(부제 - 데프콘 해킹 대회 후기)" by Beist Security Research Group (http://beist.org) 그 동안 종종 이런 질문을 받았습니다. 데프콘 Capture the Flag 해킹 대회 관련된 이야기도 남길 겸, 이번 기회에 제목과 관련된 제 생각을 말씀 드리겠습니다. 형식을 갖추지 않고 자유 형식으로 글을 썼는데 양해 바라겠습니다. 마지막으로, 본 이야기는 어떠한 해결책을 제시해주는 글이 아니라 제 생각을 편안하게 적은 글입니다. 1. 해킹 대회는 무엇인가? 해킹 대회는 말 그대로 해킹 기술의 경연장입니다. 주최측이 문제, 규칙, 일정, 서버 등 여러 환경을 구성하면 참가를 원하는 해커들이 모여 서로의 기술을 자랑하는, 해킹 문화의 꽃이라고도 할 수 있습니다. 대부분 대회가 개인이 참가할 수도 있고 팀을 이루어 참가할 수도 있습니다. 우리나라의 경우 다른 나라에 비해 비교적 해킹 대회가 활성화 되어 있습니다. 해킹 그룹이나 보안 관련 사이트뿐만 아니라 대학, 기관 등에서도 자발적으로 주체가 되어 1년에 수 차례씩 대회가 열리고 있는데, 온라인으로만 이루어지는 대회도 있고 예선은 온라인, 본선은 오프라인의 형식으로 운영되는 것도 있습니다. 입상할 경우 보안 계통에서 명예뿐만 아니라 여러 부상도 얻을 수 있습니다. 참고로, 우리나라에서 열린 공식적인 최초의 해킹 대회는 1999년 시큐어소프트(Hackerslab.org)에서 주최한 KOF(King of Fighters) 대회이며 우승자는 그 유명한 MAT(http://monkey.org/~mat/)님이 차지하였습니다. 2. 대회 규칙이나 일정 등 환경은 어떻게 되는가? 우리나라에서 열렸던 초기 해킹 대회의 경우, 문제마다 난이도를 구분하여 다수의 문제를 제공하고, 참가자들은 문제를 해결하여 시스템의 최고 권한을 차지해야 했습니다. 시스템의 최고 권한을 차지하면 시스템에서 구동되고 있는 웹 서버의 페이지를 바꿀 수 있는 권한이 부여됩니다. 마지막까지 웹 페이지를 점유하고 있는 팀이 우승을 차지하게 됩니다. 초기 대회 이후 대회 방식이 다양해졌는데, 대회가 끝난 후 참가자들이 제출하는 최종 보고서의 퀄리티가 중요하게 여겨지기도 하고 미국 데프콘 Capture The Flag의 방식을 선호해 상대 참가 팀의 시스템을 해킹하여 얻은 점수의 총합이 최종 순위를 결정짓는 경우도 있습니다. 일정은 시간을 오래 두고 하는 장기적인 대회도 있고 1~3일만에 끝나는 단기적인 대회도 있습니다. 비교적 후자가 많습니다. 만약 대회 기간이 3일이고 온라인으로 진행되는 경우, 72시간 동안 쉬지 않고 풀어야 하기 때문에 실력도 중요하지만 시간 분배와 체력도 중요한 요소로 작용된다고 볼 수 있습니다. 온라인 + 오프라인의 경우 온라인으로 본선 진출 자격을 획득한 후, 본선 장소로 직접 가서 대회를 진행해야 합니다. 서버 OS의 종류는 Linux, FreeBSD, Solaris, Windows 가리지 않고 출제되지만 Windows 계통은 비교적 빈도가 적습니다. 3. 대회 문제 유형은 어떤가요? 문제 유형을 파악하고 있다면 대회 진행이 수월해집니다. 