2017.02.09

강은성의 보안 아키텍트 | 사물인터넷과 사물인터넷 보안(2)

강은성 | CIO KR
오랜 만에 쓰다 보니 독자들 중 앞의 칼럼과 연결되지 않는 분이 많이 계실 것 같다. 궁금하신 분들은 다음 관련 칼럼을 읽어 보시기 바란다.

->강은성의 보안 아키텍트 | 소프트웨어 보안과 보안 개발프로세스(1)
->강은성의 보안 아키텍트 | 소프트웨어 보안과 보안 개발프로세스(2)
->강은성의 보안 아키텍트 | 사물인터넷과 사물인터넷 보안(1)

사물인터넷(Internet of Things, IoT) 보안이 IoT 시대가 순항할 수 있는 핵심 요인으로 등장하면서 각 나라와 주요 단체, 업계 등에서 이에 관한 IoT 보안에 관한 문서를 앞다퉈 내고 있다. 대표적인 걸 몇 개 꼽으면 다음과 같다.

 Open Web Application Security Project(OWASP), Internet of Things Top Ten, 2014.
 Cloud Security Alliance(CSA), Security Guidance for Early Adopters of the Internet of Things, 2015.4.
 일본 정보처리추진기구(IPA), 연결되는 세계의 개발지침(2016.3.), IoT 개발의 보안설계 지침(2016.5.)
 GSM Alliance(GSMA), IoT Security Guidelines, 2016.
 Industrial Internet Consortium, Industrial Internet of Things Volume G4: Security Framework, 2016.9.
 Open Connectivity Foundation(OCF), OIC Security Specification V1.1.0, 2016.10.
 IoT 보안 얼라이언스, IoT 공통보안 가이드, 2016.9.

위 자료 중 가장 쉽게 읽을 수 있는 자료는 역시 우리 말로 작성된 ‘IoT 공통보안 가이드’이다. 이것은 여러 자료를 참고해서 작성했기 때문에 위 목록에 있는 일부 문서 내용도 어느 정도 포괄한다는 장점도 있다. OWASP IoT Top 10은 보안 분야에서 일하는 분들에게 익숙한 OWASP에서 제작한 것이다. 웹 애플리케이션의 보안취약점에 관해 3년에 한 번씩 냈던 OWASP가 모바일 보안취약점인 OWASP Mobile Top 10을 거쳐 사물인터넷 보안취약점에 관한 OWASP IoT Top 10을 냈다. 특히 보안취약점과 대책을 제품 생산자, 개발자, 테스터 입장에서 작성한 점이 눈에 띈다. 보안취약점을 공격 가능 영역(Attack Surface)별로 분류하는 작업도 했는데 아쉽게도 아직 완성도가 떨어진다.

IoT 보안에서는 소프트웨어 보안뿐 아니라 하드웨어 보안도 살펴봐야 한다. IoT 제품은 대부분 특정 목적의 하드웨어에 소프트웨어(펌웨어)가 내장되어 있기 때문이다. IoT 제품은 악의적 사용자에 의한 물리적 보안 공격이 가능하기 때문에 제품 보안의 근거(Root of Trust)가 되는 하드웨어 모듈을 강조한다. 예를 들어 기기와 서버 사이에 상호 인증이나 중요한 데이터의 암호화를 한다고 할 때 여기에 사용된 암호 키를 안전하게 관리하기 위해서는 하드웨어 보안모듈(Hardware Security Module, HSM)이나 ARM 트러스트존(TrustZone) 같은 하드웨어 모듈이 필요하다.

최근에 HSM보다 저렴한 PUF(Physical Unclonable Function)가 나와서 하드웨어 모듈의 선택지를 넓혀 주고 있다. 다만 PUF가 반도체의 특성에 기반하여 난수성(Randomness)과 유일성(Uniqueness), 재현성(Repeatability)을 이용해 여러 개의 키를 만들고 보호할 수 있는 장점이 있지만, HSM이 갖는 하드웨어에 의한 메모리 보호 기능이나 RSA나 ECC, AES 같은 암호 알고리즘의 하드웨어 구현이 없기 때문에 가격이 낮은 것들도 있어서 그것이 제공하는 기능을 정확하게 이해하고 목적에 맞게 이용할 필요가 있다.

