B
Ars Technica 14일 전
보안 취약점 혹평에도 MS 클라우드 승인한 미 연방
중요도
핵심 요약
미국 연방 정부의 사이버 보안 평가 기구인 FedRAMP가 2024년 말, 내부 평가팀의 강한 비판과 보안 우려에도 불구하고 마이크로소프트(MS)의 정부용 클라우드 서비스를 최종 승인했습니다. MS가 고객사의 데이터 암호화 방식 등 핵심 보안 문서를 5년간 제대로 제출하지 않았음에도, 이미 연방 기관과 국방 산업에 광범위하게 도입된 점을 근거로 사실상 면죄부를 준 것입니다. 이는 엄격해야 할 정부 보안 검증 절차가 빅테크 기업을 향해 지나치게 관대하게 작동하고 있다는 심각한 문제를 시사합니다.
번역된 본문
텍스트 설정 본문 텍스트 크기: 작게, 표준, 크게 너비: 표준, 넓게 링크: 표준, 주황색 구독자 전용 더보기 탐색창으로 최소화
2024년 후반, 미국 연방 정부의 사이버 보안 평가관들은 마이크로소프트의 가장 큰 클라우드 컴퓨팅 서비스 중 하나에 대해 우려스러운 평결을 내렸다. ProPublica가 입수한 정부 내부 보고서에 따르면, 이 기술 거량의 "적절하고 상세한 보안 문서 부족"으로 인해 평가관들은 "시스템의 전반적인 보안 태세를 평가할 확신을 얻지 못했다"고 밝혔다. 또는 평가팀원 중 한 명이 표현한 대로 말하자면, 그 결과물은 "완전한 쓰레기"였다.
평가관들은 수년 동안 마이크로소프트가 디지털 환경에서 서버 간을 이동하는 동안 클라우드 내의 민감한 정보를 어떻게 보호하는지 제대로 설명하려 했으나 번번이 실패했다고 말했다. 이러한 문제와 기타 알려지지 않은 요소들 때문에 정부의 보안 전문가들은 이 기술의 보안을 보증할 수 없었다.
이러한 평가는 미국 정부에 제품을 판매하려는 모든 기업에게 치명적일 수 있지만, 특히 마이크로소프트에게는 더욱 파괴적이어야 했다. 이 기술 거량의 제품은 지난 3년간 미국을 겨냥한 두 번의 주요 사이버 보안 공격의 핵심에 있었다. 그중 한 건에서는 러시아 해커들이 취약점을 악용해 국가핵안보국(NNSA)을 포함한 여러 연방 기관에서 민감한 데이터를 훔쳤다. 다른 한 건에서는 중국 해커들이 내각 장관과 다른 고위 정부 관리들의 이메일 계정을 침투했다.
국가의 가장 민감한 정보 중 일부를 보호하기 위해 설계된 클라우드 기반 서비스 모음인 '마이크로소프트의 정부 커뮤니티 클라우드 하이(GCC High)'의 사이버 보안을 검증할 수 없다면 연방 정부는 훨씬 더 큰 위험에 노출될 수 있었다.
그럼에도 불구하고 워싱턴 전역에 여파를 미치고 있는 매우 이례적인 조치로, 미연방 위험 및 권한 관리 프로그램(FedRAMP)은 결국 이 제품을 승인했으며, 이는 사실상 연방 정부의 사이버 보안 승인 인장을 수여하는 것과 같았다. GCC High 도입을 고려하는 모든 연방 기관에 일종의 '사용상 주의(buyer beware)' 경고가 포함된 FedRAMP의 이번 결정은 마이크로소프트가 수십억 달러 규모의 정부 사업 제국을 확장하는 데 도움을 주었다.
"부웅 샤카 라카(BOOM SHAKA LAKA)!"라고 마이크로소프트의 수석 보안 아키텍트 중 한 명인 리처드 웨이크먼(Richard Wakeman)은 온라인 포럼에서 자랑했다. 그는 영화 '더 울프 오브 월 스트리트'에서 레오나르도 디카프리오의 밈을 사용하며 이 이정표를 축하했다. 웨이크먼은 기사의 코멘트 요청에 응답하지 않았다.
