4차 산업 혁명을 이끄는 핵심 기술(최종편)

[SNS 타임즈] 미국 동부 지역에서 2016년 10월 21일 발생한 대규모 DDoS 공격에 IoT 연결기기들이 해킹 숙주로 사용됐을 가능성이 제기되면서 IoT 보안 위협에 대한 경고의 목소리가 커지고 있다.

▲ SNS 타임즈 이미지 제공/pixabay  © SNS 타임즈

2017년 5월 12일 영국, 러시아, 우크라이나, 대만 등을 중심으로 랜섬웨어인 워너크라이(WannaCry)의 공격이 동시다발적으로 발생하며 전세계를 혼란속으로 몰아넣었다. 큰 피해 없이 넘어갔지만, 이런 종류의 랜섬웨어는 4차 산업혁명에 큰 기대를 걸고 있는 세계에 큰 위협이 되고 있다.

워너크라이 처럼 네트워크를 통해 악성코드를 심는 해킹기법은 사람과 사물, 사물과 사물 간의 초연결(Hyper-connectivity)에 기반한 4차 산업혁명 시대에 큰 위협이 될 수 있다. 해커가 자율주행차에 랜섬웨어를 설치할 경우 운전자는 치명적인 위험에 빠지게 된다.

2017년 현재 국내에서 발생하는 해킹 건수가 하루 140만건을 넘어서고 있고, IoT상용화로 인해 2020년경에는 전세계적으로 300억~500억개의 기기들이 인터넷에 연결될 예정이므로 해킹의 대상 범위와 피해 수준은 상상을 초월하고 있다.

IoT 보안 문제점

IoT 세상에서는 PC·서버·네트워크 보안처럼 백신이나 방화벽 같은 보안 솔루션을 추가하는 기존의 방식으론 한계가 있다는 이유로 '디바이스 보안'이 필요하다는 목소리가 높아지고 있다. 현재 IoT 기기는 보안이 확보되지 않았거나, 확보할 수 없거나, 확보될 전망이 없는 세 가지 유형으로 나뉘어 해커들에게 유리한 상황이다.

IoT 기기의 보안을 확보하는 방안을 찾을 때까지 해커들의 공격은 멈추지 않을 것이며. 디바이스 해킹은 특히 펌웨어(Firmware)를 해킹해 하드웨어의 제어권을 탈취하기 때문에 더욱 위험하다. 그러나 IoT 보안을 개선하기 위한 디바이스 보안은 쉽지 않다.

IoT기기의 프로세스 파워, 메모리 제한 등으로 보안 솔루션을 설치하고 실행하기 어려운 것은 물론, 물리적인 접근이 쉬워 인증·암호키를 보호하기도 어렵다. 또한 수많은 종류의 하드웨어와 운영체제(OS), 앱이 존재하는 만큼 위협이나 공격의 종류까지 매우 다양하다는 것도 디바이스 보안의 문제점 중 하나다. 아울러 IoT 보안 확보를 위한 확실한 수행 주체가 없는 점도 문제다.

IoT 기기 제조업체들은 ‘편리성과 새로운 기능 개발, 빠른 시장 진출’이라는 현실 추구로 보안이 우선순위에서 밀린다는 점도 부정적으로 작용한다. EU의 경우 IoT 보안을 위한 규제까지 검토중인 것으로 알려지고 있다. 우리나라도 곧 IoT 디바이스 보안 인증제를 실시할 예정이다.

전문가들은 드론이나 커넥티드카도 랜섬웨어식 공격 타깃이 될 가능성이 크다고 우려한다. 앞으로는 커넥티드카에 시동을 걸지 못하게 하거나 주행 중 급브레이크가 걸리게 하고 돈을 요구하거나 테러범들이 하이재킹으로 비행기를 납치하는 것 처럼 '드론 재킹'이 발생할 수도 있다.

일반적인 정보 보안

전화망이 공중 통신망의 근간을 이루던 시절에는 통화 내용을 엿듣거나 모니터링 하는 도청(盜聽)과 감청(監聽)이 사회적, 국가적인 이슈였다. 도청은 불법이었고, 감청은 범죄 수사와 대공(對共) 수사 등 공익을 목적으로 수색 영장 등 절차를 갖추면 합법적이었다.

