[IT&Life] 사이버 세계를 수호하는 열정과 존중

Black Hat 2014 & Def Con 22 탐방기 

 

세계적인 정보보안 콘퍼런스인 ‘블랙햇(Black Hat) 2014’와 해킹 대회 ‘데프콘22(DEF CON 22)’가 지난 8월 2일부터 7일까지 미국 라스베이거스에서 개최됐다. 이번 블랙햇 2014와 데프콘22는 ‘모든 것은 해킹 당할 수 있다’는 보안 전문가들의 우려를 확인하는 자리였다. 구글 글래스를 통한 암호 탈취부터 자동차 해킹 공격, IoT 보안 위협 등의 공격 사례는 물론, ‘급증하는 사이버 위협을 줄이려면 정부가 보안 취약점을 사들여야 한다’는 주장까지 파격의 연속이었다. 지금부터 한 여름의 좌충우돌 블랙햇/데프콘 탐방기를 공개한다.

 

1부_ 블랙햇 탐방기 : 한 여름 좌충우돌 블랙햇 탐방기

 

블랙햇 2014는 8,000여명의 참관객 및 147개 기업이 참석해 124개 강연과 트레이닝 세션, 스폰서 세션 등으로 진행됐다. 블랙햇 2014에서 발표된 전문적인 내용은 언론 보도를 통해 상세히 알려졌으므로, 이 글에서는 정보보안 분야의 큰 축제 현장의 열기만 공유하겠다.

 

▲ BlackHat USA 2014 홈페이지

 

블랙햇 2014와 데프콘22의 사전등록과 숙소 및 항공권 예약 준비를 마치고 드디어 라스베이거스로 떠나는 날이다. 인천 공항의 미국행 비행기의 탑승구 주변에는 여행이나 출장 등 저마다의 목적을 안고 있는 사람들로 가득했다. 그들 중 몇 명의 대학생들은 며칠 후 데프콘22 해킹 대회장에서 공격과 방어에 열심인 모습으로 다시 만날 수 있었다(목표를 향해 최선을 다한 그들의 열정에 박수를!!).

 

13시간의 긴 여행 끝에 비행기는 네바다 주 사막 한가운데 있는 매캐런 국제공항(McCarran International Airport)에 도착했지만, 충분한 수면 덕분에 다음 날 시차에 대한 별 다른 부작용(?) 없이 계획대로 블랙햇 행사장부터 향하기 위해 숙소를 나섰다. 이동 거리를 최소화하기 위해 블랙햇과 데프콘이 진행되는 두 호텔에서 멀지 않은 곳에 숙소를 잡았던 터라 숙소에서 목적지가 훤히 보이고, 버스로 2정거장 정도 밖에는 안 되는 1.6 km의 거리여서 여유 있게 걸어 다닐 만 하겠다고 생각했다. 그러나 이것이 엄청난 오산이었다는 것을 금세 깨달았다. 숙소에서 나온지 불과 300m도 채 가기 전에 뜨거운 햇살에 온 몸의 수분이 마르는 경험을 했기 때문이다. 덕분에 체중 감량이라는 뜻밖의 덤까지 얻을 수 있었다.

 

결국 ‘낯선 곳에서는 남들 하는 대로 따라 하는 것이 정답’이라는 경험에서 전승된 상식에 따라 행사장으로 향하는 무료 트램(Tram)에 햇살에 지친 몸을 실었다. 관광객들의 호기심을 자극하는 다양한 라스베이거스 시내 풍경을 잠깐 거쳐 블랙햇 2014 USA가 진행되는 만달레이 베이 호텔(Mandalay Bay Hotel & Casino) 앞에 도착했다.

 

트램에서 내리는 대부분의 사람들은 비록 말은 하지 않아도 동일한 목적지를 향해 걷고 있음을 느낄 수 있었다. 관광에 여념이 없는 주변 사람들과 달리 다들 등에 백팩을 짊어지고 힘찬 내딛는 발걸음에서 목적 의식이 느껴졌다고나 할까.

 

앞서거니 뒤서거니를 반복하며 휩쓸리듯 만달레이 베이 호텔 카지노를 관통하여 도착한 곳은 바로 해양 동물들이 산다는 '샤크 리프 아쿠아리움'. 블랙햇이 진행되는 행사장의 바로 옆인 이곳에 행사를 알리는 대형 현수막과 스탠딩 배너들이 참가자들을 반기고 있었다, "Welcome".

