미 국가안보국 NSA가 줌(Zoom)과 마이크로소프트 팀즈(Microsoft Teams), 슬랙(Slack) 등 리모트워크에서 자주 사용하는 주요 화상회의 도구와 메시징 도구 안전성을 평가한 보고서를 발표했다.
평가 대상은 시스코 웹엑스(Cisco Webex), 더스트(Dust), G스위트(G Suite), 고투미팅(GoToMeeting), 매터모스트(Mattermost), 마이크로소프트 팀즈, 시그널(Signal), 스카이프포비즈니스(Skype for Business), 슬랙, SMS, 왓츠앱, 위커(Wickr), 줌이다. NSA는 이들 도구 보안에 대해 8가지를 기준으로 평가를 실시했다.
첫째는 엔드투엔드 암호화 구현 여부. 보낸 사람고 받는 사람에 이르기까지 모두 암호화를 할 뿐 아니라 암호화키가 상호 작용하고 있는지 여부가 중요하다. 또 대규모 화상 채팅을 할 경우 성능 문제로 종단간 암호화를 구현하지 않기도 한다.
다음은 통신 암호화가 강력한지 그리고 잘 알려진 테스트 가능한 암호화 표준에 근거했는지다. 종단간 암호화가 없는 경우에도 NSA는 강력한 암호화 표준 사용을 권장하며 TLS와 DTLS, SRTP 등 공개된 프로토콜 표준을 사용하는 게 바람직하다고 밝히고 있다.
다음은 다단계 인증 사용 여부다. NSA는 도구별 이용에 코드와 토큰, 생체 인식 등 다단계 인증을 이용해 기존 계정에 대한 액세스를 허용하는 방법을 체크한다. 이어 사용자 세션에 연결하는 사용자를 확인하고 제어할 수 있는지 여부다. NSA는 로그인 비밀번호와 대기실 등 기능을 이용해 세션에 대한 액세스를 초대한 사람에게만 제한할 수 있는지 여부, 세션에 합류하는 합리적이고 강력한 인증을 지원하는 게 바람직하다고 밝히고 있다.
다음은 개인정보 보호 정책과 타사나 계열사에 대한 정보 공유를 허용하는지 여부다. 회의도구에는 연락처 정보와 콘텐츠 등 민감한 데이터를 보호할 수 있어야 한다. 아이디와 연관된 메타데이터 장치 정보, 세션 기록 등 조직을 손상시킬 다양한 정보가 제3자와 공유되는지 여부와 만일 된다면 개인정보보호 정책에 명기를 해야 한다.
다음은 사용자는 클라이언트와 서버 양쪽에서 서비스 저장소와 필요한 데이터를 안전하게 제거할 수 있는지다. NSA는 데이터의 안전한 덮어 쓰기와 삭제 기능을 완벽하게 지원하는 서비스는 아닐 수 있지만 사용자가 공유한 파일이나 세션 내용 같은 데이터를 삭제하고 사용하지 않는 계정을 영구적으로 제거할 수 있는 기회가 주어져야 한다고 설명한다.
이어 오픈소스로 개발되고 있는지 여부, 마지막은 미 연방정부 보안 인증(FedRAMP) 준수 여부다.
평가를 정리한 걸 보면 마이크로소프트 팀즈와 구글 G스위트는 강력한 암호화와 다단계 인증, FedRAMP 준수, 다양한 측면에서 NSA 요구 수준을 충족하지만 개인 데이터가 타사나 개발사에 공유하는 정책을 명시하고 있다. 슬랙의 경우 클라이언트 쪽에서 서버 쪽 데이터를 자유롭게 삭제할 수 없다. 또 줌은 FedRAMP를 준수하는 반면 사용자 다단계 인증은 사용하지 않는다. 줌은 사용자 개인 정보 유출과 보안 문제를 계속 지적받은 바 있다.
NSA는 화상회의 도구 보안 평가 보고서 공개 이유에 대해 군사 조직과 공공기관, 민간 기업에 중요한 도구의 특징을 정리해 안내하기 위한 것이며 조직별로 적절한 보안 체계를 갖추고 악의적 공격자 등의 위협에 대비해야 한다는 취지라고 설명했다. 관련 내용은 이곳에서 확인할 수 있다.