크게 아래 6가지로 문제 유형을 구분할 수 있습니다. (1) 시스템 해킹 문제 시스템 해킹 문제라는 명칭 자체가 조금 모호하긴 하지만 Overflow, Format String, Race Condition 등과 같이 비교적 시스템의 영향을 많이 받는 문제를 가리킵니다. 이를 풀기 위해서는 시스템의 작동 방식이나 Low Level 수준의 언어 등에 대해서 해박한 지식이 있어야 합니다. 대부분의 해킹 대회에서 거의 필수로 나오는 유형입니다. (2) 리버싱 문제 일반적으로 소스 코드 없이 바이너리만 주어지는 상태에서 문제를 해결하는 것을 말합니다. 리버싱 문제는 시스템 해킹이나 Crack 문제로 이어질 수도 있고 그렇지 않은 경우도 있는데, 바이너리로만 주어지므로 어셈블리 언어에 대해서 잘 알고 있어야 합니다. 간혹 바이너리를 얼마나 정확하게 분석하는지, 분석 능력을 가장 중요하게 보는 대회도 있습니다. (3) 웹 해킹 문제 웹을 통해 이루어지는 문제로 웹 서버의 문제점이나 웹 언어의 문제점이 나올 수 있습니다. 그러나 웹 서버, 웹 언어 자체의 문제점을 찾는 것은 아니고 출제자가 만들어 놓은 임의의 취약성을 이용하여 문제를 해결하는 경우가 많습니다. 주로 쿠키, 세션, SQL Injection, 암호 관련 문제가 나옵니다. 웹 해킹 유형은 기술적인 부분도 필요하지만 기교적인 면도 요구하는 문제가 많습니다. (4) 포렌식 문제 포렌식 문제는 해커를 역추적하는 방식인 포렌식 본래의 스타일들을 변형하여 출제한 유형입니다. 이 문제들은 해커가 서버에 침입했을 때의 흔적이나 해커가 만들어놓은 백도어를 분석하여 역으로 이용하는 문제를 말합니다. 포렌식 문제는 응용 범위가 넓기 때문에 어떤 특정 유형을 딱 집어서 말할 수 없습니다. 이번 데프콘 예선 대회 포렌식 문제의 경우 참가자들에게 해커들간의 대화가 담긴 음성 파일이 덩그러니 주어졌었는데 해커들이 나누는 대화와 상황을 분석하여 암호를 알아내는 문제였습니다. (좀 더 부연 설명하자면, 대화 내용은 A해커가 B해커에게 특정 BBS를 통하여 기밀 자료를 보내는 시나리오였습니다. 이때, A해커는 모뎀을 이용해서 BBS에 접속했는데, 모뎀 접속 시 발생하는 버튼 음을 분석하여 BBS의 전화번호를 알아낸 후, 인터넷 검색을 통해 BBS의 이름을 알아내는 재미있는 문제였습니다. 이 문제는 역시 대단한 해커이신 Ohhara(http://ohhara.sarang.net)님께서 많은 도움을 주셨습니다.) (5) 암호학 문제 암호학 관련 문제는 사실 자주 출제되는 유형은 아닙니다. 출제되더라도 일정 수준 이하의 문제들로 구성되는데 그 이유는, 너무 어려운 문제는 사실상 Brute-Force 이외에는 방법이 없거나 너무 시간이 오래 걸리는 문제가 많기 때문입니다. 그림 파일 안에 암호를 숨겨놓는 스테가노그래피 등을 예로 들 수 있습니다. (6) 기타 문제 굳이 보안에 직접적으로 관계가 없더라도 컴퓨터와 관련된 것이면 무엇이든지 해킹 문제로 나올 수 있습니다. 위 5가지 사항에 포함되지 않은 문제들도 얼마든지 나올 수 있습니다. 4. 문제를 풀기 위해서 어떠한 것들이 필요한가? 해킹 대회는 문제를 받기 전까지 어떠한 문제가 나올지 짐작할 수 없기 때문에 기본적으로 올 라운드 플레이어가 되어야 합니다. 모든 기술에 대해서 잘 아는 것은 힘들겠지만 최소한 어떠한 문제를 보면 어떻게 해결해야 할지 감을 잡을 수 있는 능력이 필요합니다. 