 

▲ BalckHat USA 2014 행사장 입구

 

▲ 등록을 위해 길게 줄을 선 사람들

 

2층에 마련된 등록 부스에서 사전 예약한 정보를 입력하고 출입증과 가방, 기념품 등을 전달 받았다. 자, 이제 100여 개의 세션 탐험을 시작할 때다.

 

▲ BalckHat USA 2014 출입증, 가방, 스케줄 책자

 

블랙햇은 2개 층에 거쳐 수많은 세션이 동시에 진행됐다. 행사가 워낙 큰 호텔에서 진행되다 보니 곳곳에 세션을 진행할 수 있는 공간이 마련되어 있었다. 마침 필자가 선택한 세션 발표장이 2개 층으로 나뉘어 있어 생각보다 이동 거리가 제법 되었다. 언젠가 이런 대규모 콘퍼런스에 다시 갈 수 있는 기회가 된다면 그때는 발표장 사이의 이동 거리에 대한 계산 정도는 미리 해두어야겠다.

 

세션장으로 이동하는 8,000여명의 물결이 장관을 이뤘다. 주변을 신경 쓰지 않고 지금 당장 필요하고 궁금한 것을 들으러 가는 사람들의 모습을 보며, 문득 이들이 모두 정보보안 업계의 협력자이자 경쟁자라는 생각에 살짝 긴장되기도 했다. 하지만 대한민국의 보안 전문가들도 이곳에서 자신 있게 우리의 목소리를 내고 각국의 보안 전문가들과 유기적으로 협력하며 사이버 세계를 지켜나가면 좋겠다는 생각이 가장 컸다.

 

▲ 세션을 듣기 위해 질서정연하게 늘어선 사람들(좌)
▲ 기조연설 중인 댄 기어(Dan Geer) 인큐텔(In-Q-Tel) CISO(우)

 

세션 발표자들도 최선을 다해 발표를 진행했고, 세션 참석자들 또한 발표자들을 정중하게 대하는 모습이 인상적이었다. 발표 중에 간혹 실수를 하거나 오류에 의해 시간이 지연되어도 참석자들은 발표자가 상황을 정리하는 동안 조용히 기다려 주었다.

 

눈에 띄게 화려한 시연이나 기술 과시가 아니더라도 예정된 시연을 성공적으로 마치면 힘찬 박수와 환호를 보냈다. 사실 이런 문화에 익숙하지 않던 탓에 처음에는 ’뭘 이런 거에 박수를 다 치나?'하는 생각이 들었지만 필자 역시 오후 세션부터는 적극적으로 반응을 보내게 되었다. 이러한 청중의 모습이 발표자들에게 큰 힘이 된다는 것을 다시금 깨닫는 시간이었다.

 

▲ 세션 발표를 기다리는 참석자들

 

물론 장난스러운 면들도 많았다. 블랙햇 행사 내내 가장 많이 들었던 말은 ‘not long enough(충분하지 않다)'. 발표자들이 사전 준비를 하는 동안 노트북 화면이 대형 스크린에 그대로 나오는데, 발표자가 로그인을 하기 위해 8~9자리 정도의 암호를 입력할 때면 여기저기서 'not long enough'를 외쳐댔다. 더 길고 복잡한 암호를 설정했어야 한다는 것. 시연을 위한 노트북이니 대강 이해하고 넘어가줄 만한데도 누가 보안을 업으로 하는 사람들 아니랄까 봐 소소한 방심(?)까지 놓치지 않고 장난스럽게 지적을 서슴지 않았다.

 

▲ 세션이 끝나자마자 발표자를 찾아가는 참석자들(맨 왼쪽)
 
▲ 대표적인 시큐리티 그루(Security Guru)인 브루스 슈나이어(Bruce Schneier)(가운데, 오른쪽)

 

블랙햇에서는 발표 정보를 즉시 제공해 주지 않는다는 얘기를 몇 차례 들은 바 있어 스마트폰과 카메라, 그리고 여분의 배터리와 보조충전기까지 챙겨두었다. 하지만 진지한 발표자들의 목소리에 '찰칵' 하는 셔터 소리가 폐가 될듯하여 서둘러 셔터 소리가 나지 않는 앱을 다운로드 받았다. 그리고는 발표 슬라이드를 부지런히 찍었건만 나중에 보니 블랙햇 공식 사이트에서 오후부터 대부분의 관련 자료를 제공하는 것이 아닌가. 물론 지금까지도 공개되지 않은 발표 내용도 있긴 하지만 살짝 맥 빠지는 순간이었다.

 

▲ 부지런히 자료를 수집했지만 세션이 끝난 후 대부분의 정보가 블랙햇 공식 사이트에서 제공되었다.

