Offcanvas

CITL

"IoT기기 보안, 쉬운데도 안 한다" <CITL 조사>

IoT기기의 컴파일 시간 보안 기능을 쉽게 활성화할 수 있다. 그런데 이렇게 하는 IoT기기 제조사가 늘지 않는 이유는 무엇일까? IoT 펌웨어 바이너리를 구축할 때 보안 기능에 대한 플래그를 추가하면 IoT기기 보안을 크게 개선할 수 있다. 그런데 대부분이 이렇게 하지 않는다. 게다가 CITL(Cyber Independent Testing Lab) 매스 퍼징 프로젝트의 새로운 조사 결과에 따르면, 상황이 나아지는 것이 아니라 오히려 악화되고 있다. 매우 쉬운 일이다. 이렇게 하지 않을 이유가 없다. 그런데 이렇게 하지 않는다.  CITL은 컨슈머 리포트 같은 비영리 보안 연구소다. 현재까지 지난 15년간 발표된 300여만 개의 IoT 펌웨어 바이너리 퍼징을 자동화했다. 그 결과는 실망스럽다. CITL의 최고 과학자인 사라 자트코는 <CSO>에 “매우 쉬운 일이다. 그런데 IoT 업체들은 기본적인 컴파일 시간 보안 기능을 활성화하지 않고 있다. 기능을 활성화하지 않을 이유가 없는데도 그렇게 하고 있다”라고 말했다. 이어서 자트코는 “의도적으로 무시했으리라 생각하지는 않는다. 진짜로 누군가 이 보안 기능을 제외하기로 의도적으로 결정을 내린 경우가 아니라면 말이다. 이는 선의의 무시라고 봐야 한다. 자신이 반드시 해야 할 일, 자신의 직업이라면 이런 일이 일어나지 않았을 것이다”라고 덧붙였다.   빌드 후 확인할 시기? IoT 업체들은 쉽게 이런 컴파일 시간 보안 플래그를 활성화하고, 이를 릴리스 관리 프로세스의 일부로 확인할 수 있다. 더 최신 버전의 컴파일러가 있는지 확인하고, ASLR과 DEP, 스택 가드 같은 기본적인 보안 플래그를 활성화하는 것 등이 빌드에서 권장되는 ‘위생’ 조치이다. 마법 같은 보안 경감책은 존재하지 않지만, 그래도 IoT 환경에서 에어백과 안전벨트 같은 역할을 한다. 충돌 자체를 방지하지는 못하더라도 생명을 구하는 역할을 한다는 이야기다. 하루 최대 몇 시간의 엔지니어링 작업이 필요한 일이다...

CSO CISO 취약점 펌웨어 사물인터넷 익스플로잇 CITL Cyber Independent Testing Lab QA 테스팅

2019.09.16

IoT기기의 컴파일 시간 보안 기능을 쉽게 활성화할 수 있다. 그런데 이렇게 하는 IoT기기 제조사가 늘지 않는 이유는 무엇일까? IoT 펌웨어 바이너리를 구축할 때 보안 기능에 대한 플래그를 추가하면 IoT기기 보안을 크게 개선할 수 있다. 그런데 대부분이 이렇게 하지 않는다. 게다가 CITL(Cyber Independent Testing Lab) 매스 퍼징 프로젝트의 새로운 조사 결과에 따르면, 상황이 나아지는 것이 아니라 오히려 악화되고 있다. 매우 쉬운 일이다. 이렇게 하지 않을 이유가 없다. 그런데 이렇게 하지 않는다.  CITL은 컨슈머 리포트 같은 비영리 보안 연구소다. 현재까지 지난 15년간 발표된 300여만 개의 IoT 펌웨어 바이너리 퍼징을 자동화했다. 그 결과는 실망스럽다. CITL의 최고 과학자인 사라 자트코는 <CSO>에 “매우 쉬운 일이다. 그런데 IoT 업체들은 기본적인 컴파일 시간 보안 기능을 활성화하지 않고 있다. 기능을 활성화하지 않을 이유가 없는데도 그렇게 하고 있다”라고 말했다. 이어서 자트코는 “의도적으로 무시했으리라 생각하지는 않는다. 진짜로 누군가 이 보안 기능을 제외하기로 의도적으로 결정을 내린 경우가 아니라면 말이다. 이는 선의의 무시라고 봐야 한다. 자신이 반드시 해야 할 일, 자신의 직업이라면 이런 일이 일어나지 않았을 것이다”라고 덧붙였다.   빌드 후 확인할 시기? IoT 업체들은 쉽게 이런 컴파일 시간 보안 플래그를 활성화하고, 이를 릴리스 관리 프로세스의 일부로 확인할 수 있다. 더 최신 버전의 컴파일러가 있는지 확인하고, ASLR과 DEP, 스택 가드 같은 기본적인 보안 플래그를 활성화하는 것 등이 빌드에서 권장되는 ‘위생’ 조치이다. 마법 같은 보안 경감책은 존재하지 않지만, 그래도 IoT 환경에서 에어백과 안전벨트 같은 역할을 한다. 충돌 자체를 방지하지는 못하더라도 생명을 구하는 역할을 한다는 이야기다. 하루 최대 몇 시간의 엔지니어링 작업이 필요한 일이다...

2019.09.16

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.5.0.5