감솨감솨

저는 액티브X 뜨면 그저 가운데 중지를 쳐들고 "쉣더뻑"을 외칠 뿐입니다.

브라우저를 run as administrator로 실행하는 것은 굉장히 위험 천만한 일입니다. 하지만 키보드 보안 모듈에 방화벽, 그리고 백신까지 깔아주는 한국의 인터넷뱅킹을 사용하려면 어쩔 수 없겠지만요... 보안을 위한다는 것들이 오히려 보안을 해치고 있습니다.

근본적으론, 온라인 금융거래에서 공인인증 사용을 강제하고 있는 전자서명법의 보완혹은 전면적 폐지가 되어야 하겠고. 쓸데없이 activex로 구현된 웹사이트들은 그 성격에 따라 첫째, ajax 등을 이용한 자바스크립트 기반의 ui로 대체되거나 둘째, 어도브의 플래쉬를 사용하여 구현하거나 셋째, 앞서 첫째 둘째 방법이 모두 불가한 경우에는 그건 웹으로 구현할 수 있는 요구사항이 아님을 인정하고 과감히 포기하거나 별도의 설치가 필요한 어플리케이션 형태로 구현해서 배포해야 합니다.

이것이 실현되기 위해서는 전세계적으로 유례가 없는 전자서명법을 입안한 사람들의 생각이 바뀌어야 하고 서비스기획자, 웹개발자, 웹디자이너의 수준이 지금보다 한층 높아져야 하며 이 과정에서 자질이 부족한 이들은 퇴출되어야 합니다.

그리고, 무엇보다 외국의 사례처럼 웹 표준 AJAX, FLASH(도 activex이긴 합니다만...) 등을 사용해도 우수한 서비스를 충분히 구현해낼 수 있다는 사실이 우리 사회 저변에 확산되어야 합니다. 구글의 구글맵 서비스는 activex를 전혀 사용하지 않는데도 미국전역의 도로 정보를 포함한 상세한 지도는 물론이고 전세계 위성사진까지 보여줍니다.

그러나 우리는 어떻습니까? activex를 설치하지 않고서는 비슷한 아니 오히려 수준이 한층 낮은 지도 서비스도 이용할 수 없습니다. 물론 한국에도 나쁜 예만 있는 것은 아닙니다. 모 극장의 온라인 예약 서비스에서 처음으로 구현됐던 플래쉬를 사용한 시스템이 이제는 일반화 된것은 매우 긍적적 현상입니다. 성공 사례들이 좀 더 나와야 합니다.

기술흐름을 무시하고 왜곡하는 법과 제도가 바뀌기를 기대하는 한편, 표준에 근접하지 않은 기술을 사용하는 서비스를 철저히 배격하는 보다 적극적인 방법으로 세계적인 기술 표준에 근접한 서비스가 더 경쟁력이 있다는 사실을 보여주어야 합니다. 대한민국에서 더이상 악화가 양화를 구축하는 일을 더 이상 보기 싫습니다.

사실 엑티브엑스가 대부분의 유저들에게 불편한 점이 많다는건 인정합니다
어느게임사이트건 은행권이건, 뭐 동영상 하나 보려고 하면 엑티브 엑스 깔라그러고..
참 눈안의 가시 같은 존재죠..

하지만, 우리가 엑티브엑스 덕분에 얼마나 편하게 살았는지.. 더듬어 볼 필요도 있다고 생각합니다.
가령, 게임 좋아하는 사람들에겐 장비 혹은 아이템이 목숨과도 같죠 >.,<
정신나간 초딩들 게임방에 백도어 프로그램 깔아서 아이템 해킹하고 그러지요..
이때 게임실행과 같에 키보드 보안 및 백신이 실행되어 대부분의 백도어 및 악성코드는 잡아냅니다.

아마 돈과 직접적으로 관련된 은행권에선 절대적 보안 시스템이지요.
공인 인증서 또는 https 와 같은 정도의 보안과는 비교가 되지 않습니다.
가령, https 과 같은 경우는 서버로 전송되는 데이터만 암호화가 될뿐, 악성 혹은 백도어 프로그램이
설치된 PC 의 경우 치명적인 피해를 예상하셔야 합니다

그래서인지, 어디 은행 해킹당했다.. 어디 게임사이트 해킹당했다는 말은 들어 본적이 없는것 같네요.
단순 패스워스 관리 소홀정도에서 원인을 찾아 볼 수 있었지요.

