DRM에 대한 사용자들의 불만이 끊이질 않고 있다. DRM의 다양한 기술 중 특히 문서보안에 대한 기업 및 사용자들의 불신이 팽배한 상황이다.
이에 본지는 문서보안 DRM이 가진 기술 및 비즈니스의 한계를 점검하는 기획을 3회에 걸쳐 마련했다.
첫 기획에선 문서보안 기술이 본연의 기능인 문서정보의 유출 방지 역할을 제대로 수행하지 못하고 있어, “기업의 핵심 문서들이 외부로 무방비로 빠져나간다”는 내용의 글을 전개한다.
문서보안은 기업이 만들어 보관하는 다양한 문서의 유출을 막아, 기업의 권리와 이익을 보호해주는 기술과 서비스를 통칭한다. 이를 위해 불법 복제와 변조를 방지하는 기술 등을 제공한다.
예를 들면 문서보안 전문기업인 파수닷컴(대표 조규곤)은 자사의 제품인 ‘Enterprise DRM’’이 전자문서를 암호화하여 불법 유출을 방지하며, 사용권한 통제, 사용내역 추적 등의 기능을 제공해 안전한 문서보안을 가능하게 한다고 소개한다.
또한 마크애니(대표 이재용)는 자사의 문서보안 제품인 ‘Document SAFER’가 기밀문서파일, 중요한 제품 관련 데이터 등에 대한 원천 파일을 암호화하고 인증된 사용자만이 사용할 수 있도록 지원한다고 설명한다.
제품 선전은 그럴싸하지만, 실제로 이들 업체의 제품은 기업의 문서를 완벽히 보호하지 못한다.
DRM을 사용하고 있는 기업 고객 및 관련 업계는, 이들 문서보안 회사의 제품은 “과거에 생성된 문서에 대한 보호기능만 있을 뿐”이라고 지적한다.
설명에 따르면 시중에 나와 있는 문서보안 제품은 기업의 근로자들이 생성한 워드, 엑셀, 프리젠테이션 등의 문서를 생성한 후 이들 문서에 대해서 DRM은 암호화 혹은 접근관리 기능을 적용한다.
이를 통해 기업의 문서가 외부에 유출되거나, 권한이 없는 사람이 보는 것을 막는 역할을 한다. 즉 문서가 작성이 완료된 상태에서 DRM 보안 기능을 적용한다. 반면 작성 과정의 문서에 대해선 DRM 기능을 적용하지 못한다.
이에 따라 “기업의 근로자들이 작성 중인, 혹은 지금 막 작성돼 DRM을 적용하지 않은 상태에선 얼마든지 문서의 유출이 가능하다”고 보안 전문가들은 지적한다.
예를 들면, 어떤 기업의 근로자가 기업의 한해 경영계획서를 워드 문서로 작성하고 있다고 가정하자.
그리고 이 근로자는 경쟁 업체에서 사업계획서를 돈을 받고 제공해달라는 불법적인 제안을 이미 받아 놓은 상태다.
이 근로자는 경영계획서를 모두 작성한 후 이를 인쇄하거나, 다양한 저장장치에 담아 경쟁업체에 넘길 것이다. 이후 이 근로자는 문서보안을 담당하고 있는 직원 혹은 부서에게 이미 외부로 유출된 경영계획서를 전달한다.
결국 문서보안 담당자는 이미 불법적으로 유출된 문서에 DRM을 설정하는 웃지못할 상황을 연출하게 된다.
정리하면 경영계획서가 DRM 담당자에게 전달되는 과정까지, DRM 솔루션은 문서가 외부로 유출되는 것을 막기 위한 어떤 보안 기능도 제공하지 못한다.
생성 과정에서 문서 유출은, 앞서 설명한 일반 문서 이외에도 장기 성장을 위한 연구개발(R&D) 자료를 포함해 기업이 현재 만들고 있는 모든 문서 유형에서 공히 발생할 수 있다.
이런 문제점 때문에 문서보안 DRM에 대한 무용론이 대두되고 있는 것이다. 그렇다면 생성 과정에 있는 문서는 기업에게 어떤 의미를 가질까?
한 보안 전문가는 이에 대해 “생성 단계의 문서는 기업의 현재 경영 활동과 미래 전략을 담고 있는 핵심 혹은 기밀 문서들이 대부분”이라며 “기업의 문서 중 생성 단계에 있는 문서는 기업의 사활을 결정할 가장 중요한 의미를 갖고 있다”며 설명했다.
