IoT 보안
IT 위키
더 많은 작업
- IoT Security; 사물인터넷 보안
- 센서, 가전, 카메라, 공유기처럼 네트워크에 연결되는 자원이 제한된 장치와 그 장치를 둘러싼 앱·클라우드·네트워크를 보호하는 활동
사물인터넷(IoT, Internet of Things) 장치는 수가 많고, 가격 경쟁 때문에 보안 기능이 빠지기 쉬우며, 한 번 설치되면 오래 방치된다. 처리 능력과 전력이 작아 일반 PC용 보안 소프트웨어를 올릴 수 없고, 사용자 화면이 없어 설정 변경이나 업데이트를 사용자가 직접 하기 어렵다. 이런 장치가 대량으로 장악되면 개별 피해를 넘어 인터넷 전체를 겨냥한 공격 자원이 된다. 2016년 미라이 봇넷이 기본 비밀번호를 쓰는 카메라·공유기를 모아 대규모 분산 서비스 거부 공격을 일으킨 것이 대표 사례이다.
IoT 보안은 장치 하나만의 문제가 아니라 장치, 연동 모바일 앱, 클라우드 백엔드, 통신 구간을 묶은 생태계(ecosystem) 전체의 문제이다. 조직 입장에서는 이런 장치가 업무망에 섞여 들어오는 것 자체가 관리되지 않는 공격 표면이 된다.
| 위협 | 내용 |
|---|---|
| 기본·하드코딩 비밀번호 | 모든 제품이 같은 초기 비밀번호를 쓰거나, 펌웨어에 바꿀 수 없는 계정이 박혀 있다. 무차별 대입과 대량 감염의 출발점이다 |
| 펌웨어 갱신 부재 | 업데이트 기능이 없거나, 있어도 서명 검증 없이 받는다. 제조사가 지원을 끊으면 알려진 취약점이 영구히 남는다 |
| 평문 통신 | 장치와 클라우드, 장치와 앱 사이를 암호화하지 않아 도청·변조가 가능하다 |
| 불필요한 네트워크 서비스 | Telnet, 디버그용 포트, UPnP 같은 서비스가 외부에 열려 있다 |
| 물리 접근 | 장치를 뜯어 디버그 포트(JTAG, UART)에 연결하거나 플래시 메모리를 읽어 키와 펌웨어를 빼낸다 |
| 안전하지 않은 생태계 인터페이스 | 웹 관리 화면, 클라우드 API, 모바일 앱의 인증·인가 결함으로 다른 사용자의 장치를 조종한다 |
| 개인정보 노출 | 카메라 영상, 음성, 위치, 생활 패턴이 과도하게 수집되거나 보호 없이 저장된다 |
OWASP가 2018년에 발표한 IoT 위험 목록이다.
| 순위 | 항목 |
|---|---|
| I1 | 약하거나 추측 가능하거나 하드코딩된 비밀번호(Weak, Guessable, or Hardcoded Passwords) |
| I2 | 안전하지 않은 네트워크 서비스(Insecure Network Services) |
| I3 | 안전하지 않은 생태계 인터페이스(Insecure Ecosystem Interfaces) |
| I4 | 안전한 업데이트 체계 부재(Lack of Secure Update Mechanism) |
| I5 | 안전하지 않거나 오래된 구성 요소 사용(Use of Insecure or Outdated Components) |
| I6 | 불충분한 개인정보 보호(Insufficient Privacy Protection) |
| I7 | 안전하지 않은 데이터 전송과 저장(Insecure Data Transfer and Storage) |
| I8 | 장치 관리 부재(Lack of Device Management) |
| I9 | 안전하지 않은 기본 설정(Insecure Default Settings) |
| I10 | 물리적 강화 부족(Lack of Physical Hardening) |
| 문서 | 발행 | 핵심 내용 |
|---|---|---|
| ETSI EN 303 645 | ETSI(유럽전기통신표준협회) | 소비자 IoT 기본 보안 요구사항. 범용 기본 비밀번호 금지, 취약점 신고 처리 체계, 소프트웨어 업데이트 유지, 민감 보안 매개변수의 안전한 저장, 안전한 통신, 노출 공격 표면 최소화, 소프트웨어 무결성, 개인정보 보호, 장애 복원력, 텔레메트리 점검, 사용자 데이터 삭제 용이성, 쉬운 설치·유지보수, 입력 검증의 13개 조항으로 구성된다 |
