[IT동아 권택경 기자] IT 전반에 관한 의문, 혹은 제품 및 서비스의 선택에 고민이 있는 독자의 문의 사항을 해결해드리는 ‘IT애정남’입니다. 영화 ‘기생충’을 보면 초반에 이런 장면이 나옵니다. 윗집 와이파이를 훔쳐 쓰던 주인공인 기택네 가족. 여느때처럼 이웃 와이파이에 무임승차하려다가 탄식을 내뱉으며 한마디합니다. “드디어 비번을 거셨다”고 말이죠. 이처럼 와이파이를 이용한 해킹이나 와이파이 도둑질을 막으려면 우선 비밀번호부터 거는 게 중요합니다. 하지만 그것만으로는 부족할 것 같아 와이파이 이름도 숨기는 경우가 종종 있죠. 그런데 이렇게 와이파이 이름을 숨기는 게 실제 보안에 얼마나 도움이 될까요? dus***님의 사연입니다. (일부 내용 편집)

안녕하세요. 평소 보안에 민감한 편이라 무선 공유기 와이파이 설정에서 SSID 숨기기 설정을 켜두는 걸 선호하는 편입니다. 그런데 최근 SSID 숨기기 설정이 보안에 별로 도움이 안 되는 걸 넘어서 오히려 보안에 해가 될 수도 있다는 얘기를 얼핏 들었는데요. 무슨 이치로 SSID를 숨기는 게 오히려 더 위험하다는 건지 잘 이해가 되지 않습니다.

'SSID 숨기기'보다 비밀번호 설정 등 다른 보안 수칙이 더 중요하고 효과적

SSID(Service Set ID)는 우리가 와이파이에 접속할 때 볼 수 있는 와이파이 네트워크의 이름을 말합니다. 지하철에서 볼 수 있는 ‘T wifi zone_secure’, 스타벅스에서 볼 수 있는 ‘KT_starbucks_Secure’와 같은 것들이죠. 여러 와이파이 신호를 구별하는 역할을 합니다. 우리가 눈에 보이지 않는 와이파이 신호의 존재를 알 수 있는 것도 이 SSID 덕분입니다. 무선 공유기 등 무선 접속 지점들은 이 SSID를 송출함으로써 와이파이 신호의 존재를 스마트폰이나 노트북에 알립니다.

만약 SSID를 송출하지 않으면, 일반적인 방법으로는 그 와이파이가 있는지 없는지 알 수 없습니다. 그러니 SSID를 숨긴 와이파이에 접속하려면 직접 SSID를 입력해야하죠. 이미 그 와이파이가 존재한다는 사실을 알고 있어야 접속이 가능하다는 뜻입니다. 이웃이 와이파이를 훔쳐 쓰려고 해도 존재를 알 수조차 없으니 불가능해지는 거죠.

하지만 이건 어디까지나 일반인의 경우에 한정된 얘기입니다. 네트워크에 관한 지식과 기술이 조금이라도 있는 해커라면 가려진 SSID를 찾아내는 것 정도는 매우 쉽게 할 수 있습니다. 물론 마음먹고 찾으려고 들지 않으면 알아낼 수 없고, 귀찮고 시간이 들기 때문에 방어 효과가 전혀 없다고 보기는 힘듭니다. 실제로 방송통신위원회와 한국인터넷진흥원이 지난 2010년 펴낸 ‘알기쉬운 무선랜 보안 안내서’에서도 이 같은 이유로 SSID를 숨기는 걸 권장하고 있습니다.

하지만 이러한 의견에 모두가 동의하는 건 아닙니다. SSID를 숨기는 건 별 도움이 안될 뿐더러 오히려 보안에 위협이 된다는 주장이죠. 이유는 여러 가지입니다. 일단 SSID를 숨기는 게 오히려 ‘숨겨야 할 무언가가 있다’는 신호를 줘서 해커들의 공격을 유인할 수 있다는 의견이 있습니다.

