‘물리적 해킹의 위험성’ 진단 및 ‘물리기반 공격 탐지 및 방어’ 기술 소개
IoT 장치의 물리적 환경 감지, 오버센싱으로 인한 보안 위협으로 이어져
스마트폰 이용한 몰카 탐지 가능 여부, 위조 식품 탐지 연구 등 진행
[보안뉴스= 한준 KAIST 정보보호대학원/전산학부 부교수] ‘사물인터넷(Internet-of-Things, IoT)’과 ‘사이버-물리 시스템(Cyber-Physical System, CPS)’의 출현과 발전으로, 이제 컴퓨팅 기기는 더 이상 단순히 사이버 공간만 존재하는 것이 아닌 물리적 세계와 상호작용하는 방향으로 전환됐다.
이러한 컴퓨팅 패러다임의 변화는 보안과 같은 새로운 도전과제를 제시하며, 기존 컴퓨팅 패러다임의 단점을 드러내고 있다. 특히 사이버-물리 시스템은 실제 물리적 상호작용을 통해 사물의 움직임이나 위치, 속도와 같은 물리적 특성을 센싱하기 때문에, 이를 안전하게 보호하기 위해서는 이러한 물리적 특성을 추가로 증명해야 한다. 이것은 전통적인 사이버 시스템이 디지털 정보만으로 보안을 확보했던 방식과는 근본적으로 다른 보안 측면이다. 예를 들어 차량 간 통신이 가능해지는 차량 대 차량 통신(V2V Communication)의 경우, 운전자나 자동차의 신원(identity)보다는 차량 간의 상대적인 위치를 증명하는 것이 더 중요할 수 있다.
따라서 필자는 보안과 센싱 시스템의 교차점을 연구하게 됐다. 이는 물리적 컨텍스트를 센싱하고 모델링해 컴퓨팅 기법으로 기존 컴퓨팅 패러다임 간의 격차를 해소하는 ‘물리기반 컴퓨팅(Physics-guided Computing)’을 제안하는 것이다. 이번 칼럼에서는 물리기반 컴퓨팅의 두 가지 연구 방향인 ‘물리적 해킹의 위험성’과 ‘물리기반 공격 탐지 및 방어’ 기술을 소개하고자 한다.
1. 물리적 해킹의 위험성
다수의 IoT 장치가 물리적 환경을 지속해서 감지하면서 우리가 직면할 수 있는 위험 중 하나는 과도한 감지, 즉 ‘오버센싱(oversensing)’으로 인한 보안 위협이다. 이러한 위협을 ‘물리적 해킹(Physical Hacking)’이라고 정의한다. 예를 들어 출입문의 자물쇠에 열쇠를 꽂는 소리를 지나가던 공격자가 자신의 스마트폰 마이크로 녹음해 피해자의 열쇠를 복제할 수 있음을 발견했다.
그림 1에서 보듯이 열쇠를 자물쇠에 꽂을 때 나는 특유의 “딸깍” 소리를 분석해 열쇠의 홈 깊이, 컷 깊이를 알아낼 수 있다. 이 컷 깊이는 열쇠 고유의 정보로, 이를 통해 자물쇠를 열 수 있는 열쇠를 복제할 수 있다는 점에서 보안상의 중요한 비밀이다. 한국에서는 디지털도어락이 널리 사용되어 물리적 열쇠의 사용이 드물지만, 미국, 유럽, 다른 아시아 국가 등에서는 여전히 물리적 열쇠가 많이 사용되고 있어 이러한 공격이 매우 심각한 보안 위협이 될 수 있다. 이 연구는 보안 분야 최우수 국제학술대회 중 하나인 USENIX Security에 발표됐다.
두 번째로 마이크 없이도 대화를 도청할 수 있는 가능성을 연구했다. 상용 로봇 청소기에는 마이크가 없지만, 라이다(Lidar, 레이저 기반 거리 측정기) 센서를 마이크처럼 사용하는 방법을 탐구했다. 이 방법은 쓰레기통이나 물컵 같은 주변 사물이 대화 소리로 인해 미세하게 진동할 때, 라이다가 발사한 레이저가 그 물체에 반사되면서 진동 신호도 함께 실려 돌아오는 원리다. 이렇게 돌아온 신호를 분석하면 대화 소리를 재구성할 수 있다. 그림 2는 공격자가 로봇 청소기의 라이다 센서를 원격으로 악용해 대화를 도청하는 시나리오를 보여준다. 이 연구는 센싱 분야 최우수 국제학술대회 중 하나인 ACM SenSys에 발표됐다.
