원격 액세스 개방 시 발생하는 보안 취약성의 완화
[테크월드=선연수 기자]
4차 산업혁명이 도래한 이후 공장들은 원격 제조와 제어를 통해 더욱 자동화되고 있다. 이는 비즈니스 효율 측면에서 많은 이익을 제공하지만, 동시에 값비싼 자산들이 원치 않는 액세스 위험에 노출되기도 한다. 자본 가치가 높은 기계들뿐만 아니라, 해당 기간 동안 공장에서 생산된 제품으로부터 발생하는 기업의 수입을 감소시킬 수도 있다.
공장이 퍼블릭이나 프라이빗 클라우드에 연결될 시 보안 위험이 내재된 경우도 흔히 볼 수 있다. 예를 들어 스마트 공장이 외부 데이터 센터와 같은 네트워크에 노출되는 즉시 위험이 발생하는 식이다. 이를 극복하기 위해서는 스마트 커넥티드 공장의 탄력성을 유지하면서, 네트워크 전반에 걸쳐 지속적으로 보안을 확장해야 한다.
엔지니어의 지식 격차
우선 유선 혹은 무선 솔루션을 사용할 것인지, 또는 유무선 복합 솔루션을 채택할 것인지를 결정해야 한다. 여기에서 Wi-Fi, 블루투스, 이더넷(Ethernet)과 같은 표준 프로토콜이 적용된 연결 기술을 사용하도록 권고되며, 보안용 표준 정책을 따르게 되면 연결에 수반되는 위험이 줄어든다. 표준 정책을 따르는 것은 간혹 자사만의 특허 솔루션을 고집하는 업계 특유의 관행에 반하는 경우도 있다. 그러나 인프라는 수십년 간 지속될 수 있도록 구축돼야 한다. 다수의 네트워크가 일부 특허 프로토콜을 적용하고 있지만, 네트워크는 기업 내부용으로 한정돼야 하며 외부 연결에 적용돼서는 안된다.
다만, 문제점 중 하나는 최고 수준의 임베디드 엔지니어도 IT 보안 개념에 관해서는 그 지식이 제한적이라는 점이다. 이 엔지니어들은 IT 보안 전문가가 아니기에 지식의 한계로 인해 강력하고 안전한 사물인터넷(IoT) 인프라를 구축할 수는 없다. 공장에서 클라우드로 연결되는 즉시, 엔지니어는 아마존 웹 서비스(AWS), 구글, 마이크로소프트 애저(Microsoft Azure) 등의 세계를 급작스럽게 마주하게 되며, 새롭게 직면하게 된 광범위한 보안 위협을 다루기 위해서는 IT 전문가의 도움이 필요함을 곧바로 깨닫게 된다.
해커들의 주요 목표 중 하나는 단일 접근 지점을 활용해 대량의 시스템에 대한 원격 액세스를 확보하는 것이다. 예를 들어 원격 공격은 최근 디도스(DDoS) 공격과 같은 맹공격에서 볼 수 있듯 대규모 피해를 발생시킬 수 있다. IoT 네트워크의 가장 큰 취약점은 대체로 하드웨어, 종단 노드의 사용자로, 대체적으로 이를 담당하는 엔지니어가 문제 해결에 필요한 IT 지식이 부족하기 때문이다. 이런 상황은 점차 변하고 있다. 마이크로칩 테크놀로지(Microchip Technology, 이하 마이크로칩)는 엔지니어에게 엔드 투 엔드 보안 인프라 구성 교육을 제공해 정보 격차를 좁혀나가고 있다.
아마존 웹 서비스(AWS), 구글, 마이크로소프트 등 클라우드 관련 대기업은 전문성의 중요한 원천이다. 주요 원칙은 보안을 간과하지 말아야 하며, 보안을 IoT 네트워크 설계 이후의 부가물로 여기지 말아야 한다는 것이다. 그렇게 되면 이미 너무 늦기 때문이다. 보안은 모든 IoT 설계 초기부터 전략적으로 실행돼야 하는 부분으로, 하드웨어에서부터 적용돼야 하며 나중에 소프트웨어를 추가하는 식의 간단한 방법을 통해 보완될 수 있는 것이 아니다.
인증
보안 퍼즐의 가장 중요한 부분은 인증(Authentication)이다. 시스템 개발자는 네트워크에 연결되는 모든 노드들이 고유하며, 보호받으며, 신뢰할 수 있는 ID를 가진다는 기본 개념에 입각해 작업을 시작해야 한다. 네트워크 상의 누군가가 본인이라고 주장하는 바로 그 사람인지, 그 사람을 신뢰할 수 있는지에 대해 아는 것이 가장 중요하다. 이를 위해서는 기존의 TLS 1.2와 함께, 서버와 IoT 종단 노드 간 상호 인증이 이뤄져야 한다. 이는 양 당사자가 신뢰할 수 있는 인증 기관의 정보를 통해 성사된다.
그러나 상호 인증은 인증 기관에 의해 제공된 신뢰성이, 프로젝트의 시작점부터 제조단계를 거칠 때까지 보호되며, 스마트 공장에서 시스템이 먼저 구현돼야 한다. IoT 종단 노드의 진위 확인을 위해 사용되는 프라이빗 키는 안전 보호가 필수다. 현재 사용되는 방법은 소프트웨어 조작에 노출될 수 있는 플래시 메모리를 제거한 마이크로컨트롤러 내부에 프라이빗 키를 저장하는 것으로, 매우 흔하고 취약한 방식이다. 누구나 이 메모리 영역에 접근하여 볼 수 있고, 메모리 영역을 컨트롤한 후 프라이빗 키를 확보할 수 있어, 결국 잘못된 보안으로 개발자에게 옳지 않은 보안 의식을 심어준다. 바로 이 점이 주요 문제점이다.
