소프트웨어 위험:IoT에서 오픈 소스 보호

<노스크립트>

현재 전 세계적으로 70억 개의 IoT 기기가 사용 중입니다. CAST의 Lev Lesokhin은 이 숫자가 2025년까지 3배가 되어 전례 없는 215억 개의 기기에 도달할 것으로 예상합니다. . 사물 인터넷(IoT) 기기 시장이 폭발적으로 성장했습니다. 이제 IoT 구현 경쟁에서 돈을 벌고자 하는 IoT 기기 제조업체는 제품을 출시하기 위해 필사적입니다. 제품 판매를 위한 끊임없는 치열한 경쟁에서 모든 IoT 장치용 소프트웨어가 최고 수준으로 만들어지는 것은 아닙니다.

신제품과 기능을 빠르게 출시하기 위해 맞춤 코드를 작성할 시간이 거의 없습니다. 특히 사전 설계된 패키지와 프레임워크를 GitHub와 같은 오픈 소스 커뮤니티에서 무료로 다운로드할 수 있는 경우에는 더욱 그렇습니다. 및 아파치 . 그러나 삶의 모든 것과 마찬가지로 IoT 코드를 사용하면 입력한 것을 다시 얻을 수 있습니다. CAST의 2018 소프트웨어 인텔리전스 보고서에 따르면 많은 오픈소스 프로젝트가 보안 규칙을 준수하지 않는 것으로 나타났습니다.

무료 오픈 소스 코드에는 철저한 보안이 내장되어 있지 않습니다. 시장 출시 경쟁에서 많은 기업이 속도를 위해 보안을 희생하고 이러한 코드의 구조와 내부 작동을 고려하는 엄격한 보안 검사를 무시합니다. 70억 개에 달하는 각 IoT 기기는 해커 활동을 차단할 수 있을 만큼 강력한 보안 소프트웨어로 실행되어야 합니다.

오픈 소스는 누구나 작성할 수 있습니다. IoT 장치용으로 작성된 소프트웨어의 코드 대부분은 독립형 장치의 임베디드 소프트웨어 세계의 엔지니어도 작성했습니다. 이는 IoT 장치가 일부인 대규모 엔터프라이즈 전체 트랜잭션의 데이터를 처리하도록 구축된 소프트웨어와 극명하게 대조됩니다. 이러한 후자의 상황에서 데이터를 보호하려면 모든 개발자가 가지고 있지 않은 다른 종류의 전문 지식과 기술이 필요합니다.

개발 배경에 관계없이 누구나 오픈 소스 소프트웨어에 기여할 수 있다는 현실로 인해 보안 및 품질 표준이 유지되도록 하는 것이 훨씬 더 어렵습니다. 비효율적이거나 조잡하거나 심지어 악성 코드가 눈에 띄지 않게 침투할 수 있습니다.

많은 결함이 있지만 구매자는 알아차리지 못할 것입니다. 많은 사람들이 생산 효율성 향상과 같은 전략적 목적을 위한 수단인 비즈니스의 렌즈를 통해 IoT 장치를 봅니다. 아이러니하게도 IoT 장치는 소유자에게 등을 돌릴 만큼 정교하지만 공격으로부터 보호할 만큼 정교하지 않은 것으로 간주되는 경우가 많습니다.

세상의 눈은 코드에 있습니다

독점적인 사내 코드의 결함이 발생하지만 코드 작성을 계약한 개발자만이 이에 대해 알 수 있습니다. 소스 코드는 비공개이며 어떤 엿보는 눈도 액세스할 수 없습니다. 그러나 오픈 소스는 기업에서 쉽게 액세스할 수 있는 것처럼 다른 모든 사람도 마찬가지입니다. 코드가 IoT 장치가 의존하는 코드베이스에 통합되기 전에 많은 개발자와 해커가 코드를 살펴보았을 수 있습니다.

미국 소매 체인 Target은 공격자가 체인이 사용하는 기후 제어 시스템의 약점을 발견한 2013년부터 신용 카드 세부 정보 도용을 통해 2억 2천만 달러(1억 9천 4백만 유로)의 피해를 입었습니다.

공조 시스템 공급업체로부터 자격 증명을 도난당했으며 Target에 배포할 때 변경되지 않았으므로 설치된 모든 시스템이 완전히 취약해졌습니다.

자신을 망치기 전에 자신을 점검하십시오

취약점을 완전히 무효화할 수는 없지만 다음 세 가지 주요 단계를 통해 가능성을 줄일 수 있습니다.

필수적인 첫 번째 단계는 제조업체가 제공하는 IoT 소프트웨어의 내용을 이해하는 것입니다. 오픈 소스는 신중하게 사용하면 매우 유용할 수 있습니다. 그러나 제작자에서 최종 사용자에 이르기까지 관련된 모든 사람을 보호하기 위해 사용되는 코드의 출처를 루트까지 추적하고 알려진 취약점과 상호 참조해야 합니다.

실제적인 주의와 가능한 한 많은 시간을 들여야 합니다. 시스템이 비교적 쉽게 접근할 수 있었던 Target의 경우처럼 일단 제조되면 사실 이후에 발견된 문제가 수정될 가능성이 낮습니다. IoT 장치 생산자는 경쟁자보다 앞서서 전력 질주하기를 열망할 수 있지만 문제는 매우 오랫동안 주변에 있을 수 있다는 점을 인식해야 합니다.

장치의 코드가 더 이상 독립 실행형이 아니기 때문에 소프트웨어는 종단 간 분석이 필요합니다. 스캔이 완료되면 회사는 즉시 작업에 착수해야 합니다. 강조 표시된 모든 취약점을 해결하고 낮은 복원력으로 트랜잭션을 강화합니다. 코드의 기술적 부채를 최대한 없애는 것이 목표가 되어야 하며, 시간의 시험을 견디고 미래 소유자를 보호할 강력한 시스템을 만드는 것이 목표여야 합니다.

궁극적으로 Target의 기후 제어 시스템 공급업체 사무실은 결국 US Secret Service가 방문했으며 회사는 여전히 1,850만 달러(1,630만 유로)의 비용이 드는 진행 중인 조사의 일부임을 기억하십시오. 다른 누구에게도 발생해서는 안 되며 피할 수 있습니다.

이 블로그의 저자는 CAST의 전략 및 분석 EVP인 Lev Lesokhin입니다.