무선 인터네트워킹은 세 가지 기술을 제공한다. 광역 지원을 위한 셀룰러 기반 무선은 주목할 만한 기술이다. 근거리 영역의 경우, 무선랜이 하나의 사용 가능한 기술로 등장했다. 그리고 마지막으로, 개인 공간 인터네트워킹은 블루투스(Bluetooth) 기술을 기반으로 할 것이다. 이들 각각은 서로 다른 위험 모델을 제시하지만, 지금은 무선랜에 내재된 것들만 살펴보기로 하자.
위험에 노출된 무선랜
802.11 사양은 IEEE에서 발표한 것으로, 합리적인 가격으로 11Mbps의 데이터 능력을 제공한다. 이것은 WEP 형태로 보안 모델을 포함하고 있다. 무선랜에는 두 가지 배치 모델이 있는데, 우선 전용(private) 모델에서는 한 조직이 무선랜 내의 모든 무선 장비를 소유한다. 그리고 공중(public) 모델에서 무선랜은 요금 기반 사용량 서비스다. 공중 무선랜 제품들은 WEP 전용 용역 모델 고유의 결함을 드러내고 있다. 이 사양은 어떠한 키 관리 설비도 제공하지 않으며, 심지어 DOCSIS에 의해 제공되는 것들도 없다.
우선, WEP에서의 공격(www.isaac.cs.berkeley.edu/isaac/wepfaq.html)은 무시하기로 하자. WEP는 40비트나 104비트 키를 사용하며, 이들은 각각의 장비에 반드시 입력돼야 한다. 하나의 카드에 최고 4개의 키가 한번에 들어갈 수 있기 때문에 한 장비는 두 개의 전용 영역에 속할 수 있다.
예를 들어, 두 개의 키는 기업 무선랜과 하나의 원격 무선랜 모두로의 액세스를 제공할 것이며, 혹은 공유 시설 내의 한 사무실과 집에 있는 주택용 무선랜이 될 수 있다. 보안 집단은 키 배포 시스템에 대한 필요를 충분히 인식하고 있는데, 그 이유는 정적 키들은 다루기가 너무 힘들기 때문이다.
WEP는 정의된 바에 따라 공중 무선랜에서는 아무 가치가 없다. 스타벅스 안에 “오늘의 WEP 패스워드는 0x7439576016입니다”라는 팻말이 붙는 걸 상상할 수 있겠는가? 모바일스타와 같은 공중 무선랜 사업자들은 대신 고객들에게 VPN 기술을 이용해 취약성 있는 정보를 보호할 것을 권하고 있다. 이전에 지적했듯이, VPN 사용자에게 데이터가 실제로 VPN을 통해 이동하고 있다고 말해주는 툴은 아무 것도 없다. 게다가, 보호를 필요로 하는 웹 트래픽은 너무도 많은데, 그 이유는 로그인이나 개인 데이터, 혹은 쿠키들을 암호화하지 않는 웹사이트들이 많기 때문이다.
무선랜은 보다 효과적인 보안 모델을 필요로 하고 있다. TLS(RFC 2246)라면 최고의 모델을 제공할 수 있을 것이다. DOCSIS 및 IPsec/IKE는 모두 클라이언트용 PKI뿐만 아니라 서버 인증도 필요로 한다. TLS 익명 클라이언트 모델은 최소한의 PKI로 키를 효과적으로 상호교환해준다. 공중 무선랜 액세스 포인트는 오늘날 웹 서버용으로 행해지는 것처럼, 잘 알려진 CA(Certificate Authority)로부터의 인증과 함께 로딩될 것이다.
가정 액세스 포인트는 자가 서명된 인증을 갖게 될 것이며, 이것 또한 각각의 가정 시스템에서 로딩될 것이다. 소규모 회사는 자신들의 CA를 사용해 액세스 포인트와 모바일 대행자에게 인증을 발급함으로써 무선 네트워크로의 액세스를 제한할 수 있을 것이다.
오늘날의 문제 해결법
IEEE는 현재 고정 WEP를 작업 중이며, 이제 우리는 이것이 공격당할 수 있다는 사실을 알고 있기 때문에, 지금이야말로 강력한 키 배포 메커니즘을 갖고 이것을 모든 상황에 적용시켜볼 때라고 할 수 있다. IEEE는 그러한 메커니즘을 완전히 다시 만들 필요가 없는 것이, 이미 전개되고 있는 작업예들이 있기 때문이다.
WEP 대체안이 무선랜 제품 안에 등장하는 데는 시간이 걸릴 것이기 때문에, 현재로서는 민감한 정보를 담고 있을 가능성이 있는 어떠한 프로토콜에 대해서든 VPN을 사용하는 것이 좋다. 이것이 정말 당신의 통신을 보호해주고 있는지 확인하려면 더블클릭만 하면 된다. (www.dataNet.co.kr)