보안 요소
안전한 키 보관 장소 제공
보안 솔루션을 위해서는 주요·기타 중요한 자격 증명들이 마이크로컨트롤러에서 제거돼야 할 뿐만 아니라 마이크로컨트롤러와 여타 모든 소프트웨어의 노출에서 격리돼야 한다. 이 지점이 바로 보안 요소(Secure Element)의 개념이 적용되는 곳이다. 보안 요소의 기본 개념은 키를 저장·보관할 수 있는 아무도 접근할 수 없는 안전한 장소를 제공하는 것이다. CryptoAuthLib 라이브러리 명령은 인증을 검증하기 위해, 마이크로컨트롤러에서 보안 요소로 적절한 시도/응답 전송을 지원한다. 제품 개발 프로세스뿐 아니라 제품 수명주기의 어떤 지점에서도 프라이빗 키는 노출되지 않으며, 보안 요소를 벗어나지도 않는다. 따라서 엔드 투 엔드 신뢰 사슬(Chain of trust)이 수립될 수 있고, 이때 보안 요소는 기업의 비밀을 보관하는 금고와 같은 독립형 CryptoAuthentication 집적회로(IC)다. 이 경우 CryptoAuthentication는 IoT 인증에 필요한 프라이빗 키를 보관한다.
키의 프로비저닝
두 번째로 중요한 개념은 프라이빗 키와 여타 다른 자격증명이 어떻게 고객으로부터 CryptoAuthentication 디바이스에 프로비저닝하는가에 관한 것이다. 이를 위해, 마이크로칩은 집적 회로가 제조되는 동안 직원을 포함해 그 누구에게도 노출되지 않도록 고객의 안전한 프로그래밍 실행을 위한 플랫폼을 제공한다. 그 다음 마이크로칩은 자사의 설비에서 보안 요소를 제작하고, 보안된 표준 기준의 인증된 설비를 떠나기 직전에 보안 요소에 권한을 설정해, 최종 사용자에게 전달한다.
고객이 아마존 웹 서비스 사물인터넷(AWS IoT) 계정을 열 때, 마이크로칩이 고객을 대신해 AWS ‘Use Your Own Certificate’ 기능을 사용하고, 생성한 고객 인증서를 불러온다. 그 다음, 고객은 보안 요소에 저장, 프로비저닝된 디바이스 레벨 인증서를 AWS IoT 사용자 계정에 대량으로 업로드하기 위해 적시 등록(JITR)이라 불리는 AWS IoT 기능을 사용한다. 이제 고객 레벨의 인증서는 디바이스 레벨의 인증서를 검증할 수 있고, 이로써 신뢰 사슬이 형성된다. 이는 보안을 고려한 엔터프라이즈 IoT의 확장성을 구현하며, 적시 등록(JITR) 프로세스를 이용해 수천 개의 인증서를 처리할 수 있다. 이 인증서들은 사용자의 개입 없이도 대량으로 처리할 수 있다. 관련 디바이스에서 클라우드 계정에 인증서를 수동으로 불러와 제 3자에게 노출시키는 대신, 보안 위협 없이 디바이스와 AWS IoT 간 초기 커뮤니케이션의 일환으로 새 디바이스 인증서를 자동으로 등록할 수 있다.
보안 프로비저닝 키트 활용
제로 터치(Zero Touch) 프로비저닝 키트는 사용자의 AWS IoT 계정 인증 프로세스를 구동하기 위해 사전에 구성되는 ATECC508AMAHAW Cryptoauthentication 디바이스가 탑재된다. 첫 번째 단계에서는 마이크로칩 공장에서 진행되는 프로비저닝 프로세스에 대해 배우고, 새로운 파이썬(Python) 스크립트를 이용해 신뢰 사슬에 대해 배운다.
키트는 제조 프로세스 내의 원칙이 어떻게 작동하는지 적당한 수준까지 보여주며, 측면 공격에 대한 보호조치를 포함해 물리적 조작에 대해서도 강력한 저항성을 가진다. 또한, 고품질 미연방정보처리표준(Federal Information Processing Standard)을 준수하는 난수생성기와 리소스에 제약을 받는 폭넓은 범위의 IoT 디바이스와 호환되는 저전력 암호화 가속기가 내장돼 있다. 이를 통해 다양한 생산 흐름을 비용 효율적으로 원활하게 수용한다.
파이썬 스크립트 교육 경험 외에도, 임베디드 엔지니어와 IT 전문가 간의 격차 해소를 위해 AWS 보다 신속한 계정 설정, 클라우드 환경의 손쉬운 이해를 위해 클라우드포메이션(CloudFormation) 스크립트를 제공한다. 사용자는 이를 활용해 AWS 환경 내에서 사용자 인터페이스(UI)를 단 몇 분 안에 정의할 수 있다.
글: 자비에 비그날렛(Xavier Bignalet) 마이크로칩 보안 제품 그룹 마케팅 매니저
자료제공: 마이크로칩
그래도 삭제하시겠습니까?