DAUM카페'권한 없는회원'도 운영진게시판 읽는다?

유명회원 ID로 검색된 글 따라 들어가면 보안필터링 안돼

[프라임경제] 국내 유명 포털인 다음의 카페 서비스는 국내 포털의 툴 중에서도 가장 성공한 모델 중 하나다. 2010년 이미 개설 카페 800만개를 돌파했을 정도로 인기를 모은 배경에는 많은 회원들이 가입해도 필요한 성격에 따라 게시판을 여럿으로 나누고 정보를 올리고 보는(혹은 내려받을 수도 있는) 기능을 제공하면서 편리한 운영 기반을 제공한 데 한 요인이 있다.

이처럼 게시물과 댓글, 게시판을 효율적으로 관리할 수 있는 배경에는 '회원등급'의 설정을 통한 관리가 가능하다는 점이 적잖은 몫을 했다고 할 수 있다.

우수회원에게 개방된 정보, 일반회원이나 준회원에게도 공개된 자료 등으로 세분화해 소속감을 부여하고 '활발한 활동의 동기 부여'(등급 조정 일명 '등업'과 연결됨)를 하는 효과가 있다. 무엇보다 카페 운영에 필요한 각종 정보의 민감함 정도에 따라서는 운영자 등급의 회원만 회람이 가능한 게시판 등을 따로 만들 수 있었기 때문에 '보안' 관련 니즈도 충족시켜 왔다.

이런 점은 다음이 다음 클라우드 서비스(PC, 모바일이나 태블릿PC 등을 통해 파일의 저장 및 공유가 가능하도록 하는 서비스) 기능을 제공하기 훨씬 이전에 자리잡은 카페의 기능이 보안과 공유 등의 기본적 욕구를 충족시킬 수 있었다는 것이 된다. 따라서 카페 서비스의 정보 활용과 공유의 우수성이 여태 인기를 끌고 있는 점은 다만 인간의 무리짓기라는 사회적 속성에만 기대는 게 아니다. 클라우드 컴퓨팅에 견주어도 크게 떨어지지 않는 안정성을 회원등급을 활용한 보안 설정과 다양한 게시판 분화를 통해 구현하기 때문이라고 해도 과언이 아니다.

다음 카페를 사용하는 네티즌의 모습. 다음 카페는 편의성과 안전성으로 많은 사랑을 받아왔으나 최근 일부 기능에 문제가 있는 것으로 파악돼 보완이 요청된다. ⓒ 프라임경제

하지만 회원별로 열람 자격을 설정해 놓아도 막상 이 보안벽을 우회해 사실상 거의 대부분의 글을 열람할 수 있다면 어떻게 될까?

이런 점은 카페 기능을 제공하는 다음의 본질이 검색엔진이라는 점에서 출발한다. 검색값에 가장 적당한 정보를 최대한 많이 보여주려는 기능이 카페 보안을 일부 침해하는 것은 (게시물이 일부 검색돼 나오는) 다음에만 존재하는 것은 아니다. 다만 다음의 경우 한 번 우회해 게시물을 열람하면 그 이후 민감한 정보를 보안등급의 벽을 넘어 모두 읽어낼 수 있다는 허점이 있다.

◆파워 유저가 '트로이목마', '복합검색어'로 검색해 따라들어가면…

어느 커뮤니티나 그렇듯 모임에는 주도적으로 조직을 이끌고 나가는 사람이 있고 온라인 세상의 경우 글이나 자료의 질과 양에서 타의 추종을 불허하는 논객들이 존재하기 마련이다. 다음 카페 역시 마찬가지여서, 이런 활발한 활동을 하는 이들은 카페 회원 상당수가 아이디를 아는 이들이 존재한다. 대부분 이런 이들은 운영진이나 우수회원이거나 이런 급으로 빠르게 승격되게 마련이다. 

카페명+유명한 회원으로 검색을 한 결과물. 이 같이 얻어낸 값을 통해(아랫글) 카페로 들어가면 당초 게시판 설정시 허락된 등급 이하의 회원도 글을 읽을 수 있다. ⓒ 다음

문제는 이 같은 인사들이 외부에도 인지돼 있는 경우다. '퍼나르기' 등을 통해 알려져 있거나 혹은 검색을 통해 우연히 인지할 수도 있다. 프라임경제에서는 다음 카페 중 '수학******'와 '사회적협동조합 *******' 등의 일부 카페들을 대상으로 검색을 시도했다.

문제는 '수학******+박**' 혹은 'J***'이라는 복합된 검색어를 합성해 사용할 때다. '박**' 등은 우수한 활동으로 수학 관련 영역에서는 제법 이름이 알려진 네티즌. 즉 '카페의 이름+그 카페의 파워 유저'라는 형식으로 검색을 하면 된다.