이어 “DRM은 이처럼 중요한 생성단계의 문서를 보호하기 위한 어떤 기능도 제공하지 못한다”고 설명했다.
또한 “기업의 내부정부 유출 사례를 분석해 보면, 문서가 생성되는 단계에서 유출 되는 경우가 상당수를 차지한다”며 “이 과정에서 문서보안 DRM의 역할은 없다”고 밝혔다.
이런 지적을 이해할 때, 결국 문서보안 DRM은 문서의 생성 과정에서 이미 깨끗이 유출된 문서에 대한 보안 기능만을 부지런히(?) 수행한다고 볼 수 있다.
또한 만들어 진지 너무 오래 돼 문서 정보의 가치가 떨어지는 “과거 정보”에 대한 보안 기능만을 제공한다는 의미를 갖는다.
이에 따라 파수닷컴, 마크애니 등의 문서보안 업체가 자사의 DRM 제품이 “기업의 문서를 안전하게 보호한다”고 선전하고 있는 것은, 정보가치가 떨어지는 과거의 정보에 대해서만 맞다고 볼 수 있다.
그러나 이들 업체의 주장은 기업의 사활을 가름하는 생성 단계의 문서보안에 대해선 완전한 “거짓말”이라고 결론을 지어야 한다.
PC에서 DRM을 기술을 직접 걸어 문서를 암호화하는 PC DRM 기술이 파수닷컴 혹은 마크애니 등과 같은 벤더들에 의해 시장에 소개돼 있다.
이들 업체의 설명에 따르면 PC DRM이란 PC에서 생성되는 문서에 자동으로 DRM을 적용하는 PC 문서보안 기술이다.
이 기술은 개인 PC의 문서를 자동으로 암호화하고 문서 사용권한을 통제함으로써 내부 임직원이 중요 문서를 밖으로 유출하는 것을 원천적으로 차단한다고 DRM 업체들은 설명한다.
DRM 업체들이 선전하고 있는 것처럼 PC DRM이 PC문서를 보호하는데 효과적인 기술일까?
“결코 효과적이지 않다. 문서는 얼마든지 유출될 수 있다”는 것이 보안 전문가들의 지적이다.
전문가들은 먼저 PC DRM의 암호화 루틴을 쉽게 분석할 수 있는데 따른 문제점을 지적한다.
PC보안 업체의 한 엔지니어는 “DRM기술을 걸어 PC단에서 작성한 문서를 암호화는 루틴을 잘 분석해 파악하면, 문서를 복호화하는 방법 또한 쉽게 알 수 있다”고 밝혔다.
즉, DRM 기술의 암호화 루틴을 파악한 후 이를 역으로 분석해 문서를 복호화할 수 있다는 설명이다.
“이를 통해 PC에서 DRM이 걸린 사내의 기밀 문서를 빼내가는 것이 충분히 가능하다”고 이 관계자는 지적했다.
그는 “특히 업무 담당자가 특정 문서를 유출하려는 강한 의도를 품은 경우 위험성은 더욱 높아진다”고 밝혔다.
“업무 담당자와 보안 전문가가 의기를 투합하면, 암호화 루틴을 더욱 쉽게 분석할 수 있고, 이를 통한 문서 유출도 얼마든지 가능하다”고 그는 덧붙였다.
PC DRM의 두번째 문제점은 메모리 해킹에 매우 취약하다는 점이다.
문서를 작성할 때 PC의 메모리에 있는 데이터를 빼내는 방법을 통해서 문서를 외부로 충분히 유출할 수 있다고 보안 전문가들은 지적하고 있다.
즉 메모리 해킹을 통해 DRM이 걸리지 않은 상태서 문서를 외부로 빼낼 수 있다는 설명이다.
가상화 업체의 한 관계자는 “메모리 해킹을 통한 문서 유출은 내부자 혹은 외부 공격자에 의해 공히 발생할 수 있다”고 지적했다.
세번째 문제점은 사용자들이 PC DRM을 완전히 무력화시킬 수도 있는 점을 거론해야 한다.
“전문적인 보안 지식을 가진 PC 사용자라면 DRM을 직접 죽여 문서를 불법적으로 외부로 유출할 수 있다”고 한 PC 가상화 업체 관계자는 지적했다.
그는 “예를 들어 보안을 잘 아는 PC 사용자라면, 문서를 암호화하는 함수를 DRM이 호출할 경우 이 함수가 작동하지 못하게 강제할 수 있다”며 “이를 통해 암호화되지 않은 상태의 문서를 저장해 유출할 수 있다”고 밝혔다.
