IoT 트래픽 98%가 암호화되지 않은 이유 — 즉각적인 행동 촉구

팔로알토 네트웍스(Palo Alto Networks)의 2020년 유닛 42 위협 보고서에 따르면, IoT 트래픽의 무려 98%가 암호화 없이 전송되고 있습니다. 디지서트(DigiCert)의 IoT 보안 부문 부사장 마이크 넬슨은 이 수치에 충격을 받았다고 말했습니다.

지난해 Z-스케일러(Z-Scaler) 보고서 역시 이와 유사한 추세를 지적하며, IoT 트래픽의 91%가 암호화되지 않았다고 밝혔습니다.

암호화되지 않은 트래픽은 공격자가 중간자 공격(MiTM)을 수행해 디바이스와 네트워크 간의 데이터를 가로채거나 변조할 수 있음을 의미합니다.

제조사들은 종종 기기를 서둘러 출시하며 설계 단계에서 기본적인 보안을 간과합니다. 기업들은 이러한 취약한 기기를 otherwise 안전한 네트워크에 배포합니다. 공격자는 쇼단(Shodan) 같은 도구를 사용해 노출된 엔드포인트를 발견하고 발판을 마련할 수 있습니다.

IoT는 급속히 확장 중입니다. 맥킨지(McKinsey)는 2023년까지 430억 개의 연결된 기기가 존재할 것으로 전망합니다. 현재 98% 미암호화 추세가 지속된다면, 사이버 범죄자들은 악용할 수 있는 방대한 데이터 뷔페를 갖게 될 것입니다.

사람들은 흔히 인형이나 초인종 같은 기발한 해킹을 상상하지만, 진짜 위험은 대규모 기업 배포에 있습니다. 단 하나의 노출된 기기가 민감한 네트워크로 들어가는 관문이 될 수 있습니다.

2017년, 라스베이거스의 한 카지노가 어항 기반 해킹의 피해를 입었습니다. 어항에 연결된 IoT 센서가 핀란드의 원격 서버로 데이터를 전송했는데, 조사 결과 해커들이 이 어항을 통해 카지노의 하이롤러 데이터베이스 10GB를 유출한 것으로 밝혀졌습니다.

이 사건은 세 가지 중요한 문제를 드러냈습니다: (1) 카지노가 저장한 데이터가 암호화되지 않아 공격자가 쉽게 탈취할 수 있었음; (2) 부적절한 접근 통제로 공격자가 IoT 기기에서 고도로 민감한 데이터로 이동할 수 있었음; (3) 어항 센서가 카지노의 광범위한 네트워크에 통합되어 중요 정보로의 직접적 경로를 제공했음.

이러한 침해는 금전적 손실과 고객 데이터 노출에서 나아가, 전력망 마비, 인터넷 블랙아웃, 전국적 의료 시스템 셧다운 등 중요 인프라 공격으로 이어질 수 있습니다.

100% 암호화 달성하기

정지 상태이든 전송 중이든 모든 기밀 데이터는 암호화되어야 합니다. 단 하나의 암호화되지 않은 데이터 스트림도 공격자가 악용할 수 있는 취약점입니다.

허브, 게이트웨이, 클라우드를 오가는 이동 중인 데이터를 암호화하는 것은 복잡하지만, 수많은 엔드포인트가 데이터를 교환하는 기업 IoT 네트워크를 보호하는 데 필수적입니다.

공개 키 기반 구조(PKI)와 디지털 인증서는 확장 가능한 솔루션을 제공하며, 대규모 IoT 배포에서 상호 인증과 엔드투엔드 암호화를 가능하게 합니다. 선도 기업들은 네트워크 보안을 위해 PKI를 도입하고 있습니다.

진전이 있긴 하지만, 업계는 속도를 내야 합니다. 제조사는 암호화, 인증, 무결성을 제품 설계 초기부터 내장해야 합니다. 점진적인 수정으로는 부족합니다.

기업 규모의 암호화는 IoT 보안의 미래입니다. 선도 제조사들이 PKI를 구현함에 따라, 나머지 업계도 뒤따라야 하며 신속히 그렇게 해야 합니다.

저자: 마이크 넬슨, 디지서트 IoT 보안 부문 부사장.

저자 소개

마이크 넬슨은 디지털 보안 제공업체인 디지서트의 IoT 보안 부문 부사장입니다. 이 역할에서 그는 의료, 운송, 산업 운영, 스마트 그리드 및 스마트 시티 구현 등 중요 인프라 산업에서 고도로 민감한 네트워크와 IoT 기기를 보호하기 위한 회사의 전략적 시장 개발을 감독합니다.

마이크는 조직들과 자주 자문하고, 미디어 보도에 기여하며, 산업 표준 기구에 참여하고, 업계 컨퍼런스에서 기술이 중요 시스템과 이를 의존하는 사람들을 위한 사이버 보안을 개선하는 데 어떻게 사용될 수 있는지 연설합니다.

마이크는 미국 보건복지부, GE 헬스케어, 리빗 파트너스(Leavitt Partners) 등에서 헬스케어 IT 경력을 쌓았습니다. 제1형 당뇨병 환자로서 본인의 치료에 연결 기술을 사용한 개인적 경험에서 업계에 대한 열정이 비롯되었습니다.