2. 물리 기반 공격 탐지 및 방어
앞에서 언급한 공격 외에도 물리적 공격은 매우 빈번하게 발생하고 있다. 이에 필자는 물리적인 원리를 활용한 새로운 탐지 및 방어 방법을 탐구했다. 첫 번째로 상용 스마트폰을 이용해 공공 안전에 큰 위협이 되는 숨겨진 스파이 카메라, 즉 ‘몰카’를 탐지할 수 있는지 연구했다. 현재 상용으로 판매되는 몰카 탐지기는 높은 오탐률과 낮은 사용성, 그리고 장비를 따로 휴대해야 하는 불편함이 있다. 이를 해결하기 위해 필자는 상용 스마트폰에 탑재된 거리를 측정하는 라이다 센서를 활용하는 획기적인 방법을 제안헸다. 그림 3에서 보듯이 우리가 개발한 스마트폰 앱은 반사되어 돌아오는 레이저 신호를 컴퓨터 비전과 머신러닝 기법을 사용해 몰카의 독특한 반사 신호를 탐지한다. 특히, 렌즈 역반사 원리(Retro-reflection)에 따라 숨겨진 카메라는 주변보다 더 높은 강도로 레이저 펄스를 반사하게 된다.
다음으로 물리적 공격 중 하나인 ‘위조 식품 탐지’에 관한 연구를 진행했다. 이는 소비자의 건강과 안전에 심각한 영향을 미치며, 중대한 사회적 문제로 떠오르고 있다. 특히 술, 올리브유, 벌꿀과 같은 고가의 음료 원액에 저렴한 액체를 섞는 방식이 주된 ‘위조 음료’ 제조 방법이다. 예를 들어, 진품 보드카의 상당 부분을 저렴한 알코올이나 독성이 있는 메탄올로 대체한 사례가 보고됐고, 이를 섭취해 사망하는 사건도 발생하고 있다. 기존 방법으로는 일반 소비자가 이러한 위조 식품을 확인하는 것이 거의 불가능하다. 이러한 문제를 해결하기 위해 병을 열지 않고도 상용 스마트폰을 활용해 위조된 액체 제품을 탐지할 수 있는 방법을 제안했다.
그림 4에서 보듯이, 이 시스템은 병 안에서 형성되는 공기 방울의 모양과 움직임을 분석해 액체의 밀도, 점도, 표면 장력 등 물리적 특성을 기반으로 위조 여부를 판별하는 방식이다. 위조 음료뿐만 아니라, 사회적으로 큰 문제가 되고 있는 ‘위조 유아용 분유’와 같은 분말 식품의 위조 탐지를 위해서도 연구를 진행했다. 위조된 유아용 분유는 멜라민과 같은 위험한 성분이 포함되어 있어 아이들의 건강에 심각한 영향을 미칠 수 있으며, 실제로 사망에 이른 사례가 보고되기도 했다. 상용 스마트폰을 이용해 물방울이 분말 식품에 퍼지고 흡수되는 과정을 분석해 위조 여부를 감지하는 방법을 개발한 것이다.
그림 5에서 보듯이 물방울의 확산과 침투는 제품의 습윤성(wettability)과 다공성(porosity)에 따라 달라지며, 이를 통해 분말 제품의 위조 여부를 판별할 수 있다. 실제 실험에서도 이 방법은 높은 정확도로 위조 분유를 탐지하는 데 성공했다. 이러한 성과를 인정받아 각각의 연구는 모바일 컴퓨팅 분야 최우수 국제학술대회인 ACM MobiSys에 발표(위조 음료 탐지 논문, 위조 분유 탐지 논문)됐다. 이 가운데 가짜 분유를 탐지하는 연구는 올해 ‘최우수 논문상(Best Paper Award)’을 수상하며 해당 연구의 중요성을 입증받았다.
