소비자 IoT 보안을 위한 글로벌 표준이 필수적인 이유

사물인터넷(IoT)이 확장됨에 따라 우리 집의 일상 물건이 점점 더 웹에 연결되어 사이버 공격의 새로운 진입점과 잠재적 프라이버시 침해를 만듭니다.

ETSI 사이버 보안 기술위원회(TC CYBER) 의장 알렉스 리드비터(Alex Leadbeater)는 최근 몇 년간 소비자 IoT 사고가 증가하고 있다고 지적합니다. 예를 들어 보안 연구자들은 스마트홈 허브 지파마이크로(Zipamicro)가 모든 장치에서 동일한 개인키를 재사용하고 하드코딩된 비밀번호를 가지고 있어, 안전하다고 생각된 기기의 잠금을 해제할 수 있음을 발견했습니다.

위험은 홈 허브를 넘어섭니다. 연결된 장난감에는 원격으로 접근될 수 있는 카메라와 마이크가 있을 수 있으며, 많은 장난감이 알려진 취약점인 블루투스에 의존합니다. 아마존 에코(Amazon Echo) 같은 스마트 스피커도 사적인 대화를 도청당할 위험에 노출시킵니다.

벤더는 일반적으로 새 기기를 신속히 패치하지만, 지연은 기존 장치를 노출시키고 리콜 관행은 일관되지 않습니다. 정부가 입법으로 개입하고 있습니다: 영국은 제품 라벨링과 최소 보안 표준을 의무화할 수 있는 새 법률을 자문 중이며, 캘리포니아는 이미 일반적인 기본 비밀번호를 금지했습니다. EU의 GDPR 같은 데이터 보호 규정도 저장된 개인 정보에 적용됩니다.

제조업체에게 빠르게 움직이는 시장에서 서로 다른 국제 요구사항을 조화시키는 것은 도전적입니다. 통합된 결과 중심 프레임워크는 규정 준수를 간소화하고 혁신을 촉진할 것입니다.

ETSI TS 103 645: 소비자 IoT 보안을 위한 글로벌 벤치마크

ETSI는 소비자 IoT 보안을 위한 최초의 글로벌 표준인 TS 103 645를 발표했습니다. 정확한 방법을 규정하는 대신, 이 표준은 보안 결과를 정의하여 기업이 자사 제품에 가장 효과적인 솔루션을 선택할 유연성을 부여합니다.

이 표준은 연결된 장난감, 착용형 피트니스 트래커, 스마트 어시스턴트, TV, 도어락, 홈 오토메이션 시스템 등 다양한 기기를 다루며 보호를 위한 공통 기준선을 설정합니다.

핵심 기기 요구사항

• 공장 설정으로 재설정할 수 없는 고유한 비기본 비밀번호.
• 기기와 관련 클라우드 서비스 모두에서 모든 민감 데이터의 안전한 저장.
• 쉽게 추출될 수 있는 하드코딩된 자격증명 없음.
• 요청 시 데이터 삭제를 위한 명확하고 사용자 친화적 지침.
• 설치 및 일상 사용을 위한 포괄적 문서화.
• 전송 중 모든 데이터의 엔드투엔드 암호화, 암호화 공격에 대한 보호장치 포함.

추가 엔지니어링 관행에는 사용하지 않는 포트와 소프트웨어 닫기, 범위 외 값 악용 방지를 위한 모든 입력 검증, 하드웨어 기반 보안 부팅 구현, 전원 또는 네트워크 중단 시 우아한 처리 보장이 포함됩니다.

벤더 책임

제조업체는 취약점을 사전에 식별하고 수정해야 하며, 기기 펌웨어 및 소프트웨어에 대한 안전하고 무선(OTA) 업데이트를 용이하게 해야 합니다.

소비자 신뢰 구축

ETSI TS 103 645를 준수함으로써 벤더는 전문성을 입증하고, 고객 프라이버시를 보호하며, 비용이 많이 드는 침해와 평판 손상 위험을 완화할 수 있습니다. 이 표준은 소비자에게 연결된 기기가 엄격한 보안 및 프라이버시 기준을 충족함을 안심시킵니다.

여기서 ETSI 표준을 읽을 수 있습니다

저자는 알렉스 리드비터(Alex Leadbeater), ETSI 사이버 보안 기술위원회(TC CYBER) 의장입니다.