팀을 이루어 참가하는 경우 가능하면 대회 때 각자 맡을 파트를 정하고 해당 기술의 전문 지식을 갖는 것이 좋습니다. 대표적으로 프로그래밍 능력이 필요합니다. 특히 C언어와 어셈블리 언어가 중요합니다. 그 외 언어들은 경험상, 필요한 상황이 오더라도 해당 언어에 대한 깊은 지식은 필요하지 않은 경우가 많았습니다. C언어에 대한 기본 지식이 탄탄하다면 다른 언어들의 기본적인 구사 능력은 쉽게 가능합니다. 운영체제 사용에 대한 풍부한 유저 레벨 경험도 필요합니다. 주최측에서 문제 서버를 준비해주는 경우도 있지만 아무래도 직접 뭔가를 테스트하고 여러 작업을 하기에는 불편합니다. 문제를 해결하다 보면 자신의 서버에 직접 데몬이나 프로그램을 설치하는 경우가 많은데 만약 운영체제에 대한 경험이 없다면 설치만 하는데도 엄청난 시간이 소요되어 대회 시간을 낭비할 것입니다. 유저 레벨에 대한 운영체제 사용 능력도 중요하지만 시스템 해킹 등에 문제가 나왔을 때 해결하기 위한 Low Level에 대한 지식도 중요합니다. 특히 시스템 해킹 문제는 해킹 대회마다 빼놓지 않고 출제되기 때문에 상위권 입상을 위해서는 반드시 필요한 부분입니다. 이 분야에서 가장 중요한 것들을 꼽자면 메모리 관리, 프로세스 작동 구조, 파일 포맷, 어셈블리 등 입니다. 툴 사용 능력 역시 빼놓을 수 없습니다. 사실 툴이 없어도 해결할 수 있는 문제는 많습니다. 그렇지만 한정된 시간 내에 빠른 풀이를 위해서 툴을 이용하는 것도 나쁘진 않습니다. 주의사항은, 대회를 진행하다 보면 이용할 수 있는 툴이 애초에 없거나 대회 서버에 설치조차 할 수 없는 경우가 있습니다. 즉, 툴을 이용하되, 완전히 의존해서는 안되며 툴 없이도 해결할 수 있는 능력을 길러야 합니다. 본인의 경우 가상 극심했던 순간을 떠올리라면 기본적으로 설치된 프로그램도 거의 없고 네트워크도 다중으로 겹쳐있는 환경에서 문제를 공격하는 프로그램을 만들었어야 했는데, bash 기본 기능으로 바이너리를 만들어 해결했었습니다. 대회 기간에 사용할 운영체제나 장비 등에 대한 사전 준비도 중요 요소입니다. 저 같은 경우 문제 서버로 어떠한 운영체제가 사용될지 알 수 없을 경우엔 일반적으로 많이 사용되는 OS 이미지들을 구해 VMWARE를 이용하여 대회 전에 미리 설치를 해둡니다. 그리고 이번 데프콘 본선 대회 같이 오프라인 참가자가 장비를 직접 준비해야 하는 상황이라면 네트워크 연결 장비, 팀원끼리 동시에 연구할 수 있는 서버 등이 필요할 것입니다. (가능하다면 하드웨어 스니퍼, 방화벽 장비 등도 있으면 좋겠습니다.) 만약 제가 미국 본토인이었다면 대회장에서 인터넷이 원활히 안될 경우를 대비하여 셀룰러 폰을 이용한 인터넷이나 프린터 등도 미리 준비해갔을 것입니다. 또, 가능하다면 무선 시그널을 재밍시키는 장비도 준비했었을 것입니다. ^^ 위 사항들이 준비됐다면 이제는 정직함이 필요합니다. 아직 과도기를 거치고 있지만 이제는 해커 문화도 어느 정도 자리가 잡혔습니다. 우리나라뿐만 아니라 세계적으로 해커 문화는 성숙해져 가고 있으며 그렇기 때문에 해킹 대회에서 이루어지는 행동에는 정직함과 서로간의 예의가 필요합니다. 문제가 안 풀린다고 DoS를 시도하여 대회를 망쳐서도 안되며 규칙이 마음에 들지 않더라도 참가한 이상, 대회 규칙은 지켜야 합니다. 