MS Live.com, ID 생성과정에서 악용될 소지가 있다

마이크로소프트의 Live.com 계정발급 시작에 대한 네티즌들의 관심이 뜨겁다. 아직 정식으로 live.com 계정을 생성할 수 없음에도 불구하고, 자바스크립트를 이용해 크랙 비슷한 방식으로 live.com 계정을 만들어내고 있다. 이 방법은 이미 여러 블로그에는 물론 컴퓨터 전문 커뮤니티 사이트에까지 퍼져 큰 관심을 받고 있다.

한편, 필자는 이 스크립트를 이용해 허가되지 않은 계정으로의 live.com 계정생성이 가능함을 발견했다. mail@live.com 뿐만 아니라, mail@google.com 과 같은 식의 계정생성이 가능했던 것이다. 게다가 이렇게 만들어진 계정들은 실제로도 Windows Live Messenger에서 사용이 가능했다. 다음 스크린샷을 참조하기 바란다. msft@google.com 주소로 계정이 생성되었으며, 이를 이용해 Live Messenger에 로그인할 수 있었다.

단지 이메일을 통한 인증 절차만 거치지 않았을 뿐(가짜 주소이기 때문에), 메신저에서 대화를 나누는 등의 행동이 가능했다. 이러한 '확인되지 않은 계정생성'이 가능한 이유는 아마도 passport.net에서 타 이메일 계정으로의 계정생성이 가능하기 때문으로 풀이된다. 이것은 Live.com 내의 계정생성 페이지에서의 버그(혹은 보안구멍)와는 다른 이야기다. MS의 passport.net은 하나의 아이디로 여러 개의 사이트를 이용할 수 있게 해주는 사이트. 이 사이트에서 계정을 생성할 땐, 사용자가 자신이 가입한 이메일 서비스의 주소를 마음대로 쓸 수 있다. 가령 사용자가 tiger@gmail.com 이란 메일계정을 사용한다면, 이 주소 그대로 passport.net에 가입할 수 있게 된다. 정상적인 가입 절차라면 이메일 계정을 통한 인증절차가 필요하지만, 인증절차 없이도 메신저를 비롯한 몇몇 MS 서비스의 이용이 가능하다. 여기엔 물론 MS Live도 포함된다. Live.com 의 개인화 홈페이지 등을 만들 수 있는 것이다.

그런데 MS의 이러한 계정생성 과정은 자칫 악용될 소지를 안고있다. MS에서는 계정생성시 주민등록번호를 요구하지 않기 때문에, 한 사람이 여러 개의 계정을 자유롭게 생성해서 사용할 수 있다. 이를 이용해 메신저에서 남을 속이는데 쓰이거나 스팸메일의 발송처 등으로 사용된다면? 혹은 타인의 이메일 주소를 이용해 가짜 계정을 만들어 남을 속이는 일이 발생한다면? 글쎄, 실제로이를 범죄에 이용할 사람이 있을지는 모르겠으나 전혀 불가능할 것 같지만도 않다.

(급하게 쓴 글이라 상당히 조잡하고 정신없다. 양해해주기 바란다. 기회가 된다면 나중에 다시 제대로 써볼 생각이다. 우선은 '이럴 수도 있다'는 것만 알아주면 고맙겠다.)

태그 : MS , Live , 계정 , 버그 , 악용 , ID