이것은 연방 정책 입안자들이 15년 전 클라우드 혁명을 수용하고 정부의 사이버 보안을 보호하기 위해 FedRAMP를 만들었을 때 envision했던 결과가 아니었다. 외부 전문가의 평가를 포함한 이 프로그램의 다층적인 검토는 마이크로소프트와 같은 서비스 제공자가 정부의 기밀을 맡길 수 있는 신뢰할 수 있는 곳임을 보장하기 위함이었다.
하지만 ProPublica의 조사, 즉 FedRAMP의 내부 메모, 로그, 이메일, 회의록과 정부의 현직 및 전직 직원과 계약자 7명과의 인터뷰를 바탕으로 한 결과, 해당 과정의 모든 단계에서 문제가 발생한 것으로 나타났다. 또한 이 조사는 회사의 제품과 관행이 정부를 상대로 지금까지 수행된 가장 파괴적인 두 차례의 사이버 공격의 핵심이었음에도 불구하고 마이크로소프트에 대한 놀라운 호의를 발견했다.
FedRAMP는 2020년에 처음으로 GCC High의 보안에 의문을 제기하고 암호화 관행을 설명하는 상세한 다이어그램을 마이크로소프트에 제공해 달라고 요청했다. 그러나 마이크로소프트가 FedRAMP가 부분적인 정보만으로 간주하는 자료를 띄엄띄엄 제출했을 때, 프로그램 관리들은 마이크로소프트의 신청을 거부하지 않았다. 대신 그들은 반복적으로 제재를 유예하고 검토를 5년 동안 질질 끌었다. 그리고 연방 기관들이 검토 기간 동안 해당 제품을 배포할 수 있도록 허용되었기 때문에, GCC High는 국방 산업은 물론 정부 전체에 퍼져나갔다.
2024년 후반에 이르러 FedRAMP 평가관들은 그 기술을 승인하는 것 외에는 선택의 여지가 거의 없다고 결론지었다. 그것은 그들의 질문에 답을 얻었거나 검토가 완료되어서가 아니라, 주로 마이크로소프트의 제품이 이미 널리 사용되고 있었기 때문이었다.
원문 보기 (영어)
Text settings Story text Size Small Standard Large Width * Standard Wide Links Standard Orange * Subscribers only Learn more Minimize to nav In late 2024, the federal government’s cybersecurity evaluators rendered a troubling verdict on one of Microsoft’s biggest cloud computing offerings. The tech giant’s “lack of proper detailed security documentation” left reviewers with a “lack of confidence in assessing the system’s overall security posture,” according to an internal government report reviewed by ProPublica. Or, as one member of the team put it: “The package is a pile of shit.” For years, reviewers said, Microsoft had tried and failed to fully explain how it protects sensitive information in the cloud as it hops from server to server across the digital terrain. Given that and other unknowns, government experts couldn’t vouch for the technology’s security. Such judgments would be damning for any company seeking to sell its wares to the US government, but it should have been particularly devastating for Microsoft. The tech giant’s products had been at the heart of two major cybersecurity attacks against the US in three years. In one, Russian hackers exploited a weakness to steal sensitive data from a number of federal agencies, including the National Nuclear Security Administration. In the other, Chinese hackers infiltrated the email accounts of a Cabinet member and other senior government officials. The federal government could be further exposed if it couldn’t verify the cybersecurity of Microsoft’s Government Community Cloud High, a suite of cloud-based services intended to safeguard some of the nation’s most sensitive information. Yet, in a highly unusual move that still reverberates across Washington, the Federal Risk and Authorization Management Program, or FedRAMP, authorized the product anyway, bestowing what amounts to the federal government’s cybersecurity seal of approval. FedRAMP’s ruling—which included a kind of “buyer beware” notice to any federal agency considering GCC High—helped Microsoft expand a government business empire worth billions of dollars. “BOOM SHAKA LAKA,” Richard Wakeman, one of the company’s chief security architects, boasted in an online forum, celebrating the milestone with a meme of Leonardo DiCaprio in “The Wolf of Wall Street.” Wakeman did not respond to requests for comment. It was not the type of outcome that federal policymakers envisioned a decade and a half ago when they embraced the cloud revolution and created FedRAMP to help safeguard the government’s cybersecurity. The program’s layers of review, which included an assessment by outside experts, were supposed to ensure that service providers like Microsoft could be entrusted with the government’s secrets. But ProPublica’s investigation—drawn from internal FedRAMP memos, logs, emails, meeting minutes, and interviews with seven former and current government employees and contractors—found breakdowns at every juncture of that process. It also found a remarkable deference to Microsoft, even as the company’s products and practices were central to two of the most damaging cyberattacks ever carried out against the government. FedRAMP first raised questions about GCC High’s security in 2020 and asked Microsoft to provide detailed diagrams explaining its encryption practices. But when the company produced what FedRAMP considered to be only partial information in fits and starts, program officials did not reject Microsoft’s application. Instead, they repeatedly pulled punches and allowed the review to drag out for