|
IoT는 일상생활을 더 편리하게 했지만, 그만큼 보안위협도 높였다. 관리되지 않은 수많은 단말, 암호화되지 않은 통신, 취약한 인증 시스템 등으로 인해 공격 장벽이 낮아지고 방어는 어려워졌다. 보안이 내재화된 IoT가 아니면 IoT가 재앙이 되는 것은 시간문제다. 강력하고도 편리한 접근제어 기술로 IoT를 보호하는 방법을 살펴본다.<편집자>
복잡한 비밀번호, 보안에 더 취약
IoT 환경에서 기기와 네트워크, 데이터를 탈취하는 것은 너무나 쉽다. 비밀번호조차 설정돼 있지 않은 기기, 암호화되지 않은 트래픽과 데이터, 신뢰할 수 없는 네트워크 등으로 인해 공격자가 침투하기 쉽다.
가장 기본적인 보안 정책은 비밀번호를 안전하게 설정하고 관리하는 것이다. 인가된 기기와 사람이 서비스에 접근할 때 인가받은 관리자/사용자, 안전한 비밀번호를 조합한 계정 정보를 이용해 인증을 받게 되는데, ID/PW 방식의 인증은 결코 안전하지 않다. 유추하기 쉬운 ID/PW 조합, 기존에 유출된 개인정보를 이용하는 부정 로그인 등으로 ID/PW 방식의 인증은 쉽게 뚫릴 수 있다.
길고 복잡한 문자·숫자 조합의 비밀번호를 자주 바꾸며, 모든 온라인 서비스에 각각 다르게 설정하는 현행 비밀번호 정책은 비현실적일 뿐 아니라 보안에도 취약하다. 비밀번호를 외우지 못해 로그인 할 때 마다 비밀번호 찾기를 통해 새롭게 설정하거나 어딘가에 적어둔다. 공격자는 사용자 단말에 악성코드를 심어 사용자 입력값을 탈취하거나 저장된 비밀번호를 훔치고, 기존에 유출된 계정정보에서 유추해 새로운 비밀번호를 알아내기도 한다. 사용은 불편하지만 공격이 어렵지는 않은 것이 현행 비밀번호 정책이다.
정상 권한을 탈취하는 공격을 막기 위해서는 계정과 접근권한을 통제하는 방법이 필요하다. IT 시스템에는 다양한 접근제어 기술이 적용되고 있지만, IoT 기기와 서비스에 대해서는 복잡한 접근통제를 적용할 수 없다.
취약한 비밀번호 해결 위해 FIDO 등장
IoT를 위한 접근통제의 한 방법으로 FIDO 기반 차세대 인증 기술이 제안된다. FIDO는 취약한 비밀번호 문제를 해결하기 위해 FIDO얼라이언스에서 제안된 사용자 인증 프레임워크로, 300개 이상 FIDO 인증 솔루션이 연합돼 있다.
FIDO는 인증 기법과 인증 정보를 주고받는 인증 프로토콜을 분리하는 것이 핵심이다. 인증 정보가 탈취된다 해도 인증 기법이 일치하지 않으면 인증에 실패한다. 그래서 생체인식 기술이 FIDO 인증 획득 러시를 이루고 있다. 생체정보는 바꿀 수 없기 때문에 한 번 유출되면 평생 피해를 입는다. FIDO는 생체정보를 안전하게 저장한 후 인증 해시값만 서버로 보내기 때문에 서버를 해킹해서는 생체정보를 가져갈 수 없다.
FIDO 기반 지문인식 기술의 예를 들어보면, 사용자의 지문정보는 TPM 등 안전한 저장소에 저장된다. 사용자가 자신의 지문을 스마트폰에서 인식시키면 스마트폰에서 인증이 이뤄진 후 서버로 인증값이 전송된다. 전송되는 해시값은 탈취해도 공격자가 사용할 수 없다. 스마트폰을 탈취한다 해도 사용자 본인의 지문을 인식시키지 않으면 TPM에 저장된 지문 정보를 열어볼 수 없다.
2014년 발표된 FIDO v1.0은 모바일을 중심으로, 비밀번호 대체용이나 2차 인증 수단으로 사용됐으며, 지난 8월 발표된 FIDO2는 PC, 웹까지 사용처를 확장해 IoT 전반의 인증으로 사용할 수 있도록 하고 있다.
