IoT 도입 정체: 과대광고가 빗나간 이유

가트너 하이프 사이클이 정확한 지표라면, 사물인터넷(IoT)은 현재 환멸의 골짜기에 진입하고 있다. 최근 연구에 따르면 파일럿 배포의 약 60%가 약속한 성과를 내지 못하는 것으로 나타났다. 개별 프로젝트가 좌초할 수는 있지만, 더 넓은 시장은 아직 기기 포화 상태에 이르지 못해 정점을 알리지 못하고 있으며, 오히려 새로운 도입 속도가 둔화되고 있다.

IoT 성장을 저해하는 요인들

IoT 성장을 약화시키는 여러 요인이 있다. 주요 문제 중 하나는 연결성이 필요하지 않은 기기에 억지로 연결 기능을 추가하는 추세다. 'IoT 어항'을 예로 들어보자. 이 어항은 먹이 주기, 온도, 수질을 모니터링한다. 펜 테스트 파트너스(Pen Test Partners)의 파트너 켄 먼로(Ken Munro)는 이 어항을 설치한 한 카지노가 핀란드에 위치한 이 기기를 통해 10GB의 데이터를 유출당했다고 지적한다. 이는 보안이 허술한 IoT 엔드포인트가 기업 네트워크로 침투하는 백도어가 되어 자격 증명 탈취와 데이터 유출을 가능하게 함을 보여준다.

수명 주기 문제

장수명 문제도 우려된다. 많은 조직이 펌웨어 업데이트 대신 기기를 교체하는 방식을 택해, 장기적 투자 수익률(ROI)에 의문을 제기한다. 기기가 계속 사용되더라도 제조사가 지속적인 지원과 보안 패치를 제공할지가 관건이다. 시간이 지나며 드러나는 취약점은 제조사에 리소스나 의지가 없거나, peor 지원을 완전히 중단할 경우 기기를 노출된 상태로 방치한다.

노출된 취약점

제조사들은 기존 설치 기반을 보호하는 데 어려움을 겪고 있다. 쇼단(Shodan)의 공개 데이터베이스에는 산업 제어 시스템(ICS)을 포함한 수천 대의 배포된 IoT 장치가 IP 주소, 운영 체제, 소프트웨어 버전 등과 함께 나열되어 있다. 여기에 FCC가 향후 출시될 기기의 회로도를 공개함에 따라, 공격자는 취약한 모델을 식별하고 기본 자격 증명을 악용할 수 있다. 한 사건에서는 기술자가 1년치 일일 로그인 자격 증명이 담긴 '슈퍼 패스워드' 목록을 공개적으로 게시해, 공급망 보안의 허술함과 기밀 데이터가 얼마나 쉽게 유출될 수 있는지 여실히 보여주었다.

이러한 위험에 직면해 일부 공급업체는 데이터 수익화로 눈을 돌리고 있다. 사용 데이터를 제3자에게 판매해 수익을 창출하지만, 이는 사용자 프라이버시를 더욱 침해한다. 예를 들어, 스마트 진공청소기의 평면도 데이터가 다크웹에서 판매되거나, 빌딩 관리 시스템(BMS) 데이터가 스마트 온도조절기를 겨냥한 랜섬웨어 공격에 악용될 수 있다.

앞으로의 길

일부는 최종 사용자가 더 많은 책임을 져야 한다고 주장하지만, 많은 사용자가 설치 후 기기를 재구성하지 못한다. 설령 변경하더라도 기본 PIN이나 비밀번호가 약한 경우가 많다. 4~6자리 숫자는 몇 시간 만에 크랙될 수 있다. 현재 신뢰 부족의 근본 원인은 단순히 열악한 보안 설계이며, 제조사가 나서야 한다.

보안 모범 사례에는 안전한 모바일 앱 개발, 견고한 세션 관리, 웹 서비스의 종단간 암호화, 무선 표준의 엄격한 구현, 미사용 인터페이스(시리얼/디버그 포트) 비활성화, 기기 내 난독화 및 안전한 키 저장소 활용, 펌웨어 암호화 및 디지털 서명 보장 등이 포함된다. 공급업체가 이러한 조치를 우선시하기 전까지 IoT 도입은 계속 좌초할 것이다. 특히 포트 80과 같은 보편적 인터페이스를 겨냥한 단 하나의 고위험 악성코드 사건이 발생해도 시장 신뢰는 영구적으로 손상될 수 있다. 업계 전반의 표준이나 규제 감독을 통한 신뢰 구축이 이제 필수적이다.

저자: 켄 먼로, 펜 테스트 파트너스 파트너