최근 몇 년 간 일부 공공기관에서 발주한 웹애플리케이션(WAS) 소프트웨어 구매 제안요청서 의 세부규격에 포함된 ‘역방향 접속 방식(Reverse Connection Pooling) 기능 지원’ 내용에 대한 국내 미들웨어 업계의 반응이다. ‘역방향 접속 방식’은 방화벽에 웹서버와 WAS 간 통신을 위한 포트를 따로 열지 않는 것을 뜻한다.

즉, 내부 방화벽은 웹 서버로부터의 모든 연결 요구를 차단하도록 구성하고, WAS 서버에서 웹서버로의 역방향 연결만을 가능하도록 방화벽을 구성하는 것이다. 이렇게 되면 사용자의 요청을 받아 처리할 수 있도록 웹서버는 80포트를 오픈하고, 웹서버 또는 WAS가 가동하는 시점에 정의된 커넥션 개수만큼 역방향으로 연결하게 된다. 방화벽에 웹 서버와 WAS 간의 통신을 위한 포트를 따로 열지 않는 만큼 최상의 보안을 지원한다는 설명이다.

그러나 현재 이같은 역방향 접속 방식을 제공하는 업체는 국내 SW업체인 T사 한 곳 뿐이다. 웹로직이나 웹스피어, 제이보스, 톰캣 등 업계에서 많이 사용되는 WAS 제품 대부분은 역방향 접속 방식을 지원하지 않는다. 해외의 경우 이같은 사례가 없을 뿐더러, 이러한 방식이 오히려 보안에 취약할 수 있다는 지적이다.

한 WAS업체 관계자는 “역방향 연결은 클라이언트 서버(웹서버)의 80번 포트로만 접속할 수 있어, 공격자가 웹을 통해 시스템에 대한 불법적인 권한을 얻게 되더라고 웹 브라우저에서는 단순한 명령만 가능하기 때문에 텔넷 세션 등을 이용해 연결을 할 수 없는 것은 맞다”며 “하지만 내부에서 외부로의 연결이 자유롭기 때문에 역방향 연결을 통해 정상적인 쉘을 사용할 수 있어 공격자가 시스템을 마음대로 제어할 수 있다”고 설명했다.

순방향 연결이든 역방향 연결이든 결국 방화벽을 열 것이냐 안 열 것이냐의 문제일뿐, 기본적으로 방화벽은 양방향 연결이 가능하기 때문에 성립이 안 된다는 것이다. 역방향 연결을 하더라도 결국 포트를 열어야 하기 때문이다.

또 다른 업계 관계자는 “방화벽을 두는 목적은 포트를 관리, 제어하는 것인데, 역방향 연결은 웹서버와 WAS를 거꾸로 연결하면서 방화벽을 우회하는 셈”이라며 “WAS 담당자 입장에선 포트 연결을 위한 요청을 하지 않아도 되기 때문에 편할 수 있지만, 방화벽(보안) 담당자는 포트를 열지 않았지만 한편으로 이를 통해 해킹 사고가 발생할 수 있는 위험 요소가 존재한다”고 지적했다.

그는 이어 “방화벽의 근본적 목적을 무시한 채 우회적인 연결을 통해 보안 측면에서 휼륭한 아키텍처라고 주장하는 것 자체가 기본적인 보안 정책을 깨는 것”이라고 덧붙였다.

그러나 여전히 일부 공공기관은 이러한 역방향 연결을 선호해 WAS 구매시 ‘역방향 접속방식’을 세부요건 내용에 포함시키고 있다. 이러한 방식이 보안에 더 안전할 것이라는 믿음 때문이다. 실제 조달청 나라장터에 공고에 따르면, 지난해 발주된 한국원자력안전기술원의 ‘원자력안전규제 종합 정보시스템 구축을 위한 WAS 도입’이나 서울특별시 도시재생본부 주거환경개선과의 ‘주택개량 종합정보시스템 웹/WAS SW 구매’ 사업의 발주서에는 이같은 내용이 포함된 것을 볼 수 있다.

한 업계 관계자는 “예전에는 글로벌 기업의 경우에도 한국 지사에서 별도의 역방향 연결 모듈을 개발해 공급했던 적이 있지만, 요즘은 하지 않고 있다”며 “역방향 연결 아키텍처를 채택하는 곳을 전세계에서도 찾아보기 힘들다”고 전했다.

<백지영 기자>jyp@ddaily.co.kr