달달한 팁
달이 내려주는 달달한 팁, 실 생활 속 유용한 리뷰 및 각종팁을 전해 드립니다.
윈도우 바탕화면 가젯 기능 마이크로소프트 강제 삭제 진짜 이유! (feat. 보안 취약점)
안녕하세요. 달팁(DalTip) 입니다.
새 컴퓨터를 사거나 포맷을 하고 나면, 가장 먼저 바탕화면 우측에 아날로그 시계와 달력, 그리고 왠지 모르게 전문가가 된 것 같은 기분을 주던 'CPU 미터기'를 띄워두던 시절. 기억하시나요?
하지만 어느 순간 윈도우 업데이트를 거치며 이 소소한 재미들이 우리 곁에서 소리 소문 없이 사라져 버렸습니다.
▲ 그 시절 우리를 감성에 젖게 했던 윈도우 바탕화면 가젯들
사실 많은 분들이 윈도우에서 사라져서 가장 아쉬운 프로그램 중 대표적으로 '3D 핀볼(Space Cadet)'을 꼽으시곤 합니다. (물론 핀볼이 64비트로 넘어오며 겪은 버그 에피소드는 너무나도 재미있기에... 언젠가 따로 포스팅을 준비 할 생각 입니다.)
오늘 달팁이 준비한 IT 추억 여행이자 기술 분석의 주제는 바로 '윈도우 바탕화면 가젯(Desktop Gadgets)의 비극적인 최후'입니다.
윈도우 비스타(Vista)에서 화려하게 데뷔하고 윈도우 7에서 전성기를 누렸던 이 기능은 대체 왜 하루아침에 강제 삭제 당해야만 했을까요?
그 사연 속 숨겨진 마이크로소프트(MS)의 다급했던 속사정과 보안 이슈를 속 시원히 파헤쳐 보겠습니다.
1. 가젯(Gadgets)의 탄생
2000년대 중반, 애플의 Mac OS X가 '대시보드 위젯'으로 화려한 UI를 뽐내고 있을 때, MS 역시 윈도우 비스타를 출시하며 '윈도우 사이드바(Windows Sidebar)'라는 이름으로 가젯을 도입했습니다.
HTML, CSS, JavaScript라는 웹 기술을 기반으로 누구나 쉽게 미니 앱을 만들 수 있다는 점은 개발자들에게도 아주 매력적인 공간이었습니다.
하지만 이 자유롭고 매력적인 공간은 오래가지 못했습니다.
누구나 쉽게 웹 기술로 미니 앱을 만들 수 있다는 '개방성'이, 훗날 MS의 발목을 잡는 보안 취약점이 될 줄은 아무도 몰랐죠.
본격적인 가젯 강제 삭제 사건의 전말을 파헤치기 전에, 우리가 사랑했던 윈도우의 소소한 기능들이 시대에 따라 어떤 운명을 맞이 했는지 조금만 엿보고 가겠습니다.
| 구분 | 기능명 | 상태 | 삭제/변경 사유 요약 |
|---|---|---|---|
| Win Vista / 7 | 바탕화면 가젯 | 영구 폐기 (삭제) | 원격 코드 실행(RCE) 등 치명적인 보안 취약점 발견. 패치 불가 판정. |
| Win XP | 3D 핀볼 | 지원 중단 | 64비트 OS 포팅 과정에서 충돌 감지 버그 발생 (후속 포스팅 예정) |
| Win 8 / 10 / 11 | 라이브 타일 / 위젯 | 현재 서비스 중 | 가젯을 대체하기 위해 샌드박스(Sandbox) 환경에서 안전하게 구동되도록 설계 변경 |
2. MS 보안 권고 2719662
윈도우 8 출시가 임박했던 2012년 여름, MS는 공식 홈페이지를 통해 아주 이례적이고 다급한 보안 권고문(Security Advisory 2719662)을 하나 발표합니다.
내용인즉슨, "윈도우 바탕화면 가젯 기능에 해커가 원격으로 코드를 실행할 수 있는(RCE) 치명적인 취약점이 있으니 기능을 비활성화해라"라는 것이었습니다.
RCE(Remote Code Execution)는 보안 사고 중에서도 최고 등급의 재앙입니다.
해커가 내 PC의 최고 관리자 권한을 탈취해 마음대로 조종할 수 있다는 뜻이니까요.