IoT 제품과 서비스는 네트워크를 전제로 하기 때문에 네트워크 트래픽의 보호와 기기 및 사용자의 인증, 접근 통제 등 전통적인 네트워크 보안 대책이 적용된다. 인터넷상의 통신은 TLS(Transport Layer Security)나 DTLS(Datagram TLS), WPA2(Wi-Fi Protected Access 2) 등 기존 표준을 적절히 사용하고, IoT 기기의 통신을 보호하기 위해서는 세계 IoT 생태계를 3분 할 것으로 보이는 구글, 애플, OCF에서 정의된 보안 프로토콜을 활용하는 것이 바람직하다.

따라서 IoT 제품에서의 보안활동은 기존 소프트웨어 개발보안 생명주기(SSDL, Secure Software Development Lifecycle)뿐 아니라 하드웨어 개발단계와 제품 생산 단계, 출시 이후 단계를 포함한 제품의 전체 생명주기에서 이뤄진다. 따라서 제품보안 활동을 SSDL이 아니라 제품보안 생명주기(Secure Product Lifecycle, SPL)로 확장하는 것이 필요하리라 생각된다.

이를 단순화하여 그림으로 나타내면 다음과 같다.

 
<그림> 제품보안 생명주기(Secure Product Lifecycle, SPL) 



위 그림처럼 제품보안 생명주기는 소프트웨어와 하드웨어의 개발 단계, 제품 생산 단계, 출시 뒤 고객이 구매하여 설치 및 이용하는 단계, 그리고 폐기 단계 등 IoT 제품 생명주기의 단계별 보안활동으로 이뤄진다. 상자 밑에 각 단계의 대표적인 보안활동을 기술했다. IoT 사업자들은 특히 제품 출시 이후 고객의 제품 이용 단계에서 보안취약점이 발견되면 이를 신속하게 파악하고 보완(패치)할 수 있도록 제품 보안사고 대응체계(Product Security Incident Response Team system, PSIRT)와 업데이트 인프라를 갖추고, 제품의 보안 이슈가 신고되면 개발팀, 제품보안팀, 품질팀, 필요하면 홍보팀, 고객지원팀, 법무팀 등 관련 팀이 신속하고 정확하게 대응할 수 있도록 해야 한다. 이 부분을 소홀히 다루면 고객과 회사 모두 큰 피해를 입을 수 있는 상황으로 번질 수 있다.


IoT 제품과 서비스의 주요 플레이어들에는 이미 홈 IoT 서비스 사업을 진행하고 있는 통신사업자, 가전과 같은 기존 제품에 센서와 무선인터넷을 붙이고 클라우드 서비스, 빅데이터 분석과 연계하여 IoT 업체로 변신하는 스마트 가전 업체나 산업용 IoT 업체, 피트비트(Fitbit)나 네스트(NEST)처럼 새로운 IoT 기기를 만든 IoT 전문업체들이 있다. 사람의 생명과 재산에 영향을 미치는 IoT 제품의 특성에도 불구하고 이 업체들 중 보안을 잘해온 곳은 많지 않다. 이제 IoT 시대가 성큼 다가왔다. IoT 시대가 재앙이 되지 않고, IoT가 주는 혜택을 충분히 누리기 위해서는 IoT 관련 업체들뿐 아니라 정부, 소비자 등 IoT 생태계에 직간접으로 참여하는 주체들이 IoT 보안의 중요성을 이해하고 이를 위해 노력을 경주해야 할 것이다.

*강은성 대표는 소프트웨어 개발자로 시작하여 국내 최대 보안전문업체에서 연구소장과 시큐리티대응센터장을 거치고, 인터넷 포털회사에서 최고보안책임자(CSO)를 역임한 국내 최고의 보안전문가다. 그는 대기업 임원으로서 기업보안을 책임졌던 리더십과 보안 현업에서 얻은 풍부한 관리적ㆍ기술적 경험, 수사기관과 소송에 대응했던 위기관리 경험을 토대로 실효성 있는 기업보안 거버넌스와 보안위험 관리, 정보보호대책을 제안하고 있다. 지금은 CISO Lab을 설립하여 기업 차원의 보안위험 대응 전략을 탐구하여 기업 보안컨설팅과 보안교육을 진행하고 있으며, 저서로 IT시큐리티(한울, 2009)와 CxO가 알아야 할 정보보안(한빛미디어, 2015)가 있다. ciokr@idg.co.kr
 

2017.02.09

강은성의 보안 아키텍트 | 사물인터넷과 사물인터넷 보안(2)

강은성 | CIO KR
오랜 만에 쓰다 보니 독자들 중 앞의 칼럼과 연결되지 않는 분이 많이 계실 것 같다. 궁금하신 분들은 다음 관련 칼럼을 읽어 보시기 바란다.

