.jpg)
.jpg)
사물인터넷 장비들은 아직 완전하지 않다. 보안의 측면에서는 그 문제가 더더욱 심각하다. 너무 많아서 일일이 열거할 수가 없는데, 이를 시급한 것부터 정리해 요약하면 다음 세 가지로 압축할 수 있을 것이다. 그것은 바로...
[보안뉴스 문가용 기자] 사물인터넷 장비들의 진화 속도가 심상치 않다. 비슷한 속도로 우리의 일상생활 속에 들어오고 있는 것도 사실이다. 그러면서 보안 취약점이라는 새로운 요소들이 생활을 위협하게 되었다. 그렇기 때문에 사물인터넷 생태계에서 흔히 발견되는 취약점들과 문제들을 정리하는 것이 필요한 시점이다.
1번 : 보안 조치가 되지 않은 API 연결
현재 장비들 간 통신에 있어 가장 많이 사용되는 기술 중 하나는 API다. 그런데 이 API의 보안 개념은 아직 널리 퍼져 있지 않은 상태다. 예를 들어 데이터 분석가가 데이터베이스에 곧바로 접속한다고 했을 때 대부분의 시스템들은 해당 분석가의 사용자 이름과 직책 등을 로깅한다. 그런데 외부 사용자가 똑같은 행위를 시도한다고 했을 때, 내부용 크리덴셜이 없기 때문에 애매하게 로깅이 되는 경우가 종종 생긴다. 그 결과는 다음과 같다.
1) 김철수 : 데이터 분석가 - 172.20.118.97
2) App_User : 서비스 계정 - 172.20.0.159
이 두 가지 로깅 중 쓸모가 있는 정보를 제공하는 건 첫 번째 것뿐이다. 즉, 스마트 장비나 사물인터넷 기기가 유용한 데이터를 수집하지 않게 설정되어 있다면(이런 경우가 대단히 많다) 네트워크 가시성이 떨어지게 된다. 사이버 공격자들은 이런 현상을 잘 이해하고 있으며, 따라서 노출된 API 토큰들을 찾기 위해 인터넷을 종종 검색한다.
2번 : 펌웨어 업데이트의 악용 문제
사물인터넷 장비들은 한 번 침해당하면 공격자들의 횡적 움직임을 허용해 주는 경우가 많다. 공격자들로서는 사물인터넷만큼 유용한 게이트웨이가 없는 것이다. 물론 모든 사물인터넷 장비가 다 그런 건 아니다. 펌웨어 업데이트를 무선 전송 기술을 통해 하는 장비들일수록 이런 식으로 악용될 소지가 크다. 2015년 발생한 대규모 우크라이나 정전 사태를 일으켰던 공격자들이 악성 펌웨어 업데이트 파일을 활용한 것으로 알려져 있다.
사물인터넷 장비들은 꾸준히 증가 중에 있다. 따라서 펌웨어 업데이트를 악용하는 공격법과, 이러한 공격을 허용하는 취약점을 제거 및 관리하게 해 주는 방법들을 개발해야 한다. 사물인터넷의 원격 제어 기술이 계속해서 발전하고 있고, 펌웨어 업데이트는 점점 자동화에 의존함에 따라 ‘악성 펌웨어 업데이트’를 통한 사이버 공격자들의 노림수 역시 다변화될 것으로 예상된다.
3번 : 프라이버시 보호에 대한 고려 부족
GDPR과 CCPA 이후 프라이버시 보호와 프라이버시 관련 규정 준수에 대한 요구는 전 세계적으로 빠르게 자리를 잡아가고 있다. 이제 정보를 요구하는 기업들의 태도에, 소비자들은 이전처럼 반응하지 않는다. 의심하고, 질문을 던지며, 심지어 다른 업체나 앱을 선택하기에 거리낌이 없다. 사물인터넷 시장에도 이러한 소비자들의 태도가 곧 도래할 것으로 예상된다.
그렇다는 건 아직 사물인터넷 장비들은 소비자들의 삼엄한 눈초리로부터 비교적 벗어나 있다는 뜻이 된다. 예를 들어 소셜미디어라면, 보안 사고나 프라이버시 침해가 일어났을 때 담당자가 이를 유관기관에 보고하고 피해를 입은 당사자들에게 고지해야 한다는 걸 이제 소비자들도 알고 있다. 하지만 사물인터넷 장비를 통해 사고가 발생했을 때라면 어떨까? 이 부분에 대해서는 아직 지역과 나라마다 규정이 모호하거나 없는 상태이며, 소비자들도 뭘 어떤 절차로 요구해야 하는지를 뚜렷하게 알고 있지 않다.
