콜드카드 자체 시드 사용, 지갑 도난으로 이어져… “주사위로 직접 생성해야 안전”

현실 세계에서 주사위를 굴리는 행위는 예측 불가능한 결과를 도출하는 '진정한 랜덤'인 반면, 컴퓨터 시스템 내에서 만들어지는 난수는 그 특성상 진정한 무작위성을 확보하기 어렵다는 것이다. 디지털 환경에서 완전한 무작위성을 구현하는 것은 여전히 해결해야 할 과제로 남아 있다고 지적했다.

이는 컴퓨터의 난수 생성 방식이 실제 물리적 현상과는 달리 일정한 규칙이나 알고리즘에 기반하고 있기 때문이다. 아무리 복잡한 알고리즘을 사용하더라도, 이론적으로는 초기 조건만 알면 다음 숫자를 예측할 수 있다는 점에서 진정한 난수와는 차이가 있다는 설명이다.

가급적 컴퓨터가 만들어내는 무작위 값에 대해서는 신뢰하지 않는 편이라는 입장을 밝혔다.

이러한 불신은 컴퓨터가 복잡한 알고리즘을 통해 숫자를 생성하더라도, 그 과정이 인간의 개입이나 외부 요인 없이 순전히 디지털 환경 내에서 이루어진다는 점 때문이다. 진정한 의미의 무작위성이 결여될 수 있다는 우려가 내포되어 있다.

0부터 10까지의 숫자 중 무작위로 하나를 뽑는 간단한 코드를 작성해 실행할 때마다 다른 결과가 나오는 것처럼 보이지만, 특정 초기값을 설정하면 항상 동일한 결과가 반복된다는 것을 입증했다.

이는 디지털 난수가 겉으로는 무작위처럼 보일지라도, 그 내부 메커니즘은 결정론적이라는 사실을 시사한다. 즉, 프로그램이 시작되는 시점의 '시드(seed)' 값을 통제할 수 있다면, 그 이후에 생성되는 모든 난수열을 예측하거나 재현할 수 있다는 것이다. 이러한 특성은 보안 분야에서 중요한 취약점으로 작용할 수 있다.

컴퓨터가 만들어낼 수 있는 무작위 값은 진정한 난수를 직접 뽑아내는 것이 아니라, 특정한 '시작점', 즉 '시드(seed)' 값에서 비롯되어 전파되는 형태라는 것이다. 이 시드 값을 기반으로 일련의 계산을 거쳐 무작위처럼 보이는 숫자들이 생성된다는 설명이다.

이러한 원리 때문에 컴퓨터가 생성하는 난수에 대해서는 신뢰하지 않는다는 입장을 다시 한번 강조했다. 시드 값이 예측 가능하거나 노출될 경우, 전체 난수열의 예측 가능성이 높아져 보안상 취약점으로 이어질 수 있기 때문이다.

이는 컴퓨터가 만드는 난수가 진정한 무작위가 아니며, 특정한 알고리즘에 의해 생성되지만 겉보기에만 무작위처럼 보인다는 본질을 담고 있는 용어이다.

소프트웨어로 생성된 난수의 신뢰성을 개인이 직접 검증하기 어렵다는 점을 지적했다. 난수와 관련된 개념을 완벽하게 이해하고 있다 하더라도, 특정 소프트웨어가 생성한 난수가 제대로 만들어졌는지 여부를 일반 사용자가 직접 눈으로 확인하거나 자신의 지식으로 검증하는 것은 사실상 불가능하다고 설명했다.

이러한 이유로, 복잡한 소프트웨어 난수에 의존하기보다는 단순히 동전을 굴리는 것과 같은 물리적이고 직관적인 방법을 선호한다고 밝혔다. 이는 물리적 난수가 지닌 투명하고 검증 가능한 특성에 대한 신뢰를 바탕으로 한다.

보안 사고는 인간의 실수를 전제로 하여, 안전장치를 인간에게 의존하기보다는 시스템의 '구조'에 걸어두어야 한다는 점을 강조했다.

인간은 실수를 할 수 있다는 기본적인 가정을 깔고 가는 것이 보안 사고나 안전 사고에 대한 가장 효과적인 대처 방안이라고 밝혔다. 이는 시스템 설계 단계에서부터 잠재적인 인적 오류를 최소화하고, 설령 오류가 발생하더라도 전체 시스템의 안정성을 유지할 수 있는 견고한 구조를 구축하는 것의 중요성을 역설한다.