| NIST IR 8259 | NIST | 제조사가 판매 전후에 할 기본 보안 활동 6가지. 판매 전에는 예상 고객과 사용 사례 정의, 고객의 보안 요구 조사, 그 요구를 어떻게 충족할지 결정, 지원 계획 수립을 하고, 판매 후에는 고객과의 소통 방식과 소통 내용을 정한다 |
| NIST IR 8259A | NIST | 장치가 기본으로 갖출 보안 기능(core baseline): 장치 식별, 장치 설정, 데이터 보호, 인터페이스 논리적 접근 통제, 소프트웨어 업데이트, 보안 상태 인지 |
| OWASP IoT 프로젝트 | OWASP | IoT Top 10, IoT 보안 시험 가이드(ISTG), 펌웨어 보안 시험 방법론(FSTM) 등 |
- 장치 신원과 인증서: 장치마다 고유 식별자와 고유 자격 증명을 부여한다. 대량 배치에서는 제조 단계에서 장치 인증서(X.509)를 넣고 공개키 기반 구조로 관리하며, 키는 TPM이나 보안 요소(secure element)에 저장한다.
- 초기 비밀번호 제거: 장치마다 다른 초기 비밀번호를 쓰거나 첫 사용 시 변경을 강제한다.
- 서명된 업데이트: 펌웨어 업데이트는 전자서명을 검증한 뒤 적용하고, 지원 기간을 구매자에게 알린다. 업데이트 불가 장치는 제품 지원 종료 시점을 기준으로 교체 계획을 세운다.
- 통신 보호: 장치와 클라우드 사이에 TLS 같은 표준 암호 프로토콜을 쓴다. MQTT, CoAP 같은 경량 프로토콜도 인증과 암호화를 켠다.
- 네트워크 분리: 조직 내 IoT 장치는 별도 VLAN이나 분리된 망에 두고, 필요한 목적지만 허용한다. NAC로 미등록 장치 접속을 막는다(네트워크 분할 참고).
- 수명 주기 관리: 조달 단계에서 보안 요구사항을 계약에 넣고, 자산 목록 등록, 운영 중 패치·감시, 폐기 시 자격 증명 해지와 저장 데이터 삭제까지 관리한다.
- 물리 강화: 출고 제품의 디버그 포트를 비활성화하고 펌웨어 읽기를 막는다(임베디드 시스템 참고).
한국인터넷진흥원은 IoT 제품과 연동 모바일 앱이 정보보호 인증기준에 맞는지 시험해 인증서를 발급하는 정보통신망연결기기 보안인증(IoT 보안인증)을 운영하며, 제품 특성에 따라 Lite, Basic, Standard 세 등급으로 나눈다.
- IoT의 가장 흔한 취약점은 기본·하드코딩 비밀번호와 업데이트 부재이다. 미라이 봇넷 사례와 연결해 기억한다.
- 패치할 수 없는 IoT 장치는 네트워크 분리로 위험을 줄인다. "가장 좋은 대책"을 물으면 분리된 세그먼트와 접근통제를 고른다.
- IoT 위험은 장치만이 아니라 앱·클라우드·API까지 포함한 생태계 위험이다.
- 조직은 조달 단계에서 보안 요구사항(업데이트 지원 기간, 고유 자격 증명)을 계약에 넣는 것이 근본 대책이다.
- 흔한 오답: "IoT 장치에 백신을 설치한다". 자원이 제한된 장치에는 대개 불가능하고, 네트워크 수준 통제가 현실적인 답이다.
- OWASP Internet of Things Project (IoT Top 10 2018) – OWASP
- ETSI EN 303 645 V3.1.3, Cyber Security for Consumer Internet of Things: Baseline Requirements – ETSI
- NIST IR 8259, Foundational Cybersecurity Activities for IoT Device Manufacturers – NIST
- NIST IR 8259A, IoT Device Cybersecurity Capability Core Baseline – NIST
- 정보통신망연결기기 보안인증(IoT) – 한국인터넷진흥원