모니터를 새로 샀을 뿐인데, 어느 날 PC에 처음 보는 LG 소프트웨어가 깔려 있다면 어떨까요? 최근 LG 모니터를 연결하면 윈도우 업데이트를 통해 LG의 유틸리티 소프트웨어가 사용자에게 묻지도 않고 자동 설치된다는 사실이 알려지면서 논란이 됐어요. 사용자가 다운로드 버튼을 누른 적도, 설치 마법사에서 동의를 누른 적도 없는데 말이죠.
어떻게 이게 가능한 걸까
이게 가능한 이유는 윈도우의 드라이버 배포 구조에 있어요. 마이크로소프트는 하드웨어 제조사들이 자사 장치용 드라이버를 Windows Update에 등록할 수 있게 해줘요. 새 장치를 연결하면 윈도우가 그 장치의 하드웨어 ID를 확인하고, 매칭되는 드라이버를 자동으로 받아서 설치하죠. 여기까지는 사용자 편의를 위한 정상적인 동작이에요. 프린터를 꽂으면 알아서 잡히는 게 이 덕분이니까요.
문제는 이 채널에 드라이버만 실리는 게 아니라는 거예요. 제조사는 드라이버 패키지에 자사 유틸리티 소프트웨어를 얹거나, 장치와 짝지어진 '제조사 앱'이 자동으로 내려오도록 등록할 수 있어요. 윈도우 설정에도 '장치 설치 설정'이라는 항목에 제조사의 앱과 사용자 지정 아이콘을 자동으로 다운로드하는 옵션이 있는데, 기본값이 켜짐이거든요. 결국 모니터를 연결하는 행위 자체가 소프트웨어 설치 동의로 간주되는 셈이에요. LG 모니터의 경우 화면 제어용 유틸리티가 이런 경로로 조용히 설치된 거고요.
왜 문제인가
'어차피 쓸모 있는 유틸 아니야?'라고 넘길 수도 있지만, 문제가 몇 겹이에요. 첫째, 동의의 부재예요. 소프트웨어 설치는 명시적 동의가 원칙인데, 이 경로는 그 원칙을 우회해요. 지워도 장치를 다시 연결하면 재설치될 수 있고요. 둘째, 공격 표면 확대예요. 이게 뭐냐면, 시스템에 프로그램이 하나 늘어날 때마다 공격자가 파고들 수 있는 입구도 하나 늘어난다는 뜻이에요. 제조사 유틸리티는 보통 높은 권한으로 상주하는데, 이런 프로그램의 취약점은 공격자에게 좋은 먹잇감이거든요. 실제로 2021년에는 Razer 마우스를 꽂기만 하면 Synapse 설치 과정의 허점으로 관리자 권한을 탈취할 수 있는 취약점이 공개돼 파장이 컸죠. 셋째, 백그라운드 상주 프로세스가 늘어나며 생기는 리소스 낭비와 데이터 수집 우려예요.
비슷한 전례도 많아요. ASUS는 한술 더 떠서 메인보드 펌웨어(UEFI) 수준에서 Armoury Crate 설치를 트리거하는 방식을 써왔고, HP나 레노버 같은 제조사의 앱이 스토어를 통해 슬그머니 설치되는 사례도 반복돼 왔어요. 특정 회사만의 일탈이 아니라 업계 전반의 관행이 된 거죠.
막는 방법
다행히 끄는 방법이 있어요. 윈도우 검색에서 '장치 설치 설정'을 열고 '아니요'를 선택하면 제조사 앱 자동 다운로드를 막을 수 있어요. 회사 환경이라면 그룹 정책에서 드라이버와 함께 오는 소프트웨어 배포를 통제하거나, WSUS나 Intune으로 업데이트 채널 자체를 관리하는 게 정석이고요. 이미 설치된 유틸은 프로그램 제거에서 지우되, 위 설정을 먼저 꺼야 재설치를 막을 수 있어요.
우리가 챙길 것
이 사건이 개발자에게 주는 메시지는 두 가지예요. 하나는 신뢰 모델에 대한 질문이에요. 운영체제의 자동 업데이트 채널은 보안의 근간인데, 그 채널이 벤더의 소프트웨어 유통 통로로 쓰이면 사용자의 신뢰가 흔들려요. 다른 하나는 제품 설계 관점인데요. 아무리 편의 기능이라도 설치와 실행은 옵트인, 그러니까 사용자가 직접 켜는 방식이어야 한다는 것, 그리고 상주 프로그램은 꼭 필요한 최소한의 권한으로만 설계해야 한다는 원칙을 다시 확인하게 해줘요.
정리하면, 모니터 연결이 곧 소프트웨어 설치 동의가 되어버리는 윈도우의 기본 설정이 이번 논란의 핵심이에요. 여러분은 어떻게 생각하세요? 제조사 유틸리티의 자동 설치, 편의로 봐야 할까요, 아니면 명백히 선을 넘은 걸까요?
🔗 출처: Hacker News