스마트카를 해킹해 사고를 일으키고, 헬스케어 기기를 해킹해 환자의 건강과 생명을 위협하며, CCTV를 해킹해 사생활을 유포하고, 도어락을 해킹해 가택에 무단으로 침입하는 등의 사고가 IoT 환경에서는 쉽게 발생할 수 있다. 그래서 IoT는 반드시 ‘보안’을 고려해 설계하고 운영해야 한다.
IoT 보안위협 중 가장 먼저 꼽히는 것이 단말과 게이트웨이 보안이다.
IoT 기기는 종류가 다양하고, 같은 종류의 디바이스라 해도 OS 및 애플리케이션과 버전이 상이하다. 경량 디바이스는 정해진 목적에 최적화해 설계됐기 때문에 보안 기능을 적용하는데 충분한 리소스를 갖지 못한다. IoT 게이트웨이는 다양한 형태로 사용될 수 있는데, 공유기를 이용하거나, 냉장고, 셋톱박스 등 가전기기를 이용할 수도 있다.
IoT 기기와 게이트웨이 보안을 위해서는 낮은 연산능력에 적합하고, 펌웨어 위변조 및 복제 방지 기능과 펌웨어·데이터 암호화, 데이터 도감청·위변조 방지, 암호 키 유출 방지 등의 기술이 적용돼야 한다.
이 문제를 해결하는 방법으로 시큐어OS가 제안되며, 시큐어 엘리먼트(SE)에서 암호 키와 인증서를 관리하는 방법이 제안된다. 시큐어OS는 기기의 펌웨어를 보호하고, 기기인증과 통신 암호화를 기본으로 적용하는 임베디드 OS이다.
장우진 SK인포섹 R&D센터 IoT개발팀장은 “현재 IoT 보호 기술은 서비스 구간, 서비스 플랫폼에 대한 것에 집중돼 있지만, 단말 보호 기술은 개발 중인 상황”이라며 “저전력, 저성능 디바이스까지 보호할 수 있는 시큐어OS와 보안 게이트웨이가 필요하다”고 말했다.
펌웨어 보호하는 시큐어OS 필요
SK인포섹이 개발한 시큐어OS는 ARM의 RTOS인 ‘ARM 엠베드오에스(mbedOS)’와 오픈소스 ‘프리알티오에스(FreeRTOS)’를 기반으로 개발됐다. 각각의 운영체제에 보안 소프트웨어 모듈을 적용했으며, IoT 디바이스에 필요한 보안 기능은 별도의 하드웨어 보안 칩과 연동해 구현된다.
이 제품은 디바이스의 고유 식별 정보와 펌웨어 정보를 보호하는데 중점을 뒀다. 고유 식별 정보를 보안 운영체제 내에서 보호해 제 3자가 디바이스의 주요 소프트웨어 정보를 탈취해 복제품을 만드는 것을 방지한다. 이와 함께 소프트웨어 기능 개선을 위한 펌웨어 업데이트 과정에서도 암호화된 펌웨어의 무결성을 검증한 후 업데이트를 수행한다.
또한 SK인포섹은 시큐어OS 2종을 IoT 디바이스서 테스트할 수 있는 하드웨어 프로토타입 4종을 확보하고, 스마트홈 등 IoT 디바이스 제조사와 서비스 운영사를 대상으로 영업을 시작했다.
장우진 팀장은 “IoT 기기 보호를 위해서는 펌웨어 보호가 중요하다. 펌웨어는 보안기능이 없기 때문에 부팅할 때 마다 펌웨어가 위변조되지 않았는지 코드서명을 통해 확인해야 하며, 단말의 리소스를 너무 많이 사용해서는 안된다”며 “가벼운 시큐어OS를 통해 펌웨어를 보호해 안전하게 IoT를 운영할 수 있도록 해야 한다”고 말했다.
SK인포섹은 IoT 보안 기술이 다양한 산업군에서 사용될 수 있을 것으로 기대하며, 주요 제조사와 서비스 기업에게 이 기술을 소개하고 있다. 스마트팩토리, IoT 디바이스 제조사 등을 공략하고 있으며, CCTV 분야에서 가장 먼저 활용될 것이라고 기대한다. 스마트홈 서비스를 제공하는 통신사와의 협력도 고려하고 있으며, 핀테크 분야에서도 ATM·POS 보호 등 어려 영역에서 사용될 수 있을 것으로 기대한다.
장 팀장은 “IoT 보안 원천기술을 개발하기 위해서는 충분한 전문인력과 기술, 기술개발에 필요한 비용, 그리고 충분한 시간이 필요하다. SK인포섹은 이 분야와 관련된 전문기업들과 협력하는 한편, 자체적으로도 전문인력을 확보하고 있으며, 안정적으로 기술개발 예산과 시간을 확보하고 있다. 이러한 인프라를 이용해 상용화 가능한 시큐어OS를 완성하고 본격적인 영업을 시작하게 된 것”이라고 말했다.
