윈도우7에서는 HTML5를 적용할려면

서비스팩1이상이 되어야 되는것 아닌가요 ??

차세대 웹표준"html5"...인터넷혁신예고.

HTML5를 위협하는 보안 이슈 Top 10

HTML5 대상 위협 가능한 보안 이슈 진단

HTML4에서 이제 HTML5 시대가 오고 있다. HTML5는 홈페이지를 만들기 위한 클라이언트 언어로 기존 버전보다 기능이 추가된 것으로 생각할 수 있다. 하지만 과연 HTML5라고 해서 보안문제를 비켜갈 수 있을까.  
 

<HELP NET SECURITY>

HTML은 문서를 웹상으로 제공을 하는데 있어 사용자별로 차별화된 기능들을 추구하게 되었는데 이런 부분이 만족되지 못했기 때문에 액티브eX 기반의 플래쉬, 실버라이트 등 여러 액티브X들이 생겨났다. 한편 액티브X로 인해 웹상의 심각한 보안취약점이 생겨났고 이를 통한 공격들이 성행하게 됐다.  
 
심각한 보안문제와 기능상 불편함을 해소하기 위해 HTML 테그가 추가됐고 그것이 HTML5라고 할 수 있다. HTML5는 몇가지 새로운 기능을 통해 개발자들은 매력적이고 강력한 애플리케이션들을 만들어 낼 수 있게 됐다.
 
특히 HTML5 애플리케이션은 여러 웹브라우저나 플랫폼에도 사용되고 모바일 디바이스에도 지원이 가능하다. 하지만 이때도 당연히 새로운 시큐리티 이슈와 취약점이 발생할 것이다.
 
HTML5도 보안문제에서는 예외가 아닐 것이라고 전문가들은 말한다. 그래서 전문가들은 HTML5와 지금의 브라우저 아키텍쳐를 공격할 수 있는 Top 10 공격 매개체를 소개하고 있다.
 
자세한 사항은 아래 링크를 참고하면 된다.
 
-HTML5 위협과 공격방법 Top 10: www.net-security.org/article.php?id=1656

이 글은 Peter Wayner가 쓴 11 Hard Truths About HTML5 (한국어 번역)이라는 글의 반론이다. 저자는 HTML5에 대한 문제점이라고 조목 조목 적었지만, 사실상 한 두 가지를 제외하고는 새롭지 않은 이슈들이다.

다만, 웹 개발자들이 전반적으로 개발할 때 의식적으로 지켜야할 몇 가지 문제점에 대한 이해도 할 겸 간단하게 정리해 본다.

1. 사용자가 코드를 제어 할 수 있어 보안에 취약하다.
이 문제는 HTML5와 관계 없는 모든 클라이언트 사이드 프로그램의 문제점이다. 이는 프로그램이 네이티브든 스크립트든 클라이언트단 조작과 관계 없이 "보안적으로" 서버단 프로그램이 견고해야 하는 이유이다. 웹 개발자는 서버에서 사용자를 인증하고 데이터는 검증한 후 원격 DB에 잘 보관해야 한다. 클라이언트 기반 기술은 사용자의 경험을 향상시키기 위한 도구로 쓰는 것이 정석이다.

2. 사용자가 로컬 스토리지 데이터를 다루기 어렵다.
이 또한 HTML5의 문제가 아니라 모든 클라이언트 사이드 프로그램의 문제점이다. 데스크톱 앱에서 사용자가 DB를 다룰 수 있는 프로그램이 몇이나 되나? 그리고 그 프로그램을 사용자가 열어본다고 해서 관리할 수 있는가? 로컬 스토리지는 그야말로 쿠키보다 좀 더 나은 저장소를 제공하여 사용자 경험 향상을 위해 일부 데이터를 저장하는 것이다. 지우더라도 서버에서 다시 생성하는 그런 성격의 데이터이다.

3. 사용자가 로컬 스토리지 데이터를 제어할 수 있다.
사용자들이 로컬 데이터를 조작할 수 있다는 문제를 언급하고 있다. 이 부분은 2번과 배치되는 주장이다. 여전히 글쓴이는 HTML5 로컬 스토리지가 왜 존재하는지 이해하지 못하고 있다. 로컬 스토리지에서 조작을 한다고 해서 서버 데이터까지 조작이 가능하다는 시나리오는 개발자의 (능력) 문제이지 HTML5의 문제라고 보기 어렵다.

4. 오프라인 앱에서 데이터 동기화가 어렵다.
HTML5 오프라인 앱과 로컬 스토리지는 웹의 단점을 보완하기 위한 것이지 대체제가 아님을 명심해야 한다. 웹 개발자가 일단 이 두 가지를 쓰려고 마음을 먹었다면, 동기화 문제는 실제로 이슈가 된다. 따라서, 동기화가 큰 이슈가 일으키지 않는 부분에 적절하게 사용하는 것이 중요하다.

5. 클라우드 서버에 있는 데이터도 통제하기 어렵다.
이 또한 HTML5와 상관 없이 (네이티브 앱이든 아니든) 모든 클라우드 기반 앱들의 문제라고 할 수 있다. 클라우드가 유용한 이유는 간편하고 빠른 접근성과 공유 기능 때문이다. 다만, 사용자가 자신의 데이터를 클라우드에 올리는 경우 많은 세심한 주의가 필요하다.

