제가 보여드린 시연의 의미를 정말로 모르시는거죠? 해킹은 필요도 없어요. 그냥 평범해보이는 앱을 앱스토어나 구글플레이에 올려놓으면 그만입니다. 이게 얼마나 쉽게 일어날 수 있는 일인지 이번 시연으로 보여드린 겁니다. 이게 실제적인 위협으로 느껴지지 않는다면 저 역시 더 말을 할 필요가 있나 싶긴 하지만, 이 글을 보는 다른 분들을 위해 마지막 설명을 드리겠습니다.

앱 형태의 지갑이 웹페이지 형태의 지갑보다 안전하다

웹페이지 형태의 지갑 혹은 지갑 기능을 수행하는 서비스는 앱 형태의 지갑에 비해 필연적으로 더 많고 다양한 보안의 위협을 내포하게 됩니다. 제가 보여드린 시연이나 [MEW] 마이이더월렛 해킹에 주의하세요 까지 포함해서 말이죠. 그에 반해 앱 형태의 지갑은 이런 공격을 방어할 수 있는 상당한 수준의 제어권을 갖고 있습니다. 제가 시연에서 보여드리려고 했던 건, 웹페이지 형태의 지갑이 얼마나 쉽게 제어권을 잃어버리는 지에 대해서 입니다. 반면 앱이 제어권을 잃어버리게 되는 경우는 앱이 설치된 디바이스 자체가 해킹을 당했을 때 뿐입니다.

이것이 @asbear님께 제가 해 드릴 수 있는 마지막 조언입니다. 스팀페이가 스팀컨넥트의 보안 위험을 벗어나기 위해서는 스팀페이 전용 앱을 만들어야 합니다. 그리고 스팀페이 앱 스스로 지갑으로 기능해야 합니다. 그렇지 않고서는 제가 보여드린 방식을 포함하여 수많은 공격에 직면할 수 밖에 없습니다.

모이또의 보안 방식에 대해서는 이미 말씀드렸습니다. 모이또는 액티브 키를 사용자가 입력한 PIN 번호로 다시 한번 암호화하여 키체인에 등록합니다. 이는 가능성은 희박하지만 혹시 모를 키체인에 대한 해킹으로 액티브 키가 해커에게 유출되더라도 PIN 번호를 알지 못하는 한 액티브 키를 사용할 수 없도록 하는 장치입니다. PIN 번호는 5자리로서 4자리 숫자와 1자리의 영문자로 구성되어 있습니다. 또한 PIN 번호를 입력하는 키패드는 버튼을 랜덤하게 섞어서 혹시 모를 PIN 번호 유출의 가능성을 없애고자 했습니다. 송금 시에는 항상 PIN 번호를 입력해야 하구요.

그리고 정말 궁금해서 묻습니다. 논쟁이란 표현이 왜 문제가 되는거죠? 건설적인 토론은 있는데, 건설적인 논쟁은 없다고 보시는 건가요? 이건 진짜 궁금해서 묻는 건데, 답변하지 않으셔도 됩니다.