보안 업계의 한 관계자는 “DRM은 문서를 보호하는데 근본적인 기술적 한계와 이로 인한 다양한 문제점을 갖고 있는 매우 불완전한 기술”이라며 “DRM을 대체할 다양한 보안 기술에 기대를 걸어야 한다”고 강조했다.
마크애니, 파수닷컴 등 DRM 업계가 차세대 먹거리로 생각하고 있는 ‘워터마크’가 기술적으로 매우 취약한 것으로 확인됐다.
워터마크란 음원, 이미지 등의 디지털콘텐츠에 디지털 정보의 원소유주를 표시하는 보안 기술의 일종이다.
이 기술은 MP3, PDA, 무선전화기 같은 휴대용 기기에서 활용성이 높다는 평가를 받고 있다.
특히 상당수 콘텐츠 업체들이 최근 “DRM 프리” 를 선언하면서, 워터마킹 기술의 중요성이 더욱 커진 상황이다.
그러나 본지가 확인한 바에 따르면 이 기술은 매우 조잡해, 프로그램 전문가 손쉽게 워크마크를 제거할 수 있는 것으로 확인됐다.
워터마크가 제거되면 디지털 콘텐츠의 원주인을 확인하는 것이 어렵고, 이런 콘텐츠는 불법적으로 유통될 수 있는 충분조건을 갖추게 된다.
보안 업계의 한 전문가는 워터마크 기술과 관련 “워터마킹은 디지털 원본의 소유주가 누구인지 밝혀주는 일종의 프로그램 덩어리로 보면 된다”고 밝혔다.
이어 “이 프로그램 덩어리는 매우 조잡한 형태를 하고 있어 프로그래밍을 어느 정도 공부한 사람이면 콘텐츠에서 워터마크를 손쉽게 제거할 수 있다”고 설명했다.
그는 또 “워터마크가 제거된 콘텐츠는 불법적으로, 또한 무방비로 유포될 위험에 노출된다”고 말했다.
그는 또 “실제로 워터마크가 제거된 막대한 콘텐츠들이 불법적으로 유통되고 있는 것이 현실”이라며 “워터마크가 제거된 콘텐츠를 둘러싸고 저작권 관련 소송이 심심치 않게 발생한다”고 밝혔다.
실행 프로그램과 무작위 충돌…사용자 불만 팽배
파수닷컴, 마크애니 등의 업체가 먹거리로 삼고 있는 DRM의 문제점에 대해 살펴보고 있다.
이번 글에선 DRM 기술에 대한 사용자 불만에 대해 살펴본다. 아래에 소개된 한가지 사례만 살펴도 DRM이 사용자들에게 심각한 불편을 주는 매우 불완전한 기술이라는 것을 쉽게 알 수 있다.
지난 2월 미국에서 브러치 부품을 수입한 한 중소기업의 무역 담당자는 관세청 홈페이지에서 수입세금계산서를 발행하는 과정에서 DRM으로 인해 심한 불편을 겪었다.
그는 수입세금계산서를 발행 받는데 필요한 보안소프트웨어 등 홈페이지에서 요구하는 다양한 소프트웨어를 다운로드 받았으나, 계속 실행오류란 메시지만 뜨는 것을 경험했다.
30분 넘게 PC와 씨름하던 그는, 스스로 해결하는 것이 불가능하다는 판단 아래, 관세청 콜센터에 전화를 걸어 문제의 해결을 시도했다.
콜센터 직원이 알려주는 데로 프로그램을 다운로드 받고 실행을 했지만, 이번에도 수입세금계산서를 발행하는데 실패하고 말았다.
이후에도 세금계산서를 다운받는데 여러 차례 실패했고, 급기야 콜센터 직원은 음성지원을 포기하고, 직접 원격지 접속으로 문제 해결을 시도했다.
콜센터 직원은 무역회사 직원에게 먼저 원격지 PC접속 프로그램을 다운받도록 했다. 이어 윈도 보안기능을 점검한 후, 수입세금계산서를 다운받으려 했지만 또다시 실패하고 말았다.
이후 사용자가 쓰고 있는 프로그램을 다양하게 점검한 후, 상당수 프로그램을 중지 혹은 제거하는 시도를 여러 번 거친 후에야 세금계산서를 겨우 다운받을 수 있었다.
관세청 홈페이지에서 세금계산서를 다운받는 과정에선 파수닷컴의 DRM이 구동된다.
