'10.26 선관위 서비스장애', '라우트뷰'와 'K 사무관'

이글은 위키프레스 2012-05-10일자 기사 ''10.26 선관위 서비스장애', '라우트뷰'와 'K 사무관''를 퍼왔습니다.

담당자는 1명, 라우터는 '누군가 손길' 없이는 정상화 안 돼...본인은 "모르겠다"일관

'디도스 특검'이 수사를 개시한지 두 달여의 시간이 흘렀다. 현재 특검이 진행중이기 때문인지는 몰라도, 이 사건에 대한 언론의 반응은 차갑기만 한 상황이다.

그동안 '나꼼수'와 여러 전문가들의 문제제기로 인해, 현재 이 사건은 초반과 많이 달라진 양상이다. 선관위가 그동안 밝힌 자료들에서 속속들이 헛점이 발견됐기 때문이다. 이를 통해 밝혀진 사실에 의하면, 이 사건은 '디도스'만으로 일어난 일이 아니라 선관위 내부 연루 혹은 다른 방법이 사용됐을 가능성이 커 보인다.

이에 앞으로 이 사건에서 가장 중요하게 다뤄질 쟁점들에 대해 짚어보고자 한다.

▲ '라우트뷰 프로젝트', 새로운 돌파구 될까

지난 7일 '나꼼수'에서는 미국 오레곤 대학의 '라우트뷰(Route views project)'가 언급됐다. 이 프로젝트는 전 세계 라우터들의 '신호'를 기록하는 연구다. 즉 특정 경로를 따르도록 인도하던 라우터가 어느 시점부터 다른 경로를 안내하게 되면, 이전의 경로는 죽은(Down)것이기 때문이다.

김기창 교수가 공개한 오레곤 대학의 라우터 기록. 왼쪽은 텍스트 형식의 기록이며, 오른쪽은 김 교수가 데이터를 바탕으로 시각화한 그래프이다.

실제로 '오픈웹' 김기창 고려대 법학전문대학원 교수가 공개한 자료에 따르면, 라우트뷰에는 라우터가 어느 시각에 경로를 바꿨는지 표시된다. 오레곤 대학이 보관하고 있는 것이 바로 라우터의 '경로 표시 상태'이다. 한 IT 전문가는 "자세한 로그 기록은 선관위에만 있다"면서, "다만 오레곤 대학 기록상의 시간과 선관위 로그 기록상의 시간을 맞춰 보면 선관위가 제시한 자료들의 신빙성 여부를 가릴 수 있다"고 밝혔다. 즉, 선관위 로그 기록과 라우트뷰 상의 시간을 대조해보면, 선관위가 거짓말을 하는지 안하는지 알 수 있다는 것이다. 여기서 선관위가 거짓말을 한 정황이 포착된다면, 그동안 제기된 '선관위 내부 연루설'이 한층 탄력을 받을 수 있다.

그동안 김기창 교수는 이 라우트뷰의 기록들 중 선관위로 향하는 것들만 분류해 그래프로 정리해 뒀다. 공개된 그래프를 보면 이번 사건의 양상이 비정상적이란 것을 알 수 있다. 선관위가 KT회선을 모두 차단했다는 6시 58분 이전의 라우터 장애(BGP Down) 현상은 매우 간헐적으로 일어나지만, 회선을 차단한 7시 부터는 굉장히 빈번하게 나타나는 것을 알 수 있다. 또 '1차 정상화' 시간인 7시 10분에서 7시 30분 사이엔 이 현상이 말끔하게 해소된 것을 알 수 있다. 전문가들은 "라우터에서 BGP Up/Down 현상은 일어날 수 있지만, 불규칙적이고 간헐적으로 나타나는게 보통"이라며 "이렇게 몇 초 단위로 빈번하게 나타나지는 않는다"고 입을 모았다.