또한, 스스로에게 떳떳하지 않은 방법은 사용하지 말아야 하며 부득이하게 사용했을 경우에는 대회가 끝나고서라도 공식적으로 밝혀야 합니다. 또, 다른 사람이 문제 풀이를 도와줬다면 떳떳하게 밝힐 수 있어야 합니다. 해킹 대회는 수능처럼 엄격한 것이 아니라 즐기는 문화입니다! 알고 지내는 지인의 도움을 받아 풀었다고 해도 그것을 떳떳하게 밝히는 이상 탓할 사람은 아무도 없습니다. 마지막으로 중요한 것은 마음가짐입니다. 해커로서, 참가자로서 가져야 할 마음가짐은 첫째, 대회 자체를 순수하게 즐길 수 있어야 하며, 둘째, 후회 없이 최선을 다해야 합니다. 제가 여태까지 출전했던 대회에서 순위상으로는 1위를 차지하지 못한 적도 있지만, 모든 대회에서 가장 마지막 단계의 문제까지 1등으로 풀지 못한 적이 없었습니다. 그 이유는 절대 제가 잘나서가 아니라 대회에 참가하는 마음가짐 때문이라 생각합니다. 저는 제가 해결 못할 것 같은 어려운 문제가 있어도 포기하지 않고 대회에 힘을 쏟아 부어 몸이 지치고 당장 내일 시험이 있더라도 대회를 참가하는 순간만큼은 최선을 다합니다. 운도 많이 따라줬지만 이 마음가짐이 남들보다 강해서 잘 풀었던 것이라 생각합니다. 왜냐하면 다년간 열정을 갖고 공부한 분야인 만큼, 해커들이 모여서 기술을 자랑하는 축제의 장에서 저의 실력을 뽐내는 것이 너무 좋았기 때문입니다. 5. 어떻게 하면 빨리 풀 수 있는가? 빨리 푼다는 것은 동시에 정확함을 뜻하기도 합니다. 왜냐하면 1 byte라도 잘못된 값을 입력할 경우 기대했던 결과가 나오지 않기 때문입니다. 제가 생각했을 때 문제를 빨리 풀기 위해서 무엇보다 가장 중요한 것은 '분석력' 입니다. 일반적으로 해킹 대회는 각 문제에 대해서 출제자의 의도를 자세히 알려주지 않습니다. 이번 데프콘 예선 대회의 경우 거의 대부분 문제의 힌트가 단 1줄이었습니다. 결국, 출제자의 의도를 알지 못하는 상황에서 스스로 문제를 파악하고 삽질을 하며 해결해야 하는 상황인데, 처음 분석이 빗나간다면 그만큼 시간을 허비하게 됩니다. Format String인 것처럼 보여도 Overflow로만 풀리는 문제도 있을 수 있습니다. 문제를 푸는 그 자체에 대한 능력도 중요하지만 더욱 중요한 것은 '이 문제는 출제자가 무엇을 의도했으며 어떠한 방법으로 접근을 해야 하며 어떤 지식이 필요하겠는가?'에 대한 분석입니다. 분석을 했다면 문제에 대한 접근 방법론이 필요합니다. 문제를 해결하다 보면 참고 자료를 찾아야 하는 경우가 많은데 레퍼런스를 찾는 것도 신속함과 정확성이 요구됩니다. 또, 당연하겠지만 어려운 문제일수록 경험과 창의성이 더욱 요구됩니다. 창의성이 있어도 경험이 없다면 접근하는 법 자체부터 헤매게 되고 반대로 창의성이 없다면 경험으로만 모든 것을 해결하려 하기 때문에 문제가 손 쉽게 풀리지 않습니다. 해킹 문제란 것이 참가자들의 창의력을 유도하도록 지향하고 있기 때문에 여러 가지 다양한 방법을 시도해야 합니다. 분석력과 접근 방법론을 갖추고 있다고 해도, 기본적으로 실력이 전제되어있지 않다면 '고 난이도' 문제들은 '매우' 풀기 힘듭니다. 운이 따라서 한, 두 문제는 풀 수 있겠지만 그러한 문제가 다수 존재하고 고수들이 많이 참가하는 대회라면 상위권 입상은 기대하기 힘듭니다. 