죄송합니다. 더 이상 지원되지 않는 웹 브라우저입니다.

보안 설계를 위한 표준화된 접근방식

PDF 다운로드

글/최수철 지사장, 노르딕 세미컨덕터(Nordic Semiconductor)

지난 2016년, 짧은 시간이었지만, 세계적으로 잘 알려진 웹사이트들이 한동안 접속 불능 상태가 된 적이 있다. 트위터(Twitter), 넷플릭스(Netflix), 레딧(Reddit), 뉴욕타임즈(The New York Times) 등 수십 여개의 유명 사이트들이 갑자기 동시에 다운된 것이다. 이로 인해 수백만 명이 불편을 겪게 되었고, 추후 사이버 보안 공격으로 인한 ‘인터넷 접속장애’였던 것으로 확인되었다. 

이러한 심각한 접속장애는 예상치 못했던 가정용 보안 카메라와 베이비 모니터, 온도조절장치 등과 같은 일상생활의 가전 제품이 원인이었던 것으로 밝혀졌다. 즉, 인터넷에 연결된 수십만 개의 가전제품들이 사이버 공격자들에 의해 사실상 장악되었던 것이다. 디지털 시대의 궁극적인 파괴 행위로 평가되고 있는 이 사건은 공격자들이 세계에서 가장 큰 웹사이트 중 상당수를 지원하고 있는 중요 시스템에 자신들이 탈취한 기기들을 연결시켜 인터넷 트래픽을 압도적으로 증가시켜 이 시스템에 의존하는 웹사이트에 대한 접속을 불가능하게 만든 것이다. 

이러한 갑작스럽고 파괴적인 대규모 인터넷 접속장애는 사이버 보안에 대한 전 세계적인 차원의 논의를 촉발시키는 계기가 되었다. 이번 사건으로 영향을 받은 수많은 글로벌 비즈니스 및 서비스에 대한 복원력 강화는 물론, 공격 소스로서 특히 커넥티드 기기 분야에서 새롭게 부상하는 IoT의 보안 상태에 대한 논의가 중점적으로 다뤄졌다. 

이후 약 10년이 지나는 동안, 세간의 이목을 집중시킨 수많은 사이버 공격이 발생했으며, 디지털 세상에 IoT 기기가 더욱 널리 보급되면서 커넥티드 기기에 대한 올바른 보안 수립 의제는 정책 입안자, 기기 제조업체 및 소비자들에게 중요한 관심사가 되었다. 다행스러운 점은 IoT에 대한 위협을 더 깊이 이해하고, 보다 명확한 지침과 표준 및 규정의 등장으로 IoT 기기 패브릭에 기본적으로 보안을 내장해야 한다는 관련 업계의 인식이 더욱 강화되었다는 점이다. 그 결과 악의적인 침입행위를 훨씬 더 어렵게 만드는 신뢰성이 높고, 탄력적인 에코시스템을 구축할 수 있게 되었다. 

위험한 비즈니스 환경

오늘날 대부분의 기업들은 사이버 위험이 높은 환경에서 운영되고 있다. 디지털 기술에 대한 기업의 의존도가 높아지고, 이에 따라 기하급수적으로 증가하는 데이터 생성 및 축적 등이 위험 요인을 높이는 주요 원인이 되고 있다. 이러한 상황은 모두 악의적인 동기를 가진 사이버 공격자들의 주요 표적이 될 수 있으며, 디지털 기술에 대한 광범위한 혼란을 초래하거나 금전적 가치가 있는 데이터를 탈취하여 다크웹에서 거래하거나 금전을 요구하는 행위로 이어질 수 있다. 

사이버 공격자 수도 급속도로 증가했으며, 행위 또한 진화 및 발전하고 있다. AI(Artificial Intelligence)와 같은 기능을 이용한 기술적 공격을 비롯해 국가의 지원 아래 조직적으로 풍부한 리소스를 갖춘 고도로 훈련된 그룹의 공격은 물론, 금전적 의도를 가진 사이버 범죄 조직과 이념적 동기를 지닌 활동가 등 다양한 영역으로 확산하고 있다. 