그렇기 때문에 사물인터넷 장비를 개발하는 조직들 입장에서는 이 부분을 간과하는 경우가 많다. 시장이 엄중하지 않기 때문에, 프라이버시에 대한 관념이 희박한 경우가 많다. 그러나 장비들은 그 어떤 것보다 민감한 데이터를 주고받는 중이고 말이다. 프라이버시가 제대로 다뤄지지 않고 있다는 건 시장 전체가 자각해야 할 사안이다.
현존하는 위협 그 이상까지 상상하기
지금은 우리 주머니의 모바일 폰과, 집에 있는 세탁기, 가정용 온도 조절기와 태양 전자판이 봇넷에 강제로 편입되는 때다. 공격자들은 우리의 물건들을 자신들의 봇으로 만든 후 디도스 공격을 하거나 암호화폐를 열심히 채굴한다. 덕분에 그 물건들에 대한 돈을 지불한 우리는 기기의 기능을 온전히 누리지 못한다.
백번 양보해 위에 예시로 든 물건들까지는 어느 정도 공격에 활용된다 하더라도 큰 피해가 없다고 주장할 수 있다. 하지만 의학 분야에서 사용되는 사물인터넷 장비들이라면 어떨까? 병원에서 환자의 생명을 연장시켜주는 기기들이 엉뚱한 이들의 디도스 공격이나 암호화폐 채굴에 동원되느라 잠시 멈춰 서거나 작동 이상을 일으킨다면 말이다. 실제 의료 현장에서 사물인터넷 장비의 수는 급격하게 늘어나고 있다.
그 외에도 아직 우리가 상상도 못하는 위협들이 사물인터넷 장비들을 통해 흘러들어오고 있는 중이다. 그런 위협들은 아직 초창기에 있거나, 아직 우리가 발견하지 못했을 뿐, 언젠가는 대형 위기를 몰고 올 것이다. 사물인터넷 장비들이 확산하고 있는 때, 우리는 앞서 언급한 고질적인 문제들과 더불어, 아직 우리가 접해보지 못한 위협들까지도 미리 대처해야 한다.
글 : 그리고리 마르코브(Grigorii Markov), Cerber Tech Inc.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 사물인터넷 장비들의 진화 속도가 심상치 않다. 비슷한 속도로 우리의 일상생활 속에 들어오고 있는 것도 사실이다. 그러면서 보안 취약점이라는 새로운 요소들이 생활을 위협하게 되었다. 그렇기 때문에 사물인터넷 생태계에서 흔히 발견되는 취약점들과 문제들을 정리하는 것이 필요한 시점이다.
[이미지 = utoimage]
1번 : 보안 조치가 되지 않은 API 연결
현재 장비들 간 통신에 있어 가장 많이 사용되는 기술 중 하나는 API다. 그런데 이 API의 보안 개념은 아직 널리 퍼져 있지 않은 상태다. 예를 들어 데이터 분석가가 데이터베이스에 곧바로 접속한다고 했을 때 대부분의 시스템들은 해당 분석가의 사용자 이름과 직책 등을 로깅한다. 그런데 외부 사용자가 똑같은 행위를 시도한다고 했을 때, 내부용 크리덴셜이 없기 때문에 애매하게 로깅이 되는 경우가 종종 생긴다. 그 결과는 다음과 같다.
1) 김철수 : 데이터 분석가 - 172.20.118.97
2) App_User : 서비스 계정 - 172.20.0.159
이 두 가지 로깅 중 쓸모가 있는 정보를 제공하는 건 첫 번째 것뿐이다. 즉, 스마트 장비나 사물인터넷 기기가 유용한 데이터를 수집하지 않게 설정되어 있다면(이런 경우가 대단히 많다) 네트워크 가시성이 떨어지게 된다. 사이버 공격자들은 이런 현상을 잘 이해하고 있으며, 따라서 노출된 API 토큰들을 찾기 위해 인터넷을 종종 검색한다.