단지 엑티브엑스가 치를떨며 싫어지는건 어떠한 표준도 없이 비슷한 종류의 프로그램을
사이트마다 깔아야 한다는거지요.
은행권도 자사의 은행 전용 보안 엑티브엑스가 여러개있지 않습니까
이것도 나라에서 앞장서서 표준화를 하던지.. 좀 귀찮긴 귀찮네요..

위 분은 Ajax 를 엑티브엑스와 비교하셨는데요..
Ajax 와 엑티브엑스는 비교 대상이 아니라고 봅니다.
Ajax 는 이런저런 해석이 있지만, 결론적으로 비동기적으로 서버에 접근하기 위함이죠.
Ajax 는 보안과 동떨어진 기술입니다. 왜냐하면 순전히 자바스크립트로 표현하며,
이 소스를 누구나 볼 수 있기 때문이지요~~

우리나라에선 엑티브엑스가 대세라고 하면 외국에서 비웃더군요.
하지만 외국에선 자바 애플릿이 대세라고 하더군요...

엑티브엑스 자체가 나쁜것이 아니라, 이를 표준화 하지 못하고 재각각 무차별 배포하는
나라, 사이트 기획자가 문제가 아닐까 생각하네요... >.,<

추천 한방 날리구 갑니다^^

땡초님//

의견 감사드립니다.

이미 다른 곳에서 같은 내용으로 토론이 활발히 이뤄지고 있고 그곳에 충분한 설명이 있을테지만, 윗분의 이해를 돕기 위해 인터넷뱅킹에서 사용되는 activex 에 대해서 자세한 설명을 적어드리니 참고하시기 바랍니다.

http 커넥션을 통해 오가는 정보는 암호화 되지 않은 plain text 입니다. 보안상 문제가 있으므로 오가는 정보를 암호화된 형태로 처리하는 (말씀하셨듯이) ssl/https 라는 de-facto standard가 있고 거의 모든 브라우저가 이를 지원합니다. 하지만 한국에서는 자체 암호화 기술의 사용을 무조건 강제하고 있으며 서버인증 프로세스에 사용되는 최상위 루트인증기관으로 KISA만을 인정하는 전자서명법을 시행하고 있으므로 브라우저에 내장된 HTTPS를 사용할 수 없고 따라서 별도의 프로그램을 설치해 처리하고 있습니다. 그리고, 모든 온라인거래에 있어서 개인인증을 통해야만 법률적 진정성을 인정하고 있다는 점도 빠뜨릴 수 없겠지요. 이 모든 사항들을 activex형태로 구현해 놓았습니다. (최대한 요약해보았는데 저의 설명에 기술적 오류가 있다면 지적해 주십시오...)

국내 자체 기술이라는 미명하에 사용이 강제되고 있는 암호화 방식이 전세계적으로 널리 사용되고 테스트되는 암호화 방식보다 더 우수하다고 할 수 없고, 서버인증을 위해 국내 독자적인 최상위인증기관을 운영할 뚜렷한 명분도 사실상 없으며, 개인인증에 있어서도 전자적 방식 이외의 다른 대안이 없는 것도 아니어서, activex로 구현해놓은 것들은 zdnet칼럼리스트 김국현씨의 말대로 reinventing the wheel의 오류를 범하고 있습니다. 이미 있는 것들로 다 해낼 수 있는데 쓸데없이 뭔가를 만들어 온 국민들에게 사용을 강요했다는 얘기입니다.

혹시 클라이언트측 PC에 설치되어 있을 지도 모르는 키로거를 막기 위해 친절하게도 키보드 보안 방지 activex까지 설치하고 있으나, 이 역시도 화면상에 보이는 가상 키패드를 클릭하는 방법이나 암호 발생 카드를 통해 간단히 해결할 수 있고 실제 다른 나라에서는 그렇게 합니다.

최소한 금융권에서 '보안'이라는 명목하에 설치되는 모든 activex들은 기술 흐름과 괴리된 법과 제도가 빚어낸 결과물들일 뿐입니다. 관련 솔루션업체들만 배불리고 있습니다.