사이버시큐리티 벤처스(Cybersecurity Ventures)의 조사에 따르면, 2025년까지 사이버 범죄로 인한 비용이 연간 10조 5천억 달러에 이를 것으로 예상되고 있다. 믿기 어려울 정도의 이 수치는 위협 환경이 얼마나 고조되고 있는지를 반증하는 것으로, 이는 일상적인 비즈니스와 유명 회사들에 영향을 미치는 주요 데이터 침해 및 파괴적인 사이버 공격에 대한 계속해서 증가하는 뉴스 기사를 통해서도 확인할 수 있다. 주요 은행과 통신사, 소매업체 및 호텔 체인을 비롯해 의료시설과 자선 단체 등에서도 광범위하게 발생하고 있다. 이러한 조직의 고객들은 개인정보 침해, 상당한 재정적 손실, 또는 중요 서비스에 대한 접근 차단 등 여러 부분에서 문제를 겪게 되면서 실질적인 피해자가 되고 있다. 

커넥티드 기기의 취약성

사이버 분석가들이 특히 우려하는 문제는 최근 중요 인프라에 대한 표적이 증가 추세에 있다는 점이다. 이러한 인프라는 정부가 사회적 기능을 수행하는데 필수적인 서비스 영역에 해당되며, 일반적으로 건강, 에너지, 식품, 물 및 통신과 같은 분야의 기업들이 포함된다. 

중요 인프라에 대한 가장 파괴적인 공격은 전력망이나 상수도망과 같은 복잡한 산업 제어 시스템을 구성하는 주요 연결된 구성요소나 스마트 기기가 대상이 되고 있다. 이러한 추세는 일반적으로 커넥티드 기기의 심각한 취약성으로 인해 광범위하게 발생하고 있으며, 따라서 이를 보호하기 위한 더 많은 조치들이 요구되고 한다. 

이는 상당히 어려운 과제이다. 시장분석회사인 IDC에 따르면 2025년까지 약 420억 개의 IoT 기기가 구축될 것으로 예상되고 있다. 이러한 커넥티드 기기의 수가 증가한다는 것은 여러 가지 이유로 사이버 범죄 대상도 확대된다는 것을 의미한다. 첫째, 커넥티드 기기가 많을수록 소위 ‘공격표면’, 즉 공격자가 잠재적으로 악용할 수 있는 취약 표적 수가 증가하게 된다. 둘째, 커넥티드 IoT 기기에서 생성되고, 상호 전송되는 대량의 데이터 자체가 풍부한 공격 대상이 되기 때문이다. 

중요 인프라에 대한 공격과 마찬가지로, IoT에 대한 파괴적인 공격 또한 여러 시나리오에서 심각한 결과를 초래할 수 있다. 이 글의 서두에서 언급한 공격 사례에서도 이는 명확히 확인되었다. ‘Dyn 공격’으로 알려진 이 사례는 IoT와 관련된 가장 심각한 사이버 공격 중 하나로 남아 있다. 악명 높은 또 다른 IoT 공격 사례 중 하나는 해커들이 카지노 로비에 있는 수조 온도계의 취약점을 이용해 미국 카지노에서 많은 돈을 소비하는 사람들의 데이터베이스를 훔친 사건이다. 

안전과 관련하여 심각한 위험을 초래하는 IoT 위협 사례들도 있다. 보안 연구원들은 오랫동안 심장박동기와 인슐린 펌프와 같은 커넥티드 의료기기와 관련된 해킹 문제를 제기해 왔다. 또한 지난 2015년, 피아트 크라이슬러(Fiat Chrysler)는 지프 체로키(Jeep Cherokee) 차량의 소프트웨어 보안 결함이 발견되면서 140만 대의 차량을 리콜해야 했다. 이외에도 비디오 베이비 모니터와 가정용 보안 카메라도 보안 결함으로 인해 위협의 대상이 되고 있다. 

