국정원 해킹 관련 첫 촛불집회 - 7.31 저녁 7시 청계광장

레드삭스, 국정원이 해킹시 미끼로 사용한 파일 공개, 대테러와 연관성 없어 보여 – 스코틀랜드 정부 문서와 아일랜드 대학 학회 홍보 문서를 미끼로 사용 – 영문 문서 파일에서 한글 발견돼, 한국임을 자백한 꼴 – 맑은 고딕 선호하는 국정원? 편집부 뉴스프로는 지난 23일 네덜란드 보안업체 레드삭스가 국정원이 해킹팀의 가장 적극적인 고객이었다고 폭로한 기사를 보도한 바 있다. 이후 레드삭스는 ...

국정원에 제출 요구한 자료 목록

Ⅰ RCS 구매 관련
1. 구입 목적
2. RCS 구매 계약 내역 (라이센스, 계약서, 인보이스 포함)
3. 유사 프로그램 (Gamma Group의 FinFisher, NSO Group의 Pegasus 등) 구매 여부
4. RCS 외에 TNI, RAVS 구입 목적 및 경위
5. 도입 시점부터 현재까지의 예산 및 결산 자료
6. 라이센스 갱신 지연 사유

Ⅱ RCS 운용 관련
7. 테스트 시점부터 현재까지의 모든 로그 파일
8. 감청한 단말기 수 / 인원 수 (인적사항 포함)
9. 내부 운용 조직 구조, 인력의 수 및 각각의 직무
10. 감청 내역 및 조치사항
11. RSC 유사 프로그램 자체 R&D 내역
12. 국정원 조사현장에서 RCS 감청 시연
13. 운용 실무자 면담

Ⅲ 규정(법령) 관련
14. 도감청 장비 설치 신고서 및 신고사항
15. RCS 구입 및 운용을 국회 정보위원회에 신고하지 않은 사유
16. RCS를 운용하면서 받은 대통령 또는 법원의 감청 영장 개수 및 내역
17. 국정원의 도감청 관련 내부 관리규약 (매뉴얼), 주요시스템의 접근권한 내부 매뉴얼
18. 직원일동 명의로 성명을 낸 행위에 대해 공무원의 집단행위를 금지한 국가공무원법 66조 위반, 정치관여가 금지된 국가정보원법 9조 위반 여부

Ⅳ 나나테크 관련
19. 국가정보원과 나나테크가 접촉하게 된 경위
20. 나나테크를 통해 RCS를 구입한 경위
21. 나나테크 제품 납품내역

Ⅴ 배포 관련
22. Exploit 유포 URL 목록 및 해당 URL을 클릭한 관련 로그 (클릭 수, 클릭한 단말의 IP address 등 상세 단말 정보)
23. Exploit 배포서버 정보 (IP address, Domain 등)
24. Devilangel1004 이메일 내역 및 계좌이체 내역

Ⅵ 사망한 직원 관련
25. 사망한 국정원 직원이 삭제/수정한 파일 목록 및 상세 복구 내역
26. 사망한 직원에 대한 내부 감찰 보고서 (진술서 포함)
27. 사망한 직원이 유서에서 언급한 대테러 대북 자료의 의미 및 삭제방법, 목적

Ⅶ 국정원 프로세스 관련
28. 해킹팀과 국정원이 주고받은 메일 일체
29. 국정원 예산 품의서
30. 새누리당 특정 의원에게만 보고하는 국정원 정보원 및 보고 내용 일체

국회 안전행정위원회 소속 새정치민주연합 박남춘 의원은 9일 "국가정보원 해킹 프로그램 담당자였던 임모 과장의 자살사건 현장에 국정원 직원이 경찰보다 50여분 빨리 도착한 것으로 나타났다"고 주장했다.

박 의원은 이날 보도자료를 내고 중앙소방본부와 경찰청으로부터 제출받은 자료를 분석한 결과 이 같은 정황이 드러났다고 밝혔다.

‘국민 백신’에 관해 알고 싶은 두세 가지 것들

글 | 민노씨(슬로우뉴스 편집장)

 

“자기 권리를 스스로 지키는 체험이 되길 바란다.” (남희섭 오픈넷 이사)

국정원이 해킹팀으로부터 사들인 스파이웨어(RCS)를 불특정 다수 국민의 스마트폰에 감염시키면 어떤 일이 생길까? 상상하기도 싫지만, 스파이웨어에 감염된 국민이 직접 대응할 수 있는 방법은 많지 않다. 왜? 국정원은 사실상 국내 백신 업체의 ‘갑’ 노릇을 한다. 이런 현실에서 국내 백신 업체들이 국정원이 이용하는 스파이웨어를 감지하는 전용 백신을 개발할 수 있을까? 새정치민주연합의 안철수 국회의원이 안랩을 포함한 10여 개 국내 보안업체에게 도움을 요청했으나 업체들이 이 요청에 적극 나서지 않는다는 말이 벌써부터 들리고 있다.

• 한겨레 – 보안제품 인증해주고 뒤로는 ‘보안 뚫기’…어이없는 국정원
• 뉴시스 – 안철수, 국내 백신 업체에 SOS 요청

해킹팀의 스파이웨어에 대응해 엠네스티가 주도해 스파이웨어 감지 프로그램인 ‘디텍트’를 개발했고, 이를 발표했다. 하지만 디텍트는 PC에 기반한 프로그램이라 모바일 기기에는 적용하기 어렵다.