위에서 설명하지 못한 것들이 많이 있습니다. 안전하다고 철썩같이 믿고 계시는 그 방법이 또 다른 구멍이 될 수 있습니다. 실제로 그렇다는 몇가지 이유를 알려드리고 싶으나 남의 블로그에 남기는 댓글이라 이만 줄여야 겠네요...

vista의 출시와 기형적인 국내 인터넷환경에 대한 다른 토론 내용을 검색해 보시길 권해드립니다.

미국 인터넷뱅킹에서도 이체 됩니다. 아마 SSN이 없으셔서 그런게 아닐까 싶은데요(확실치 않네요). activex같은 거 하나도 안 깔고도 한국에서보다 더 잘됩니다. 단.. 예금 신규같은 건 확실치 않네요. 무엇보다 미국 애들은 인터넷으로 그런 걸 잘 안할려고 하니까... 아마존닷컴에서 카드로 결재할 때 300불이상 긁었다고 한국에서처럼 ISP인증이나 안심클릭인증 거기다 공인인증까지 하진 않습니다. 카드 번호 넣고 마우스만 몇번 클릭하면 바로 결재됩니다. 카드 홀더 네임같은건 묻지만 카드 비밀번호도 묻지 않아요. 가끔 paypal같은데선 카드 뒷면의 CVC값을 넣으라고 하긴 하지만...
그리고 미국과 비교하면 말씀하신대로 한국의 인터넷뱅킹은 정말 잘 되어 있어요. 집안에 앉아서 모든걸 다 할 수 있게 되어있으니까요. 하지만 미국이 한국보다 기술이 부족해서 안하는것은 아닙니다. 거긴 시스템이 너무 복잡하거든요. 그래서 좀 늦을뿐입니다. 그런면에서 한국이 빠르긴 하죠. 미국에선 우리나라에서는 이제 쓰지도 않는 개인 수표 발행하는 사람이 많아요. 지금도 아주 유용하게 쓰고 있고요.

엑티브엑스를 이용하여 사용자 보안을 지켜준다는 것은 참 아이러니하죠.
차라리 전문 번들 보안 프로그램을 다운받아 설치하는 방식이 좋지 않을까 싶습니다.

흠 외국에서 온라인 이체가 안된다니..놀랍네요.
active x를 무조건 욕할것도 아니군요. 우리에게 편리함을 준만큼 불편함도 주는 것이겟죠. exe를 내려받아 설치하더라도 인터넷뱅킹의 편리함은 유지되었으면 좋겟습니다.

좋은 정보 감사드립니다...

http://blog.naver.com/osiris73?Redirect=Log&logNo=40035691810 여기에 깔끔하게 퍼갔네요.. 링크눌러도 누구꺼인지도 모르게 그렇게 펐네요..

왜 저는 바로가기 고급으로 가면 사용자 권한으로 실행이있는데 안눌러지죠

경고는 충분하지 않았나요 ActiveX가 MS가 자체적으로도 비권장하는 기술에 들어가 있었고

비스타의 초기 RC 버전이 나올때부터 해당문제가 지속적으로 보고되었는데 우리나라의 대처가 늦은것뿐이죠.

저는 비스타의 호환성 이슈는 NT와 2000, XP를 거쳐서 점진적으로 향상되어 왔다고 생각합니다. 만약 이게 MS의 OS 보안 정책에 대한 홍보의 문제라면 전 세계적으로 한국과 똑같은 혼란이 빚어져야 마땅 합니다. 왜 우리만 이렇게 혼란 스럽습니까? 정부가 당분간 비스타 쓰지말라고 하는 권고가 나오고 왜 이런 우리 문제만 이렇게 슬래스닷되고 해외 뉴스 토픽감이 되어야 하느냐는 말이죠.

결국 한국 MS의 홍보 부족 탓인가요?

외국의 어플리케이션은 XP의 일반 사용자도 구동할 수 있도록 프로그램을 작성합니다. 우리 나라 윈도우 개발자만 사용자가 관리자라고 판단하고 모든 프로그램을 작성하는 거 아닐까요? 제가 지적하는것은 다양한 고려 사항을 검토하지 않고 손쉽게 만들는 기술 방식을 채택하는 PM들과 그걸 종용하는 값싼 문화가 이걸 다 만든게 아닌가 하는 점입니다.

minime 회원님의 상기 포스트가 미디어몹에 링크가 되었습니다.