 

수많은 세션을 듣기 위해 상당 거리를 이동하는 참석자들을 위해 행사 스폰서 업체들이 준비한 오전과 오후 간식을 제공했다.

 

그러나 의자 수가 많지 않은 탓에 대부분의 사람들은 이동하면서 먹거나 자유롭게 카펫 바닥에 앉아 간식을 먹으며 다음 세션을 확인하는 모습이었다. 필자 역시 나름 멋스럽게 간이 접시에 빵을 올리고 한 손에는 포크를, 다른 손에는 따뜻한 커피를 들었지만 도저히 우아하게 먹을 수 있는 자세가 나오지 않았다. 결국 체면 보단 실속. 접시와 포크 따윈 던져버리고 냅킨에 빵을 싸서 먹으며 서둘러 커피를 마셨다.

 

행사장 한편에는 블랙햇 기념품을 판매하는 곳이 있었다. 주로 티셔츠나 점퍼, 가방, 배지, 인형, 모자 등이었다. 그 옆에는 최신 보안책자를 조금 저렴하게 판매하고 있었는데, 종종 저자가 직접 현장에서 사인을 해주는 모습도 볼 수 있었다.

 

▲ 행사장에서 판매되고 있는 각종 티셔츠와 서적

 

세션이 진행되는 발표장 못지 않게 치열한 곳이 있었다. 스폰서 기업들의 전시가 진행되는 비즈니스 홀(Business Hall). 이곳에서 다수의 보안 또는 IT 기업들이 다양한 이벤트를 통해 사람들의 관심을 유도하는 한편 그들의 기술과 메시지를 전략적으로 전달하느라 여념이 없었다. 최신 보안 기술 동향을 알기 위해 블랙햇을 찾아온 사람들이니 이것 저것 질문이 이어지는 것은 당연지사. 참석자들의 관심에 부응하기 위해 전시에 참여한 기업들은 기업 로고나 메시지가 적힌 티셔츠를 비롯해 차량용 USB 충전기, 구강청결용 캔디, 장난감 레이저 총, 그리고 무선조종 모형헬기나 드론, 3D 프린터로 즉석 제작한 모형까지 다양한 기념품을 제공했다.

 

블랙햇 2014는 전세계에서 모여든 보안 관계자들이 관심 있는 분야의 발표 세션을 적극적으로 찾아 듣고, 발표자를 비롯해 같은 관심사를 가진 사람들과 함께 논의하는 자리였다. 수많은 세션과 열정적인 사람들의 모습을 통해 보안 담당자들이 다양한 분야에 관심을 갖고 연구하는 것은 당연한 것이며, 그 결과를 어떻게 보여주고 해석하여 업무에 활용하는 것이 바로 우리의 몫이라는 것을 새삼 확인할 수 있었다.

 

행사 마지막 날, 모든 세션이 끝나고 출구로 향하는 길목에서 블랙햇 2015 행사를 안내하는 내용을 볼 수 있었다. 내년 8월 1일부터 진행될 블랙햇 2015도 누군가에게 좋은 기회가 될 것 같다는 생각을 하며 행사장을 나섰다.

 

▲ BlackHat 2015를 예고하는 현수막

 

2부 -  DEFCON 22 탐방기 : 해커들의 성지를 가다

 

▲ DEFCON 홈페이지 

 

앞서 진행된 블랙햇의 마지막 날 오후, 블랙햇 행사장에서 또 다른 콘퍼런스이자 해킹대회인 데프콘22의 등록 확인이 진행됐다. 사전에 블랙햇과 동시에 데프콘22의 등록 접수도 했기 때문에 블랙햇의 참가자 대부분이 데프콘으로 이동할 것을 이미 예상은 했다. 막상 등록 확인을 위해 사람들이 동시에 몰려들었는데 실로 엄청났다. 하지만 다들 이런 상황에 익숙한 듯, 차분하게 순서를 기다렸고 덕분인지 별 다른 문제 없이 생각보다 빠른 속도로 등록 확인이 진행됐다.

 

▲ DEFCON22 참가자들을 위한 기념품들

 

등록 확인 후 데프콘 출입증, 안내 책자와 함께 힙합 음악 CD 2장과 데프콘 로고 스티커 등의 기념품을 건네 받았다. 데프콘의 출입증은 블랙햇의 그것과는 전혀 다른 구조였다. 국내 행사에서도 흔히 볼 수 있는 형태의 블랙햇 출입증과는 달리, 데프콘 출입증은 소형기판에 초록색 LED를 장착한 형태로, AAA 건전지가 3개나 들어있어 상당히 묵직하고 현란한 효과를 연출했다.

