[버그헌팅과정 초급, CVD·VDP 시범사업] 취약점 공개 정책 (VDP)

 

"이웃의 뒷문이 열려있는 걸 우연히 알았다면 어떻게 할 것인가?"

물리적인 현실 세계라면, 지나가던 선량한 이웃은 주저 없이 초인종을 누르고 "뒷문이 열려 있으니 문을 닫으라"고 알려줄 것이다. 집주인 역시 고마움을 표할 것이다. 하지만 사이버 공간에서는 이 상식이 통하지 않는다. 선의를 품고 타겟 기업의 보안 취약점을 발견하여 제보하는 행위가, 자칫 '불법 해킹'이나 '영업 방해'로 간주되어 고소장으로 되돌아오는 모순이 빈번하게 발생하기 때문이다.

버그헌팅과 모의 해킹을 공부하는 수강생의 관점에서, VDP가 왜 단순한 행정 서류가 아니라 기업의 운명을 가를 수 있는 보안의 핵심 인프라인지 강의 내용을 바탕으로 깊이 있게 정리해 보았다.

1. VDP의 부재: 방치되는 선의, 커지는 보안 공백

연구자들은 특정 기업 서비스에서 치명적인 취약점을 발견했음에도 불구하고, 이를 알릴 창구가 없어 공식 트위터 계정에 대고 "제발 보안 취약점을 제보할 담당자 이메일 좀 알려달라"며 호소하고 있었다.

VDP가 구축되지 않은 기업을 상대로 취약점을 제보하는 과정은 지뢰밭을 걷는 것과 같다.

• 소통 채널의 단절: 홈페이지 어디를 뒤져봐도 security@company.com과 같은 공식 보안 제보 창구가 없다.
• 보고의 블랙홀: 일반 고객센터나 대표 메일로 취약점 리포트를 보내봤자, 해당 내용이 기술적 이해도가 없는 상담원을 거치다 누락되거나 보안 담당자에게 제대로 전달되었는지 확인할 길이 없다.
• 법적 리스크의 공포: 무엇보다 "내가 이 취약점을 테스트했다는 사실 자체로 정보통신망법 위반으로 고소당하지는 않을까?" 하는 두려움이 제보자를 위축시킨다.

이러한 정책의 부재는 결국 치명적인 결과로 이어진다. 제보 과정의 번거로움과 법적 리스크에 지친 화이트해커들은 결국 제보를 포기하고 침묵한다. 기관은 자신의 시스템에 존재하는 치명적인 취약점을 파악할 기회를 영영 잃게 되며, 훗날 이 취약점이 블랙해커의 손에 들어가 다크웹에서 거래되거나 랜섬웨어 공격의 통로로 유출되는 끔찍한 결말을 맞이하게 된다.

2. 거스를 수 없는 글로벌 트렌드: 해커를 아군으로 만들다

 

이러한 폐쇄적인 시스템의 한계를 일찍이 깨달은 곳은 다름 아닌 미국 정부였다. 강의 자료에 따르면, 2016년 미 국방부(DoD)는 미국 정부 산하 기관을 위해 만든 최초의 VDP를 도입하는 파격적인 행보를 보였다. 외부의 해커들을 잠재적 범죄자로 취급하며 쫓아내는 대신, 그들의 집단 지성을 국방 보안에 활용하기로 한 것이다.

 

이 흐름은 곧 글로벌 표준으로 자리 잡았다. 2020년, 미국 사이버보안 및 인프라 보안국(CISA)은 모든 연방 기관에 VDP를 의무적으로 설립하라는 강력한 지시를 내렸다. CISA와 DOI(미국 내무부) 등은 공식 VDP 템플릿까지 배포하며 적극적으로 정책 확산을 주도하고 있다.

 

"If you see something, say something. (무언가 잘못된 것을 보았다면 말하라)"

이 슬로건처럼, VDP의 본질적 목적은 선의의 보안 연구자들에게 "안심하고 취약점을 찾아내어 우리에게 알려달라, 우리는 절대 당신에게 법적 조치를 취하지 않겠다"는 강력한 안전망을 제공하여 그들을 아군으로 포섭하는 데 있다.