2번 : 펌웨어 업데이트의 악용 문제
사물인터넷 장비들은 한 번 침해당하면 공격자들의 횡적 움직임을 허용해 주는 경우가 많다. 공격자들로서는 사물인터넷만큼 유용한 게이트웨이가 없는 것이다. 물론 모든 사물인터넷 장비가 다 그런 건 아니다. 펌웨어 업데이트를 무선 전송 기술을 통해 하는 장비들일수록 이런 식으로 악용될 소지가 크다. 2015년 발생한 대규모 우크라이나 정전 사태를 일으켰던 공격자들이 악성 펌웨어 업데이트 파일을 활용한 것으로 알려져 있다.
사물인터넷 장비들은 꾸준히 증가 중에 있다. 따라서 펌웨어 업데이트를 악용하는 공격법과, 이러한 공격을 허용하는 취약점을 제거 및 관리하게 해 주는 방법들을 개발해야 한다. 사물인터넷의 원격 제어 기술이 계속해서 발전하고 있고, 펌웨어 업데이트는 점점 자동화에 의존함에 따라 ‘악성 펌웨어 업데이트’를 통한 사이버 공격자들의 노림수 역시 다변화될 것으로 예상된다.
3번 : 프라이버시 보호에 대한 고려 부족
GDPR과 CCPA 이후 프라이버시 보호와 프라이버시 관련 규정 준수에 대한 요구는 전 세계적으로 빠르게 자리를 잡아가고 있다. 이제 정보를 요구하는 기업들의 태도에, 소비자들은 이전처럼 반응하지 않는다. 의심하고, 질문을 던지며, 심지어 다른 업체나 앱을 선택하기에 거리낌이 없다. 사물인터넷 시장에도 이러한 소비자들의 태도가 곧 도래할 것으로 예상된다.
그렇다는 건 아직 사물인터넷 장비들은 소비자들의 삼엄한 눈초리로부터 비교적 벗어나 있다는 뜻이 된다. 예를 들어 소셜미디어라면, 보안 사고나 프라이버시 침해가 일어났을 때 담당자가 이를 유관기관에 보고하고 피해를 입은 당사자들에게 고지해야 한다는 걸 이제 소비자들도 알고 있다. 하지만 사물인터넷 장비를 통해 사고가 발생했을 때라면 어떨까? 이 부분에 대해서는 아직 지역과 나라마다 규정이 모호하거나 없는 상태이며, 소비자들도 뭘 어떤 절차로 요구해야 하는지를 뚜렷하게 알고 있지 않다.
그렇기 때문에 사물인터넷 장비를 개발하는 조직들 입장에서는 이 부분을 간과하는 경우가 많다. 시장이 엄중하지 않기 때문에, 프라이버시에 대한 관념이 희박한 경우가 많다. 그러나 장비들은 그 어떤 것보다 민감한 데이터를 주고받는 중이고 말이다. 프라이버시가 제대로 다뤄지지 않고 있다는 건 시장 전체가 자각해야 할 사안이다.
현존하는 위협 그 이상까지 상상하기
지금은 우리 주머니의 모바일 폰과, 집에 있는 세탁기, 가정용 온도 조절기와 태양 전자판이 봇넷에 강제로 편입되는 때다. 공격자들은 우리의 물건들을 자신들의 봇으로 만든 후 디도스 공격을 하거나 암호화폐를 열심히 채굴한다. 덕분에 그 물건들에 대한 돈을 지불한 우리는 기기의 기능을 온전히 누리지 못한다.
백번 양보해 위에 예시로 든 물건들까지는 어느 정도 공격에 활용된다 하더라도 큰 피해가 없다고 주장할 수 있다. 하지만 의학 분야에서 사용되는 사물인터넷 장비들이라면 어떨까? 병원에서 환자의 생명을 연장시켜주는 기기들이 엉뚱한 이들의 디도스 공격이나 암호화폐 채굴에 동원되느라 잠시 멈춰 서거나 작동 이상을 일으킨다면 말이다. 실제 의료 현장에서 사물인터넷 장비의 수는 급격하게 늘어나고 있다.
그 외에도 아직 우리가 상상도 못하는 위협들이 사물인터넷 장비들을 통해 흘러들어오고 있는 중이다. 그런 위협들은 아직 초창기에 있거나, 아직 우리가 발견하지 못했을 뿐, 언젠가는 대형 위기를 몰고 올 것이다. 사물인터넷 장비들이 확산하고 있는 때, 우리는 앞서 언급한 고질적인 문제들과 더불어, 아직 우리가 접해보지 못한 위협들까지도 미리 대처해야 한다.
글 : 그리고리 마르코브(Grigorii Markov), Cerber Tech Inc.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
