스팀잇 플러그인 사용하시는 분들께 한마디 올립니다.

이번에 공개된 스팀잇 플러그인 정말 정말 좋더군요. 그걸 만든분의 마음이 느껴지는 앱이었습니다. 얼마나 답답했으면 플러그인을 만드실 생각을 했을지, 그리고 기뻐하며 사용하는 분들을 생각하며 즐겁게 개발하는 모습이 상상되니 흐뭇하고 고맙더라구요. 정성것 소개해주신 nhj12311 님께도 너무나 감사 드립니다.

원글:
https://steemit.com/steemdev/@armandocat/steemit-more-info-1-2-chrome-extension-firefox-extension

njh12311 님으 글:
https://steemit.com/kr-tip/@nhj12311/steemit-steemit-more-info

하지만 웹 보안쪽에 일하던 사람으로써 걱정되는것이 있습니다. 결론부터 이야기 드리면, 플러그인은 안전이 보장되지가 않습니다. 웹사이트와는 다르게, 플러그인의 경우에는 소스코드가 깨끗하다고 완벽히 안전하다고 할 수 없습니다. 데이터만 오가는 웹사이트와, 실제 수행코드가 심어져있는 응용프로그램의 보안은 매우 다릅니다.

특히 컴퓨터 자체에 말웨어가 심어지면, 말웨어가 플러그인에 영향을 미치는것을 완벽하게 방어하는것은 불가능 하다고 보시면 됩니다. 소스가 공개되어있고 스팀잇 웹사이트의 구조를 꿰둟고있는 플러그인이 수많은 사람들의 브라우저에 깔린다면, 해당 헛점을 노리는 말웨어가 개발되고 유포되지 않는다는 보장이 없습니다. 아니 오히려 매우 인기있는 공격대상이 될겁니다. 프라이머리키만 딸깍 바꾸면 계정을 소유하거나 인질화 할수 있으니까요. 다시한번 말씀드리지만 플러그인이 설치 되고, 해당 플러그인의 취약점을 노린 바이러스가 브라우저든 컴퓨터든 감염이되면 상상 이상의 일도 일어날 수 있습니다.

제가 2년간 일단 웹 시큐리티 스타트업에서 이런 문제를 해결하기위해 web isolation 기술을 연구개발 했기 때문에 틀린말은 아니라고 생각하셔도 됩니다. 구글이 아무리 날고 긴다 해도 당장은 이부분은 어찌할수 없습니다. 일단 컴퓨터가 감염되어 admin 권한을 획득하는 순간 부터는 가능성의 문제가 아니라 시간문제입니다. 엄청난 돈이 들어있는 수많은 스팀잇 계정을 갈취할 수 있는 여지가 생긴다면 공격 대상이 되는것은 순간입니다.

물론 플러그인 저자가 secure programming을 완벽히 숙지하고 적용하여 개발하였다면, 문제가 생길 확률이 아주 극히 낮아질 수 있습니다. 그러나 사람이 하는일이 그렇듯이 실수는 있을 수 있고, 실수가 있는지 없는지 검증하는것도 매우 어렵습니다. 수많은 상용 툴들도 어느 수준이상으로 검증 해 주지 못합니다.

플러그인을 쓰실분들은, 스팀잇 로그인 안한 브라우저, 예를들면 본인이 크롬으로 스팀잇을 하신다면 파이어폭스를 설치해서 그곳에만 플러그인을 깔고, 로그인은 포스팅키로만 하시길 추천합니다. 송금등 액티브키나 프라이빗키 필요한것은 플러그인이 설치되지 않은 브라우저 (브라우저 종류 자체가 다른게 안전합니다)에서 하시구요. 그게 제가 생각할 수있는 가장 안정한 사용방법 같습니다. 그리고 계정 복구 대책을 잘 세워두셔야겠죠..

만에하나의 사태가 염려되어 글 적습니다.

즐거운 한가위 되세요! ^^