6. 모두에게 똑같은 기능을 제공한다.
이 또한 사실상 HTML5와 상관 없다. 온라인 업데이트 기능을 가진 모든 앱들의 문제라고 볼 수 있다. 물론 네이티브 앱들이 업그레이드 하지 않고 사용할 수 있는 방법이 있지만, 그만큼 웹 기반 앱들도 일부 HTML 버전(정적 버전)도 제공한다. 

7. WebWorker를 통제하지 못한다.
이는 웹 워커 뿐만 아니라 CPU를 과용하는 일반적인 악성 프로그램(Malware)에도 충분히 일어날 수 있는 문제이다. 특히, 웹 워커를 통제하지 못하는 취약점은 자바스크립트를 실행하는 브라우저에서 해결해야 할 문제이다. 지금도 대부분 웹 브라우저는 과도한 JS 실행에 대해 사용자에게 알려 주고 중지할지 여부를 확인하는 인터페이스를 가지고 있다.  

8. AV 포맷은 중복으로 제공해야 한다.
HTML5 오디오 및 비디오에 대한 지원 코덱이 브라우저 마다 다른 점 때문에 같은 콘텐츠를 여러 코덱으로 제공해야 하는 문제점에 대한 지적이다. 저자도 HTML5의 문제는 아니라고 밝히고 있지만, 어떤 기술도 커버리지의 문제를 가지고 있다. 심지어 보편적인 웹 표준 조차도 브라우저 마다 표준 지원 정도가 다르다. AV 코덱에 대한 문제는 산업적인 이슈지 기술적 문제라기 보기 어렵다.

9. 개발 자체가 브라우저에 종속적이다.
이는 HTML5에 국한되지 않은 웹 기술의 기본적인 문제라고 할 수 있다. 하지만, 이것이 바로 웹의 보편적 확장에 도움을 준 방법이다. 만약 닷넷이나 자바처럼 클라이언트 VM이 하나였다면, 웹이 이렇게 성공할 수 있었을까?

물론 브라우저에 종속적인 웹 개발은 매우 어렵다. 많은 것을 고려해야 하기 때문이다. 웹 개발자들은 IE6도 빨리 사라지고 웹 브라우저가 하나로 통일 되었으면 하는 꿈을 가지고 있을지 모르지만, 만약 정작 그런 날이 오면 우리는 이 직업으로 밥먹고 살 수 없다.

10. 하드웨어 성능을 관리하기 어렵다.
웹 브라우저들이 성능 향상을 위해 하드웨어 가속을 비롯한 많은 개선을 이루고 있지만, 웹 개발자들이 이를 확인하고 어렵다는 문제다. 글쎄... 많은 웹 브라우저들이 성능 경쟁으로 인해 과도한 데모 (예를 들어, 3D 게임 같은)를 보여 주고 있지만, 사실상 이는 초보적 수준이다. 웹에서 너무 많은 것을 하려는 건 금물이다.

11. 정치가 판을 친다.
HTML5 표준이 소수의 브라우저 개발자들에 의해 좌지우지 된다는 걱정이다. 특정 웹 브라우저의 혁신이 계속될 수록 기능적인 파편화가 계속되기 때문이다. 표준화의 과정이 정치적인 부분을 배제할 수 없지만, HTML5는 수 많은 웹 개발자와 함께 만들어온 표준이며 지금도 W3C와WHATWG에서 상호 보완적인 역할을 수행하고 있다. 

HTML5는 아직 진행 중인 기술이며, 이를 통제하는 주체도 없다. 하지만, 다양한 혁신이 살아 숨쉬고 있는 살아있는 기술이기도 하다. 저자가 권위주의와 민주주의를 예로 들었듯이, 세상엔 폐쇄된 기술 플랫폼 만큼 "선택 가능한" 개방형 기술도 존재해야 한다. 

이것이 HTML5가 있는 이유중 하나이다.

4월 1일, 이석기 의원은 최문기 미래부장관 후보자에게 최근 MBC와 YTN, 농협 등에 발생한 해킹 사건을 예로 들며 보안 대책에 대하여 질의하였습니다.

이석기 의원은 "한국의 과도한 마이크로소프트 편중이 이번 해킹 사태의 근본 원인의 하나"라고 밝히며 "윈도우로 일색화 되다시피한 한국의 컴퓨터 환경 때문에, 단순한 코드 하나로 전국이 초토화되는 일이 계속 벌어지고 있다. 윈도우 환경의 해킹 툴도 얼마든지 쉽게 구할 수 있어 '마우스 해커'도 해킹이 가능한 실정이다. 보안에서 가장 중요한 것은 다양성인데, 우리는 마이크로소프트의 익스플로러, 액티브엑스 사용을 사실상 강요해서, 해킹에 극도로 취약한 구조"라고 지적하였습니다. 

"정보 보안 예산 확보도 중요하지만, 근본적으로는 익스플로러와 액티브엑스 체제를 다변화시키기 위한 의식적인 노력이 필요하다"는 질의에 최문기 후보자는 "차세대 HTML5나 액티브엑스 대체 기술로 나아가겠다"고 답변하였습니다.

또한 "국제표준공인인증체계 대신 사용하는 한국식 공인 인증체계를 폐지해야 익스플로러와 액티브엑스 체제를 근본적으로 바꿀 수 있다"는 지적에 대해서도 "그렇게 바꿔가겠다"고 답변하였습니다.