그 당시 보안이라고 하면 국가의 전유물이었고, 통신보안, 문서 보안, 시설 보안, 인원 보안 등으로 분류해 관리됐다. 외국의 경우, 전화망 시대의 초기 해커(프리커)들은 전화 서비스를 중단시키거나 장애를 발생시키려고 하기 보다는 요금이 비싼 시외 전화를 공짜로 하려는 시도를 해왔다.

그러나 인터넷 시대가 본격적으로 열리자 개인이나 회사를 공격하는 해커들이 등장하면서 양상이 달라졌다. 전화 시절에는 도청이 되더라도 통화 내용이 노출되는 수준이었는데, 인터넷 환경에서는 정보화 시대를 맞아 축적된 대량의 정보들이 초고속 통신망을 통해 한순간에 빠져나가는 대형 보안 사고가 발생하게 됐다.

예를 들어 오랜 기간 동안 많은 인력이 참여해 작성한 방대한 규모의 CAD 설계 도면이 외국의 경쟁사로 넘어가고, 은행의 데이터베이스에 저장돼 있는 수천만명의 개인 정보가 누출되는 최악의 상황이 발생되기도 한다.

전화 도청 등 전화망 보안사고 피해자가 주로 개인이었지만, 인터넷 보안사고는 개인은 물론이고 회사, 사회, 국가로 까지 영향을 미치는 점이 다르다. 이처럼 인터넷의 정보 보안 이슈는 회사의 존립에 까지 영향을 미치고 국가간에는 사이버 전쟁 상황으로 까지 확대됨으로써 회사, 공공기관, 국가기관 등에서 정보 보안이 큰 이슈로 부상했다.

정보시스템 전체 보안 영역은 물리적인 보안 영역, 네트워크 보안 영역, PC, 서버를 포함한 시스템 보안과 애플리케이션 보안, 그리고 Data 보안 영역 등으로 구분할 수 있다. 보안 공격자들이 구사하는 해킹 기술을 해커가 접근하는 통로와 수단 관점에서 일반인의 시각으로 분류하면 네트워크 해킹, 시스템 해킹, 악성 코드와 바이러스 등이 있다.

보안 공격에 의해 데이터가 영향을 받는 형태에 따라 도청(Interception), 방해(Interruption), 변조(Modification), 위조(Fabrication) 등으로 분류할 수 있다. 이와 같은 보안 공격들은 CIA 3요소인 기밀성(Confidentiality)과 무결성(Integrity), 가용성(Availability) 등에 영향을 미치는데, 보안 공격의 성격에 따라 한가지 이상에 손상을 끼친다.

▲ SNS 타임즈 이미지 제공/pixabay  © SNS 타임즈

사이버 세계 대전

미래 전쟁은 네트워크를 기반으로 하는 자동화, 무인화, 로봇화로 이루어진다. 모든 것이 해킹 대상이 될 수 있다. 2014년 초 미국은 북한 핵·미사일 기술의 진전을 늦추기 위해 'Left of Launch(발사 직전 교란)'라 불리는 사이버·전자전 능력 증강에 나섰다.

오바마 대통령은 2014년 초 미사일 요격 능력 증강과 사이버·전자전 능력 강화의 두 가지 선택 가운데 사이버전 강화를 택했다. 이것은 사이버 공격, 전자기파(EMP) 공격 등으로 적 지휘부, 미사일 통제 컴퓨터, 센서, 통신망 등을 교란·파괴해 미사일을 발사 전에 무력화하는 계획이다. 실제 북한의 미사일 개발은 곧 현저한 속도로 실패하기 시작했다. 이처럼 정보보안은 글로벌 전쟁으로 확대되고 있다.

2017년 5월 워너크라이(WannaCry) 랜섬웨어 사태는, 통신으로 온 세계가 연결되는 초연결사회(Hyper Connectivity Society)가 어떤 위험을 안고 살아가고 있는지 적나라하게 드러냈다. 소수의 공격으로 세계가 마비될 수 있는 사이버 아마겟돈(Cyber Armageddon) 도래에 대한 경고였다. 아마겟돈은 구약 성서에서 나오는 지명으로 최후의 전장터를 가리킨다.

특히 금융·유통 등 주요 거래부터 전력·국방 등 기간시설까지 전산으로 연결된 현대 사회에선 초연결사회(Hyper Connectivity Society)가 초위험사회(Super Risk Society)나 마찬가지라는 게 전문가들의 지적이다. 테러리스트들이 국가 전산망을 장악해 교통신호부터 전력·수도 시스템까지 교란시킨다는 영화 ‘다이하드4’의 내용이 현실이 될 수 있다는 것이다.