▲ 선관위 실제 네트워크 담당자 'K'씨, 그날 무엇을 한 걸까

지난 2월 참여연대와 중앙선관위의 토론회 당시, 선관위 측에서 나온 유훈옥 정보화담당 사무관은 "나는 당시 실제 네트워크 담당자가 아니었다"고 밝힌 바 있다. 이에 기자가 당시 네트워크 담당자는 왜 나오지 않았느냐고 묻자, "다른 부서로 갔다"면서 "(누구인지)밝힐 수 없다"고 말했다. 즉 당시의 토론회는 선관위 측에서 대응하기 위해 보낸 '수비수'만 있었을 뿐, 당사자가 참석하지 않은 '속 빈 강정'이었다.

이후 계속적인 문제제기를 하던 김기창 교수는 당시의 실제 네트워크 담당자였던 'K사무관'에 대해 언급했고, 는 지난 8일 이 'K사무관'과 직접 통화해 단독보도를 낸 바 있다.

그는 라우터 설정을 건드렸느냐는 질문에 "6시 58분 KT 회선 차단조치를 한 것은 내가 맞다"고 인정하면서도 7시 10분과 30분의 라우터 상태에 대해서는 "내가 건드린 일 없다"고 밝혔다. 

그러나 당시 중앙선관위 정보화담당관실에서 재직하는 직원 중 라우터 설정을 건드릴 수 있는 '네트워크 담당자'는 K씨 한 명이었다. 또 여러 보안 전문가들은 "장애가 일어나던 라우터가 스스로 회복할수는 없다"고 잘라 말했다. 그렇다면 누군가 설정을 건드려 7시 10분에 장애가 해소됐고, 30분에도 누군가의 손길이 닿아야 라우터 장애가 일어났다는 해석이 가능하다. 한 명 뿐인 네트워크 담당자는 "내가 건드리지 않았다"고 주장하는데 라우터 장애는 '누군가의 개입' 없이 일어날 수 없는 상황이다. 이에 K 사무관은 "7시와 7시 30분에 왜 장애가 일어났는지, 또 7시 10분에 왜 정상화가 됐는지 모르겠다"는 말만 되풀이했다. 

유지만 (redpill@wikipress.co.kr) 기자 

“검찰, 10.26 선관위 접속장애 사건 덮으려 했다”

이글은 뉴스페이스 2012-04-05일자 기사 '“검찰, 10.26 선관위 접속장애 사건 덮으려 했다”'를 퍼왔습니다.

김기창 교수 “수사기록, 상상 이상의 치밀함 드러나”

김기창 김기창 고려대 법학전문대학원 교수가 4일 “검찰이 노골적이고 본격적으로 접속장애 사건의 실상을 가려 덮으려 시도했다”고 지적했다.

김 교수는 이날 (한겨레)에 기고한 ‘10·26 선관위 사건의 진상’이라는 글을 통해 이같이 말하며 “(한겨레)가 입수한 검찰 수사기록은 디도스 공격 때문에 선관위 홈페이지 접속장애가 초래된 것이 아니라는 사실을 드러낸다”고 밝혔다.

그는 “최근 (한겨레)의 탐사보도(3월29일치 1·6·7면)로 그 윤곽이 드러나기 시작한 10·26 선관위 홈페이지 접속장애 사건은 일반인들의 예상과 상상을 뛰어넘는 대담하고 치밀한 면모를 보이고 있다”고 주장했다.

김 교수는 “올해 초 수사발표에서 검찰은 선관위가 오전 7시께 KT 회선 두개를 모두 닫았다는 사실을 숨겼다”며 “참여연대가 정보공개청구를 요구하자, 선관위는 이를 스스로 시인하며 7시 이후에는 LG 회선 하나로 과도한 트래픽이 몰려 접속장애가 생겼다는 주장을 내세웠다”고 전했다.