 

또 출입증 목걸이 줄에는 ‘수직’과 ‘수평’이라는 한글 단어와 한자 몇 개가 섞여 있는 것이 인상적이었다. 필자의 사진 찍는 기술이 부족해 독자들과 공유할 수가 없어 상당히 아쉽다.

 

데프콘22 행사장으로 들어서자 블랙햇과는 전혀 다른 분위기기가 느껴졌다. 마치 혼자만 검은 정장을 차려 입은 채 자유롭고 개성강한 히피 문화가 충만한 사람들 속으로 불쑥 걸어 들어간 듯한 느낌이랄까. 형형색색으로 염색한 모히칸 스타일부터 왠지 긴장하게 만드는 스킨헤드 스타일까지 가지각색의 헤어스타일을 여기저기서 볼 수 있었다. 한, 두 개 정도는 기본으로 다수의, 다양한 형태의 문신을 하고 있는 사람들도 많았다. 마치 할리우드 영화 속에서 ‘해커라면 이런 모습!’이라는 것처럼 제시됐던 이미지가 ‘알고 보니 리얼리티에 충실했던 것이구나’하고 느껴질 정도였다. 행사장 입구에서 만난 현수막마저 하얀색과 강렬한 빨간색이 왠지 전투적인 느낌을 풍겨 데프콘 특유의 분위기를 고조시키데 일조했다.

 

▲ DEFCON22 행사장으로 안내하는 대형 현수막(좌), 
▲ DEFCON22 행사장 입구(우)

 

과연 전혀 다른 세상에 들어선 이방인이 된 것 같은 느낌이 잠깐 현실이 되었다. 행사장 메인 로비로 들어서는 순간 빨간색 티셔츠를 입은 덩치 좋은 진행요원에게 입장을 제지 당한 것이다. 알고 보니 출입증을 목에 걸고 있어야 한다는 것. 잠깐 당황했지만 가방에 고이 모셔둔 묵직한 출입증을 꺼내어 목에 걸자 그 진행 요원은 시원하게 웃으며 환영한다는 인사로 맞아 주었다.

 

블랙햇과 마찬가지로 트랙1~3으로 나뉘어 진행되는 세션장을 지나자 국내 언론에서도 자주 등장하는 CTF(Capture The Flag) 행사장이 눈에 띄었다.

 

▲ CTF 행사장 입구와 전광판에 표시된 각 팀의 깃발 현황(좌)

 ▲ CTF 행사장 내부(우)

 

해킹대회 CTF는 어둠 속에서 진행되고 있었다. 각 참가팀들의 모니터 화면 불빛과 대회 진행 상황 및 각 팀의 점수를 보여주는 대형 화면, 록(rock) 음악 뮤직 비디오가 상영되고 있는 대형 화면의 불빛이 전부였다.

 
이 어둠 속에서 괜히 반갑게 느껴지는 모습을 발견했다. 인천 공항에서 라스베이거스행 비행기를 기다릴 때 만났던 몇몇 대학생들과 모의해킹 전문그룹의 리더가 각각 대회 참가자석에서 집중하고 있었다. 집중한 그들의 모습을 표현하기에는 ‘즐기고 있다’는 것이 가장 정확할 것 같다. 왠지 뿌듯한 그들의 모습을 휴대전화에 담았는데, 나중에 보니 사진 촬영을 할 수 없다는 안내판이 있었다. 아무래도 사진 촬영이 대회 참가자들에게 방해가 되는 모양이었다.

 

방해되지 않도록 카메라도, 휴대전화도 얼른 치워버리고 그들의 열정적인 모습은 눈으로만 지켜보았다. 언젠가 이들처럼 이곳을 찾을 사람에게 이 자리, 이 분위기를 마음껏 즐기고 거침없이 도전하여 많은 것을 느끼고 돌아가라고 조언하고 싶다. 자신이 가진 모든 것을 펼쳐 후회가 남지 않도록 끝까지 달려보는 것, 열정으로 하얗게 불태우는 것 자체만으로도 충분히 의미 있고 소중한 일이기 때문이다. 지금까지 그렇게 해왔던, 그리고 앞으로 그렇게 할 수 있는 이들을 위해 진심 어린 박수를 보내고 싶다.

 

데프콘의 세션 분위기는 다른 행사들에 비해 좀더 활력이 넘친다는 표현이 어울릴 것 같다. 발표자들은 힙합 뮤지션 같은 액션과 함께 발표를 진행했고 청중들도 자유로운 환호와 열정적인 박수로 이들에게 호응했다.