IoT 정보 보안

4차 산업혁명의 핵심인 네트워크 혁신을 이끌 IoT 기술이 오히려 글로벌 네트워크를 마비시킬 무기가 될 수 있다. IoT 기기는 일반 사용자가 컴퓨터처럼 주기적으로 관리하는 것이 아니라 한번 설치하면 대부분 처음 설정한 패스워드를 바꾸지 않고 사용하므로 공격자는 이를 악용하지만 정작 피해자는 악성코드 감염 사실 조차 인지하지 못하는 사례가 대부분이다.

세계 IoT 시장 규모는 매년 급성장하겠지만 보안 위협에 대한 대비책이 없다면 IoT에 연결된 스마트 기기들은 언제든지 글로벌 네트워크를 마비시킬 해킹 좀비 군단으로 변할 수 있다.

클라우드를 중심으로 하는 인공지능은 쉽게 말해 IoT단말기에서 정보를 클라우드에 보내고 이를 클라우드가 인공지능 솔루션으로 처리한 뒤, 다시 IoT단말기로 전송하는 시스템이다. 빅데이터 시대에 엄청난 정보가 클라우드로 전송되게 될 것이고 이는 곧 보안 문제로 이어진다.

IoT 기기는 PC보다 보안이 취약하고 최근 숫자가 급증하고 있기 때문에 해커들의 새로운 타겟이 되고 있다. 사물인터넷을 이용한 DDoS 공격도 급증하고 있다.

IoT생태계 위협하는 디바이스 해킹

최근 급상승하고 있는 IoT시장은 모바일 시장의 성장과 함께 장미빛 미래를 약속하고 있는 상황이다. 모바일과 연계돼 IoT단말에서 나오는 빅데이터의 다양한 응용 가능성으로 인해 엄청난 성장 가능성이 있는 반면, 이에 비례해 성장하는 시장을 타겟으로 하는 위협도 증가하고 있다.

그 결과 해킹의 대상이 서버와 PC에서 모바일로, 그리고 사물인터넷으로 넘어오고 있는 추세이다. 아이폰 등장 이후 급성장한 모바일 시장으로 인해 사용 단말이 PC에서 스마트폰, 태블릿PC로 넘어 왔으며, 최근 스마트밴드나 스마트워치를 비롯한 다양한 IoT기기들이 선보이며 해커들이 공격 대상을 넓혀가고 있다.

기존의 보안 공격은 대부분 서버, PC 등 데스크탑, 서버 제품군에 집중돼 왔다. 최근에는 해킹 대상이 서버와 PC에서 모바일, 그리고 IoT로 변화하고 있는 추세다. 최근 다양한 IoT 단말 출시로 Client-Server 형태의 사용자 단말이 모바일, 임베디드 단말기로 전환되며 해커들도 이 분야에 주시와 집중을 하고 있는 것이다. 이들 모바일, 임베디드 단말기(IoT 단말기 포함)들을 해킹하는 것을 디바이스 해킹이라고 한다.

디바이스 해킹의 종류

디바이스 해킹이라고 하면, 하드웨어 해킹이라기보다는 그 하드웨어를 제어하는 제어 소프트웨어 해킹에 해당된다. 하드웨어를 제어하는 제어 소프트웨어는 일반적으로 펌웨어(Firmware)로 불리기도 한다. 이 펌웨어는 하드웨어 위에서 어떻게 동작하는지에 따라 내부적으로 세분화되어 있다. 일반적인 디바이스 해킹은 이 펌웨어를 해킹하는 것을 의미한다.

펌웨어는 그 종류가 상당히 많다. 디바이스의 제어를 담당하는 디바이스 드라이버도 펌웨어에 속하고 디바이스에 OS를 올려주는 부트로더(Bootloader)도 펌웨어에 속한다. 그리고 부트로더를 통해 올라가는 디바이스용 OS도 펌웨어라고 하고, 해당 디바이스에서 구동되는 응용 소프트웨어도 펌웨어라고 한다.