FIDO2는 3가지 인증 타입이 있으며, 첫번째 기능적 인증은 FIDO 인증서버와 클라이언트, 인증장치간 상호 운용성을 시험하는 것이다. 두번째 보안인증은 인증 장치 및 방법에 대한 보안성을 시험해보는 것으로 레벨 1은 소프트웨어 인증장치, 레벨 2는 TEE·TPM 혹은 FIDO가 제안하는 운영환경에서의 보안을 확인한다. 레벨 3는 하드웨어 인증장치를 평가해 물리적 공격에 대해서도 방어할 수 있는지 확인한다.
마지막 생체인식 인증에서는 생체인식 요구사항을 시험한다. 타인 수락률(FAR), 본인거부율(FRR), 인식실패(FTA) 항목을 시험하고 생체정보 위변조 검증은 제품의 공격 성공 가능성 계산해 침투시험을 수행한다. 특히 이 생체인식 인증은 생체인식 기술 기업들에게 많은 혜택을 줄 수 있을 것으로 기대되는데, 생체인식 기술 기업이 개별적으로 관련 기관에 기술 평가를 의뢰하지 않고 FIDO 표준에 맞는 생체인식 기술을 인정받을 수 있기 때문이다.
| |
 |
|
|
FIDO, PW, IoT, 인증, 생체인식, 차세대 인증
|
무자각·무인지 인증에 생체인증 ‘최적’
현재 생체인식이 FIDO 생태계의 중심으로 자리 잡았는데 차세대 인증의 필수 요소인 무자각·무인지 인증을 위해 생체인식만큼 유용한 수단이 없기 때문이다. 무자각·무인지 인증은 사용자가 인증을 위해 복잡한 행위를 하지 않아도 인증이 되는 것을 말한다.
예를 들어 사용자가 스마트폰을 사용하는 행위를 분석해 본인을 인증한 후 그 사람만이 출입할 수 있는 보안 영역이나 보안 시스템에 자동으로 접근하는 것이 가능하다.
스마트폰에서 사용자가 들고 있는 각도, 걸을 때 흔들리는 패턴, 지문인식으로 스마트폰 잠금화면을 열 때 손가락을 대는 각도, PIN 번호 입력 습관 등을 분석해 본인이 사용하고 있다는 것을 인증한다. 스마트폰의 GPS, 와이파이, 비콘, NFC 등을 이용해 이 스마트폰이 보안영역에 들어가면 보안영역 출입 권한이 있는 사용자인지 확인하고 문을 연다. 보안영역에서 사용할 수 없는 카메라, 녹음기, 메신저 등의 기능이 자동으로 비활성화되며, 해당 공간에 대한 출입 내역이 기록된다.
사용자는 단지 스마트폰을 들고 들어가는 행위만을 했을 뿐이며 본인 확인과 통제, 접근제어 시스템이 자동으로 작동하고 기록돼 허가된 업무를 할 수 있도록 지원한다. 권한 내에서의 업무를 수행함에 있어 사용자는 출입카드를 태그하거나 비밀번호를 입력하는 행위를 하지 않아도 된다.
만일 이러한 통제 시스템을 구축한다면 스마트폰과 행위 기반 본인인증 기술, 물리적 출입통제 기술, 모바일 단말 관리(MDM) 기술, 통제구역 업무관리 시스템 등 여러 이종 시스템의 정보를 결합해 연동시키는 과정이 필요하며 API 연동, 시스템별로 상이한 로그 포맷의 통합, 통합관리 시스템 구축 등이 요구된다. 이 기술들이 FIDO 표준을 준수한다면 표준 플랫폼 상에서 인증 프로세스가 간편하게 결합될 수 있다.
홍동표 한국FIDO워킹그룹 부회장은 “생체인식은 무자각·무인지 인증을 가능하게 하는 가장 강력한 차세대 인증 기술이다. 그러나 개별 생체인식 기술과 인증 플랫폼을 결합해 인증 서비스를 개발하고 서비스에 적용하는 과정은 매우 어려운 일이다. FIDO는 새로운 인증 기술이 더 편리하고 안전하게 활용될 수 있도록 도와주는 차세대 인증 표준”이라고 소개했다.
그는 “FIDO는 4차산업혁명의 관문”이라고 강조하며 “FIDO는 새로운 인증 기술과 플랫폼이 채택할 수 있는 유일한 업계 유일의 인증 표준이며, 이용 편의성과 보안성을 보장하는 차세대 인증을 구현할 수 있도록 도와준다”고 말했다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