3. 추후 연구 방향
사이버-물리 보안은 비교적 새로운 보안 분야로, 여전히 탐구해야 할 영역이 광범위하다. 물리적 세계와 디지털 세계가 긴밀하게 연결된 사이버 물리 시스템(CPS)에서는 전통적인 보안 문제뿐만 아니라, 물리적 환경과 상호작용하는 새로운 위협이 등장하고 있다. 이로 인해 보안 연구는 기존의 디지털 보안뿐만 아니라 물리적 보안 문제까지 확장되고 있다.
앞으로도 필자는 이러한 신흥 보안 과제들을 발굴하고 해결하기 위한 연구를 지속할 계획이다. 특히, 물리 기반 컴퓨팅에서 쌓은 전문성을 바탕으로, 메타버스나 자율주행 자동차와 같은 신기술 분야의 문제 해결을 목표로 연구 영역을 확장할 것이다. 이를 통해 창의적인 아이디어를 지속해서 발굴하고, 산업체와의 협력을 강화해 의미 있는 연구 성과를 도출할 것으로 기대한다. 더 나아가 KAIST와 대한민국이 사이버 물리 시스템(CPS) 시대에 보안을 세계적으로 선도하는 역할을 하고자 한다.
필자 소개_한준 교수는 KAIST 정보보호대학원 및 전산학부 부교수로 재직 중으로 사이버-물리 시스템 및 보안 연구실(CyPhy 랩)을 이끌고 있다. KAIST 부임 전에는 약 6년간 싱가포르 국립대 전산학과 및 연세대 전기전자공학부에서 조교수로 근무했으며, 2018년에는 미국 카네기멜론대에서 IoT 보안 연구로 컴퓨터공학 박사학위를 취득했다. 한준 교수의 연구분야는 보안과 모바일·센싱 시스템의 교차점에 있으며 컨텍스트 정보를 활용해 IoT와 사이버 물리 시스템의 보안 문제를 해결하는 시스템을 제안한다. 한 교수는 컴퓨터 보안, 모바일 컴퓨팅 및 센싱 시스템 분야의 IEEE S&P, USENIX Security 등 최우수 국제학회에 다년간 다수의 논문을 게재해 그 성과를 주목받고 있다. 또한 다수의 최우수 국제학회(IEEE S&P, USENIX Security, ACM MobiSys 등)에서 활발한 활동을 진행하며 ACM MobiSys 최우수 논문상 및 Google Research Scholar Award를 포함한 다수의 수상 실적을 보유하고 있다.
[보안뉴스= 한준 KAIST 정보보호대학원/전산학부 부교수]
IoT 장치의 물리적 환경 감지, 오버센싱으로 인한 보안 위협으로 이어져
스마트폰 이용한 몰카 탐지 가능 여부, 위조 식품 탐지 연구 등 진행
[보안뉴스= 한준 KAIST 정보보호대학원/전산학부 부교수] ‘사물인터넷(Internet-of-Things, IoT)’과 ‘사이버-물리 시스템(Cyber-Physical System, CPS)’의 출현과 발전으로, 이제 컴퓨팅 기기는 더 이상 단순히 사이버 공간만 존재하는 것이 아닌 물리적 세계와 상호작용하는 방향으로 전환됐다.
[이미지=gettyimagesbank]
이러한 컴퓨팅 패러다임의 변화는 보안과 같은 새로운 도전과제를 제시하며, 기존 컴퓨팅 패러다임의 단점을 드러내고 있다. 특히 사이버-물리 시스템은 실제 물리적 상호작용을 통해 사물의 움직임이나 위치, 속도와 같은 물리적 특성을 센싱하기 때문에, 이를 안전하게 보호하기 위해서는 이러한 물리적 특성을 추가로 증명해야 한다. 이것은 전통적인 사이버 시스템이 디지털 정보만으로 보안을 확보했던 방식과는 근본적으로 다른 보안 측면이다. 예를 들어 차량 간 통신이 가능해지는 차량 대 차량 통신(V2V Communication)의 경우, 운전자나 자동차의 신원(identity)보다는 차량 간의 상대적인 위치를 증명하는 것이 더 중요할 수 있다.