이 경우 다음에서는 이 수학 관련 카페글 중에서 상당한 수를 보여주게 된다. 이 중 하나를 임의로 클릭해 들어가면 카페에 따라서는 '우수회원' 혹은 '정회원'만 읽을 수 있는 글 혹은 '베타***', '알파***' 등의 등급에서만 볼 수 있는 글들이 무방비로 열린다.

비회원이 각종 검색 등을 통해 카페 내부에 들어온 경우. 비회원 상태임이 우측 상단에 보이지만 베타**** 이상의 회원만 볼 수 있는 게시판이 사실상 개방돼 제공된다. ⓒ 다음

원래 열람자격이 없는 회원이 글을 보려고 시도할 경우의 반응. 이 게시물은 수학****의 게시물 중 베타*** 이상의 등급회원만 볼 수 있는 경우다. ⓒ 다음

더욱이 위의 수학 관련 카페는 이 같은 검색을 통해 운영진들만 볼 수 있는 글들까지 열어볼 수 있었던 것으로 나타났다. 사실상 정보가 모두 뚫려 있는데 앞문에서만 보안에 신경을 쓰고 있는 형국이라고 할 수 있다.

원래 카페 회원이라고 해도 해당 등급의 사용가능자가 아니면 글 자체가 열리지 않는다. 읽을 자격이 없다고 나오는 것이다. 하지만 이처럼 우회열람이 가능한 것은 다음이 검색엔진이기 때문으로 보인다. 이용자 유입과 유지를 위해 검색값을 다양하고 정확하게 보여주기 위해 최대한 많은 정보물을 끌어들여 보여주는 한계가 카페의 완벽한 운영을 위한 철저한 관리보다 우선한다고 선택하면 카페글 등을 제한적으로나마 검색자에게 제공할 수도 있다.

◆'관리자' 혹은 '우수회원만 읽을 수 있게' 지정해 놔도 통째로 뚫려

비회원이 검색어 악용을 통해 가페망 내부로 들어온 경우 목록을 훑어보는 것도 가능하다. 이를 통해 자신이 원하는 정보의 존재 유무/대강의 글번호를 통한 소재 등도 알 수 있다. ⓒ 다음

문제는 하나의 글만 우연히 볼 수 있게 허용되는 정도가 아니라는 데 있다. 이런 방식으로 접속을 하면 '윗글'과 '아랫글'을 눌러 다른 글들로 타고 넘어가는 게 가능하다는 게 다음 카페의 함정이다. 또 '목록'을 통해서도 어떤 정보가 올라와 있는지도 대체로 파악할 수도 있다. 사실상 어떤 글이 올라와 있는지 알고 모든 글을 (시간은 걸리지만 기계적으로 위아래로 넘어가서) 연속적으로 열람해 볼 수 있다. 이런 편법을 통한 열람은 카페 회원 중에 등급이 안 되는 회원은 물론 비회원도 가능하다.

네이버 카페의 글은 어떤 검색 결과물로 비회원에게 일시적으로 보여진다고 해도 다른 글을 윗글 혹은 아랫글 키만 누르는 방식으로 무제한적으로 열어보게 허용하지 않는다.

운영진만 열 수 있는 게시판에 접속을 시도했을 때의 정상적 거부 반응. ⓒ 다음

운영진만 읽을 수 있는 글에 등급이 안 되는 자가 접근해 민감한 내용을 열어 본 경우. ⓒ 다음

◆사진이나 텍스트, 링크로 올려놓으면 무차별로 뚫려? 파일첨부가 답

일부 카페 앨범 기능 등 역시 이처럼 검색을 통해 열람등급이 안 되는 회원 내지 비회원에 의해서 모두 열어볼 수 있는 상태가 되는 것으로 텍스트 형식의 게시물은 물론 앨범도 무방비 상태(사진 이미지)로 노출된다.

외부에 공개되길 꺼리는 성격의 모임 내지 논의 내용을 카페를 통해 올리면 모르는 사이에 전부 사찰당할 수도 있다는 뜻이다. 가입자 내지 일정한 등급 이상의 가입자간에 공유하길 바라는 의사가 완전히 묵살되는 보안상 허점이라고 할 수 있다.

다음 카페의 상대적으로 안전한 '첨부'문서 보안필터링 상황. ⓒ 다음

다만 PPT 문서나 한글 문서 등으로 '첨부'해 올린 글은 이 같이 열람을 해도 다운로드받을 수 없는 마지막 보안이 가동되는 것으로 확인됐다. 문서가 존재는 것까지는 알아냈을 지언정, 편리하게 클릭 몇 번만으로 외부인이 탈취해 볼 수는 없는 셈이다. 그나마 가장 안전성이 확인돼 있는 셈이다. 하지만 이 같은 형식을 매번 모든 글에 활용하기엔 불편이 따르기 때문에 근원적으로 카페 글들을 연결하는 방화벽 자체가 모두 재점검돼 이 같은 허점이 해결되지 않는 한 이 방패에만 의존하긴 어렵다는 지적이다.