낮은 비용, 높은 취약성 

IoT에 대한 공격은 계속 증가하고 있다. 사이버 보안 제공업체인 카스퍼스키(Kaspersky)에 따르면, IoT 기기에 대한 공격 건수가 2021년 상반기에 전년 하반기 대비 두 배 가량 증가한 것으로 나타났다. 실제로 IoT 기기의 보안 상태에 대한 우려는 보안 연구원들과 IoT 주도자들 사이에서 계속 제기되어 왔다. 특히 IoT를 추진하는 측에서는 IoT 전반에 대한 일반 소비자들의 신뢰에 영향을 미칠 것을 우려하고 있다. 

맥킨지(McKinsey)에 따르면, 구매자들의 약 60%가 디지털 신뢰성에 대해 중요하게 생각하는 반면, IoT 솔루션 제공업체는 약 30%에 불과한 것으로 나타났다. 이는 안일함의 문제일 수도 있지만, IoT 기기에 대한 성공적인 공격이 증가한 것은 IoT 기기 고유의 특성으로 볼 수 있다. 노르딕 세미컨덕터(Nordic Semiconductor)의 티아고 몬테(Tiago Monte) 개발자 마케팅 매니저는 “IoT 기기는 컴퓨팅 성능과 메모리, 에너지 등의 리소스가 훨씬 더 제한적이기 때문에 다양한 위협으로부터 보호할 수 있는 하드웨어 및 소프트웨어 보안 기능이 부족할 수 있다”며, “이로 인해 IoT 기기에 대한 보안 기능이 단순화되거나 축소되면서 공격에 더 취약할 수 있다”고 말했다. 

이와 함께 몬테는 스마트 시티와 같이 공개적으로 접근 가능한 위치에 구축되는 IoT 기기의 물리적 접근성 또한 물리적 공격과 변조에 대한 노출 가능성을 증가시킨다고 덧붙였다. 원격 공격은 엔터프라이즈 컴퓨팅 환경을 비롯해 모든 네트워크 장치에 대한 위협과 동일하게 발생한다. 

IoT 공급망은 그 특성 자체에 이미 문제점이 내포되어 있다. 연구원들은 오래전부터 사이버 공격자들이 주로 복잡한 시스템을 겨냥한다는 사실을 파악했다. 장비의 계층이나 노드가 많을수록 또는 소프트웨어 통합이나 제3자의 관련성이 높을수록 악용될 수 있는 공백이나 허점이 발생할 가능성이 증가하기 때문이다. IoT 구축은 그 특성상 여러 공급업체와 부품 및 통합 지점이 포함되어 있기 때문에 위험 가능성이 더 높다. 이러한 취약성에 대처하기 위해서는 본질적으로 안전한 개별 구성요소 및 디바이스를 구축하는 것이 매우 중요하다.

또한 연결의 용이성이 주는 편리함과 인센티브도 위험성을 높이는데 일조했다. 최근 몇 년 동안 효율성과 혁신, 고객 경험 향상 등의 이점을 제공하는 IoT의 잠재력이 널리 확산하면서 칩 가격 하락과 함께 모든 제품을 커넥티드 기기로 전환하는데 따른 경제적 부담 또한 많이 완화되었다. 저명한 보안 전문가인 미코 히포넨(Mikko Hypp?nen)은 “구형 장치를 스마트 기기로 바꾸는데 소요되는 비용은 최소 10센트 정도에 불과하다”며, “어떤 기기에나 칩을 사용할 수 있을 정도로 가격이 하락하면서 그 이점이 다소 미미하더라도 공급업체들은 이를 채택하고자 할 것이다”고 언급했다.

불행히도 이러한 기기를 보호할 수 있는 보안 비용이 비즈니스 차원에서 수용되지 않으면서, 열악한 보안 표준을 따르거나 아예 보안 표준을 갖추지 않은 많은 커넥티드 기기들이 개발 및 출시되었다. 

본질적으로 안전한 기기로의 전환 

그러나 사이버 공격에 대한 경각심이 높아지면서 상황이 바뀌고 있다. IoT 기기에 대한 대중의 기대치도 확연히 달라졌다. 2020년 영국 정부가 실시한 조사에 따르면, 스마트 기기에 기본적으로 사용자의 개인정보보호 및 보안 기능이 포함될 것으로 기대하는 소비자가 10명 중 9명에 이르는 것으로 나타났다. 