웹이나 PC용, 스마트폰이나 태블릿PC용 애플리케이션이 아닌 디바이스 위에서 직접 구동되는 애플리케이션은 모두 다 펌웨어로 봐도 아주 틀린 말은 아니다. 일반적으로 이런 펌웨어에는 소형OS가 함께 내장돼 있어 그 OS 위에서 애플리케이션이 수행되도록 되어 있다.

윈도우, 리눅스, iOS, 안드로이드 등과 같은 OS가 아닌 RT OS라 불리는 형식의 소형 OS들도 꽤 많이 존재한다. 임베디드 리눅스 계열들이 이런 부류에 속한다고 할 수 있다. 일반적으로 디바이스 해킹은 주로 이런 펌웨어 중에서OS 부분을 해킹해 애플리케이션의 제어권을 해커에게 넘기는 것이다.

디바이스의 보안 취약성

모바일 단말기나 IoT 단말기를 해킹하는 방법은 일반 데스크탑이나 서버의 해킹과 그 접근 방식은 다르지만, 관리자 계정을 탈취하는 행위는 유사하며, 디바이스 해킹으로 표현한다.

최근 스마트폰이나 태블릿 PC의 경우 보안 설정이 잘 돼있다. 아이폰의 경우 기본적으로 샌드박스 위에서 동작하고 있으며 안드로이드의 경우에도 다양한 보안방식을 이용해 관리자 계정을 보호하고 있다. 그럼에도 아이폰의 경우 탈옥, 안드로이드 스마트폰의 경우 루팅과 같은 방식으로 디바이스 해킹이 가능하다.

두 방식 모두 관리자 계정에 임의적으로 들어갈 수 있어, 허가 받지 않은 애플리케이션도 설치해서 사용할 수 있으며 데이터의 입출력을 제어해 사용자가 원하는 데이터들을 맘대로 조작할 수 있다. 문제는 이 작업들이 해커들을 위해서 사용되면 그것은 곧 사용자의 피해로 다가 온다는 것이다.

IoT 단말기들의 보안은 더 심각하다. 요즘 많이 사용하는 스마트워치, 스마트밴드를 보면 가장 많이 사용하는 것이 임베디드 리눅스이다. 일반 리눅스 커널을 하드웨어에 맞게 변형해 만든 임베디드 리눅스 커널을 이용한다. 리눅스 커널은 오픈 소스로, 손쉽게 소스를 커스터마이징 할 수 있기 때문에 많이 사용되고 있다.

다만, 스마트폰이나 태블릿 PC와 달리 IoT 단말기들은 기본적인 기능을 제공하기 위해 최소한의 성능만을 하드웨어로 제공하곤 한다. 따라서 보안 부분이 극도로 취약할 수 밖에 없다.

이들은 NFC 통신과 블루투스 통신을 주로 많이 사용한다. 종종 WiFi나 4G LTE 통신을 사용하기도 하지만 디바이스의 크기와 배터리, 무게 등 주로 IoT는 웨어러블 단말기로 많이 사용하기 때문에 디자인 등을 고려해 소형화할 수밖에 없고 하드웨어 성능은 상대적으로 떨어질 수밖에 없는 한계가 있다. 그렇기 때문에 기본적인 기능 제공에만 집중하고 보안에는 아무래도 소홀할 수밖에 없다.

IoT 단말기와 통신을 하는 스마트폰이나 PC 등과의 통신과정에서 다양한 취약점을 이용해 해킹을 시도한다. 이런 IoT 단말기 해킹으로 인해 피해가 최근에 조금씩 생겨나고 있는 것이 현실이기도 하다. 냉장고가 해킹 당하거나 자동응답기가 해킹 당해 엉뚱한 동작을 했다는 뉴스는 인터넷을 검색하면 손쉽게 찾을 수 있다. 또, 스마트 전구 등을 비롯한 스마트홈이 현실화되기 시작하면 피해가 더 커질 것으로 예상되기도 한다.

▲ SNS 타임즈 이미지 제공/pixabay  © SNS 타임즈

고속도로를 달리던 자율주행차가 갑자기 중앙선을 넘어 역주행하기 시작한다. 당뇨 환자의 몸에 부착된 스마트 의료기기가 치사량이 넘는 인슐린을 주입한다. 휴가철 스마트홈 시스템이 설치된 빈집의 정문이 저절로 열린다. 오븐이 스스로 작동하더니 과열로 폭발한다. 상상 속 미래가 아니다. 화이트 해커의 모의실험이나 실제 해킹범죄를 통해 이미 증명된 사례다.

