당신의 NAS는 온라인에 연결되어 있다. 그게 문제의 전부다

밤 열한 시, 퇴근하고 씻고 겨우 소파에 앉았는데 휴대전화가 울립니다. NAS 펌웨어에 심각한 취약점이 발견됐으니 즉시 업데이트하라는 알림입니다. 하루 종일 회사 일을 하고 돌아온 몸으로, 당신은 다시 책상 앞에 앉아 관리자 페이지에 접속합니다. 포트 설정은 건드리지 않았는지, 외부 접속은 제대로 막혀 있는지, 업데이트 도중 전원이 나가지는 않을지 확인합니다. 그 순간 문득 이런 생각이 듭니다. 편해지려고 산 기계가 왜 나를 24시간 당직자로 만드는가.

NAS를 산 이유는 단순했습니다. 남의 클라우드에 맡기기 싫었고, 집 안에 나만의 클라우드를 두고 싶었습니다. 월 이용료도 내지 않고, 언제 어디서나 내 파일에 닿을 수 있다는 약속이 매력적이었습니다. 그런데 그 약속에는 뒷면이 있었습니다. 언제 어디서나 당신이 닿을 수 있다는 말은, 그만큼 그 상자가 언제나 밖에 열려 있다는 뜻이기도 합니다. 이 글의 주장은 하나입니다. NAS의 문제는 어느 회사 제품이냐가 아닙니다. 그 상자가 인터넷에 연결되어 있다는 사실 자체가 문제입니다.

집 안의 클라우드라는 약속

NAS 커뮤니티에서 흔히 듣는 말이 있습니다. "내 데이터는 내가 지킨다." 멋진 말입니다. 그런데 실제로 그 문장이 의미하는 바를 끝까지 따라가 보면, 일의 목록이 길어집니다. 펌웨어 업데이트를 챙기고, 계정 권한을 관리하고, 외부 접속용 포트와 DDNS 설정을 점검하고, 백업이 제대로 도는지 확인하는 일까지, 전부 사용자의 몫입니다. 처음에는 취미처럼 느껴집니다. 직접 손으로 꾸민 서버가 돌아가는 모습을 보면 뿌듯하기도 합니다. 그러나 몇 달, 몇 년이 지나면 그 뿌듯함은 피로로 바뀝니다. 일은 줄지 않고, 알림은 그치지 않으며, 관리해야 할 것은 점점 늘어납니다.

직장인에게 저녁 시간은 이미 부족합니다. 그런데 집에 돌아와서도 또 하나의 시스템을 돌봐야 한다면, 그건 여유가 아니라 두 번째 근무입니다. 세네카는 시간만큼은 누구도 빌려줄 수 없는 유일한 재산이라고 말했습니다. 저녁마다 서버를 돌보는 데 시간을 쓰는 삶이 과연 내가 원했던 삶인지, NAS 알림이 울릴 때마다 한 번씩 묻게 됩니다. 문제는 의지나 실력이 아닙니다. 사람은 원래 지치고, 잊고, 바쁠 때는 편한 쪽을 택합니다. 그리고 그 편한 선택 하나가, 열어서는 안 될 문을 열어두는 경우가 많습니다.

2021년, NAS를 노린 공격이 실제로 있었다

이건 가상의 경고가 아닙니다. 2021년, QNAP NAS를 노린 Qlocker 공격이 공개 보도됐습니다. 공격자는 취약점을 이용해 원격으로 사용자 파일을 암호화하고 몸값을 요구했습니다. 어느 회사 제품이 특별히 허술해서가 아니었습니다. 집에 있는 NAS라는 형태 자체가 표적이 됐습니다. Synology NAS를 노린 eCh0raix라는 랜섬웨어 계열도 여러 차례 새로운 변종으로 등장해 공개 보도됐습니다. 한 번의 사건으로 끝나지 않고, 시간이 지나면 다시 나타나는 패턴입니다.

여기서 중요한 점은 공격자의 동기가 특별하다는 게 아니라, 너무나 평범하다는 것입니다. 인터넷에 연결된 채 24시간 켜져 있는 상자, 그 안에 누군가의 파일이 가득 들어 있다는 사실. 공격자에게 그보다 더 찾기 쉬운 표적은 많지 않습니다. 당신이 그 상자를 소중히 여기는 만큼, 공격자도 그 상자를 가치 있게 여깁니다. 다만 이유가 정반대입니다. 당신은 지키려고, 공격자는 잠그고 빼앗으려고 그 상자를 봅니다.

온라인이라는 것 자체가 공격면이다

NAS를 둘러싼 논의는 대개 이렇게 흘러갑니다. 어떤 브랜드가 더 안전한가, 어떤 설정이 더 단단한가. 그러나 그 논의는 핵심을 비껴갑니다. 상자가 인터넷에 연결되어 있는 한, 공격면은 24시간 열려 있습니다. 당신이 외출했을 때도, 잠들었을 때도, 휴가 중일 때도, 그 상자는 켜져 있고 응답하고 있습니다. "언제 어디서나 접속 가능"이라는 편리함은, 그 상자를 노리는 쪽에도 똑같이 적용됩니다. 당신이 집 밖에서 파일에 닿을 수 있다면, 누군가는 집 밖에서 그 상자에 닿으려고 시도할 수 있습니다.