따라서 필자는 보안과 센싱 시스템의 교차점을 연구하게 됐다. 이는 물리적 컨텍스트를 센싱하고 모델링해 컴퓨팅 기법으로 기존 컴퓨팅 패러다임 간의 격차를 해소하는 ‘물리기반 컴퓨팅(Physics-guided Computing)’을 제안하는 것이다. 이번 칼럼에서는 물리기반 컴퓨팅의 두 가지 연구 방향인 ‘물리적 해킹의 위험성’과 ‘물리기반 공격 탐지 및 방어’ 기술을 소개하고자 한다.
1. 물리적 해킹의 위험성
다수의 IoT 장치가 물리적 환경을 지속해서 감지하면서 우리가 직면할 수 있는 위험 중 하나는 과도한 감지, 즉 ‘오버센싱(oversensing)’으로 인한 보안 위협이다. 이러한 위협을 ‘물리적 해킹(Physical Hacking)’이라고 정의한다. 예를 들어 출입문의 자물쇠에 열쇠를 꽂는 소리를 지나가던 공격자가 자신의 스마트폰 마이크로 녹음해 피해자의 열쇠를 복제할 수 있음을 발견했다.
그림 1에서 보듯이 열쇠를 자물쇠에 꽂을 때 나는 특유의 “딸깍” 소리를 분석해 열쇠의 홈 깊이, 컷 깊이를 알아낼 수 있다. 이 컷 깊이는 열쇠 고유의 정보로, 이를 통해 자물쇠를 열 수 있는 열쇠를 복제할 수 있다는 점에서 보안상의 중요한 비밀이다. 한국에서는 디지털도어락이 널리 사용되어 물리적 열쇠의 사용이 드물지만, 미국, 유럽, 다른 아시아 국가 등에서는 여전히 물리적 열쇠가 많이 사용되고 있어 이러한 공격이 매우 심각한 보안 위협이 될 수 있다. 이 연구는 보안 분야 최우수 국제학술대회 중 하나인 USENIX Security에 발표됐다.
▲자물쇠에 열쇠 꽂는 소리로 열쇠 홈 깊이를 알아내고, 마이크 없이도 대화 도청도 가능하다(좌부터)[사진=USENIX Security, ACM SenSys]
두 번째로 마이크 없이도 대화를 도청할 수 있는 가능성을 연구했다. 상용 로봇 청소기에는 마이크가 없지만, 라이다(Lidar, 레이저 기반 거리 측정기) 센서를 마이크처럼 사용하는 방법을 탐구했다. 이 방법은 쓰레기통이나 물컵 같은 주변 사물이 대화 소리로 인해 미세하게 진동할 때, 라이다가 발사한 레이저가 그 물체에 반사되면서 진동 신호도 함께 실려 돌아오는 원리다. 이렇게 돌아온 신호를 분석하면 대화 소리를 재구성할 수 있다. 그림 2는 공격자가 로봇 청소기의 라이다 센서를 원격으로 악용해 대화를 도청하는 시나리오를 보여준다. 이 연구는 센싱 분야 최우수 국제학술대회 중 하나인 ACM SenSys에 발표됐다.
2. 물리 기반 공격 탐지 및 방어
앞에서 언급한 공격 외에도 물리적 공격은 매우 빈번하게 발생하고 있다. 이에 필자는 물리적인 원리를 활용한 새로운 탐지 및 방어 방법을 탐구했다. 첫 번째로 상용 스마트폰을 이용해 공공 안전에 큰 위협이 되는 숨겨진 스파이 카메라, 즉 ‘몰카’를 탐지할 수 있는지 연구했다. 현재 상용으로 판매되는 몰카 탐지기는 높은 오탐률과 낮은 사용성, 그리고 장비를 따로 휴대해야 하는 불편함이 있다. 이를 해결하기 위해 필자는 상용 스마트폰에 탑재된 거리를 측정하는 라이다 센서를 활용하는 획기적인 방법을 제안헸다. 그림 3에서 보듯이 우리가 개발한 스마트폰 앱은 반사되어 돌아오는 레이저 신호를 컴퓨터 비전과 머신러닝 기법을 사용해 몰카의 독특한 반사 신호를 탐지한다. 특히, 렌즈 역반사 원리(Retro-reflection)에 따라 숨겨진 카메라는 주변보다 더 높은 강도로 레이저 펄스를 반사하게 된다.
