보안이란 무엇인가 : Lee의 기술블로그

보안을 이야기하면 사람들은 보통 자물쇠부터 떠올린다.

더 긴 비밀번호.

더 강한 암호화.

OTP.

패스키.

YubiKey.

물리 보안키.

물론 전부 중요하다.

하지만 정말 강한 보안은 단일 물건이 아니다.

아무리 강한 자물쇠도 그것 하나에 모든 것이 걸려 있다면, 결국 그 자물쇠가 단일 실패점이 된다.

그래서 보안의 본질은 다른 곳에 있다.

하나가 깨져도 전체가 무너지지 않는 구조.

가장 강한 생명체는 무엇일까

처음에는 바이러스를 생각했다.

바이러스는 굉장히 흥미로운 존재다.

본체가 작다.

필요한 기능을 최소화한다.

다른 시스템을 이용한다.

복제된다.

변이한다.

여러 곳에 퍼진다.

한 개체를 제거했다고 해서 전체가 사라지지도 않는다.

보안이라는 관점에서 보면 굉장히 질긴 구조다.

중심을 없애고, 자신을 분산시킨다.

하지만 생각을 조금 더 밀어붙이면 더 강한 것이 있다.

공기다.

공기에는 본체가 없다.

중심이 없다.

특정 지점을 파괴한다고 전체가 사라지지 않는다.

누가 소유하기도 어렵다.

어디서 시작하고 어디서 끝나는지도 명확하지 않다.

바이러스가 중심을 분산시킨 존재라면,

공기는 아예 중심이라는 개념 자체가 희미한 존재다.

그래서 이런 생각에 도달한다.

최고의 보안은 금고가 아니라 공기일지도 모른다.

가장 두꺼운 성벽을 만드는 것이 아니라,

공격자가 무엇을 공격해야 하는지조차 명확하지 않게 만드는 것.

보안은 물건이 아니라 구조다

실제 보안도 마찬가지다.

OTP 하나가 보안이 아니다.

패스키 하나가 보안이 아니다.

YubiKey 하나가 보안이 아니다.

강한 시스템은 여러 층이 겹쳐 있다.

인증이 있고,

기기가 있고,

권한이 있고,

네트워크가 있고,

로그가 있고,

승인이 있고,

복구가 있고,

물리보안이 있다.

각 층은 다른 실패를 막는다.

비밀번호가 털려도 끝나지 않는다.

기기를 빼앗겨도 끝나지 않는다.

관리자 계정 하나가 뚫려도 끝나지 않는다.

한 지점이 망가졌을 때 다음 층이 기다리고 있어야 한다.

보안을 강하게 만드는 것은 가장 강한 부품이 아니다.

서로 다른 실패모드를 가진 부품들의 조합이다.

그리고 영상이 있다

영상은 생각보다 재미있는 매체다.

정지 이미지는 공간을 가진다.

영상은 공간에 시간을 하나 더 가진다.

이미지는 x, y라면,

영상에는 t가 추가된다.

그 순간 정보가 들어갈 수 있는 공간이 폭발적으로 늘어난다.

물체 자체뿐만 아니라,

물체의 위치,

등장 순서,

움직이는 방향,

프레임 간 변화,

전환 시점,

다른 물체와의 관계까지 의미가 될 수 있다.

그리고 이것은 반드시 전통적인 암호일 필요도 없다.

사람에게는 그냥 예쁜 풍경인데,

어떤 사람에게는 특정한 의미를 만들어낼 수도 있다.

여기서 암호의 개념이 달라진다.

기계의 암호가 값을 숨긴다면,

인간의 암호는 의미를 숨길 수 있다.

위치와 연상과 의미

예를 들어 어떤 영상에 산이 있다고 하자.

산 자체에는 특별한 의미가 없을 수 있다.

하지만 산의 왼쪽에 무엇이 놓였는지,

어떤 시간에 등장하는지,

무엇 다음에 나타나는지,

그 산을 보는 사람이 어떤 문화적 연상을 가지고 있는지에 따라 전혀 다른 정보가 된다.

즉,

Object × Position × Relation × Time × Meaning

이 결합이 하나의 코드가 될 수 있다.

이때 해독기는 컴퓨터 프로그램이 아닐 수도 있다.

사람 자체가 decoder가 된다.

문화도 열쇠가 될 수 있다

여기서 더 재미있는 문제가 생긴다.

어떤 사회의 사람들이 아주 오랫동안 같은 환경에서 살아왔다면,

그 사람들은 일정한 연상을 공유한다.

비슷한 상징을 알고,

비슷한 인터페이스를 사용하고,

비슷한 속도로 행동하고,

비슷한 상황에서 비슷한 기대를 한다.

그렇다면 문화 자체가 하나의 해석기가 될 수 있다.

물론 한국인 모두가 똑같은 것은 아니다.

100% 동일한 국민성 같은 것은 존재하지 않는다.

하지만 상당수가 공유하는 행동분포와 문화적 문법은 존재한다.

예를 들어 한국 사회에서 흔히 이야기되는 특징 중 하나가 속도다.

“빨리빨리.”

기다림을 싫어하고,

결과를 빨리 확인하고,

복잡한 화면에서도 필요한 곳을 빠르게 찾고,

다음 단계로 빠르게 이동하는 행동이 오랫동안 축적되어 있다.

이런 문화적 성향은 단순히 사회학적인 특징으로만 남지 않는다.