->강은성의 보안 아키텍트 | 소프트웨어 보안과 보안 개발프로세스(1)
->강은성의 보안 아키텍트 | 소프트웨어 보안과 보안 개발프로세스(2)
->강은성의 보안 아키텍트 | 사물인터넷과 사물인터넷 보안(1)

사물인터넷(Internet of Things, IoT) 보안이 IoT 시대가 순항할 수 있는 핵심 요인으로 등장하면서 각 나라와 주요 단체, 업계 등에서 이에 관한 IoT 보안에 관한 문서를 앞다퉈 내고 있다. 대표적인 걸 몇 개 꼽으면 다음과 같다.

 Open Web Application Security Project(OWASP), Internet of Things Top Ten, 2014.
 Cloud Security Alliance(CSA), Security Guidance for Early Adopters of the Internet of Things, 2015.4.
 일본 정보처리추진기구(IPA), 연결되는 세계의 개발지침(2016.3.), IoT 개발의 보안설계 지침(2016.5.)
 GSM Alliance(GSMA), IoT Security Guidelines, 2016.
 Industrial Internet Consortium, Industrial Internet of Things Volume G4: Security Framework, 2016.9.
 Open Connectivity Foundation(OCF), OIC Security Specification V1.1.0, 2016.10.
 IoT 보안 얼라이언스, IoT 공통보안 가이드, 2016.9.

위 자료 중 가장 쉽게 읽을 수 있는 자료는 역시 우리 말로 작성된 ‘IoT 공통보안 가이드’이다. 이것은 여러 자료를 참고해서 작성했기 때문에 위 목록에 있는 일부 문서 내용도 어느 정도 포괄한다는 장점도 있다. OWASP IoT Top 10은 보안 분야에서 일하는 분들에게 익숙한 OWASP에서 제작한 것이다. 웹 애플리케이션의 보안취약점에 관해 3년에 한 번씩 냈던 OWASP가 모바일 보안취약점인 OWASP Mobile Top 10을 거쳐 사물인터넷 보안취약점에 관한 OWASP IoT Top 10을 냈다. 특히 보안취약점과 대책을 제품 생산자, 개발자, 테스터 입장에서 작성한 점이 눈에 띈다. 보안취약점을 공격 가능 영역(Attack Surface)별로 분류하는 작업도 했는데 아쉽게도 아직 완성도가 떨어진다.

IoT 보안에서는 소프트웨어 보안뿐 아니라 하드웨어 보안도 살펴봐야 한다. IoT 제품은 대부분 특정 목적의 하드웨어에 소프트웨어(펌웨어)가 내장되어 있기 때문이다. IoT 제품은 악의적 사용자에 의한 물리적 보안 공격이 가능하기 때문에 제품 보안의 근거(Root of Trust)가 되는 하드웨어 모듈을 강조한다. 예를 들어 기기와 서버 사이에 상호 인증이나 중요한 데이터의 암호화를 한다고 할 때 여기에 사용된 암호 키를 안전하게 관리하기 위해서는 하드웨어 보안모듈(Hardware Security Module, HSM)이나 ARM 트러스트존(TrustZone) 같은 하드웨어 모듈이 필요하다.

최근에 HSM보다 저렴한 PUF(Physical Unclonable Function)가 나와서 하드웨어 모듈의 선택지를 넓혀 주고 있다. 다만 PUF가 반도체의 특성에 기반하여 난수성(Randomness)과 유일성(Uniqueness), 재현성(Repeatability)을 이용해 여러 개의 키를 만들고 보호할 수 있는 장점이 있지만, HSM이 갖는 하드웨어에 의한 메모리 보호 기능이나 RSA나 ECC, AES 같은 암호 알고리즘의 하드웨어 구현이 없기 때문에 가격이 낮은 것들도 있어서 그것이 제공하는 기능을 정확하게 이해하고 목적에 맞게 이용할 필요가 있다.