파수닷컴의 DRM 제품이 사용자 PC에 깔려 있는 다양한 프로그램과 충돌하면서, 무역회사 직원은 단지 1장의 수입세금계산서를 다운받는데 무려 1시간 넘는 근로시간을 소모해야 했다.
콜센터 직원은 DRM과 출동하는 프로그램을 일일이 확인한 후 충돌되는 프로그램 중 일부는 실행을 중지시키고, 일부는 아예 PC에서 제거하는 과정을 거쳐, 세금계산서를 다운받을 수 있었다.
문제가 모두 해결된 줄 알았던, 이 무역 담당자는 콜 센터 직원에게서 다음과 같은 얘기를 듣고 급기야 기겁을 하고 말았다.
“수입세금계산서를 출력할 때마다 충돌되는 프로그램에 대한 조정 작업을 반복적으로 실시하셔야 합니다.”
문서를 다운받는데 심각한 고통을 겪고 있는 무역회사 근로자는 도대체 ‘파수닷컴’이란 '괴물'이 무엇이건데, 기업 근로자의 업무를 완전히 마비시킬 수 있는지에 대해 본지에 문의해 왔다.
이에 본지는 파수닷컴의 DRM이 사용자 PC에 깔려 있는 모든 프로그램과 호환성을 갖추고 있지 않아, 꽤 심각한 불편을 겪었던 것이라고 대답해줬다.
협업 방해로 업무 생산성 저하…바이러스 제거 안돼 해킹 위협
“문서보안을 위해 DRM을 구축하는 기업들이 있는데, 이는 일종의 면피용으로 이해하면 됩니다. DRM은 실제론 문서를 보호하는 기능도 못하면서 임직원이 문서 작업을 할 때는 엄청난 방해꾼이 될 뿐이죠.”
서울시 산하 기관의 한 IT담당자가 DRM을 도입해 쓰고 있는 불편한 심경을 토로한 말이다. DRM은 불편하고 쓸데 없는 그러니까 한마디로 불필요한 존재라는 의견을 본지에 피력했다.
다만 전임 IT담당자 시절에 DRM을 도입한 것이어서, 어쩔 수 없이 쓰고 있지만, 그 쓰임새를 축소하고 있다고 밝혔다.
기업들이 그들의 문서 혹은 컨텐츠를 보호하기 위해 도입하는 DRM 기술의 문제점을 살펴보고 있다.
이전 기획에선 파수닷컴, 마크애니 등이 시장에 공급하고 있는 DRM 기술이 허점이 많아 기업의 기밀 문서가 쉽게 외부로 유출된다는 점을 집어보았다.
이번 글에선 이런 단점에도 불구하고 유행에 따른 면피용으로 이들 벤더의 DRM 솔루션을 도입한 기업들이 제품 도입으로 인해 심각한 불편을 겪고 있는 상황을 점검해 본다.
거제도에 위치해 다양한 선박을 제조하고 있는 대우해양조선(DSME)은 DRM 도입 후에 심각한 불편을 겪고 있다.
이 회사는 협력업체 혹은 고객들과 도면 등 문서를 교환하는데, 문서에 DRM이 걸린 때문에 상호 간에 문서를 읽지 못하는 상황 수시로 발생하고 있다.
이런 불편을 견디다 못한 이 회사는 급기야, 해외 바이어들과의 문서 교류에선 DRM을 아예 쓰지 않기로 결정했다.
DRM 도입 초기엔 해외까지 DRM을 적용하려고 했지만, 해외 고객들이 반대가 워낙 심해 DRM 적용을 포기했다는 설명이다.
다만 불편을 감수하면서 국내 협력사와는 DRM이 걸린 문서를 주고 받고 있지만, 업무에 차질을 빚는 일이 다반사라고 회사 측은 밝혔다.
그런데 DRM 적용으로 인한 새로운 문제가 엉뚱한 곳에서 터져 나왔다. DRM 적용 후 문서에 걸린 바이러스가 제거되지 않는 현상이 발생한 것이다.
대우해양조선 관계자는 이에 대해 “DRM이 적용이 된 문서는 백신 프로그램을 돌려도 바이러스가 제거되지 않는다”며 “이 문제에 대한 마땅한 해결책을 찾기도 쉽지 않은 실정”이라고 밝혔다.
그는 이어 “악성코드를 제거할 수 없어, 사내의 다양한 기밀 혹은 중요 문서들이 유입된 악성코드로 인해 해킹을 당하거나 문서의 사용이 무력화될 것을 항상 걱정하고 있다”며 불만을 토로했다.
