전설의 보안 메일링리스트 '버그트랙(Bugtraq)'이 돌아왔어요

보안 업계에서 오래 일한 분들이라면 이름만 들어도 아련해질 소식이 하나 있는데요. 1993년에 시작해 인터넷 보안의 역사를 만들었던 메일링리스트 '버그트랙(Bugtraq)'이 다시 살아났어요. 2021년에 조용히 문을 닫은 지 5년 만에, 원래 집이었던 SecurityFocus 도메인에서 다시 메일이 돌기 시작한 거예요.

버그트랙이 뭐였냐면요

지금이야 소프트웨어에서 취약점이 발견되면 CVE 번호가 붙고, 벤더가 패치를 내고, 보안 공지가 올라오는 흐름이 당연하게 느껴지죠. 그런데 90년대 초반에는 이런 체계가 아예 없었어요. 취약점을 발견해서 제조사에 알려도 무시당하기 일쑤였고, 심하면 '왜 우리 제품을 해킹했냐'며 법적으로 협박당하는 일도 있었거든요. 그 사이에 취약점 정보는 물밑에서만 돌았고, 정작 시스템을 지켜야 하는 관리자들만 깜깜이 상태였던 거죠.

버그트랙은 이 상황을 뒤집은 공간이었어요. 핵심 철학은 '전체 공개(full disclosure)'. 취약점을 발견하면 상세 내용을, 때로는 재현 코드까지 포함해서 공개 메일링리스트에 올리는 거예요. 얼핏 위험해 보이지만 논리는 명확했어요. 공격자들은 어차피 이런 정보를 알고 있으니, 방어하는 쪽도 똑같이 알아야 공평하다는 것. 그리고 취약점이 만천하에 공개되면 벤더는 더 이상 뭉갤 수 없고 고칠 수밖에 없다는 것. 실제로 이 압박 덕분에 벤더들이 보안 패치를 진지하게 다루기 시작했고, 이후 '일정 기간 벤더에게 먼저 알린 뒤 공개한다'는 책임 공개(responsible disclosure) 관행과 CVE 체계가 자리 잡는 밑거름이 됐어요. 지금의 버그바운티 문화도 그 연장선에 있고요.

어쩌다 사라졌고, 어떻게 돌아왔냐면

버그트랙은 SecurityFocus라는 회사가 운영하다가 2002년에 시만텍(Symantec)에 인수됐는데요. 대기업 산하로 들어간 뒤 활력이 조금씩 줄었고, 2021년 초에 결국 운영 종료 소식이 전해졌어요. 한때 되살리겠다는 발표도 있었지만 흐지부지됐고, 그렇게 역사 속으로 사라지는 줄만 알았죠. 그런데 이번에 lists.securityfocus.com 주소에서 최신 메일링리스트 시스템(Mailman 3와 웹 아카이브 Hyperkitty) 기반으로 다시 가동을 시작했다는 공지가 올라온 거예요. 오래된 유산을 박물관처럼 박제해두는 게 아니라, 실제로 다시 굴리겠다는 거고요.

지금 시점에 이게 왜 의미가 있냐면

'요즘 누가 메일링리스트를 봐?' 싶을 수 있는데요. 사실 보안 동네에서 메일링리스트는 여전히 현역이에요. 리눅스·오픈소스 취약점이 가장 먼저 공유되는 oss-security 리스트나, 버그트랙의 정신을 이어온 Full Disclosure 리스트는 지금도 활발하게 돌아가거든요. 오히려 최근 몇 년 사이에는 중앙화된 채널의 한계가 드러났어요. NVD(미국 국립 취약점 데이터베이스)의 분석 적체가 심해지고, CVE 프로그램의 예산 문제로 업계 전체가 가슴을 쓸어내리는 일도 있었죠. 취약점 정보가 특정 기관이나 플랫폼에만 묶여 있으면, 그게 흔들릴 때 다 같이 흔들린다는 걸 배운 거예요. 그래서 커뮤니티가 직접 굴리는 공개 채널의 부활은 단순한 추억팔이가 아니라, 정보 유통 경로를 다변화한다는 실질적인 의미가 있어요.

우리가 챙길 것

개발자 입장에서 가져갈 포인트는 명확해요. 자기가 쓰는 스택의 취약점 소식을 받아보는 채널을 하나쯤은 꼭 구독해두시는 게 좋아요. 버그트랙이나 oss-security 같은 리스트도 좋고, GitHub의 Dependabot 알림이나 국내라면 KISA 보호나라 공지를 병행하면 더 든든하고요. 취약점 공개 글을 읽는 것 자체가 훌륭한 공부이기도 해요. 공격이 어떻게 성립하는지 이해해야 방어 코드도 제대로 쓸 수 있거든요. 인젝션이든 메모리 버그든, 실제 사례만큼 좋은 교재가 없어요.

정리하면, 버그트랙의 귀환은 '취약점 정보는 공개되고 공유되어야 한다'는 30년 된 원칙이 여전히 유효하다는 선언이에요. 여러분은 보안 소식을 어디서 받아보고 계세요? 메일링리스트, RSS, 소셜미디어 중 어떤 채널이 제일 잘 맞던가요?