테슬러에서 나온 모델S는 내부 차량용 펌웨어를 업데이트해 줌으로 최고시속을250Km/h로 올릴 수 있었다. 엔진을 튜닝하지 않고 펌웨어를 업그레이드함으로 속도 개선이 일어난다. 자동차라는 하드웨어를 제어하는 펌웨어를 통해 모든 것이 동작한다.

테슬러에서 생산된 차는 일반 자동차와 달리 제어권 자체가 펌웨어에 있기 때문에 이 펌웨어가 해킹을 당한다면 엄청난 상황이 벌어질 수 있다. 그 피해가 어떨지는 예상할 수 있을 듯 하다. 디바이스 해킹은 IoT 단말기와 함께 스마트카에서도 충분히 일어날수 있다.

IoT해킹 사례

미국 동부 지역에서 2016년 10월 21일 발생한 대규모 DDoS 공격에 IoT 연결기기들이 해킹 숙주로 사용됐을 가능성이 제기되면서 IoT 보안 위협에 대한 경고의 목소리가 커지고 있다.

미국 동부에서 나타난 인터넷 접속 장애가 서부 지역으로 확산되면서 아마존, 넷플릭스, 트위터, 에어비앤비를 비롯한 주요 웹사이트 등 1200개 이상의 웹 도메인이 2~3시간 동안 서비스 접속이 끊기면서 결과적으로 미국 인터넷의 절반이 멈췄다.

IoT망에 연결된 기기들 중 상대적으로 보안이 취약한 디지털카메라, 라우터, DVD 등 IoT망에 묶인 전자기기를 해킹해 트로이 목마 악성코드(Mirai 악성코드)를 심고, 이 기기들을 디도스 공격 도구로 활용했다는 분석이다. 악성코드가 심어진 전자기기들이 연결된 IoT망이 좀비 네트워크가 될 수 있다.

미라이 악성코드는 인터넷과 연결된 기기들의 취약점을 이용해 사물인터넷 봇넷을 만들어 디도스 공격을 진행한다. 미라이는 IoT 기기를 감염시켜 봇넷을 형성하는 악성코드다.

IoT 기기 대부분이 기본(Default) 비밀번호를 변경하지 않고 있다는 것이 취약점으로 악용된다. 미라이 소스코드는 불법정보가 거래되는 심층웹인 ‘다크웹’을 통해 공개된 바 있다. 향후 더 많은 서브 봇넷이 생겨날 것이란 우려가 제기되고 있다.

미라이의 소스 코드가 공개되면서 더 많은 사물 인터넷 봇넷이 생겨날 가능성이 켜졌다. 실제로 2015년 리눅스 시스템용 DDoS 봇인 리저드스트레서(LizardStresser)가 공개됐는데, 2016년 6월 기준으로 이를 기반으로 한 악성 코드를 사용한 봇넷이 100개를 넘는 것으로 파악됐다.

IoT 기기는 아직까지 보안 수준이 낮아 쉽게 악성코드에 감염 당할 수 있다. IoT 기기는 주로 DDoS 공격도구로 활용되고 있다.

여기서 한 가지 주목할 것은 일반 PC의 감염과는 달리 사물 인터넷이나 임베디드 디바이스의 감염은 일시적이라는 점이다. 이들 디바이스에는 비휘발성 스토리지가 없기 때문에 재시동이 이루어지면 감염 자체도 사라진다. 봇넷의 규모를 유지하기 위해서는 매일 새로 디바이스를 찾아 감염시켜야 하는 것이다.

2015년 화이트해커들의 컨퍼런스인 BlackHat에서 한 연구원이 ZigBee 보안 결함을 발표했다. ZigBee는 250Kbps 이하의 저속 국제 표준인 IEEE 802.15.4 물리계층 기반의 무선 네트워킹 기술로 저전력, 저비용, 저속이 특징이다. 반경 30ｍ 내에서 20∼250Kbps의 속도로 데이터를 전송하며 하나의 무선 네트워크에 최대 255대의 기기를 연결할 수 있다. 작은 규모의 홈네트워크 등 유비쿼터스 컴퓨팅을 위한 핵심 기술로 각광받고 있다. 무선센서망 구축을 통해 홈오토메이션, 산업용기기 자동화, 물류 및 환경 모니터링 등에도 활용될 수 있다.