두 번째 문제는 책임의 소재입니다. 클라우드 업체를 쓰면 최소한 패치와 보안 운영을 업체가 맡습니다. NAS를 쓰면 그 책임이 전부 당신에게 넘어옵니다. 보안 업데이트를 하루 늦게 적용하는 일, 권한 설정을 한 번 대충 넘기는 일, 급한 마음에 임시로 열어둔 포트를 닫는 것을 잊는 일. 이런 작은 틈 하나하나가 모여 실제 침입의 통로가 됩니다. 전문가도 실수하는데, 저녁 시간을 쪼개 서버를 관리하는 일반 사용자가 평생 한 번도 실수하지 않기를 바라는 것은 무리한 기대입니다. NAS는 당신에게 자유를 준 것이 아니라, 자유의 대가로 영원한 당직을 준 셈입니다.

익숙한 수단들은 왜 이 문제를 풀지 못하는가

NAS의 문제를 이야기할 때, 다른 익숙한 수단들을 함께 짚어볼 필요가 있습니다. 클라우드 앨범과 클라우드 드라이브는 편합니다. 그러나 그 편안함의 대가는 파일이 남의 서버에 있고, 남의 눈에 닿을 수 있는 구조에 있다는 점입니다. 계정이 잠기거나 정책이 바뀌면 내 파일인데도 내 뜻대로 되지 않는 경험을 누구나 한 번쯤 들어봤을 것입니다. 외장하드는 손안에 있다는 점에서 든든해 보이지만, 한 개뿐이라면 잃어버리거나 고장 나는 순간 답이 없습니다. 복사본이 없는 보관이란, 사실 보관이 아니라 운에 맡기는 것에 가깝습니다.

은행 금고는 견고해 보입니다. 그러나 금고는 물건을 넣어두는 장소일 뿐, 그 안에 무엇이 있고 어떤 상태인지 책임지고 관리해 주는 서비스가 아닙니다. 집 안에 숨겨두는 방법은 더 취약합니다. 화재, 물난리, 도난, 그리고 무엇보다 "나중에 찾으려는데 어디에 뒀는지 기억이 안 나는" 일상의 망각 앞에서는 속수무책입니다. 이 수단들의 공통점은 하나입니다. 어느 것도 "아무에게도 발견되어서는 안 되는 것"을 끝까지 책임지고 지켜주는 구조가 아니라는 점입니다. NAS는 그중에서도 특히 역설적입니다. 남에게 맡기기 싫어서 직접 지킨다고 시작했는데, 결국 혼자서 24시간 경계를 서는 처지가 되기 때문입니다.

가치는 관리에서 해방되는 것이다

여기서 가격 이야기는 하지 않겠습니다. NAS를 사는 데 든 돈, 하드디스크를 교체하는 데 든 돈, 전기요금 같은 계산은 이 글의 주제가 아닙니다. 진짜 가치는 다른 곳에 있습니다. 다시는 관리자가 되지 않아도 된다는 확실성, 그리고 내 파일이 닿을 수 없는 곳에 있다는 확실성입니다. 밤 열한 시에 울리는 펌웨어 알림에 더 이상 몸을 일으키지 않아도 되는 삶, "내가 오늘 패치를 빠뜨렸나"라는 불안 없이 저녁을 보내는 삶이 바로 그것입니다.

오프라인 보관의 핵심은 기술 자랑이 아닙니다. 인터넷에 연결되지 않은 매체는 원격 공격이 닿을 수 없는 곳에 있다는, 단순하고 물리적인 사실입니다. 랜섬웨어는 네트워크 케이블이 없는 상자를 암호화할 수 없습니다. 피싱 메일은 연결되지 않은 매체에 닿지 않습니다. 이 단순함이 오히려 가장 단단합니다. 복잡한 설정으로 무장한 상자보다, 아예 밖에 열려 있지 않은 상자가 더 조용하고 더 확실합니다. 기술 용어를 늘어놓을 필요도 없습니다. 닿지 않는다는 사실 하나면 충분합니다.

결론은 하나다: 맡기는 것이다

NAS의 교훈은 "더 열심히 관리하라"가 아닙니다. 아무리 열심히 관리해도 사람은 지치고, 상자는 계속 온라인에 있기 때문입니다. 결론은 정반대 방향입니다. 보관이라는 일 자체를, 그 일을 전문으로 하는 사람과 절차에 맡기는 것입니다.

그 절차는 구체적이어야 합니다. 매체에 번호가 매겨지고, 봉인이 찍히고, 두 사람이 함께 확인하고, 전담 인력이 보관하는 방식이어야 합니다. 누구 한 사람의 기억이나 성실함에 기대지 않고, 절차가 사람을 대신해 기억하고 확인하는 구조여야 합니다. 보관 점검 역시 같은 원칙을 따릅니다. 기본적으로는 반기에 한 번, 봉인과 외관을 육안으로 점검하고 사진으로 기록하는 수준이며, 내용물에는 접촉하지 않습니다. 그보다 더 깊은 점검이 필요하다면 고객이 서면으로 동의한 경우에만 이루어집니다. 정기적으로 전원을 넣어 확인하는 식의 점검이 기본 서비스인 양 포장되지도 않습니다.

당신이 NAS를 산 이유는 처음부터 분명했습니다. 아무에게도 보여서는 안 되는 것을, 남의 눈에 닿지 않는 곳에 두고 싶었던 것입니다. 그 바람은 옳았습니다. 다만 수단은 잘못 골랐을 뿐입니다. 집 안의 서버는 자유가 아니라 당직을 주었고, 온라인이라는 사실 자체가 표적을 만들었습니다. 이제 그 당직에서 물러나도 됩니다. 당신의 파일이 인터넷에 연결되지 않은 곳에서, 번호와 봉인과 두 사람의 확인 아래 조용히 보관된다면, 당신은 더 이상 밤 열한 시의 알림에 일어나지 않아도 됩니다. 그 조용함이야말로, NAS를 샀을 때 진짜로 원했던 것입니다.