IoT 서비스보안 위협으로는 무선 신호교란, 정보유출, 데이터의 위변조 및 IoT 기기 좀비화를 통한 서비스거부공격 등이 있습니다. 이 문서에서는 다양한 공격사례의 유형과 대응방법에 대해서 정리해보겠습니다.
이 문서는 기존의 ‘IoT 보안’ 관련 글의 네 번째 글로 이전 관련 문서는 아래를 참고 바랍니다.
IoT 서비스 보안
배경
한국인터넷진흥원에 따르면 국내의 사물인터넷 해킹우려 신고건수는 아래와 같이 해마다 증가추세에 있습니다. 특히 스마트홈 서비스와 같은 가정 내 전자기기의 외부 연결이 가능해지면서, 외부 공격을 통한 개인의 사생활 노출의 위험이 점차 커지고 있는 상황입니다.
공격사례
사물인터넷 장치를 생각보다 우리 일상에 많이 사용되고 있습니다. 많이 사용하는 일상기기 제품과 보안 위협을 간단히 정리해보겠습니다.
| 주요제품 | 보안위협 |
| 스마트TV, 냉장고, 에어컨 등 | 카메라 마이크 내장으로 인한 사생활 외부공개의 위험 |
| 로봇 청소기 | 제어 소프트웨어 취약점 및 로봇의 카메라를 통한 집안 내부구조의 외부 공개위험 |
| 홈캠, 네트워크 카메라 등 | 사진 및 동영상을 공격자에 의해 임의로 유출하거나 제어하는 등의 사생활 침해 위험 |
| 디지털 도어락, 가스 밸브 | 비밀번호 탈취로 도어락의 임의개폐 혹은 가스 밸브의 조작으로 화재의 위험 |
| 온도 습도센서 | 잘못된 온습도 제어 및 의도된 공격으로 인한 피해 |
공격유형
무선신호 교란
IoT 서비스는 ZigBee, WIFI, Z-Wave와 같은 무선통신 기술을 통해 데이터 전송을 합니다. 이런 무선통신 신호를 Noise, 동일 주파수 사용, 주파수 위변조를 통해 실제 신호의 정상적인 송수신을 방해할 수 있습니다.
가령, ISM 대역과 같은 비면허 대역에 과도한 출력을 발생시켜 해당 대역을 사용하고 있는 무선통신 장치에 전파간섭이나 오작동을 유도할 수 있습니다.
서비스거부 공격
서비스거부 공격(DoS)은 일반적으로 고성능 PC에서 이루어진다고 생각할 수 있으나 사물 인터넷 장치 또한 수백~수천 node로 구성된 장치로 구성되어 다음과 같은 공격에 취약합니다.
- 주변 node에 지속적이고 반복적인 광고 패킷 송신
- 메시지 반복 전송으로 시스템 부하 가중
- 주파수 Jamming으로 서비스 방해
평문메시지 분석
한정된 리소스로 통합된 암호화 기술의 적용이 어렵다는 취약점을 노린 방법으로, 암호화되지 않은 패킷을 찾아내어 공격하는 방법입니다. (예, NPDU 패킷/ DLPDU 프레임)
데이터 변조
탬퍼링 기법이라고도 하며 엔드 포인트 간 송수신 데이터를 변조하거나, 암호화 되지 않는 node와 Gateway 간의 정보를 도청하는 공격입니다.
가짜 디바이스 접속
인가되지 않는 fake 사물인터넷 기기를 네트워크에 접속시켜 노드 간 데이터를 스푸핑 하여 도청하거나 과도한 트래픽을 발생시키는 등의 행위를 하는 공격입니다.
리소스 소모
저속의 CPU나 한정된 메모리 그리고 소형배터리 등의 리소스를 소모하는 방법으로 과도한 패킷의 전송이나 연산을 유도하여 IoT 기기가 정상 동작하지 않도록 공격합니다.
대응방법
PC나 스마트폰과 같은 고성능 장치의 경우 안티바이러스 솔루션과 같이 통합된 보안솔루션의 적용이 가능하지만, IoT 기기의 경우 저전력, 저성능으로 기기의 설계 단계에서부터 보안을 고려한 설계가 필수적입니다.
디바이스 보안
설계 개발단계에서부터 정보보호와 장비 특성을 고려한 보안 기술의 적용을 고려한 암호화, 접근제어 및 하드웨어 보안기술 적용을 검토합니다.
- 보안서비스 경량화 (경량 암호화 기술)
- 종단 간 통신보안 암호화 처리
- 수집된 민감정보에 대한 비식별화 접근제어 관리
- 시큐어 코딩 적용
- 펌웨어, 운영체제 코드 암호화를 통한 리버스 엔지니어링 방지
- 지속적인 보안패치 및 적용관리
사용자 보안
IoT 서비스를 사용하는 유저 입장에서도 다음의 가이드라인을 준수함으로써 취약점을 어느정도 보완하여 공격을 예방할 수 있습니다.
- 패스워드 설정: 각 기기에 접속하는 로그인 암호나 패스워드를 출시 당시 그대로 유지하지 않고 주기적으로 변경하며 추측이 어려운 암호를 사용합니다.
- 암호화 설정: 가령 인터넷 접속 시 HTTPS 방식으로 SSL 암호화를 적용합니다. 만약 암호화를 하지 않은 경우 쉽게 사용자 정보나 로그인 정보의 탈취가 가능합니다.
- 접근제어 설정: 가령 패스워드 외에 지문과 같은 생체정보를 이중으로 인증하는 방식을 통해 보안을 강화할 수 있습니다.
- 펌웨어 업데이트 및 보안 patch 적용: 월패드와 같은 스마트홈 기기의 보안패치는 펌웨어 업데이트를 통해 주기적으로 실행합니다. 이 외에 IP 카메라, 공유기 등의 펌웨어도 주기적으로 Update 합니다.
보안 가이드 준수
서비스 개발사나 운영사의 경우라면 IoT 관련 보안 가이드를 참고하여 참고할 수 있습니다. 국외의 가이드 배포 기관 및 문서는 다음과 같습니다.
- GSMA: 모바일 서비스의 엔드포인트, 네트워크 운영자를 위한 IoT 보안가이드 (2016년)
- IPS: IoT 개발 보안설계 가이드 (2016년)
- OWASP: 주기적으로 발표되는 보안 지침
- OTA: IoT 신뢰 프레임워크
- CSA: 사물인터넷을 위한 보안지침
이러한 가이드라인은 발표기관이 다르지만 일반적으로 IoT 기기의 생명주기 및 서비스 구성에 따른 일반적인 보안요구사항을 공통적으로 제시하고 있습니다. 다만 다양한 산업분야별로 구체적인 케이스 스터디는 별도로 확인이 필요합니다.
이상으로 IoT 서비스 보안 공격유형 및 대응방법에 대해서 알아보았습니다.