▲스마트폰으로 몰카 탐지, 병을 열지 않고 위조된 액체 제품 탐지, 물방울 퍼짐 속도로 위조 분유를 탐지한다(좌부터)[사진=ACM MobiSys]
다음으로 물리적 공격 중 하나인 ‘위조 식품 탐지’에 관한 연구를 진행했다. 이는 소비자의 건강과 안전에 심각한 영향을 미치며, 중대한 사회적 문제로 떠오르고 있다. 특히 술, 올리브유, 벌꿀과 같은 고가의 음료 원액에 저렴한 액체를 섞는 방식이 주된 ‘위조 음료’ 제조 방법이다. 예를 들어, 진품 보드카의 상당 부분을 저렴한 알코올이나 독성이 있는 메탄올로 대체한 사례가 보고됐고, 이를 섭취해 사망하는 사건도 발생하고 있다. 기존 방법으로는 일반 소비자가 이러한 위조 식품을 확인하는 것이 거의 불가능하다. 이러한 문제를 해결하기 위해 병을 열지 않고도 상용 스마트폰을 활용해 위조된 액체 제품을 탐지할 수 있는 방법을 제안했다.
그림 4에서 보듯이, 이 시스템은 병 안에서 형성되는 공기 방울의 모양과 움직임을 분석해 액체의 밀도, 점도, 표면 장력 등 물리적 특성을 기반으로 위조 여부를 판별하는 방식이다. 위조 음료뿐만 아니라, 사회적으로 큰 문제가 되고 있는 ‘위조 유아용 분유’와 같은 분말 식품의 위조 탐지를 위해서도 연구를 진행했다. 위조된 유아용 분유는 멜라민과 같은 위험한 성분이 포함되어 있어 아이들의 건강에 심각한 영향을 미칠 수 있으며, 실제로 사망에 이른 사례가 보고되기도 했다. 상용 스마트폰을 이용해 물방울이 분말 식품에 퍼지고 흡수되는 과정을 분석해 위조 여부를 감지하는 방법을 개발한 것이다.
그림 5에서 보듯이 물방울의 확산과 침투는 제품의 습윤성(wettability)과 다공성(porosity)에 따라 달라지며, 이를 통해 분말 제품의 위조 여부를 판별할 수 있다. 실제 실험에서도 이 방법은 높은 정확도로 위조 분유를 탐지하는 데 성공했다. 이러한 성과를 인정받아 각각의 연구는 모바일 컴퓨팅 분야 최우수 국제학술대회인 ACM MobiSys에 발표(위조 음료 탐지 논문, 위조 분유 탐지 논문)됐다. 이 가운데 가짜 분유를 탐지하는 연구는 올해 ‘최우수 논문상(Best Paper Award)’을 수상하며 해당 연구의 중요성을 입증받았다.
3. 추후 연구 방향
사이버-물리 보안은 비교적 새로운 보안 분야로, 여전히 탐구해야 할 영역이 광범위하다. 물리적 세계와 디지털 세계가 긴밀하게 연결된 사이버 물리 시스템(CPS)에서는 전통적인 보안 문제뿐만 아니라, 물리적 환경과 상호작용하는 새로운 위협이 등장하고 있다. 이로 인해 보안 연구는 기존의 디지털 보안뿐만 아니라 물리적 보안 문제까지 확장되고 있다.
앞으로도 필자는 이러한 신흥 보안 과제들을 발굴하고 해결하기 위한 연구를 지속할 계획이다. 특히, 물리 기반 컴퓨팅에서 쌓은 전문성을 바탕으로, 메타버스나 자율주행 자동차와 같은 신기술 분야의 문제 해결을 목표로 연구 영역을 확장할 것이다. 이를 통해 창의적인 아이디어를 지속해서 발굴하고, 산업체와의 협력을 강화해 의미 있는 연구 성과를 도출할 것으로 기대한다. 더 나아가 KAIST와 대한민국이 사이버 물리 시스템(CPS) 시대에 보안을 세계적으로 선도하는 역할을 하고자 한다.
▲KAIST 정보보호대학원 한준 전산학부 부교수[사진=한준 교수]
[보안뉴스= 한준 KAIST 정보보호대학원/전산학부 부교수]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김영명기자 기사보기
[2024-09-23] 
