| 제목 | [뉴스레터] 9월 2주 : 4. IoT 보안 강화와 기기암호화 | ||
|---|---|---|---|
| 담당부서 | 저작권기술팀 이민선 | 등록일 | 2015-09-10 |
|
4. IoT 보안 강화와 기기암호화
□ 배경 ○ 사물인터넷(IoT)에 대한 보안이 제대로 이뤄지지 않으면 사람의 목숨까지 위협할 수 있는 사고가 발생할 수 있다. 예를 들면, 생명연장을 위한 인공호흡기가 IoT기기가 되었을 때, 누군가가 해킹을 통해 그 기기를 꺼버린다면 사람이 죽을 수도 있다. 이러한 문제점에는 대부분의 전문가들이 이견이 없다. 그러나 여전히 무엇을 어떻게 보호해야할 지에 대해서는 명확한 청사진이 나오지 않고 있다. ○ 국내외 보안기업, 기관 등에서 공통적으로 강조하는 것은 사용자와 직접 연결된 IoT기기를 어떻게 보안할 것인가, 통신내역을 안전하게 송수신하기 위해 어떻게 암호화 기술을 쓸 것인가에 하는 문제이다. IoT기기와 암호화의 중요성이 가장 중심으로 부각되고 있는 것이다. 정보가 송수신되는 게이트웨이, 클라우드 서버 등에 대한 보안은 기존에도 이미 수많은 솔루션들이 개발돼 활용되고 있는 만큼 IoT를 위해 특화된 것이라고 보기는 힘들다. ○ 넓은 범주에서 IoT기기에 포함될 수 있는 것은 무선인터넷공유기, 스마트폰, 스마트워치, 커넥티드카, 당뇨병 환자들을 위한 인슐린펌프, IP카메라 등을 꼽을 수 있다. 이와 함께 조도, 습도, 온도, 동작 등을 인식하는 센서와 센서로부터 정보를 전달받아 이를 클라우드 기반 서버에 전송하는 IoT 전용 기기들도 출현을 예고한다. ○ 문제는 수많은 사용자들이 이들 기기, 센서에 접속할 경우 누가 접속했는지, 접속한 사용자가 믿을 수 있는 사람인지를 확인하기가 어렵다는 점이다. 더구나 스마트폰, 스마트워치 등을 제외한 IoT기기, 센서들은 기존보다 훨씬 가벼운 펌웨어를 통해 구동되기 때문에 윈도, 안드로이드OS에 적용되는 보안기능을 그대로 적용하기 어렵다는 한계가 발생한다. ○ IoT기기, 센서에 대해 암호화 통신을 적용하는 것도 같은 문제를 발생시킨다. 기존 암호화 통신은 PC, 스마트폰 등에서 활용돼 온 것이라 최소한의 컴퓨팅 성능을 가진 IoT기기, 센서에 적용하기에는 무리가 따른다. 일각에서는 IoT기기, 센서에 암호화 기능을 구현하는 것 자체가 불가능하다고 말하기도 한다. □ 주요 내용 ○ 시만텍 (Symantec)은 8월 31일 자사가 보안을 제공하고 있는 IoT기기가 자동차, 스마트 계량기, TV 등 10억대를 돌파했다고 밝혔다. 이와 함께 시만텍은 신규 IoT 보안 솔루션을 발표하고 IoT 기기의 보안 지원을 위해 다양한 산업 분야의 제조사들과 협업을 강화해 나갈 계획이라고 밝혔다. ○ 시장조사 업체인 가트너에 따르면, 2020년까지 IoT 기기는 250억대에 이를 것으로 전망된다. 이처럼 IoT 분야의 혁신과 시장 확대는 새로운 사이버 보안 위험의 증가를 가져올 것으로 예상된다. IoT 기기의 보안이 취약하다면 심각한 위험을 초래할 수 있다. 가령 커넥티드 자동차가 해커의 공격을 당한다면, 해커가 원격으로 자동차를 조정 할 수 있게 된다. ○ 시만텍은 광범위한 통합 보안 전략의 일환으로 업계에서 가장 포괄적인 IoT 보안 솔루션을 제공하고, 이에 투자하고 있다. 시만텍의 IoT 보안 솔루션 포트폴리오는 인증, 기기 보안, 애널리틱스 및 관리 솔루션을 제공하며, 자동차, 의료 기기, 산업 제어 시스템, 가전제품 등이 해킹, 추적, 하이재킹(시스템 장악)을 당하지 않도록 보호한다. 또한 보다 안전하게 IoT 기기를 사용할 수 있도록 의료, 유통, 자동차, 산업 제어 및 반도체 등 다양한 산업 분야의 제조업체들과 협력하고 있다. ○ 이번에 시만텍은 IoT 보안 역량을 강화하기 위해 ‘시만텍 임베디드 크리티컬 시스템 프로텍션(Symantec Embedded Critical Systems Protection)’를 새롭게 발표하고 IoT 보안 솔루션 포트폴리오 확대를 발표했다. 시만텍 임베디드 크리티컬 시스템 프로텍션은 IoT 기기에 내장된 소프트웨어 실행을 통제함으로써 제로데이 공격으로부터 보호하고 감염을 차단한다. 