「그거 니 위협 모델에 따라 다르지」: 보안의 진짜 출발점, 위협 모델링

무작정 암호화한다고 안전해지는 게 아니에요

보안 얘기가 나오면 많은 분들이 이렇게 생각해요. 「그냥 다 암호화하고, 비밀번호 복잡하게 하고, 2단계 인증 걸면 되는 거 아니야?」 물론 다 좋은 습관이에요. 근데 보안을 오래 다뤄본 사람들이 입버릇처럼 하는 말이 있거든요. 「그건 네 위협 모델에 따라 다르지(It depends on your threat model)」. 이 말이 무슨 뜻인지 이해하면 보안을 보는 눈이 확 달라져요.

보안 블로거 Soatok이 쓴 「위협 모델 비공식 가이드」가 바로 이 주제를 아주 편하게 풀어낸 글이에요. 어렵게 논문처럼 쓰지 않고, 실제 감각으로 이해할 수 있게 설명하거든요. 오늘은 그 핵심 개념을 같이 짚어볼게요.

위협 모델이 뭐냐면

위협 모델(threat model)이라는 건 거창한 게 아니에요. 딱 세 가지 질문에 답하는 거예요.

첫째, 「나는 뭘 지키려는 거지?」 즉 지켜야 할 자산이 뭔지예요. 개인 사진일 수도 있고, 회사 고객 데이터일 수도 있고, 채팅 내용일 수도 있죠.

둘째, 「누구로부터 지키는 거지?」 공격자가 누구냐는 거예요. 심심한 해커일 수도, 옆자리 동료일 수도, 헤어진 연인일 수도, 아니면 국가 기관일 수도 있어요.

셋째, 「그 공격자는 어디까지 할 수 있지?」 공격자의 능력과 자원이에요. 내 와이파이를 엿볼 수 있는지, 내 폰을 직접 손에 넣을 수 있는지, 아니면 통신사에 영장을 들이밀 수 있는지.

이 세 가지를 정해야 비로소 「그래서 뭘 어떻게 막아야 하나」가 나와요. 위협 모델 없이 보안을 하는 건, 적이 누군지도 모르고 성벽만 무작정 높이 쌓는 거랑 같아요. 돈은 돈대로 쓰고 정작 뚫리는 데는 옆문일 수 있거든요.

과해도 문제, 모자라도 문제

보안 전문가들이 강조하는 포인트가 이거예요. 위협 모델을 제대로 안 잡으면 두 방향으로 다 실패해요.

한쪽은 과잉 보안이에요. 개인 블로그 하나 운영하면서 국가정보기관급 공격을 막겠다고 온갖 복잡한 장치를 걸면, 정작 나만 불편해서 결국 안 쓰게 돼요. 보안은 쓰기 불편해지는 순간 사람들이 우회하거든요. 비밀번호를 너무 복잡하게 강제하면 다들 포스트잇에 적어 모니터에 붙이는 거랑 똑같아요.

다른 쪽은 과소 보안이에요. 진짜 노려질 만한 자산을 다루면서 「설마 나를?」 하고 방심하는 거죠. 실제 공격자의 능력을 과소평가하면 딱 그 지점이 뚫려요.

그래서 위협 모델링은 「완벽한 보안」을 만드는 게 아니라, 내 상황에 딱 맞는 적정선을 찾는 작업이에요. 이게 핵심이에요.

업계에서는 어떻게 다루나

사실 위협 모델링은 학문적으로도 잘 정리돼 있어요. 마이크로소프트가 만든 STRIDE라는 프레임워크가 유명한데, 위장(Spoofing), 변조(Tampering), 부인(Repudiation), 정보 노출(Information disclosure), 서비스 거부(DoS), 권한 상승(Elevation of privilege) 이 여섯 가지 위협 유형의 앞글자를 딴 거예요. 시스템을 이 여섯 관점에서 하나씩 점검하는 방식이죠. 이 외에도 공격 트리(attack tree)를 그려서 공격자가 목표에 이르는 경로를 나뭇가지처럼 펼쳐보는 방법도 있고, OWASP 같은 단체에서도 관련 가이드를 많이 내놓고 있어요.

Soatok의 글이 반가운 건, 이런 딱딱한 프레임워크로 들어가기 전에 「왜 위협 모델이 먼저인가」를 감각적으로 이해시켜준다는 점이에요. 도구보다 사고방식이 먼저라는 거죠.

한국 개발자에게 주는 시사점

실무에 바로 적용할 수 있어요. 새 기능을 설계할 때, 코드를 짜기 전에 팀원들끼리 딱 10분만 「우리가 지키려는 게 뭐고, 누가 노릴 거고, 걔네가 뭘 할 수 있지?」를 이야기해보세요. 놀랍게도 이 짧은 대화에서 나중에 큰 사고로 번질 구멍이 미리 보이는 경우가 많거든요.

특히 개인정보를 다루는 서비스라면 더 그래요. 우리나라는 개인정보보호법이 빡세잖아요. 「이 데이터가 유출되면 누가, 어떤 방법으로 악용할까」를 위협 모델로 미리 그려두면, 규제 대응도 훨씬 탄탄해져요. 참고로 위협 모델링은 어디까지나 방어를 위한 도구예요. 「내가 뭘 지켜야 하는가」를 먼저 세우는 습관이 곧 좋은 보안의 시작이거든요.