시리즈 · 주간 체크리스트
[IT·테크 위클리] SSH 암호 로그인 결함 점검법과 가상자산 과세·직구 의료기기·A2A 확인할 것
musl 기반 OpenSSH에서 암호 로그인 검증을 건너뛰는 결함이 보고됐고, 서버 운영자는 오늘 안에 해당 여부를 확인해야 합니다. 가상자산 과세 브리핑, 해외직구 의료기기 부당광고 적발, A2A 도입 점검까지 이번 주 확인 순서를 정리했습니다.
musl 기반 서버의 SSH 로그인 결함, Sshole
GeekNews에 소개된 Sshole은 musl C 라이브러리 위에서 도는 OpenSSH에서 암호 로그인 검증을 건너뛸 수 있다는 취약점 보고입니다. 영향 버전과 공격 조건의 세부는 제가 원문을 직접 확인하지 못했습니다. 그래서 아래 내용은 무엇을 점검할지에 한정합니다.
해당 가능성이 있는 쪽은 Alpine Linux 기반 서버와 컨테이너 이미지입니다. Alpine이 musl을 쓰는 대표 배포판이기 때문입니다. 개발용으로 sshd를 함께 띄운 컨테이너, 소형 임베디드 장비도 후보입니다. Ubuntu·Debian·RHEL 계열은 대개 glibc라 대상 밖일 가능성이 높지만, 이것도 원문과 배포판 공지에서 최종 확인할 부분입니다.
지금 할 일은 순서대로 셋입니다. 서버에서 ldd --version을 실행해 musl 표시가 나오는지 봅니다. 다음으로 sshd_config의 PasswordAuthentication 값을 확인합니다. 키 인증만으로 운영 가능하다면 no로 바꾸는 것이 보수적인 선택입니다. 마지막으로 사용하는 배포판의 보안 공지에서 패치 여부를 찾습니다.
놓치면 손해가 큽니다. 암호 로그인이 열린 채 인터넷에 노출된 서버라면, 검증 우회는 곧 원격 접속 권한이기 때문입니다. 다만 키 인증 전용 설정이 이 결함을 막아 주는지는 보고 내용을 읽어 봐야 알 수 있습니다. 단정할 수 없습니다.
가상자산 과세 브리핑, 시행 시점과 공제부터 확인
기획재정부가 부총리 브리핑 형식으로 가상자산 과세 관련 입장을 냈습니다. 이 자료는 제목과 링크만 확인했고 본문 내용은 읽지 못했습니다. 따라서 이번에 무엇이 바뀌었는지는 단정하지 않겠습니다.
배경은 알고 있는 범위에서 적습니다. 가상자산 양도·대여 소득 과세는 기존 법에서 연 250만원 기본공제를 넘는 금액에 22%(지방세 포함)를 매기는 구조로 설계됐고, 시행이 한 차례 미뤄진 적이 있습니다. 이 수치가 지금도 유효한지, 시행 시점이 다시 움직였는지가 브리핑의 핵심일 가능성이 큽니다. 추측입니다.
해당되는 사람은 국내외 거래소에서 코인을 사고판 개인입니다. 특히 해외 거래소 이용자는 취득가액 증빙이 부실하기 쉬워서, 과세가 시작되면 계산이 막힙니다. 지금 할 일은 거래내역을 거래소별로 내려받아 한곳에 모아 두는 것입니다. 시행 일정이 확정된 뒤에 시작하면 이미 늦습니다.
결정에 쓰는 세율·공제액·시행일은 기획재정부 보도자료 원문과 국세청 공지에서 최종 확인하세요. 확인할 위치는 기재부 홈페이지의 보도자료 게시판입니다.
해외직구 의료기기 광고 156건 적발, 구매 전 허가부터
식약처는 국민이 많이 찾는 의료기기를 대상으로 해외직구 등 온라인 부당광고를 점검해 156건을 적발했다고 밝혔습니다. 건수는 제목에 나온 수치이고, 품목별 내역과 조치 내용은 원문에서 확인해야 합니다.