 

▲ DEFCON22 발표장(좌)

 ▲ 발표가 진행되는 동안에도 자유로운 DEFCON22(우)

 

또 세션 발표가 진행되는 중간에 행사 운영진들이 난입(?)하여 '지금 여기서 뭐하냐, 그냥 술이나 한잔 하자’며 술을 권하는 모습이 연출되기도 했다. 처음에는 발표자들도 살짝 당황했지만 이내 적응하고는 난입자들과 함께 술을 마시고 발표를 이어갔다. 참가자들 또한 이런 상황을 즐기며 기다려주었다. 중요한 것은 발표자들도, 청중들도, 또 행사 운영진들도 다소 황당할 수 있는 이러한 상황 속에서도 결코 본분은 잊지 않았다는 점이다. 한바탕 유쾌한 순간이 지난 후에는 다시 열정적으로 발표하고 이에 귀 기울이는 모습으로 돌아와 결코 눈살을 찌푸릴만한 행동은 나오지 않았다. 마치 자유와 저항을 이야기하면서도 지킬 것은 지키는 것이 해커의 올바른 모습이라고 말하는 듯 했다.

 

▲ LockPick Village 내부와 OpenCTF 모습

 

행사장 한 켠에 ‘락픽 빌리지(LockPick Village)’라고 이름 붙은 곳에서는 OpenCTF와 실제 자물쇠를 여는 이벤트가 진행되고 있었다. 먼발치에서 봤을 때는 사람들이 모여 마치 수학 문제를 풀고 있는 듯한 분위기였는데, 가까이 가서 보니 다들 온 신경을 집중한 채 각종 도구를 동원해 자물쇠를 여느라 여념이 없었다. 데프콘이 사이버 공간에서의 해킹만을 다루는 것은 아니라고 듣기는 했지만 다소 생경한 풍경이었다. 의외이기도 하고, 재미있어 보이기도 했다. 무엇보다 어렵거나 지루하게 생각하기 쉬운 ‘보안’의 개념을 조금 다른 각도에서 설명할 수 있는 좋은 아이디어라는 생각이 들었다.

 

▲ LockPick을 위해 준비된 각종 자물쇠들(좌)

▲ LockPick에 도전 중인 참가자들(우)
 

 
▲ LockPick Village 내부의 다양한 코너들

 

세션 발표장이 아니더라도 행사장 곳곳에서 자신들이 연구한 내용을 자유롭게 소개하는 모습을 볼 수 있었다. 이 밖에도 블랙햇처럼 다수의 기업들이 전시와 홍보를 진행하는 ‘벤더(Vendors)’ 코너도 있는가 하면 데프콘만의 분위기를 연출하는 소소한 코너들이 눈길을 끌었다. 여러 사람들이 모여서 FPS 게임을 함께 즐기는 공간, 저항 정신으로 무장하게 해줄 듯한 독특한 티셔츠들을 판매하는 곳, 즉석에서 문신을 할 수 있는 곳, 또 15달러만 내면 이방인의 느낌에서 벗어나 현장 분위기에 맞는 모히칸 헤어스타일로 바꿔주는 코너 등 곳곳에서 자유와 저항의 분위기가 샘솟았다. 단지 이들과 같은 공간에 있는 것만으로도 특별히 무언가를 하지 않아도 억압과 부조리에 저항하는 듯한 기분을 느낀 것은 비단 필자만은 아니었을 것이다.

 

데프콘은 우리 주변에 존재하는 부조리하고 취약한 부분들을 하나씩 밝혀내고. ‘이제 세상에 위험이 도사리고 있으니 알아서들 피하세요’라는 방관자적인 태도가 아니라 위협으로부터 우리 스스로를 지켜낼 수 있는 방법을 고민하고 나누는 자리였다.

 

우리가 미처 생각하지 못 했던 수많은 취약한 부분이 존재하고 이를 악용하는 세력이 등장하는 순간 나뿐만 아니라 우리 모두가 위험할 수 있으니 더욱 열심히 연구하고 지식과 경험을 공유하여 대처해 나가자는 것이 자연스럽게 받아들여지는 곳이었다.

 

데프콘 현장을 가득 매웠던 이들의 뜨거웠던 열정을 나와 내 동료들 안에서도 다시 한 번 끌어낼 수 있도록 더욱 열심히 뛰어야겠다. 보고 배워야 할 것은 많았지만 시간은 한정되어 있는 탓에 다양한 분야에서 깊이 연구해온 사람들의 발표를 모두 듣지 못해 행사가 끝난 지 제법 지난 지금도 두고 두고 아쉬움으로 남아있다.@