the better part of five years. And because federal agencies were allowed to deploy the product during the review, GCC High spread across the government as well as the defense industry. By late 2024, FedRAMP reviewers concluded that they had little choice but to authorize the technology—not because their questions had been answered or their review was complete, but largely on the grounds that Microsoft’s product was already being used across Washington. Today, key parts of the federal government, including the Justice and Energy departments, and the defense sector rely on this technology to protect highly sensitive information that, if leaked, “could be expected to have a severe or catastrophic adverse effect” on operations, assets, and individuals, the government has said. “This is not a happy story in terms of the security of the US,” said Tony Sager , who spent more than three decades as a computer scientist at the National Security Agency and now is an executive at the nonprofit Center for Internet Security. For years, the FedRAMP process has been equated with actual security, Sager said. ProPublica’s findings, he said, shatter that facade. “This is not security,” he said. “This is security theater.” ProPublica is exposing the government’s reservations about this popular product for the first time. We are also revealing Microsoft’s yearslong inability to provide the encryption documentation and evidence the federal reviewers sought. The revelations come as the Justice Department ramps up scrutiny of the government’s technology contractors. In December, the department announced the indictment of a former employee of Accenture who allegedly misled federal agencies about the security of the company’s cloud platform and its compliance with FedRAMP’s standards. She has pleaded not guilty. Accenture, which was not charged with wrongdoing, has said that it “proactively brought this matter to the government’s attention” and that it is “dedicated to operating with the highest ethical standards.” Microsoft has also faced questions about its disclosures to the government. As ProPublica reported last year, the company failed to inform the Defense Department about its use of China-based engineers to maintain the government’s cloud systems, despite Pentagon rules stipulating that “No Foreign persons may have” access to its most sensitive data. The department is investigating the practice , which officials say could have compromised national security. Microsoft has defended its program as “tightly monitored and supplemented by layers of security mitigations,” but after ProPublica’s story published last July, the company announced that it would stop using China-based engineers for Defense Department work. In response to written questions for this story and in an interview, Microsoft acknowledged the yearslong confrontation with FedRAMP but also said it provided “comprehensive documentation” throughout the review process and “remediated findings where possible.” “We stand by our products and the comprehensive steps we’ve taken to ensure all FedRAMP-authorized products meet the security and compliance requirements necessary,” a spokesperson said in a statement, adding that the company would “continue to work with FedRAMP to continuously review and evaluate our services for continued compliance.” But these days, ProPublica found, there aren’t many people left at FedRAMP to work with. The program was an early target of the Trump administration’s Department of Government Efficiency, which slashed its staff and budget. Even FedRAMP acknowledges it is operating “with an absolute minimum of support staff” and “limited customer service.” The roughly two dozen employees who remain are “entirely focused on” delivering authorizations at a record pace, FedRAMP’s director has said . Today, its annual budget is just $10 million, its lowest in a decade, even as it has boasted record numbers of new authorizations for cloud products. The consequence of all this, people who have worked for FedRAMP told ProPublica, is that the program now is little more than a rubber stamp for industry. The implications of such a downsizing for federal cybersecurity are far-reaching, especially as the administration encourages agencies to adopt cloud-based artificial intelligence tools , which draw upon reams of sensitive information. The General Services Administration, which houses FedRAMP, defende