[쿠팡 사태] '인증토큰' '서명키'가 뭐길래?

[CBC뉴스] 쿠팡에서 발생한 대규모 개인정보 유출 사건이 '인증 토큰'과 '서명키' 관리의 문제에서 비롯된 것으로 드러나면서 보안 관리의 중요성이 재조명되고 있다. 쿠팡의 이번 사건은 퇴사한 전직 직원이 서명키를 계속 사용하여 인증 토큰을 발급하고 이를 통해 개인정보를 누출한 것으로 확인됐다.

인증 토큰은 사용자가 시스템에 로그인할 때 발행되는 출입증과 같으며, 서명키는 이러한 토큰을 발행할 권한을 가진 열쇠와 같다. 이 사건은 전직 직원이 퇴사 후에도 서명키를 소지하고 있었다는 점에서 관리 부실의 사례로 지적되고 있다. 쿠팡의 관리 체계에 대한 의문이 제기되면서 보안 관리의 허점이 드러난 것이다.

강병탁 AI스페라 CEO는 인증 토큰과 서명키를 호텔의 출입 카드와 마스터키에 비유하며, 퇴사한 직원이 마스터키를 계속 사용하여 모든 출입 카드를 재발급한 것과 같은 상황이라고 설명했다. 또 다른 보안업계 관계자는 인증 토큰을 놀이공원 팔목띠에, 서명키를 진짜 팔목띠임을 확인해주는 도장에 비유했다.

쿠팡 사태와 관련해 국회 과학기술정보방송통신위원회에서는 브랫 매티스 쿠팡 최고보안책임자(CISO)를 상대로 퇴사한 직원의 서명키가 왜 갱신되거나 폐기되지 않고 유효한 상태로 방치됐는지에 대한 질타가 이어졌다. 염흥열 순천향대 교수는 퇴사 시 모든 계정과 접근 권한을 회수해야 한다고 강조하며, 쿠팡의 관리 방침에 의문을 제기했다.

보안 전문가들은 장기간에 걸쳐 인증 토큰이 생성됐고, 이를 조기에 감지하지 못한 점에 대해 문제를 제기하고 있다. 현재 민관합동조사단과 경찰은 이번 사건에 대한 조사를 진행 중이며, 국회 과방위는 김범석 쿠팡Inc 이사회 의장을 증인으로 채택해 청문회를 열 계획이다. 이번 사건은 기업의 보안 관리와 퇴사 직원의 권한 관리에 대한 경각심을 불러일으키고 있다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 실시간 뉴스속보 - CBC뉴스 텔레그램 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자