• 슬로우뉴스 – 스파이웨어 탐지 프로그램 디텍트(DETEKT) 사용법

이에 시민이 자발적으로 참여하는 ‘국민 백신 프로젝트’가 발족했다. 그리고 어제(2015년 7월 30일) 국회 의원회관에서 발표회를 개최했다. 국민 백신 프로젝트를 주도한 남희섭 오픈넷 이사에게 국민 백신 프로젝트의 이모저모와 향후 계획을 물었다.

남희섭 오픈넷 이사 일문일답

– 이왕에 엠네스트 주도로 ‘디텍트’가 개발됐다. ‘국민 백신’과 디텍트의 차이점은.

디텍트는 PC용인데, 국민 백신은 안드로이드 모바일에 주안점을 두고 프로젝트를 진행하고 있다.

– 모바일 중심이라고 했는데, 특히 안드로이드가 주력인 이유는?

개발자의 증언에 의하면 안드로이드폰이 잘 감염된다고 한다. 아이폰은 애플이 직접 패치를 내놓으면 이용자가 바로 업데이트를 할 수 있으나 안드로이드폰은 구글이 패치를 내놓아도 제조사까지 전달되서 실제 이용자의 스마트폰에 적용되기까지 시간이 걸리기 때문에 보안에 취약성이 있다는 설명이었다. 더불어 우리나라 모바일 사용자의 압도적 다수가 안드로이드폰 이용자기이도 하다.

– 국민 백신은 의미 있는 프로젝트다. 하지만 지속 가능성을 담보할 수 있을지는 걱정이다. 해킹과 백신은 ‘창과 방패’, ‘톰과 제리’의 게임이라서 지속성을 담보하지 못하면 큰 의미가 없지 않나.

당연히 걱정하는 부분이다. 큰 백신 개발업체라면, 상시 인력이 그때그때 바로바로 업데이트할 수 있겠지만, 국민 백신 프로젝트는 참여 개발 인력이 충분하다고 볼 수는 없다.

– 어떻게 이런 난제를 극복할 생각인가.

국민 백신은 ‘오픈소스’로 개발하고 있다. 프로그램 코드를 공개하는 것이다. 현재 개발인력도 최선을 다하겠지만, 국민 백신 프로젝트의 취지에 공감하는 개발자들이 업데이트에 참여할 것으로 기대한다. 이런 참여가 임계점을 넘으면. 지속 가능성을 담보할 수 있으리라 생각한다.

– 기존 보안업체에 협조를 요청했나. 상호 사전 협의가 있었는지 궁금하다.

처음에 프로젝트를 구상할 때 기존 업체의 참여를 전혀 기대할 수 없는 상황이었다. 이제는 널리 알려진 사실이지만, 사실상 국정원이 보안 업체의 ‘갑’ 노릇을 하는 상황이다. 익명을 전제로 보안업체의 분위기를 전한 한 개발자는 이렇게까지 말했다.

“민감한 사안이다. 밥줄 잘린다. 전용 백신 개발 가능성은 전혀 없다.”

기존 보안업체가 전용 백신을 개발한다는 것은 전혀 기대할 수 없는 상황이라고 판단하고, 국민 백신 개발에 착수했다.

– 현재 확보한 개발 인력은 어느 정도인가.

현재 엔진을 만드는 사람 4명이다. 여기에 해외 ‘화이트해커’ 그룹도 참여하고 있다.

– 향후 개발 계획은?

원래는 발표회에서 베타 버전을 발표하고, 다음 주(2015년 8월 첫째 주) 정식 발표하려고 했다. 하지만 일정이 생각보다 좀 늦어지고 있다. 내부적으로 테스트한 뒤에 다음 주 베타 버전을 발표할 계획이다.

– 어떤 방식으로 배포할 계획인지.

우선 안드로이드 모바일 사용자에게는 구글 플레이 스토어에 국민 백신 앱을 업로딩하면 간단하다. PC용으로도 개발할 계획이다.

– PC용은 어떤 방식으로 배포되는가.

안드로이드용은 배포 플랫폼이 있어서 걱정이 없는데, PC용은 홈페이지에 올리면 해커들에게 공격 받을 가능성이 크다고 한다. 그래서 PC용 버전 배포방식을 고민하고 있다. P2P 방식으로 배포하는 것까지 포함해서 현재 논의 중이다.

– 끝으로 당부하고 싶은 말이 있다면.

자기 정보 인권을 스스로 지켜야 한다. 직접 스스로 자신의 권리를 지키는 행동을 해보는 체험이 중요하다. 하지만 해킹이나 감시, 감청 등의 정보 인권 침해에 평범한 개인이 할 수 있는 일은 별로 없다. IT 영역의 전문지식을 모든 국민이 가질 수는 없는 노릇이고, 그럴 필요도 없다.

하지만 선의의 전문가들이 참여하는 국민 백신과 같은 프로젝트에 참여하는 것으로도 충분히 스스로 자기 권리를 지키는 구체적인 ‘행동’에 참여하는 일이다. 이런 체험을 통해 스스로 권리를 자신이 지킨다는 걸 체감할 수 있다면 좋겠다.