제품에도 스며든다.

인터페이스에도 스며든다.

서비스 구조에도 스며든다.

그리고 오랜 시간이 지나면,

인터페이스는 그 사회의 행동을 압축한 결과물이 된다.

네이버를 다시 보면

네이버를 처음 보는 외국인은 종종 정보가 지나치게 많다고 느낀다.

하지만 오랫동안 네이버를 써온 한국인은 그 화면을 빠르게 읽는다.

어디를 눌러야 하는지 안다.

무엇이 광고인지,

무엇이 검색결과인지,

어디에 지도가 있을지,

어디에 쇼핑이 있을지,

어디를 누르면 다음 단계로 갈지 예상한다.

굉장히 많은 정보가 있지만,

익숙한 사용자에게는 오히려 압축된 인터페이스다.

여기서 중요한 생각이 하나 나온다.

국민이 공유하는 행동편향은 결국 인터페이스에 굳어진다.

그리고 그 인터페이스를 반대로 읽으면,

그 사회의 행동문법을 어느 정도 읽을 수 있다.

네이버 같은 초대형 서비스에는 수천만 명의 정상적인 사용자 행동이 오랫동안 축적된다.

그러면 단순히

“비밀번호를 맞게 입력했는가”

만 보는 것이 아니라,

“이 행동이 정상적인가”

라는 새로운 문제가 생긴다.

이것은 실제 보안에서 매우 중요한 개념이다.

행동도 인증 정보다

계정과 비밀번호를 훔치는 것은 가능하다.

OTP를 가로채는 공격도 존재한다.

세션을 탈취하는 공격도 존재한다.

하지만 사용자의 모든 행동까지 완전히 복제하는 것은 훨씬 어렵다.

어떤 시간에 접속하는지.

어떤 기기를 쓰는지.

어떤 순서로 이동하는지.

무엇을 먼저 누르는지.

얼마나 빨리 움직이는지.

평소와 얼마나 다른지.

이런 요소가 모이면 하나의 행동분포가 된다.

여기에 개인적인 행동 패턴뿐 아니라 해당 서비스 사용자 집단 전체의 정상분포까지 더하면,

보안은 점점 단순한 자물쇠에서 멀어진다.

대략 이런 형태다.

문화적 baseline

× 개인 baseline

× device

× context

× time

중요한 것은 “한국인은 성격이 급하다” 같은 문장 자체가 비밀번호가 된다는 뜻이 아니다.

문화는 비밀이 아니다.

누구든 공부할 수 있다.

하지만 문화가 만든 행동의 분포가 다른 신호들과 결합하면 강력한 이상탐지의 한 층이 될 수 있다.

따라서 더 정확하게 표현하면 이렇다.

문화는 비밀번호가 아니라, 해석기를 공유하게 만드는 열쇠다.

그리고

공통 문화는 의미의 열쇠가 되고,

공통 습관은 행동의 열쇠가 된다.

강한 보안은 침입을 막는 것에서 끝나지 않는다

면역계를 생각해보면 더 명확하다.

생명체는 모든 공격을 완벽하게 차단하지 않는다.

감지한다.

식별한다.

격리한다.

제거한다.

복구한다.

그리고 기억한다.

감지 → 식별 → 격리 → 제거 → 복구 → 기억

보안도 점점 이 형태에 가까워진다.

완벽하게 침입을 막겠다는 사고에서,

침입이 일어나도 살아남겠다는 사고로 이동한다.

이것이 resilience다.

미래의 보안은 승인까지 간다

AI 에이전트가 실제 업무를 수행하기 시작하면 이 문제는 더 중요해진다.

AI가 이메일을 읽는 것과,

AI가 돈을 송금하는 것은 다르다.

파일을 분석하는 것과,

회사의 프로덕션 환경을 삭제하는 것도 다르다.

따라서 중요한 작업에는 새로운 경계가 필요하다.

AI가 작업을 제안한다.

시스템이 위험도를 판단한다.

행동로그가 기록된다.

그리고 마지막 중요한 작업에서는 인간이 패스키나 별도의 하드웨어 키로 승인한다.

여기서 YubiKey 같은 물리키의 의미도 달라진다.

그것은 단순한 로그인 도구가 아니라,

현실의 인간과 디지털 시스템 사이에 존재하는 최종 승인점이 될 수 있다.

결국 최고의 보안은 무엇인가

아마 가장 좋은 보안은 사람들이 보안이라고 인식하지 못하는 보안일 것이다.

공기처럼 존재한다.

하나의 중심이 없다.

여러 층으로 분산되어 있다.

한 곳이 깨져도 다른 곳이 살아 있다.

사용자의 행동을 본다.

기기를 본다.

환경을 본다.

시간을 본다.

필요하면 현실의 영상과 물리적 행동까지 확인한다.

그리고 가장 위험한 순간에는 인간에게 다시 권한을 돌려준다.

좋은 보안은 가장 강한 자물쇠를 만드는 일이 아니다.

공격자가 하나의 자물쇠만 깨서는 아무것도 얻을 수 없게 만드는 일이다.

그래서 결국 처음의 문장으로 돌아온다.

최고의 보안은 금고가 아니라 공기다.

금고는 공격할 수 있다.

하지만 공기는 어디를 공격해야 할지부터 어렵다.

그리고 정말 강한 시스템은,

점점 공기를 닮아간다.