뉴스는 전했다.

레저는 당시 TestMachine이 제기한 결함이 공개되기 전 이미 수정을 마쳤다며 반박했는데, 이번 기유메 CTO의 발언은 이런 공개 방식 자체를 둘러싼 논쟁을 하드웨어 지갑 업계 전반의 문제로 확장한 것으로 볼 수 있다.

하드웨어 지갑은 이용자가 블록체인 거래를 최종 승인하기 전 주소, 금액, 계약 호출 내용 등을 기기 화면에서 직접 확인하도록 설계된 보안 장치다. 화면에 표시된 내용과 실제 서명 대상이 일치하는지가 보안의 핵심이기 때문에, 관련 결함이 발견됐을 때 이를 어떤 방식으로 공개하느냐가 이용자 신뢰와 직결된다는 것이 업계의 시각이다.