소프트웨어 업데이트

글자로 비교하면 버전 「2.9.1」이 「2.10.0」보다 뒤에 옵니다. 문자 9가 1보다 뒤이기 때문입니다. 숫자로 비교하면 2.9.1이 더 오래된 버전입니다.

2.10.0과 2.9.1, 어느 쪽이 새 버전일까

설명보다 실습이 먼저입니다. 휴대전화에 버전 2.10.0이 나왔다는 알림이 떴고, 지금 쓰는 것은 2.9.1입니다. 업데이트하면 더 새 버전이 될까요? 아래 실습을 고치지 말고 그대로 실행해서 첫 줄을 보세요. false가 나옵니다. 2.9.1이 더 오래되지 않았다는 답이지요. 글자로 비교하면 앞에서부터 한 글자씩 견주는데, 세 번째 글자에서 9가 1보다 뒤이니 거기서 판정이 끝나 버리고 10까지는 보지도 않습니다. 컴퓨터에게 「2.10.0」은 숫자가 아니라 글자 여섯 개일 뿐입니다. 함수를 고친 뒤에 이어서 읽으세요.

업데이트에 실려 오는 것

규모가 큰 프로그램에는 어느 것이든 실수가 들어 있습니다. 그 가운데 일부가 취약점입니다. 남이 내 기기에서 자기 코드를 실행하거나, 읽으면 안 되는 파일을 읽거나, 계정을 빼앗을 수 있게 만드는 결함을 말합니다. 제조사가 결함을 직접 찾거나 제보를 받으면 그 결함을 고친 패치(patch)를 업데이트에 담아 내놓습니다. 이에 대한 CISA의 메시지는 짧습니다. 업데이트 알림에서 「나중에 알림」을 누르지 마세요. 범죄자는 새로 나온 패치를 뜯어보고 어떤 결함이 고쳐졌는지 알아낸 다음, 아직 패치를 깔지 않은 기기를 골라 노립니다. 그래서 업데이트가 나온 직후 며칠 동안 업데이트하지 않은 기기가 가장 위험합니다.

패치가 나오기도 전에 공격자가 먼저 써먹는 취약점은 제로데이라고 부릅니다. 제조사에게 고칠 시간이 0일이었다는 뜻입니다. 뉴스에 크게 나는 쪽은 제로데이이지만, 성공한 공격 대부분은 오래전에 패치가 나왔는데도 설치하지 않은 기기를 노렸습니다. CISA는 실제 공격에 쓰인 것으로 확인된 취약점을 「알려진 악용 취약점(KEV)」 목록으로 공개하고, 미국 연방 기관은 정해진 기한 안에 이 취약점을 반드시 패치해야 합니다. 연방 기관이 아닌 우리에게도 교훈은 같습니다. 업데이트가 나오면 미루지 말고 설치하세요.

기기가 알아서 업데이트하게 두기

가장 들이기 쉬운 습관은 자동 업데이트를 켜 두는 일입니다. CISA는 기기 설정의 「소프트웨어」나 「보안」 항목을 보거나, 설정 검색창에 「자동 업데이트」를 쳐 보라고 안내합니다. 모든 것이 저절로 업데이트되지는 않으니 알림이 오는 업데이트는 직접 설치하고, 하루 종일 인터넷을 마주하는 웹 브라우저와 보안 프로그램을 먼저 챙기세요. 학교에서 받은 태블릿이나 노트북이라면 학교가 업데이트를 관리하기도 하니, 알림이 오면 미루지 말고 설치하세요. 눈에 잘 띄지 않는 기기도 있습니다. 거실의 공유기, 스마트 TV, 카메라처럼 인터넷에 연결된 기기에도 소프트웨어가 돌아갑니다. CISA의 랜섬웨어 지침은 운영체제, 응용 프로그램, 펌웨어를 모두 패치해야 할 대상으로 함께 꼽습니다.

업데이트는 기기 자체의 설정 화면이나 공식 앱 장터에서만 받으세요. 웹 페이지가 갑자기 브라우저가 오래됐다며 파일을 내려받으라고 하는 것은 악성 프로그램을 깔게 하는 흔한 수법입니다. 지원 종료도 챙겨야 합니다. 제조사가 오래된 운영체제나 기기에 보안 업데이트를 더 내지 않으면, 그 뒤로 발견되는 결함은 영영 고쳐지지 않습니다. KISA 보호나라는 널리 쓰이는 소프트웨어의 지원이 끝날 때 공지를 올려, 업그레이드하거나 지원이 이어지는 다른 것으로 바꾸라고 안내합니다.

업데이트는 다시 시작해야 적용되는 경우가 많습니다. 다시 시작을 미뤄 둔 업데이트는 아직 나를 지켜 주지 못합니다. 하루를 마칠 때처럼 시간을 정해 두고, 기기가 다시 시작하자고 하면 그때 하세요. 휴대전화는 저장 공간이 꽉 차서 업데이트가 소리 없이 멈추는 일이 흔하니, 내려받을 만큼 여유 공간을 남겨 둡니다. 한 달에 한 번은 기기마다 업데이트 화면을 열어 최신 상태라고 나오는지 확인하세요. 밤에 휴대전화를 충전하면서 업데이트를 설치하는 습관도 좋습니다.