노르딕의 몬테는 “새로운 소비자의 구매 선호도를 충족시키는 것보다 IoT 보안이 훨씬 더 우선시되어야 한다”며, “개별 IoT 제품에 대한 보안 침해는 해당 취약 제품을 만든 기업의 성장을 저해시키는 것은 물론, 안전하지 않다는 평판으로 인해 전체 제품 범주까지 영향을 미칠 수 있다”고 말했다. IoT 산업 전반에 상당한 영향을 미칠 수 있는 보안 문제는 이제 칩 공급업체와 기기 제조사는 물론, 해당 분야와 관련된 모든 기업들의 중요 임무가 되었다. 

안전한 IoT 보안으로의 여정은 다소 지난한 과정을 거쳐왔지만, 궁극적으로는 긍정적인 방향으로 나아가고 있다. 몬테는 “초기의 접근방식은 좋은 의도에도 불구하고 다소 어설프고, 일관성이 없었다”고 지적했다. 보안이 아직 최우선 순위가 아니었던 당시에는, 보안을 도입하려는 제조업체라 하더라도 모범사례에 기반한 최소한의 지침만으로 최선을 다해야 했다. 또한 보안은 설계 프로세스가 끝난 이후 고려되거나 제품 출시를 방해할 수 있는 보안 문제가 발견된 후에만 추가되는 경우가 많았다. 딜로이트(Deloitte)의 보고서에 따르면, 개발 프로세스 후반에 ‘보강’되는 형태의 접근방식은 더 취약한 결과를 초래할 뿐만 아니라 ‘대부분의 경우 솔루션 비용을 상승시키는 결과’를 초래하는 것으로 나타났다. 

몬테는 “다행스럽게도 이제는 ‘설계 상의 보안’과 ‘본질적으로 안전’한 IoT 기기를 만드는 방향으로 생각이 전환되고 있다”며, “설계 상의 보안은 설계자들이 배터리 수명이나 사용자 인터페이스와 같은 기능적 및 비기능적 요구사항을 고려하는 것과 동일한 방식으로 제품 설계의 초기 단계에서 보안 요구사항을 고려하고 해결하는 것이다”고 말했다.

본질적으로 안전한 기기로의 전환은 명확히 가시화되고 있다. IoT에 사용되는 무선 프로토콜은 보안을 선택사항이 아닌 기본 사양으로 구현하는 것으로 발전했다. 또한 데이터 교환 레벨에서는 물론, 보안 부팅 및 보안 펌웨어 업데이트와 같은 기능을 통해 기기 레벨에서도 보안 기능이 제공되고 있다. 

몬테는 “노르딕 세미컨덕터와 같은 회사들은 자사 제품에 구현해야 하는 기본적인 보안 목표를 확립했으며, 이는 모든 IoT 제품의 일부가 되어야 한다”고 말했다. 이러한 기능을 통해 인증된 소프트웨어만 해당 기기에서 실행 및 업데이트될 수 있도록 보장하고, 기기에서 신뢰할 수 있는 서비스와 신뢰할 수 없는 서비스를 분리할 수 있으며, 데이터 및 자산의 기밀성과 무결성을 보장하는 보안 스토리지 등을 제공할 수 있다. 

표준화된 보안 기능 제공

최근의 이러한 진전에도 불구하고, IoT 보안에 대해 지속적으로 제기되는 과제 중 하나는 표준화가 부족하다는 것이다. 이로 인해 구축된 IoT 전반의 보안 수준이 파편화되고, 일관성이 결여되는 것은 물론, 궁극적으로는 적절하지 않은 보안 레벨로 이어질 수 있다. 방대한 규모의 IoT 제품이 존재하는 상황에서, 이러한 제품 전반에 대한 일관된 보안 요건이 충족되지 않는다면 파편화 현상은 더욱 심화될 것이다. 예를 들어, 의료기기는 상당히 엄격한 보안 요구사항을 충족해야 하지만, 장난감과 같은 많은 컨슈머 IoT 기기들은 여전히 의무적인 보안 요구사항이 없는 것이 현실이다.