BIM 전문업체인 인트라테크(intratech.co.kr)의 최태헌 사장은 이런 저런 DRM에 대한 기업들의 불만에 대해“국내의 경우 기업들이 무슨 열풍처럼 면피성으로 DRM을 도입했지만, 유럽이나 북미 기업의 경우 DRM을 도입한 곳이 극히 드물다”고 밝혔다.
그는 이어 “해외 기업들은 기업 간의 문서교류를 신뢰를 바탕으로 진행하고 있다”며 “문제가 생기면 그 때 법적인 것으로 처리하면 된다는 생각을 갖고 있다”고 밝혔다.
최 사장은 또한“이에 따라 해외 기업들의 경우 문서 DRM에 대한 경험이 매우 생소한 실정”이라고 설명했다.
이런 DRM에 대한 생소함과, 본연의 임무이면서도 문서유출을 차단하지 못하는 제품의 심각한 오점은, 해외 기업들이 DRM을 협업을 해꼬지하는 방해꾼쯤으로, 그러니까 업무 처리의 생산성을 크게 떨어뜨리는 걸림돌로 여기는 원인이 되고 있다.
“메모리 해킹에 무방비 노출” “DRM 기능 강제 종료 통한 문서 유출” “암호화 루틴 역분석 해킹” “워터마크 제거 식은죽 먹기” “협업 방해 생산성 급락” “암호화로 악성코드 인지불가, 이로 인한 해킹 위협 상시 존재”
지금까지 파악한 것만으로도 파수닷컴, 마크애니, 소프트캠프 등의 업체가 주로 팔아 먹고 있는 DRM이란 이 해괴한 기술은, 문서를 보호한다는 미명 아래, 진실은 문서를 외부로 손쉽게 유출시키면서, 해킹 위협에 문서를 고스란히 방치시킨다.
거기다 협업 방해로 업무 생산성을 크게 떨어 뜨리니, DRM은 기업들이 문서작업을 수행하는데 과연 “공공의 적”임에 틀림이 없겠다.
또한 앞으로 살펴볼 단점들이 그 앞을 헤아릴 수 없이 많으니, DRM 솔루션을 팔아 그간 연명해왔던 업체들은 무신 낯짝을 쳐들고 백주대낮에 부끄럼을 견딜까 하는 생각이 문득 스친다.
이번 기획에선 DRM이 표준 기술 프로세스를 전혀 갖추고 있지 않은, 그러니까 막돼먹은 막무가내 기술이어서, 이를 이용하는 기업들 불만은 저 가을창공을 찌르고 있다는 내용을 살펴 본다.
LCD 등을 생산하고 있는 A엔지니어링의 경우 지난해 도입한 DRM에 대한 직원들의 불만이 매우 높은 상황이다.
A엔지니어링은 오토캐드로 작업을 한 문서도면을 고객들에게 보내는 작업을 수시로 진행하고 있다.
이 회사는 오토캐드로 작업을 마친 문서를 고객들에게 전달해 도면이 주문한 내용과 틀림 없는지 등을 확인하는 수시로 진행한다. 전달되는 문서엔 특정회사의 DRM이 걸려 있다.
A엔지니어링 관계자는 “고객들은 전달된 문서를 특정한 뷰어를 통해 보게 된다”며 “이 뷰어가 전달된 문서에 걸린 특정회사의 DRM과 호환성을 갖추고 있지 않은 경우, 고객들은 문서를 볼 수 없는 심각한 문제점이 발생한다”고 설명했다.
이어 “이런 문제점을 해결하기 위해 DRM 공급사에 주기적으로 특정 뷰어에 대한 호환성을 갖추도록 지원 요청을 하고 있지만, 지원해야 할 뷰어가 셀 수도 없이 많다보니, DRM 회사의 반복적인 기술 지원 행태는 번거롭다 못해 이젠 아주 진저리쳐지는 일”이라고 밝혔다.
“그러는 사이 대외 사업엔 심각한 차질을 겪고, 고객의 불만도 폭증한다”고 덧붙였다.
이 같은 DRM의 심각한 문제점에 대해 인트라테크의 최태헌 사장은 “소프트웨어라는 것이 적용에 대한 표준 프로세스가 있어야 하는데, DRM의 경우 표준이 완전히 배제된 형태의 문제점이 많은 이상한 기술”이라고 설명했다.
최 사장은 이어 “고객들은 이런 이용 절차의 표준을 따를 수 없는 DRM 이용을 자제하고, DRM을 대체할 수 있는 기술들에 속히 관심을 가져야 할 것”이라고 조언했다.
