오랜 기간 윈도우 보안의 아킬레스건이었던 RC4 암호화 방식이 드디어 역사 속으로 사라집니다. 마이크로소프트는 2026년 중반까지 RC4 기반 인증 요청에 대한 기본 지원을 중단하고, 훨씬 더 강력한 AES-SHA1 암호화 표준으로 전환할 예정이라고 밝혔는데요. 그동안 RC4는 Active Directory와 Kerberos 인증 시스템에서 해커들의 주요 공격 대상이 되어왔습니다. 특히 지난 해 의료 기업 Ascension의 대규모 정보 유출 사건에서도 RC4 취약점이 악용되며 심각한 피해를 초래했어요.
왜 26년 된 RC4 암호화가 이제야 사라질까요?
RC4, 즉 Rivest Cipher 4는 1987년에 개발된 스트림 암호 방식이에요. 하지만 1994년 알고리즘이 유출된 후 심각한 보안 취약점이 발견되었죠. 그럼에도 불구하고 마이크로소프트는 2000년 Active Directory를 출시하면서 RC4를 기본 암호화 방식으로 채택했어요. 더 안전한 AES 표준이 도입된 이후에도 윈도우 서버는 RC4 기반 인증 요청에 계속 응답했고, 이 점이 해커들에게는 황금 같은 기회였던 거예요.
Active Directory와 Kerberos, RC4의 치명적인 결함
Active Directory는 대규모 조직에서 관리자와 사용자 계정을 구성하고 프로비저닝하는 데 사용되는 윈도우의 핵심 구성 요소예요. 그리고 Kerberos는 비보안 네트워크에서 사용자와 서비스의 신원을 확인하는 산업 표준 인증 프로토콜이죠. 해커들은 윈도우 네트워크를 공격할 때 Active Directory를 ‘성배’처럼 여기는데, 일단 침해하면 엄청난 통제권을 얻을 수 있기 때문이에요.
RC4의 약점 중 하나는 ‘Kerberoasting’이라는 공격 방식에 특히 취약하다는 점이에요. 이 공격은 2014년부터 알려져 있었으며, 작년 Ascension 병원 네트워크 침해의 근본 원인이 되기도 했어요. RC4는 Active Directory 인증 시 암호화 솔트(salt)를 사용하지 않고, MD4 해싱 함수를 단일 라운드로만 사용하는데, 이 두 가지가 Kerberoasting 공격에 매우 취약하게 만들어요. 솔트는 각 암호에 무작위 입력을 추가하여 해싱하는 기술로, 해커가 해시를 해독하는 데 훨씬 더 많은 시간과 자원을 투자하도록 만들죠.
새로운 표준, AES-SHA1 암호화는 무엇이 다를까요?
마이크로소프트는 2008년 윈도우 서버 출시 이후 모든 지원되는 윈도우 버전에서 AES-SHA1 암호화 표준을 제공해왔어요. AES-SHA1은 훨씬 더 안전하다고 평가받는 알고리즘으로, RC4와 달리 솔트를 사용하고 해싱 작업을 여러 번 반복하여 암호 해독에 필요한 시간과 자원을 약 1,000배 정도 증가시켜요.
2026년 중반부터는 윈도우 서버 2008 이상 버전의 도메인 컨트롤러(KDC)에서 Kerberos 인증 시 AES-SHA1 암호화만 허용하게 됩니다. RC4는 기본적으로 비활성화되며, 도메인 관리자가 계정 또는 KDC를 RC4 사용으로 명시적으로 구성하는 경우에만 사용될 수 있어요. 이는 사실상 RC4의 종말을 의미하죠.
지금 당장 윈도우 관리자가 해야 할 일은?
마이크로소프트는 RC4를 단계적으로 폐기하기 위해 지난 10년 동안 꾸준히 노력해왔지만, 25년간 모든 OS에 존재하며 기본 알고리즘이었던 RC4를 완전히 제거하는 것은 쉬운 일이 아니었다고 해요. 하지만 이제는 더 이상 미룰 수 없는 시점이 되었죠.
따라서 윈도우 관리자는 지금부터 네트워크 내에서 RC4에 의존하는 시스템이 없는지 식별하는 것이 매우 중요해요. 모든 시스템을 AES-SHA1으로 업데이트했다고 생각하더라도, 종종 간과되는 타사 레거시 시스템이나 중요한 기능을 위해 RC4를 유일한 수단으로 사용하는 시스템이 있을 수 있기 때문이에요.
마이크로소프트는 이러한 시스템을 식별할 수 있도록 몇 가지 도구를 제공하고 있어요.
- KDC 로그 업데이트: Kerberos를 통해 RC4를 사용하는 시스템의 요청 및 응답을 추적할 수 있도록 KDC 로그를 업데이트합니다.
- 새로운 PowerShell 스크립트: 보안 이벤트 로그를 쉽게 분류하여 문제가 되는 RC4 사용을 정확히 찾아낼 수 있도록 돕습니다.
이러한 도구들을 활용하여 현재 네트워크의 RC4 사용 현황을 파악하고, 필요한 조치를 취해야 해요. 미루다가는 예상치 못한 보안 사고로 이어질 수 있으니, 지금 바로 시스템을 점검해 보세요.
마무리
오랜 시간 동안 윈도우 보안을 위협해왔던 RC4 암호화 방식의 시대가 이제 막을 내립니다. 마이크로소프트의 이번 결정은 더 안전한 사이버 보안 환경을 구축하기 위한 중요한 발걸음인데요. 윈도우 관리자라면 다가오는 2026년 중반까지 RC4 의존 시스템을 파악하고, AES-SHA1으로의 전환을 서두르는 것이 필수적이에요. 지금부터 체계적인 점검과 업데이트를 통해 안전한 네트워크 환경을 만들어보세요.
같이 보면 좋은 글
#RC4폐기 #마이크로소프트보안 #ActiveDirectory #Kerberos #AESSHA1 #사이버보안강화 #윈도우업데이트 #암호화표준 #정보보호 #IT관리팁