보다 최근에는 IoT 에코시스템의 일관되고 향상된 보안 구축을 위한 표준화의 필요성이 점차 확산하고 있다. IoT 산업 컨소시엄인 PSA 인증(PSA Certified)이 실시한 설문조사에 따르면, 응답자의 96%가 업계 주도의 IoT 보안 모범사례에 대한 지침이 필요하다는 점에 동의하고 있는 것으로 나타났다. 

이에 대응하여 PSA 인증은 주요 이해관계자들과 함께 IoT에 대한 파편화된 보안 접근방식을 표준화된 접근방식으로 통합했다. 개발자들이 제품에 필요한 적절한 보안 레벨을 구현하는데 필요한 지침을 단계별로 제시하는 4단계 프레임워크를 개발하고, 인증 및 표준화된 구성요소 에코시스템에 대한 액세스와 가이드 및 기술 리소스 등을 제공하고 있다. 노르딕의 몬테는 “PSA 인증을 받은 IoT 제품 목록이 계속 늘어나면서 이 프레임워크가 보안 에코시스템에 긍정적인 영향을 미치고 있다는 것을 알 수 있다”고 말했다. 노르딕 또한 이 프레임워크를 지원하고 있다. 

또한 여러 국가의 규제기관들도 IoT 제품에 대한 요건을 정립하고, 최소한의 보안 표준을 마련하는 등 국가 정책 차원의 표준화 및 요건 도입도 추진되고 있다. EU에서는 최근 국회의원들이 인터넷 연결 제품에 대한 ‘적절한 수준의 사이버 보안’을 요구하는 보안 표준에 대한 법안을 제출하기도 했다. 미국에서는 최근 사이버 보안에 대한 정부의 행정명령에 따라 저명한 표준기관인 NIST(National Institute of Standards and Technology)가 IoT 보안 표준 개발을 책임지고 있으며, 이는 유럽에서 ETSI(European Telecommunications Standards Institute)가 수행한 것과 거의 동일한 방식으로 진행되고 있다. 

소비자들의 인식과 신뢰를 높이기 위한 공동의 노력도 진행되고 있다. 지금까지는 소비자들이 안전한 IoT 기기와 안전하지 않은 IoT 기기를 구별하는 것이 쉽지 않았기 때문에 IoT 기기에 대한 신뢰 또한 약화되었다. 

현재 IoT 기기에 대한 몇 가지 보안 라벨링 제도가 시행되고 있다. 지난 10월 라벨링 프로그램을 발표한 미국 백악관은 이러한 제도를 통해 소비자들에게 ‘가정에 도입되는 기술은 안전하다’는 신뢰를 제공하고, 제조업체들에게는 안전한 기기를 만들도록 동기를 부여하게 될 것이라고 밝혔다. 싱가포르와 호주에서도 이와 유사한 계획이 시행 중이거나 개발 중에 있다. 

노르딕의 nRF9160 SiP 및 nRF5340 SoC는 PSA 인증 레벨 2를 획득했으며, nRF52840 SoC는 PSA 인증 레벨 1을 획득했다.

IoT의 가치 실현

보안이 강화된 IoT의 이점은 여러 부분에서 확인할 수 있으며, 특히 제품에 보다 강화된 보안 기능을 통합하는 기업들도 이점을 얻는 것으로 나타났다. PSA 인증이 기업들을 대상으로 실시한 설문조사에 따르면, 응답자의 96%가 제품에 보안을 적용하는 것이 수익에 긍정적인 영향을 미친다고 답했다. 또한 이 설문조사에 따르면, IoT 보안이 향상되면, 비용과 보험료가 절감되고, 향상된 보안 기능을 기반으로 제품 가격을 더 높일 수 있는 것으로 조사됐다. 고객들도 이러한 프리미엄 제품을 기꺼이 수용할 의향이 있는 것으로 나타났다. 