개인적으로 생각했을 때, 우리나라와 외국 해커의 가장 큰 차이점은 무엇보다도 해커 개개인이 갖고 있는 전문 분야의 수준 차이입니다. 외국 해커들은 개인이라 할지라도 R&D가 굉장히 활성화 되어 있습니다. 포괄적으로 본다면 우리나라가 앞서는 분야도 있을지도 모르겠지만 이 전문 지식의 깊이만큼은 차이가 있다는 것을 아직까지는 인정을 해야 합니다. 외국 팀의 강점은 무엇보다도 그런 전문 지식을 갖고 있는 멤버 개개인들이 모여있다는, 바로 그 점인 것 같습니다. 후기: 제가 참가했던 다른 대회들도 후기를 남겨놨으면 좋았겠지만 따로 기록해놓은 것이 없어 이번 데프콘 Capture the Flag 예선 대회 후기만 간략하게 남기겠습니다. 이번 대회는 사실 예선 대회 바로 며칠 전 병영(override - http://override.plus.or.kr)이가 말을 꺼내 갑작스럽게 참가하게 되었습니다. 같이 참가를 하겠다는 대답은 했지만, 그다지 신경도 쓰지 않고 준비도 안하고 있었습니다. 왜냐하면 데프콘 해킹 대회는 제가 해킹 공부를 처음 시작했을 때부터 동경을 했고, 세계 최고들만 참가하는, 저와는 어울리지 않는 대회라 생각했기 때문에 예선에 참가하더라도 당연히 탈락할 것이라 생각했었습니다. 그냥 경험이라 보자, 라고 생각하고 막상 대회를 시작했는데, 생각했던 대로 시작한지 얼마 지나지 않아 압도적인 스코어 차이 때문에 좌절을 했습니다. 좌절과 분노가 일었지만 곧 지기 싫어하는 마음, 도전하는 정신으로 바뀌었습니다. 이때부터 폐인 모드로 돌입해 override와 힘을 합쳐 문제들을 풀다 보니 처음엔 하위권이었던 순위가 대회 종료 시점에는 입상권이 되어있었습니다. 대회 규칙을 정확하게 알고 참가를 했다면 더 높은 순위도 바라볼 수 있었을 정도였습니다. 지금껏 입상했던 모든 대회가 보람 있었지만 모든 것을 다 합쳐도 세계 최고라는 데프콘 해킹 대회 예선을 통과한 것만큼 기쁘진 않았었습니다. 그러나, 결과적으로는 좋았지만 대회 기간 중 많은 것을 느낄 수 있었습니다. 우선 세계 해커들과의 실력 차이를 느꼈습니다. 쉬운 문제의 경우 푸는 속도가 비슷했겠지만 어려운 문제일수록 확연히 차이가 났습니다. 다른 팀은 예선 대회 때 몇 명이 참가를 했는지 등 자세한 사정을 알 수 없어 정확하진 않지만 특정 문제의 경우 만약 우리 팀이 5시간이 걸렸다면 어떤 팀은 2~3시간 정도에 해결하였습니다. 전문가들이 모여있는 팀이라는 것을 짐작할 수 있었는데 우리나라에도 이러한 사람들이 많았다면 어땠을까라는 생각을 했습니다. 내년에 참가를 할진 모르겠지만, 또 한번 좌절을 하지 않기 위해서 더 열심히 공부를 해야 할 것 같습니다. PS. 마지막으로, 내년 데프콘 해킹 대회를 준비하시는 분들 중에서 궁금한 점이 있으신 분들은 저에게 문의를 해주시면 아는 것은 모두 대답해드리겠습니다. (beist.org 홈페이지 게시판이나 contact 메뉴를 이용해주세요. ^^) 마지막으로, 이 자리를 빌어 데프콘 본선 대회에서 멋진 활약을 해주시고 수고하신 Vangelis(http://securityproof.net), Override, Sionics(http://padocon.org), 착이(http://193d.com/-_-/)님께 감사드립니다. |