5년내 사물인터넷 최대 위험은 ‘기기 보안’

프린트

기술미래 ㅣ HIT! 이 기술 5년내 사물인터넷 최대 위험은 ‘기기 보안’ 기업, 생산에만 급급…활용도 높이는 보안문제 해결 뒷전

기사입력2015-07-09 14:00

채송화 기자 (songhwa0123@junggi.co.kr) ㅣ다른기사보기

“IoT는 그동안 USN이 하지 못했던 기능을 서비스, 네트워크 등을 통해 제공하고 있습니다. USN은 기기에 특정 활동을 하도록 명령하는 수준인 반면 IoT는 기기가 스스로 판단해 해당 정보를 클라우드에 전달하고 그 값을 빅데이터로 분석할 수 있는 구조입니다. 앞으로 이러한 IoT 기기가 엄청난 규모로 생산되고 성장할 것입니다. 하지만 보안문제가 해결돼야만 IoT 활용도를 높일 수 있다는 것을 명심해야 합니다”

USN, IoT

USN(유비쿼터스 센서 네트워크, Ubiquitous Sensor Network)은 사물에 전자태그를 부착해 사물과 환경을 인식하고 네트워크를 통해 실시간으로 정보를 구축해 활용하도록 하는 통신망이다. IoT(사물인터넷, Internet of Things)는 인터넷을 기반으로 모든 사물을 연결해 사람과 사물, 사물간 사물 간의 정보를 상호 소통하는 지능형 기술 및 서비스를 말한다.

미래창조과학부·행정자치부·국가정보원이 8일 공동으로 주최한 ‘K-ICT 국제정보보호 컨퍼런스’에서 보안관제 전문업체 인포섹의 강용석 본부장은 이같이 강조했다. IoT산업의 높은 성장 가능성은 점쳐지지만 아직 해결하지 못한 과제가 남아있다는 얘기다. 바로 IoT 보안을 어떻게 구현할 것인가다.

강 본부장은 “미국과 중국 등의 정부도 IoT 투자에 열을 올리고 있고, 우리나라 정부 역시 IoT 육성에 막대한 투자를 하고 있다. 새로운 먹거리와 일자리를 창출한다는 점에서 IoT의 가능성이 크기 때문이다. 하지만 IoT의 보안은 매우 취약한 상황이다. 돈을 버는 것이 목적인 기업은 경쟁사보다 빠르게 제품을 생산해야 해 보안을 저해요인으로 치부하고 간과하기 때문”이라고 말했다.

강 본부장은 IoT 보안에 대한 최대 과제는 ‘디바이스(기기) 관련 보안’이 될 것으로 전망했다. 최근 국제보안전문기관인 SANS 연구소가 IoT 관련 전문가를 대상으로 향후 5년내 IoT의 최대 위험요소에 대해 설문조사를 실시한 결과, 31.0%가 ‘기기 펌웨어(Firmware) 패치의 어려움, 제로데이 취얌점 노출’을 꼽았다. 이어 ▲IoT 기기가 기업에서 숙주로 이용될 것에 대한 우려(25.6%) ▲기기에 DoS공격 발생시 생명 및 재산 피해 발생 우려(13.0%) ▲기기의 집단적 기능 불능사태 발생 우려(11.8%) ▲사용자 과실로 인한 피해 발생 우려(10.4%) ▲기타(8.2%) 등의 답변이 나왔다.

또한 국제웹보안표준기구 OWASP가 발표한 IoT 관련 10대 보안상 문제점을 살펴보면 ▲불안정안 웹 인터페이스 ▲불충분한 인증 ▲불안정한 네트워크 서비스 ▲암호화 부족 ▲프라이버시 침해 우려 ▲불안정한 클라우드 인터페이스 ▲불안정한 모바일 인터페이스 등이다.

향후 5년내 IoT의 가장 큰 위험요소는?

<자료=‘K-ICT 국제정보보호 컨퍼런스’ 자료집> ©중기이코노미

강 본부장은 “이러한 보안상 취약점을 원천적으로 막는 것은 사실상 불가능하다. 하지만 최대한 막을 수 있도록 여러가지 고민을 해봐야 한다”며 “먼저 기기 보안을 강화하기 위해서는 기기에 설치될 수 있는 악성코드를 어떻게 처리할지 방법을 찾아야 한다 . 만일 센서가 자체적으로 악성코드를 처리하도록 한다면 센서에 소프트웨어가 아닌 OS(운영체제)를 설치하면 된다. 다만, 이 경우에는 센서가 얇아질 수 있도록 경량 OS를 사용해야 할 것”이라고 말했다. 또 “데이터 변조를 가져올 수 있는 다양한 종류의 해킹을 방지하는 방안은 물론, 기기에 대한 통제와 암호화를 안정적으로 할 수 있는 방안도 모색해야 한다”고 설명했다.

한편, 이날 컨퍼런스에서 한국인터넷진흥원(KISA) 손기종 선임연구원은 IoT 기기와 함께 IoT 인프라스트럭처에 대한 보안도 강화할 것을 주문했다. 그는 “공유기 등 IoT 기기간 통신에 대한 보안도 중요하지만, IoT를 저장하고 서비스하기 위한 인프라스트럭처의 보안 관리도 간과해선 안 된다”며 “예를들어 IoT 기기가 펌웨어 업그레이드와 보안 패치를 하려면 업데이트 서버가 있어야 하는데, 이 서버도 인프라스트럭처에 포함된다. 클라우드 기반도 포함될 수 있다”고 설명했다.

미래창조과학부, 행정자치부, 국가정보원이 지난 8일 공동주최한 ‘K-ICT 국제정보보호 컨퍼런스’ ©중기이코노미

손 연구원은 향후 IoT 인프라스트럭처 관련 침해사고가 발생할 가능성이 높을 것으로 전망했다. IoT 기기가 서버와 연결되면 여러 통신구간이 생기면서 이를 분석한 서버 공격이 발생할 수 있다는 설명이다. 예를 들어 IoT 기기를 보유하고 있는 기업의 직원이 기기를 사내 인트라넷과 연결된 서버에서 사용한다고 했을 때, 이 서버가 침해를 받게 되면 여러 형태의 공격이 다발적으로 발생할 수 있다는 것이다.

그는 “최근 IoT를 활용한 사이버 공격 사례가 증가하고 있는 추세로 이에 대한 대응책이 필요하다”고 덧붙였다. 여기에는 가장 민감한 문제 중 하나인 개인정보 유출도 걸려있다. 개인정보가 기기는 물론 서버에도 저장될 수 있기 때문이다.

또 최근 공유기를 이용해 디도스 공격을 한 침해사고를 분석한 결과, 인터넷에 연결돼 있는 IoT 기기가 로컬 포트보다 외부 인터넷 연결 포트를 통해 사이버 공격을 받는 경향이 심했다고 설명했다. 그는 “공격자들이 대규모 공격을 할 때, 처음에 스캐닝을 하고 IoT 기기를 검색한 후 취약점을 파악해 공격하는데, 주로 인터넷에 연결된 포트에 집중된다. 이에 대한 철저한 보안이 필요하다”고 강조했다.

보안 사고 대응방안으로 ▲외부 통신으로 들어온 서비스에 대한 원격접속 제한 ▲IoT 설계단계에서 식별 코딩 설치 및 초기보안 설정 강화 ▲IoT 기기 및 서버상 불필요한 개인정보 삭제 등을 제시했다.