그러나 “(한겨레)가 단독 입수한 검찰 수사기록을 보면, 7시께부터 7Mbps 규모의 트래픽이 155Mbps 용량의 LG 회선으로 들어오고는 있었으나 무슨 이유에선가 트래픽이 선관위 바깥으로 나가지 못하는 현상이 8시40분께까지 지속되었음을 알 수 있다”고 설명했다.

그는 “선관위로 ‘들어오는’ 트래픽이 급격히 늘거나 줄었다면 이것은 디도스 공격 등 외부 요인으로 인한 것이라고 보아야 하겠지만, 들어오는 트래픽은 7Mbps 수준이 계속 유지되는 데 반해, 선관위가 바깥으로 ‘내보내는’ 트래픽은 전혀 없다가(7시~7시10분) 생겨났다가(7시10분~7시30분) 다시 없어지는(7시30분~8시40분) 모습을 보였다”고 지적했다.

김 교수는 “이것은 디도스 공격으로 생길 수 있는 현상이 아니라 선관위가 스스로 취한 일련의 조처로 인한 것일 수밖에 없다”며 “물론 그 시간에도 디도스 공격은 계속되었지만, LG가 큰 규모의 공격트래픽은 모두 탐지하여 미리 막아주고 있었고, 선관위의 디도스 방어 장비는 미미한 수준의 공격트래픽만 걸러내면 되는 상황이었다”고 말했다.

또한 “검찰 수사발표는 선관위가 작년 3월부터 디도스 공격 대응지침을 마련해두고 있었다는 사실도 숨겼지만, 수사기록에는 선관위의 디도스 공격 대응지침 전문이 포함되어 있다”고 주장했다.

김 교수는 “대응지침에는 ‘회선 차단’을 해도 된다는 말이 없음은 물론이고 디도스 공격이 들어올 경우 ‘대역폭을 늘리라’고 규정되어 있다”며 “선관위는 케이티 회선 두개를 모두 닫음으로써 대역폭을 줄였고 이런 조처가 선관위의 디도스 공격 대응지침을 정면으로 어긴 행위였다”고 지적했다.

이어 김 교수는 “당시 선관위가 사이버대피소 이동은 간단하지 않다며 KT로부터 ‘기술적인 협조’를 얻어 8시32분에 비로소 사이버대피소 이동이 이루어졌고 그때부터 접속이 원활하게 되었다고 주장했다”며 설명했다.

그러면서 “선관위는 그날 아침 박원순 서울시장 후보의 원순닷컴(wonsoon.com)이 이용한 것과 동일한 사이버대피소를 이용했는데, 원순닷컴은 SK 브로드밴드로 인터넷에 연결돼 있다”며 “SK 고객인 원순닷컴이 KT 사이버대피소를 이용하는 데 기술적 어려움이 있다거나, KT로부터 특별한 기술적 협조가 필요한 것도 아니며, 시간이 많이 걸리는 것도 아니었다”고 제기했다.

또한 김 교수는 “트래픽이 선관위 바깥으로 ‘나가지 못하도록’ 막아서 접속장애가 계속되자 그 내막을 모르는 KT가 사이버대피소 이동을 선관위에 권유했다”며 “선관위는 8시26분께 사이버대피소로 이동하는 시늉을 하지만 여전히 트래픽이 선관위 바깥으로 나가지 못하게 막아둠으로써 사이버대피소 이동 후에도 접속장애는 계속되었다”고 꼬집었다.

김 교수는 “선관위는 8시 40분께가 돼서야 KT 회선을 다시 열었고 그때부터 정상 접속이 가능했다”며 “KT는 선관위가 7시께부터 KT 회선을 닫아두고 있었다는 사실을 알지 못했다”고 덧붙였다.

그는 “검찰 수사기록을 보면 디도스 공격이 있기 전인 새벽 5시37분부터 선관위 직원이 여러 차례 선관위 데이터베이스 서버에 로그인하였다는 사실도 드러난다”며 “이 점 역시 검찰 수사발표에서는 누락되었다”고 지적했다.