3. 제대로 된 VDP를 완성하는 5대 핵심 구성 요소

 

그렇다면 좋은 VDP란 무엇일까? 단순히 홈페이지 구석에 제보용 이메일 주소 하나 덜렁 적어놓는다고 VDP가 완성되는 것은 아니다. VDP가 실질적인 효력을 발휘하기 위해 반드시 포함되어야 할 5가지 세부 구성 요소를 다음과 같이 정의했다.

 

① 목적 및 약속 선언 (Purpose) VDP 문서의 서두를 장식하는 부분으로, 기관이 이 정책을 왜 필요로 하는지 그 철학을 담는다. 기관의 자산을 보호하기 위해 외부 보안 커뮤니티의 기여를 얼마나 소중하게 생각하고 존중하는지를 명확히 선언해야 한다.

 

② 범위 (Scope) 버그헌팅을 수행하는 해커들에게 가장 중요한 '합법의 내비게이션' 역할을 한다. 회사 자산 중 어떤 도메인(예: *.target.com), 어떤 서비스, 어떤 종류의 취약점(예: SQLi, XSS 등)을 찾아도 되는지 범위를 명시한다. 반대로 절대로 건드려서는 안 되는 'Out of Scope(예: 제3자 솔루션, 물리적 보안 테스트, DDoS 공격 등)'를 명확히 선 그어줌으로써, 연구자들이 불필요한 시스템 장애를 일으키지 않도록 가이드라인을 제공한다.

 

③ 법적 보호 (Safe Harbor) VDP의 존재 이유이자 가장 핵심적인 요소다. 연구자가 명시된 VDP 범위와 규칙을 준수하여 취약점을 찾고 제보했다면, 기업은 해당 행위를 승인된 것으로 간주하고 어떠한 민·형사상 법적 조치나 처벌도 요구하지 않겠다는 '면책 특권'을 선언하는 것이다. 이 조항이 확실하게 명시되어 있어야만 연구자들은 안심하고 시스템의 밑바닥까지 파고들 수 있다.

 

④ 프로세스 설명 (Process) 취약점을 찾아낸 제보자가 어떤 형식으로, 어떤 채널(이메일, 웹폼 등)을 통해 보고서를 제출해야 하는지 절차를 안내한다. 재현 단계(PoC), 영향을 받는 URL, 페이로드 등 제출 시 필수로 포함해야 하는 정보의 양식을 규정함으로써 보안 담당자가 빠르고 정확하게 취약점을 검증할 수 있도록 돕는다.

 

⑤ 보고서 평가 방법 (Evaluation & Feedback) 자신의 시간과 노력을 들여 제보한 연구자들에게 진행 상황을 투명하게 공유하는 정책이다. 보고서 제출 후 첫 응답까지 소요되는 최대 시간(SLA), 취약점 패치 진행 상황, 그리고 조치가 완료된 후 해당 취약점 세부 내용을 언제부터 블로그나 외부 매체에 공개할 수 있는지에 대한 상호 합의 과정을 담는다. (필요에 따라 포상금(Bounty) 지급이나 명예의 전당(Hall of Fame) 등재에 대한 보상 정책이 함께 포함되기도 한다.)

4. 보안은 열린 태도에서 시작된다

기술적인 해킹 기법 이전에 보안의 '정책적 토대'가 얼마나 중요한지 깊이 알 수 있다. 현대의 IT 인프라는 너무나 거대하고 복잡해서, 조직 내부의 제한된 인력만으로는 하루가 다르게 쏟아지는 제로데이 취약점들을 모두 막아낼 수 없다.

 

결국 보안의 완성은 폐쇄가 아니라 개방에 있다. 이웃의 뒷문이 열려있는지 확인해 주고 선뜻 닫아주려는 전 세계의 화이트해커들을 우리 편으로 만들기 위해서는, 기업 스스로 '법적 보호'라는 단단한 방패와 '명확한 소통 창구'를 구축하는 것이 최우선 과제다. 앞으로 모의 해킹과 버그헌팅을 수행함에 있어, 타겟 기업의 VDP 존재 유무와 그 5가지 구성 요소의 중요성을 염두해둘 의미가 있을것이다.