2018 DEFCON CTF 26 우승의 주역들을 만나다

3년만에 세계1위 탈환

지난 12일, 세계 최고 권위의 해킹방어대회로 알려진 2018 DEFCON CTF 26(이하 ‘데프콘’)에서 다국적연합팀 DEFKOR00T가 우승을 거머줬다는 승전보가 전해져 왔다. DEFKOR00T는 고려대 사이버국방학과 학생 등으로 구성된 DEFKOR와 미국 조지아 공대의 R00TIMENTARY가 연합해 구성된 팀으로 전년도 우승자인 미국의 PPP 팀을 꺾고 당당히 1위에 올랐다. 데프콘 우승의 주역 고려대학교 사이버국방학과 15학번 임ㅇㅇ, 이ㅇㅇ 학생을 만나봤다.

(* 실명이 노출되면 안되는 사이버국방학과 특성상 가명 처리하였음을 알려드립니다.)

많은 이들에게 ‘해킹 방어 대회’라는 이름은 아직 생소하다. 데프콘은 각 참가팀이 부여받은 본인 팀의 서버 취약점을 찾아 보완하고, 다른 팀의 취약점을 공격해 성공하면 점수를 획득하는 방식으로 이뤄진다. 비유하자면 가상의 서버를 부여받아 상대팀을 공격하고 자신들의 팀을 방어하는 일종의 ‘공성전’과 비슷하다고 할 수 있다.

고려대 사이버국방학과의 정보보안동아리 “CyKor”에서 파생된 DEFKOR(이하 ‘데프코’)팀은 이름에서 짐작할 수 있듯이, 데프콘 대회 참가를 목표로 준비해 온 팀이다. 이들은 예선 통과 후 평소 함게 대회에 참가하고 싶었던 조지아 공대의 R00TIMENTARY와 연합해 팀을 꾸렸다. 데프콘 대회 우승을 위해 구성된 일종의 ‘어벤져스’인 셈이다.

“대회에서 팀원들의 역할은 상대의 취약점을 공격하는 ‘공격팀’, 상대의 공격을 방어하는 ‘방어팀’, 대회에서 만들어진 시스템을 관리하는 ‘관리팀’으로 크게 세 가지로 나뉩니다. 각자 맡은 역할에 맞춰 준비를 하죠. 어떤 문제가 출제될 지 주최 측이 미리 공개하지 않기 때문에 나올 수 있을 만한 다른 대회의 기출 문제를 뽑아 테스트하는 식으로 대회를 준비했어요.

다만 실제 대회장에 갔을 때 열심히 준비한 것들 중 규칙으로 사용이 금지되어 있는 경우가 있어서 아쉬웠습니다. 하지만 무슨 문제가 출제될 지 모르는 상황에서 준비를 안할 수는 없기 때문에, 결과적으로는 그런 철저한 준비 덕에 우승을 하는 데 많은 도움이 된 것 같습니다.”

이번 데프콘은 운영진이 바뀐 이후 개최되는 첫 대회였기 때문에 경기 진행중 몇 가지의 변수가 있었다. 2박 3일 동안 개최되는 대회 중 마지막 날에 순위가 적힌 점수판을 공개하지 않은 것도 그 중 하나였다. “전년도 우승팀인 미국의 PPP팀이 막판에 강하고, 워낙에 강팀이기도 해서 전날까지 우위를 점하고 있다는 걸 알면서도 마지막 결과 발표 때까지 긴장을 늦출 수 없었죠.”

데프콘은 3일간 오전 10시부터 저녁 8시까지 경기가 이뤄지지만 사실상 2박 3일 밤샘으로 치뤄지는 경기라 해도 과언이 아니다. 다음 날 대회가 재개되며 문제 서버가 열리면 바로 공격과 방어에 들어가야 하기 때문에 일정이 끝나고 숙소에 들어가서도 끊임없이 준비를 해야 한다. “첫째, 둘째 날 대회를 마칠 때는 운영진이 새로운 문제를 창에 띄워 놓고 마감했어요. 참가자들은 그 문제를 푸느라 숙소에 들어가서도 계속 쉬질 못했죠. 근데 그러고서 다음 날 아침 운영진이 참가자들한테 간밤에 잘 쉬었냐고 묻더라고요. (웃음)”

대회 중 가장 어려운 점이 무엇이었냐고 묻는 질문에 답하는 이들에게선 철저히 준비한 이들만이 보여줄 수 있는 여유로움이 묻어났다. “아무래도 저희가 해결할 수 없는 부분이 가장 어려운 점이었습니다. 대회장이나 숙소의 인터넷이 느린 건 저희가 어떻게 할 수 없는 문제니까요. 저희가 할 수 있는 범위 내에서는 최선을 다해 준비했기 때문에 이번 대회에서는 시작부터 끝까지 비교적 우위를 유지하며 이길 수 있었습니다.”

‘화이트해킹’이라는 분야는 아직 우리나라에서 생소하다. 아직까지 일반 대중에게는 다소 낯설게 느껴질 수 있는 분야를 개척하는 입장에서 혹시 어떤 개선이 이뤄졌으면 하는지 묻는 질문에 꽤 오랜 고민 후 답변이 돌아왔다.

“제가 처음 해킹이라는 것을 배웠을 때에 비하면, 요즘엔 정보 보안 인식이 눈에 띌 정도로 나아졌다는 걸 느낍니다. 하지만 사실 해킹대회에서 어느 국적 팀이 우승했다고 해서 그 나라의 보안 수준이 갑자기 올라가는 것은 아니거든요. 그 정도를 해낼 수 있는 사람이 국내에 있다는 것은 유의미한 성과지만, 지속적으로 보안에 신경을 쓰고 투자를 할 때 진정으로 ‘보안 수준이 상승했다’라고 말할 수 있다고 생각합니다. 데프콘같은 대회가 있다는 것도 많이 알아주셨으면 좋겠고요.”

마지막으로 정보 보안 분야를 연구하는 사람으로서 목표하는 개인적인 바람이 있는지 묻는 질문에 이렇게 답했다. “이 분야는 워낙 변화가 빠르기 때문에 한 번 대회에서 우승했다고 실력이 계속 보장되는 것이 아니에요. 실력을 계속 향상시켜서 유지하는 게 무엇보다 제1의 목표라고 할 수 있겠네요.” 역시 데프콘 대회의 우승자다운 답변이었다. 그렇다면 이들의 앞으로의 계획은 어떨까.

“사이버국방학과의 특성상 졸업 후 7년 동안 장교로 복무할 예정이지만, 그 후에도 신분이 학생에서 연구자로 바뀔 뿐 지금까지 해왔던 것처럼 정보 보안에 관련된 공부를 계속해 나갈 거라고 생각합니다. 앞으로 많은 투자를 통해 연구의 발판이 더 잘 마련되었으면 하는 바람이 있네요.” “네, 맞아요. 투자가 중요해요. (웃음)” 국내 정보 보안 분야의 선봉에 서서 각종 대회 기록을 갱신하고 있는 이들의 미래를 기대해 본다.

학생홍보기자 한지수(경영15, jshan95@korea.ac.kr)