IoT 제품과 서비스는 네트워크를 전제로 하기 때문에 네트워크 트래픽의 보호와 기기 및 사용자의 인증, 접근 통제 등 전통적인 네트워크 보안 대책이 적용된다. 인터넷상의 통신은 TLS(Transport Layer Security)나 DTLS(Datagram TLS), WPA2(Wi-Fi Protected Access 2) 등 기존 표준을 적절히 사용하고, IoT 기기의 통신을 보호하기 위해서는 세계 IoT 생태계를 3분 할 것으로 보이는 구글, 애플, OCF에서 정의된 보안 프로토콜을 활용하는 것이 바람직하다.

따라서 IoT 제품에서의 보안활동은 기존 소프트웨어 개발보안 생명주기(SSDL, Secure Software Development Lifecycle)뿐 아니라 하드웨어 개발단계와 제품 생산 단계, 출시 이후 단계를 포함한 제품의 전체 생명주기에서 이뤄진다. 따라서 제품보안 활동을 SSDL이 아니라 제품보안 생명주기(Secure Product Lifecycle, SPL)로 확장하는 것이 필요하리라 생각된다.

이를 단순화하여 그림으로 나타내면 다음과 같다.

 
<그림> 제품보안 생명주기(Secure Product Lifecycle, SPL) 



위 그림처럼 제품보안 생명주기는 소프트웨어와 하드웨어의 개발 단계, 제품 생산 단계, 출시 뒤 고객이 구매하여 설치 및 이용하는 단계, 그리고 폐기 단계 등 IoT 제품 생명주기의 단계별 보안활동으로 이뤄진다. 상자 밑에 각 단계의 대표적인 보안활동을 기술했다. IoT 사업자들은 특히 제품 출시 이후 고객의 제품 이용 단계에서 보안취약점이 발견되면 이를 신속하게 파악하고 보완(패치)할 수 있도록 제품 보안사고 대응체계(Product Security Incident Response Team system, PSIRT)와 업데이트 인프라를 갖추고, 제품의 보안 이슈가 신고되면 개발팀, 제품보안팀, 품질팀, 필요하면 홍보팀, 고객지원팀, 법무팀 등 관련 팀이 신속하고 정확하게 대응할 수 있도록 해야 한다. 이 부분을 소홀히 다루면 고객과 회사 모두 큰 피해를 입을 수 있는 상황으로 번질 수 있다.


IoT 제품과 서비스의 주요 플레이어들에는 이미 홈 IoT 서비스 사업을 진행하고 있는 통신사업자, 가전과 같은 기존 제품에 센서와 무선인터넷을 붙이고 클라우드 서비스, 빅데이터 분석과 연계하여 IoT 업체로 변신하는 스마트 가전 업체나 산업용 IoT 업체, 피트비트(Fitbit)나 네스트(NEST)처럼 새로운 IoT 기기를 만든 IoT 전문업체들이 있다. 사람의 생명과 재산에 영향을 미치는 IoT 제품의 특성에도 불구하고 이 업체들 중 보안을 잘해온 곳은 많지 않다. 이제 IoT 시대가 성큼 다가왔다. IoT 시대가 재앙이 되지 않고, IoT가 주는 혜택을 충분히 누리기 위해서는 IoT 관련 업체들뿐 아니라 정부, 소비자 등 IoT 생태계에 직간접으로 참여하는 주체들이 IoT 보안의 중요성을 이해하고 이를 위해 노력을 경주해야 할 것이다.

*강은성 대표는 소프트웨어 개발자로 시작하여 국내 최대 보안전문업체에서 연구소장과 시큐리티대응센터장을 거치고, 인터넷 포털회사에서 최고보안책임자(CSO)를 역임한 국내 최고의 보안전문가다. 그는 대기업 임원으로서 기업보안을 책임졌던 리더십과 보안 현업에서 얻은 풍부한 관리적ㆍ기술적 경험, 수사기관과 소송에 대응했던 위기관리 경험을 토대로 실효성 있는 기업보안 거버넌스와 보안위험 관리, 정보보호대책을 제안하고 있다. 지금은 CISO Lab을 설립하여 기업 차원의 보안위험 대응 전략을 탐구하여 기업 보안컨설팅과 보안교육을 진행하고 있으며, 저서로 IT시큐리티(한울, 2009)와 CxO가 알아야 할 정보보안(한빛미디어, 2015)가 있다. ciokr@idg.co.kr
 

X