시만텍은 세계적인 금융 IT 솔루션·서비스 업체인 윙코닉스돌프(Wincor Nixdorf)를 비롯해 산업 및 자동차 분야의 주요 제조업체들을 IoT 보안 고객으로 확보했다. ○ 아울러 하드웨어 단계에서 보안을 탑재하기 위해 텍사스인스트루먼츠(Texas Instruments)와 같은 세계 최대 반도체 공급업체, 울프SSL(wolfSSL)과 같은 암호 라이브러리(cryptographic library) 파트너사들과 협력하고 있다. 이러한 협력을 기반으로 시만텍의 CA(Certificate Authority) 인증기관과 파트너사의 임베디드 엔진을 통합한 새로운 ‘RoT(Roots of Trust)’를 생성해 기기에서 안전하게 암호화를 하고 정보를 인증할 수 있도록 지원한다. ○ 시만텍은 IoT 기기에서 동작하는 코드의 인증을 확인하기 위해, IoT와 관련된 다수의 코드 형식을 위한 코드 서명 인증서(Code Signing Certificates)와 클라우드 기반 서비스로의 서명을 제공한다. ○ 시만텍 이외에도 현재 IoT기기, 센서에 암호화 통신을 구현하기 위해 크게 인텔, 프리스케일과 오라클 진영이 보안플랫폼을 공개한 바 있다. 인텔은 IoT기기에 최적화된 '쿼크(Quark)'라는 프로세서를 개발해 오픈 SSL (Secure Socket Layer), 가상사설망(VPN)과 같은 암호화 통신을 지원한다는 계획이다. 프리스케일과 오라클은 ARM 코어텍스-A9 기반 프리스케일 i.MX6 시리즈와 오라클 자바 SE 임베디드 등을 조합한 IoT기기 보안플랫폼을 통해 IPsec, SSL, DTLS 등 암호화 통신기능을 클라우드를 기반으로 제공한다는 로드맵을 가졌다. □ 평가 ○ 시만텍의 보안지원을 받는 IoT 장비가 10억대를 넘었다는 것은 1차적으로는 IoT 장비의 보호가 시장에서 중요하게 인식되고 있음을 보여준다. 현재 많은 업체들이 선도적으로 IoT 장비를 위한 보안 장치 마련에 나서고 있음을 봐도 이와 같은 사실은 증명된다. ○ 많은 장비들이 보호를 받는 시대는 곧 현실화 될 것으로 보인다. 이는 곧 장비위에서 제공되는 혹은 생산되는 콘텐츠의 보호가 중요한 시대가 도래 할 것임을 의미한다. ○ 아직은 IoT 장비위에서의 데이터나 콘텐츠 자체에 대한 보호는 기본적인 내용만 고려되고 있다. 예를 들면 기존에 쓰이는 암호화 알고리즘이 그대로 활용되고 있는 경우가 많다. 그러나 이와 같은 방식은 위험할 수 있다. 왜냐하면 모든 IoT 장비는 인터넷에 무선으로 연결되는 경우가 많고, 장비 자체에서 프로세싱을 할 수 있는 능력이 적은 경우가 많기 때문이다. 이는 기존의 복잡한 암호나 인증 체계가 제대로 활용될 수 없음을 의미하기도 한다. ○ IoT 상의 콘텐츠의 보호를 위해 가장 중요한 능력은 그 기능자체가 적은 리소스 (프로세싱 능력, 메모리 사이즈 등)을 활용하면서도 완전한 보안을 유지하는데 있을 것으로 예상된다. □ 용어설명 ○ SSL (Secure Socket Layer) : SSL은 보안을 위한 프로토콜의 일종으로 이 프로토콜은 처음에 Netscape사에서 웹서버와 브라우저 사이의 보안을 위해 만들었다. SSL은 Certificate Authority(CA)라 불리는 서드 파티로부터 서버와 클라이언트의 인증을 하는데 사용된다. 아래는 SSL이 어떻게 작동하는지에 대한 간단한 과정을 설명한 것이다.- SSL로 암호화된 페이지를 요청하게 된다. (일반적으로 https://가 사용된다)- Public Key를 인증서와 함께 전송한다.- 인증서가 자신이 신용 있다고 판단한 CA(일반적으로 trusted root CA라고 불림)로부터 서명된 것인지 확인한다. (역주:Internet Explorer나 Netscape와 같은 웹브라우저에는 이미 Verisign, Thawte와 같은 널리 알려진 root CA의 인증서가 설치되어 있다) 또한 날짜가 유효한지, 그리고 인증서가 접속하려는 사이트와 관련되어 있는지 확인한다.- Public Key를 사용해서 랜덤 대칭 암호화키(Random symmetric encryption key)를 비롯한 URL, http 데이터들을 암호화해서 전송한다.- Private Key를 이용해서 랜덤 대칭 암호화키와 URL, http 데이터를 복호화한다.- 요청받은 URL에 대한 응답을 웹브라우저로부터 받은 랜덤 대칭 암호화키를 이용하여 암호화해서 브라우저로 전송한다.- 대칭 키를 이용해서 http 데이터와 html문서를 복호화하고, 화면에 정보를 뿌려준다.
□ 참고자료 ○ http://www.ddaily.co.kr/news/article.html?no=134147 |
|||