By LILY HAY NEWMAN, WIRED US

웹 브라우저만큼 많이 사용되는 데스크톱 애플리케이션과 모바일 애플리케이션은 드물다. 그러나 브라우저는 사용자가 아무리 안전하게 관리해도 잠재적인 보안 노출 위험이 많다. 이 때문에 많은 대기업이 이른바 ‘브라우저 격리’ 서비스에 의존해, 지난 몇 년간 브라우저의 보안 위험을 다루어 왔지만, 브라우저 격리 툴은 종종 속도 저하 문제를 일으키고 오래됐다. 혹은 많은 직원이 브라우저 격리 우회 방법을 모색해왔다. 2021년 3월 23일(현지 시각), 인터넷 인프라 기업 클라우드페어(Cloudflare)가 자체 브라우저 격리 서비스를 출시했다. 클라우드페어가 출시한 서비스 이름은 ‘브라우저 격리’이며, 클라우드페어 측은 브라우저 격리 서비스를 사용한다면, 웹 보호 기능을 사용하지 않을 때와 비슷한 수준의 속도 혹은 그보다 더 빠른 속도로 서비스를 사용할 수 있다고 말한다.

브라우저는 특성상 개방되었다. 브라우저는 웹 서버에서 데이터를 받고는 정보를 다시 전송한다. 이는 합법이면서 유해하지 않은 웹 데이터를 추가해도 사용자가 결국 브라우저에서 멀웨어나 악성 첨부파일을 다운로드하게 될 수 있음을 의미한다. 또, 해커도 브라우저의 자체 코드에서 취약점을 발견하고는 이를 공격 대상에 악용할 수 있다.

클라우드페어 CEO 매튜 프린스(Matthew Prince)는 “브라우저는 수석 정보보안 관리자에게 악몽과 같이 끔찍한 존재이다. 기본적으로 브라우저는 실행될 때마다 완전히 낯선 코드를 다운로드하고는 기기에서 실행한다. 브라우저는 샌드박스 실행과 브라우저에 존재하는 위험을 제어하는 능력이 훌륭하다. 하지만, 거의 일주일 단위로 사용자는 샌드박스에 문제를 일으킬 수 있는 주요 브라우저 중 한 곳에서 취약점에 노출된다. 

2020년 10월에 베타 테스트를 시작한 클라우드페어의 서비스와 같은 브라우저 격리 서비스는 다른 서비스 및 데이터와 격리되도록 통제된 컨테이너에서 브라우저를 실행하면서 컴퓨터를 기기를 보호한다. 이 덕분에 브라우저가 의도치 않게 실행하려고 하는 의심스러운 코드가 실제로 기기에서 실행돼, 경고 표시가 되는 일이 발생하지 않는다. 그러나 이와 같은 과정은 오랜 시간이 걸린다. 원격으로 페이지를 실행하는 것부터 이를 사용자의 기기로 전송해 보여주는 것, 그리고 로그인 정보 입력 혹은 클릭 및 스크롤과 같은 아주 간단한 사용자의 입력 정보 등 웹 브라우저 사용 활동까지 모든 과정을 실행하는 데 시간이 오래 걸린다. 또, 많은 브라우저 격리 서비스가 매우 느리면서 버그를 실행하게 되는 원인인 지연성이 발생할 가능성을 일으킨다.
 
클라우드페어의 서비스는 모든 활동을 처음부터 끝까지 원활하게 만들어, 사용성을 높이고자 하는 차세대 클라우드 서비스의 일부이다. 2020년 1월, 클라우드페어는 S2 시스템즈(S2 Systems)라는 소기업을 인수했다. 프린스는 S2 시스템즈가 브라우저 격리 서비스를 제공하는 상당수 툴과는 다른 접근 방식을 채택했다고 설명했다. 여러 브라우저 격리 서비스가 격리된 환경에서 페이지를 실행한 뒤 사이트 구성 관련 정보나 심지어 각각의 픽셀 색 정보까지 전송해, 사용자 컴퓨터에 화면이 나타나도록 했다. 그러나 S2 시스템즈는 브라우저가 일반 상황과 똑같이 컴퓨터 GPU에 정보를 전송하는 그리기 명령을 관리한다. 그리고, 클라우드 컨테이너에서 페이지 로드를 포착하고는 이를 사용자 컴퓨터에 전송해, 프로세서가 기본적으로 웹페이지의 모습 기록을 그릴 수 있도록 한다.