의료기기는 효능을 내세워 광고하려면 국내 허가·인증 절차를 거쳐야 하는 제품군입니다. 해외직구 페이지는 이 절차를 우회한 문구가 붙기 쉽습니다. 치료나 통증 완화를 약속하는 문구가 대표적입니다. 혈압계, 마사지기, 저주파 자극기 같은 생활 가전형 제품을 사는 사람이 해당됩니다.
구매 전에 할 일은 간단합니다. 제품명이나 모델명을 식약처 의료기기 허가 정보에서 조회해 허가·인증 여부를 봅니다. 조회가 안 되는데 치료 효과를 내세우고 있다면 거르는 편이 안전합니다. 놓치면 효과가 검증되지 않은 제품에 돈을 쓰고, 문제가 생겨도 국내 구제를 받기 어렵습니다. 광고 문구가 아니라 허가 기록이 기준입니다.
A2A 도입 전 점검, 문서와 실제 동작의 간극
요즘IT에는 에이전트끼리 통신하는 A2A 프로토콜을 다룬 글이 두 편 올라왔습니다. 하나는 도입 전에 확인할 7가지, 다른 하나는 스펙대로 동작하는지 12개 항목을 직접 시험한 후기입니다. 두 글 모두 본문 세부는 확인하지 못했으므로 항목 내용은 옮기지 않겠습니다.
의미는 분명합니다. 스펙 문서에 적힌 기능과 구현체가 실제로 하는 일은 다를 수 있다는 점을 두 글이 같은 방향에서 짚고 있습니다. 사내에서 여러 AI 에이전트를 연결하려는 개발자, 외부 에이전트 연동을 검토하는 팀이 대상입니다.
할 일은 도입 결정 전에 작은 시험 구간을 먼저 두는 것입니다. 인증 방식, 장시간 작업의 상태 전달, 오류 처리처럼 운영에서 깨지는 지점을 골라 최소 시나리오로 돌려 봅니다. 그다음 두 글의 체크 항목과 대조합니다. 놓치면 운영 단계에서 호환 문제를 발견하게 되고, 그때는 되돌리는 비용이 큽니다.
이번 주 챙길 순서
1순위는 SSH입니다. musl 환경이 있는지 오늘 안에 확인하는 것이 가장 급합니다. 공개된 서버는 하루 차이도 큽니다.
2순위는 가상자산 거래내역 정리입니다. 마감이 걸린 일은 아니지만 브리핑 원문을 읽고 적용 시점부터 확인합니다. 3순위는 직구 의료기기의 허가 조회 습관이고, 4순위가 A2A 시험 구간입니다. 금액·기한·자격처럼 결정에 쓰는 숫자는 반드시 각 출처 원문에서 다시 확인하세요.
자주 묻는 질문
내 서버가 musl 기반인지 어떻게 확인하나요?
서버에 접속해 ldd --version을 실행하면 출력에 musl이 표시되는지 볼 수 있습니다. Alpine Linux 컨테이너는 대개 musl이고, Ubuntu나 Debian 계열은 보통 glibc입니다. 판단이 애매하면 배포판 문서와 보안 공지를 함께 확인하세요.
해외직구 의료기기가 국내 허가를 받았는지 확인하는 방법이 있나요?
제품명이나 모델명, 제조사를 식약처의 의료기기 허가·인증 정보에서 조회해 등록 여부를 확인합니다. 조회되지 않는데 치료나 질병 개선을 내세우는 광고라면 구매를 보류하는 편이 안전합니다. 판매 페이지 문구는 근거가 되지 않습니다.
가상자산 거래내역은 지금부터 어떻게 모아 두면 좋은가요?
거래소별로 체결내역과 입출금 내역을 파일로 내려받아 연도별 폴더에 보관하면 됩니다. 해외 거래소와 개인 지갑 간 이동도 기록해 취득가액을 추적할 수 있게 하세요. 과세 기준과 시행일은 기재부와 국세청 공지로 확인해야 합니다.
이 기사는 공개된 공식 자료를 근거로 작성했으며, 초안 작성에 AI 도구를 사용했습니다. 발행 기준과 정정 절차는 편집·정정 방침에 있습니다. 금액·기한처럼 결정에 쓰이는 정보는 아래 출처에서 최종 확인해 주세요.