이외에도 향상된 보안은 특히 탄력성과 신뢰성이 중요하게 요구되는 상황에서 IoT 솔루션 개발자들이 더 강력한 고객 관계를 구축하는데 도움을 줄 수 있다. 대표적인 사례로, 조명 회사인 플루엔스(Fluence)의 무선 플렉스 디밍 리시버(Wireless Flex Dimming Receiver) 조명 솔루션을 들 수 있다. 이 솔루션은 노르딕의 nRF52840 SoC를 이용해 구현되었으며, PSA 인증을 획득했다. 원예 분야를 대상으로 하는 이 제품은 재배자가 조명 조건을 최적화하여 수확량을 극대화하고, 고품질의 제품을 생산할 수 있도록 지원한다. 식물이 빛에 노출되어야 하는 상황에서 뛰어난 정밀도를 제공해야 하는 이러한 스마트 조명 솔루션은 외부 간섭이나 장애요소에 탄력적으로 대응할 수 있어야 한다. 이러한 주요 기능과 함께 제품에 내장된 보안 기능은 고객의 신뢰성과 안정성을 높이는데 기여할 수 있다. 

향상된 보안은 개별 제조업체에 대한 혜택을 넘어, IoT 에코시스템 전반에 영향을 미침으로써 투자수익 측면에서도 긍정적인 결과를 가져올 수 있다. 맥킨지는 ‘사이버 보안 문제가 완벽하게 관리될 경우’ 경영진들은 IoT에 대한 지출을 20%에서 40%까지 늘릴 것이라고 분석했다. 

이외에도 맥킨지는 IoT 시장 규모가 2030년까지 5조 5천억 달러에서 최대 12조 6천억 달러의 가치를 창출할 것이라는 유의미한 전망 자료를 발표하도 했다. 하지만 많은 전망 자료들이 예측하고 있는 IoT의 성장은 아직 실현되지 않았다. 그 이유 중 하나로 맥킨지는 빠르게 진화하는 매우 파괴적인 사이버 위협이 지속되는 가운데, 상호 동작이 가능한 수많은 커넥티드 기기로 연결된 완전히 통합된 에코시스템이라는 IoT의 핵심 기능은 ‘치명적인 결과를 초래할 수 있는 취약성이 내포된 위험 요소’가 될 수 있기 때문이라고 지적했다. 

그러나 IoT 제품에 보안을 우선적으로 적용하기 위한 노르딕 세미컨덕터와 같은 무선 IoT 공급업체들의 노력과 PSA 인증과 같은 산업 컨소시엄 및 전 세계 규제기관들의 협력이 강화되면서 이러한 위험은 완화되고 있다. 보안을 강화하기 위한 이러한 공동의 노력을 통해 신뢰성이 확보됨에 따라 IoT의 진정한 가치 또한 실현될 수 있을 것이다.  

[사이버 범죄자들이 IoT를 표적으로 삼는 이유는?]

전문가들에 따르면, 2021년까지는 랜섬웨어(Ransomware)가 사이버 범죄의 대다수를 차지했지만, 2022년부터는 악의적인 행위자들이 170억 개로 추정되는 IoT 기기를 표적으로 삼으면서 상황이 달라지고 있는 것으로 나타났다. IT 하드웨어 및 소프트웨어 보안은 획기적으로 개선되었지만, IoT 기기는 아직 충분한 보안 기능을 갖추고 있지 못하다. 미국 미디어 그룹인 CNBC는 최소한의 방어 기능만을 갖춘 IoT 기기는 중요 인프라에 대한 공격 진입 포인트가 될 수 있으며, 기기 자체에 포함된 데이터로 인해 주요 표적이 될 수 있다고 밝혔다. 보안 카메라가 매력적인 공격 대상이 되는 이유도 바로 이 때문이다. 현재 정기적인 소프트웨어 업데이트를 통해 보안 패치를 보다 용이하게 다운로드할 수 있는 보안 메커니즘을 통해 이러한 약점을 해결하고 있다. 

leekh@seminet.co.kr
(끝)
<저작권자(c) 반도체네트워크, 무단 전재-재배포 금지>