당시 해킹 대상이 된 IoT 디바이스로는 도어락, Smart 기기, 전구 등이 었다. ZigBee라는 근거리 무선 프로토콜을 재접속시에 암호화키 교환을 평문(Plaintext)으로 하는 경우 짧은 시간이지만 키가 노출됐다. 전파 방해 공격(Jamming)을 하게 되면 사용자가 다시 접속을 위해 페어링을 시도하게 돼 평문으로 암호키 교환 과정이 반복되므로 원할 때마다 공격을 시도할 수 있으며, 침입을 탐지했을 때 울려야 할 알람이 전파 방해 도구(Jammer)로 인해 동작하지 않게 될 가능성도 있다.

다른 사례를 살펴보면, 가정에서 사용되는 홈 CCTV가 해킹돼 해커가 원격에서 이용자의 사생활을 감시할 수도 있다. 인증 과정 없이 서버 접근을 통해 펌웨어(Firmware)를 다운로드하고, 스크립트 변경 및 패키징 방법으로 감염된 공유기를 통해 가정내 홈 CCTV를 업데이트하면 원격에서 디바이스를 제어할 수 있다.

이미지 출처: 인터넷.

디바이스 해킹의 대응 방법

디바이스 해킹을 방지하려면 여러 방법들이 있을 수 있겠지만 일단 고려해볼 수 있는 방법은 3가지 정도이다.

첫째는 데이터 송수신의 보안, 즉 데이터 암호화이다. 해커에 의한 사이버 공격으로부터 정보를 보호하기 위한 방법 중 하나가 정보 자체를 암호화해 정보가 탈취되더라도 해커가 정보 내용을 식별하지 못하게 하는 것이다.

현대 암호학은 컴퓨터 계산 능력이 발전함으로써 암호화 알고리즘도 이에 맞추어 발전해 나가고 있다. 최근 정보 보안 사고가 빈발하고 개인정보 보호를 강화하는 법이 제정됨에 따라 개인정보를 데이터베이스에 저장하는 경우 암호화를 의무화하는 등 점차 암호의 적용 범위가 확대되고 있다.

IoT 단말기나 스마트카 등 대부분의 임베디드 기기들은 통신을 통해 데이터를 가져온다. 해킹을 당하는 방법도 대부분 이 통신을 통해서 이뤄지곤 한다. 그렇기 때문에 통신과정에서의 취약점을 개선하려면 통신과정에서의 보안은 필수적이다.

가장 손쉽게 할 수 있으면서 확실한 방법은 역시 암호화다. 하드웨어의 성능 제약으로 구현이 어렵다고 할 수도 있겠지만 이제는 이런 암호화 통신은 필수라고 할 수 있다.

둘째는 펌웨어에 대한 보안, 즉, 시큐어 코딩(Secure Coding)이다. 시큐어 코딩이란 개발과정에서 개발자의 지식부족이나 실수 또는 각 프로그래밍 언어의 고유한 약점 등 다양한 원인으로 발생할 수 있는 취약점을 최소화하기 위해 설계 단계부터 보안을 고려해 코드를 작성하는 제작방식을 의미한다.

애플리케이션 개발에 있어 빠른 구축기간도 고려해야 하지만 속도보다는 안전하고 체계적으로 개발하는 것이 더욱 중요하다. 애플리케이션 등 소프트웨어 개발 단계에서 시큐어 코딩을 보안 관점에서 수비라고 한다면, 악성 코드는 공격하는 소스가 된다.

동작되는 애플리케이션 자체에 버그가 잔뜩 있으면 곤란하다. 데이터 보안이 아무리 잘돼 있어도 인터페이스 부분, 즉 받아들이는 쪽에서 대문이 활짝 열려있다면 당연히 문제가 되지 않겠는가? 사용하는 프로그램 언어에 대한 취약성을 제대로 파악하고 보안성을 강화한 프로그래밍이 필수다. 이는 디바이스 해킹과 함께 일반 프로그램에서도 동일하게 적용되는 부분이기도 하다.