마땅히 그래야 될 것이 vista에 이르러서야 그렇게 됐는데, 그걸 마치 전적으로 MS의 잘못인양 서술하는 건 언어도단입니다. 국내의 수준 낮고 기형적인 인터넷 환경이 근본 문제입니다. vista의 출시 이전부터 오랜 기간을 두고 배포된 CTP등을 통해 호환성 문제를 해결할 수 있었을텐데 말입니다. 그리고, 글에서 지적하신 드라이브루트에 임시파일을 저장토록 한 각종 어플리케이션이 근본 문제 아닙니까? 그런 프로그램을 개발한 정신머리 없는 개발자가를 탓해야할 문제로 보이는데요...

이쯤되면 보통 사람을 위한 홈 컴퓨팅과 기업이나 정부에서 사용되기 위한 비즈니스 컴퓨팅이 분리될 때가 왔다고 보여집니다. 홈 컴퓨팅 영역은 플레이스테이션3처럼 mp3면 mp3, 게임실행이면 게임실행, 딱 되는 것만 되고 유저에게는 제한된 권한만 가능하게 하므로써 전체 시스템의 안전성을 강화하는 방향으로 나아가고 비즈니스 컴퓨팅 영역은 초기 NT시절처럼 운영체제 제작사는 ACL과 같은 기본적인 메커니즘만을 제공하고 나머지 운영의 문제는 사용자에게 넘기는 체제로 돌아가야 합니다. 초기 NT시절만 해도 유저가 ACL에 대한 기본개념만 확고하면 얼마든지 시스템을 훌륭하게 운영해 나가는 것이 가능했습니다. 다만 이 시기에 유저들이 운영체제의 보안 메커니즘을 배울 의지가 전혀 없었고 '아 씨밤 NT 왜일케 불편해'라고 했기 때문에 마소가 XP에서 모든 것이 '관리자' 아니면 '일반 사용자'로 갈리는 단순한 체제를 만들었고(일반 사용자는 어플 설치/삭제가 안 되기 때문에 모든 PC제조업체가 디폴트 값을 관리자로 셋팅하기 시작했고) 여기서부터 단추가 잘못 채워지기 시작한 거죠. XP에서 한 번 단추가 잘못 채워졌고 비스타에서 한 번 더 잘못 채워지니까 이제 겉잡을 수 없이 된 거 아닌가요?

초기 NT시절처럼 운영체제 제작사는 보안 매커니즘만을 제공하고 운영의 문제는 사용자에게 넘겼더라면 지금과 같은 비스타 대란은 없었을 것이라고 생각합니다. 저는 XP SP2와 같은 시도는 너무나 코메디적인 시도라고 생각합니다. 브라우저로 다운 받는 모든 exe파일에 대해 '예, 아니오'를 한 번 더 묻게 한 거 밖에 마소는 한 게 없습니다. 그리고 비스타에서는 모든 중요한 작업에 대해서 '이 작업을 시도한 게 최준열이 맞니?'라는 질문을 한 번씩 더 던지지요. 젠장, 이 방엔 나 밖에 없는데...일본에 있는 고이즈미가 했을지도 모른다는 건가?

운영체제를 만들다 보면 위험부담을 어느 정도는 사용자에게 넘겨야 하는 부분도 있는데 마소는 너무 모든 것을 강하게 통제하는 운영체제를 만들려 하다가 비스타라는 실패적인 결과물을 내 놓은 것으로 보입니다. 그리고 비스타는 그런 보안정책 측면 말고도 다른 면에서도 실패작이라고 생각합니다.

쩝...그런데 댓글을 달면서 홈페이지 난에 제 블로그 주소를 적으니까 차단된 사용자라서 댓글을 달 수가 없다고 나오네요.

나름대로 이유가 있으셔서 차단했을 거라고 보여집니다. 특별히 불평은 하지 않겠습니다.

확실히 이번 Windows, Vista는 UAC를 통해 계속 [질문]을 하고 [허락]을 얻으려고 하는 모습을 보입니다.

오히려 기술적인 측면에서 어떻게 할 순 없었을까 하는 아쉬움이 많이 남더군요.