그리고 운영 체제나 기기에 따라서는 숨겨진 SSID에 접속하도록 설정해두면 오히려 특정 개인을 식별할 수 있는 정보를 유출할 위험이 있다는 지적도 있습니다. 이게 바로 SSID를 숨기는 게 오히려 보안에 안 좋다는 그 얘기인데요. 어떤 원리일까요?

사람으로 치면 SSID를 숨긴 와이파이는 투명 인간입니다. 이름이 ‘철수’라고 가정합시다. 오로지 "철수야"라고 이름을 불러야만 “왜?”하고 답을 하는 그런 투명 인간입니다. 있긴 있는데 언제 있는지 알 수가 없습니다. 그러면 이 사람을 찾으려면 무작정 "철수야"라고 이름을 불러봐야 합니다. 그러면 주변에 있는 사람들이 생각하겠죠. “아 저 사람은 지금 철수라는 사람을 찾고 있구나”라고요.

일반적인 와이파이라면 SSID를 방송하며 자신의 존재를 알립니다. 그러니깐 언제 어디에 있는지 눈에 보이기 때문에 무작정 이름을 불러 찾을 필요가 없습니다. 보일 때만 부르면 되니깐요. 그런데 와이파이가 스스로 SSID를 알리지 않으면, 기기는 해당 와이파이에 접속하기 위해서 계속 그 와이파이 이름을 부르며 찾아야 합니다. 이렇게 이름을 부르는 과정을 ‘프로브 요청’이라고 합니다.

그러니깐 숨겨진 SSID에 접속하도록 설정된 기기는 “철수야”라고 소리내 이름을 부르는 것처럼 주변에 SSID를 포함한 신호를 계속 보내게 된다는 겁니다. 그래서 이 프로브 요청을 통해서 오히려 SSID가 노출되기도 하고, 이를 통해 그 사람에 관한 여러 정보를 유추할 수도 있는 거죠. '이 SSID를 찾는 프로브 요청이 언제 어디서 있었으니 이 사람은 언제 어디에 있었구나' 같은 식으로요. 애플도 이러한 이유로 맥이나 iOS에서 ‘가려진 네트워크’에 접속하도록 설정하는 걸 권장하지 않고 있습니다.

SSID를 숨기는 게 보안에 실질적으로 크게 도움이 안 되는 한편, 여러 불편함을 야기하기도 합니다. 가령 기기에 따라서는 SSID를 숨기면 원활히 접속이 안 되기도 하고요. 새로운 기기에 연결 설정을 할 때마다 직접 SSID를 입력하는 과정 자체가 꽤 번거롭죠.

물론 일반인 입장에서 위에서 얘기한 것과 같은 집요하고 계획적인 해킹 공격의 대상이 될 가능성은 높지 않습니다. 과도한 걱정일 수도 있죠. 하지만 SSID를 숨기는 것보다는 좀 더 기본적인 보안 원칙을 잘 지키는 게 더 중요하고 효과적이라고 말씀드리고 싶네요.

일단 SSID에 민감한 개인 정보를 유추할 수 있는 단어를 넣는 건 지양해야겠습니다. 물론 그렇다고 너무 흔하거나 겹칠 수 있는 이름을 사용하는 것도 피해야겠죠. 당연히 가장 중요한 건 비밀번호 설정입니다. WPA2 이상의 설정을 이용해 비밀번호를 걸어놓으면 일반인이 해킹에 노출될 일은 거의 없다고 보시면 됩니다. 단순하거나 유추가 쉬운 비밀번호를 이용하지 않는 등의 비밀번호 기본적인 수칙을 잘 지켜야겠죠.

'IT애정남'은 IT제품의 선택, 혹은 사용 과정에서 고민을 하고 있는 독자님들에게 직접적인 도움이 되고자 합니다. PC, 스마트폰, 카메라, AV기기, 액세서리 등 어떤 분야라도 '애정'을 가지고 맞춤형 상담을 제공함과 동시에 이를 기사화하여 모든 독자들과 노하우를 공유할 예정입니다. 도움을 원하시는 분은 IT동아 앞으로 메일(pengo@donga.com)을 주시길 바랍니다. 사연이 채택되면 답장을 드리도록 하겠습니다.

글 / IT동아 권택경 (tk@itdonga.com)