끝으로는 지속적인 업데이트다. 이는 앞서 언급한 데이터 암호화나 시큐어 코딩과 관련되는 내용이다. 애플리케이션을 만들 때 사용하는 프로그래밍 툴이나 언어는 기본적으로 많은 버그들을 포함할 수 밖에 없다. 그러므로 이들 툴에 대한 지속적인 버그 패치를 진행하면서 펌웨어를 업그레이드 해야 한다. 또한 암호화 알고리즘도 지속적으로 업그레이드를 해야 한다. 암호화 알고리즘은 뚫리기 마련이다. 지금 세계에서 가장 많이 사용하는 알고리즘인 AES의 암호키 크기가 왜 계속 늘어나고 있는지에 대해서 생각해보면 이유를 알 수 있다. 지속적인 업그레이드를 통해 해킹에 대한 위협을 지속적으로 방어해야만 디바이스 해킹을 막을 수 있다.

4차 산업혁명시대의 정보 보안

전세계적으로 4차 산업 혁명을 맞이해 기대에 들떠있다. 4차 산업혁명시대는 인터넷에 연결된 수많은 사물인터넷(I) 기기들로부터 수집된 데이터들이 클라우드(C)에 모인 후 빅데이터(B) 분석을 통해 의미 있는 정보로 만들어진다.

과거에는 알 수 없었던 새로운 정보를 언제 어디서나 모바일(M)로 공유하면서 새로운 가치를 창출한다. 이 모든 과정은 안전한 보안(S)이 유지되는 상태에서 이뤄져야 한다. 그러나 정보보안 관점에서 4차 산업혁명이 장밋빛 전망으로만 가득 차 있는 것은 아니다. 개인 정보 보호와 해킹과 같은 문제가 불거질 수 있다.

지금은 PC와 스마트폰 해킹만 걱정하면 되지만, 사물인터넷 시대에는 TV, 자동차, 쓰레기통 등 모든 사물이 해킹될 수 있기 때문이다. 실제 사물과 직접 연결해 서비스를 제공하기 때문에, 사이버 공간의 위험이 현실 세계로 확산될 위험이 더 커지게 된다.

인터넷이 연결된 커넥티드카를 해킹해 이상한 목적지로 데려가는 일이 발생할 수도 있다. 해커가 인터넷이 연결된 스마트 냉장고를 해킹해 냉장고 문을 꽉 닫은 채 열어주지 않을 수도 있고, 인터넷이 연결된 가정의 온도 조절기(예를 들어 Nest)를 최대치로 높이고 돈을 요구할 수도 있다. 이런 모든 일이 이론적으로 가능한 일이다. 따라서 정부, 산업계 등 모든 분야에서의 정보 관리가 더 철저해져야 한다.

특히 남북한 분단 상황으로 인해 국가 안보가 국가 최우선 과제가 된 상황에서 정보보안의 중요성은 훨씬 더 강조되어야 한다. 사이버 전력은 화생방(化生放) 무기와 같이 약소국이 강대국을 상대할 수 있는 비대칭 전력(Asymmetric Military Capability)이므로 북한이 정보보안 기술인력 양성에 전력을 기울이고 있다.

북한의 사이버 전략사령부 인력이 1만 명에 달하는 걸로 알려져 있는 데 반해, 우리 군의 사이버 전력은 600명에 불과하다. 주요 해킹 사건이 발생할 때마다 보안 관련 책임자들을 처벌하는 후속 대책에 힘쓸 게 아니라 사전에 문제를 예방하기 위해 보안 관련 투자를 늘려야 한다.

글로벌 사이버 전쟁에서 승리하기 위해서는 범정부 차원의 보안 거버넌스(Security Governance) 확립이 중요하고, 개인과 기업들은 일상에서 사이버 보안에 각별한 주의와 노력을 기울여야 한다. 보안 거버넌스는 회사나 단체, 공공기관, 국가 기관 등 조직이 자신에게 적합한 보안 정책을 수립하고 수립된 보안 정책에 따라 보안 관리 조직을 구성해 일련의 보안 활동을 계획적, 체계적, 일원적으로 수행하는 것을 가리킨다.

최근 대형 정보유출사고 발생, 국내외적으로 사이버 전쟁 전개 등에 따라 정보 보호법률이 지속적으로 강화되고 있다. 정보 보안 관련법은 기업이나 국가 공공기관 등이 최소한 지켜야 할 기준이 된다. 이런 기준을 지키지 않아 보안 사고가 발생하면 형사상, 민사상 책임을 지게 되는 현실이 온 것이다.

- Copyright, SNS 타임즈 www.snstimes.kr