S2 시스템즈가 구상한 개념은 실시간으로 사용자의 브라우저 입력 내용을 보도록 하기 위한 것이다. 웹 보안 위험성이 매우 높기 때문에 여러 경쟁사가 타사의 툴보다 더 매력적으로 만들고 궁극적으로는 더 널리 보편화되도록 하기 위해 브라우저 격리 서비스 개선이 시급하다고 느꼈다. 

현재 브라우저 격리 기업 어센틱8(Authentic8)의 전략 계획 총괄로 근무 중인 전직 CIA 관료이자 미국 국가안보회의 의장 맷 애쉬번(Matt Ashburn)은 “보안 관련 지출 비용이 많지만, 여러 기업이 웹 브라우저와 관련된 보안 문제를 다루는 데 어려움을 겪는다. 컴퓨터에서 인터넷으로 두 가지 연결 방식이 이루어지는 한 첨단 기술과 함께 발전한 적과 범죄 조직은 여전히 공격을 성공할 수 있는 방안을 찾게 될 것이다”라고 말했다.

그러나 다른 여러 보안 계획과 마찬가지로 클라우드페어는 대규모 고객 기반에 새로운 서비스를 재빨리 홍보할 규모를 지니고 있다. 클라우드페어의 브라우저 격리는 기존의 기업 서비스 클라우드 포 팀즈(Cloudflare for Teams)에 추가된 신규 서비스가 될 것이다.

클라우드페어를 통해 브라우저 격리 서비스를 사용한다면, 고객은 클라우드페어에 높은 수준을 지닌 데이터가 풍부하다고 믿을 것이다. 이는 클라우드페어를 통해 더 많은 데이터를 집중시키며, 클라우드페어의 보안이 공격받거나 회사에 문제가 발생하면 더 많은 위험이 발생하게 될 위험성이 커진다. 클라우드페어 측은 광범위한 보안 관리와 서드파티 감사 활동을 하고 있으며, 몇 달간 브라우저 격리 서비스 엔지니어링에 투자해 각각의 고객을 위한 개인과 분리된 컨테이너를 구축해 교차 감염이나 클라우드페어 네트워크의 장애 지점을 최소화한다고 밝혔다. 그러나 프린스는 궁극적으로 클라우드페어의 사업 모델이 주요 확신이라고 말한다.

프린스는 “클라우드페어는 광고 기업이 아니다. 고객 데이터가 곧 클라우드페어의 데이터라는 생각은 단 한 번도 한 적이 없다. 기업에 서비스 사용료를 청구하면서 돈을 번다. 만약, 고객 데이터를 수집하고는 어떤 형태로든 악용하는 일이 발생한다면, 이는 고객 기반을 완전히 잃게 되는 지름길이 될 것이다”라고 말했다.

다른 서비스는 지역적으로 브라우저 격리를 시도해, 기업이 브라우징 데이터 관리를 위해 다른 기업을 추가로 신뢰할 필요가 없도록 한다. 시트릭스(Citrix)에서 브라우저 격리 업무를 담당한 경력이 있는 가상 보안 기업 브로미엄(Bromium)의 공동 창립자 사이먼 크로스비(Simon Crosby)는 브라우저 격리 서비스의 접근 방식이 속도 및 신뢰성 측면에서 이익이 된다고 주장한다. 2017년, HP에 인수된 브로미엄은 체계적인 접근방식을 택하고는 컴퓨터 프로세서의 특수하면서 물리적으로 구분되는 영역에서 주요 운영체제로부터 브라우저를 격리한다. 마이크로소프트는 해당 기술 라이선스를 부여했으며, 윈도10에서 일부 기술을 집중시켰다. 크로스비는 브로미엄의 전략이 운영체제 단계에서는 효과가 있었으나 기존 운영체제에서 최우선으로 실행되는 프로그램으로 추가할 때, 전반적으로 효율성과 보안 수준이 낮아졌다고 설명했다.

최소 한 곳의 테크 업계 대기업, 인터넷 서비스 제공 업체 혹은 VPN 서비스 기업이 이미 브로미엄 고객의 브라우징 데이터에 접근한 사실을 고려해, 크로스비는 클라우드 기반 브라우저 격리 서비스 사용의 위험성이 무조건 장애 요소가 되지는 않는다고 덧붙여 말했다. 기업은 특수한 상황을 고려할 필요가 있다. 그러나 브라우저 노출을 줄이는 것을 어느 정도 고려해볼 수 있다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
‘Browser Isolation’ Takes On Entrenched Web Threats