▲ 예쁜 가젯의 탈을 쓰고 PC를 장악했던 치명적 보안 결함
🔴 대체 왜 뚫렸을까? (달팁의 시선)
가젯을 구동하는 핵심 프로세스인 'sidebar.exe'는 사실상 바탕화면에 떠 있는 작은 '웹 브라우저'와 같았습니다. 문제는 이 가젯들이 시스템 로컬 파일과 시스템 API에 접근할 수 있는 권한이 지나치게 강력했다는 점입니다.
사용자가 인터넷에서 예쁜 '커스텀 날씨 가젯'인 줄 알고 다운받아 설치했는데, 그 안에 악성 JavaScript 코드가 숨겨져 있다면?
백신이 탐지하기도 전에 가젯 구동 프로세스를 타고 백그라운드에서 cmd.exe(명령 프롬프트)를 실행시켜 해커의 서버로 권한을 넘겨버립니다.
보안의 문을 나 스스로 열어버리게 된 셈이었죠.
3. 패치 대신 제거를 선택한 MS
보통 취약점이 발견되면 코드를 수정해서 패치 업데이트를 내놓는 것이 일반적 입니다.
그런데 MS는 "이 기능은 구조적으로 답이 없으니 그냥 아예 꺼버려라"라며 가젯 기능을 완전히 막아버리는 'Fix it' 툴을 배포해 버렸습니다.
▲ 보안을 명분으로 가젯을 쳐내고 전면에 내세웠던 윈도우 8의 라이브 타일(Live Tile) UI
여기에는 당시 IT 업계의 재미있는 시대적 배경이 얽혀 있습니다.
당시 MS는 터치스크린과 모바일에 최적화된 새로운 운영체제, '윈도우 8' 출시를 앞두고 있었습니다.
( 제발, 그러지 말았어야 ... )
윈도우 8의 핵심 무기는 바로 사각형의 '라이브 타일(Live Tiles)' 앱 생태계였죠.
기존 개발자들과 사용자들이 구닥다리 '가젯'에 머물지 않고 새로운 타일 생태계로 넘어오게 만들 강력한 명분이 필요했습니다.
"보안에 이렇게 치명적인 문제가 생겼으니 어쩔 수 없어. 가젯은 이제 포기하고, 샌드박스로 안전하게 격리된 우리의 새로운 윈도우 8 앱(타일)을 사용해!"
보안 패치를 핑계(?)로 구시대의 유물을 깔끔하게 숙청해 버린, 아주 타이밍 기가 막힌 비즈니스적 판단이기도 했습니다.
감성 충만한 레트로 아이템 추천
※ 이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
마치며: 편의성과 보안, 영원한 딜레마
소프트웨어를 설계하다 보면 늘 마주치는 거대한 장벽이 있습니다.
"사용하기 편하게 자유도를 높이면 보안이 뚫리고, 보안을 철저하게 조이면 사용자가 불편해서 떠나간다."
▲ 시스템과 분리된 투명한 방어막(Sandbox)
윈도우 가젯은 이 딜레마를 가장 잘 보여주는 역사적인 사례입니다.
사용자와 서드파티 개발자에게 무한한 자유도(시스템 접근 권한)를 주어 폭발적인 인기를 끌었지만, 결국 그 자유도가 해커들의 놀이터가 되어버리며 스스로 파멸을 맞이했습니다.
지금 우리가 윈도우 11에서 사용하는 '위젯' 기능은 겉보기엔 과거의 가젯과 비슷해 보이지만, 보이지 않는 곳에서는 시스템과 철저히 격리된 샌드박스(Sandbox) 환경에서 안전하게 통제되고 있습니다.
화려했던 낭만의 시대가 저물고, 철저한 검증의 시대가 도래한 셈입니다.
때로는 가장 무식해 보이는 '삭제'가 시스템을 지키는 가장 완벽한 '보안 패치'가 될 수 있다는 사실, 흥미롭게 읽으셨나요?
🚀 달팁의 영상과 이미지 리소스는 '쇼츠빌더'를 통해 제작됩니다.
과거의 IT 역사를 알면 현재의 기술이 왜 이런 모습인지 훨씬 재미있게 이해할 수 있습니다.
위기를 기회로, 정보를 무기로 바꾸는 달팁이었습니다!
댓글