보안은 IoT의 진정한 잠재력을 강화합니다

불과 몇 년 전만 해도 IoT(사물 인터넷) 제조업체는 주로 소프트웨어가 아닌 하드웨어에 관심이 있었습니다. Trustonic CISO인 리처드 헤이튼이 오늘 말합니다. , IoT 어플라이언스는 소비자 관련 애플리케이션 측면에서 소프트웨어가 두드러지고 성장하면서 크게 변화했습니다.

오늘날 "IoT"라는 용어는 주로 소비자 중심의 애플리케이션에 사용됩니다. 여기에는 다른 애플리케이션 중에서도 커넥티드 차량, 웨어러블 기술 및 커넥티드 헬스가 포함됩니다. Statista에 따르면 , 예측 수치에 따르면 최종 사용자 솔루션을 위한 IoT 시장은 2025년까지 약 1조 6000억 달러(1조 3100억 유로)로 성장할 것입니다.

그러나 최종 사용자 솔루션이 사물 인터넷의 유일한 시장은 아닙니다. IoT 장치의 조직 및 산업 응용 프로그램도 특히 제조 및 의료 부문에서 증가하고 있습니다.

보안 및 IoT

IoT 응용 프로그램의 범위가 확장됨에 따라 하드웨어 및 소프트웨어 플랫폼을 모두 재사용해야 할 필요성이 증가하고 있습니다. 소프트웨어 재사용은 긍정적인 측면이 있을 수 있지만 악용될 수 있는 취약점의 보안 영향을 증가시킵니다. 하나의 사용 사례를 위해 설계된 라이브러리 또는 하위 시스템은 원래 작성자가 예측하지 못한 응용 프로그램에서 재사용될 수 있습니다.

업계는 빠르게 학습하고 있으며 "보안 부팅"과 "보안 소프트웨어 업데이트"가 보편화되기 시작했습니다. 이러한 기술은 중요하지만 만병 통치약은 아닙니다. 특히 장치가 민감한 개인 데이터 또는 다른 곳에 저장된 데이터에 대한 액세스 자격 증명과 같이 공격자에게 중요한 정보를 저장하거나 활성화하는 경우에 적합합니다.

보안 부팅 및 보안 업데이트는 첫 번째 수준의 방어를 제공하지만 보안 관점에서는 이 방어가 때때로 위반될 것이라고 가정하는 것이 가장 좋습니다. 이것이 유일한 경우 그런 다음 일단 침해되면 장치의 모든 데이터가 손실되고 공격자는 장치를 남용하여 다른 곳을 공격할 수 있습니다.

신뢰할 수 있는 실행 환경 도입

보안에 대한 광범위한 접근 방식은 장치의 소프트웨어가 공격으로부터 격리 및 보호하고 성공적인 공격의 영향을 줄이기 위해 여러 영역 또는 환경을 제공하는 것입니다. 민감한 데이터를 저장하거나 조작하는 일부 환경은 보안을 주요 목표로 특별히 설계됩니다.

Arm 과 같은 최신 칩셋에서 제공하는 기술 TrustZone은 CPU 하드웨어 및 보안 부팅으로 보호되고 장치의 다른 부분이 손상되더라도 안전하게 유지되는 격리된 영역을 제공할 수 있습니다. 이 기술을 사용하여 구축된 신뢰할 수 있는 실행 환경은 암호화로 서명된 코드와 공격에 대해 독립 기관에서 인증한 API에 중점을 둔 "심층 방어" 접근 방식으로 설계되었습니다. 이러한 환경에서 실행되는 소프트웨어는 외부 클라우드 서버에 대한 합법성을 입증할 수도 있으므로 공격자가 광범위한 IoT 생태계를 전복시키는 것이 훨씬 더 어려워집니다.

개인의 경우 장치를 통한 사이버 공격은 파괴적일 수 있으며 개인 데이터를 도용하고 잠재적으로 ID 도용 또는 IoT 장치에 저장된 지불 자격 증명을 남용하거나 침해된 장치를 사용하여 홈 네트워크의 다른 장치를 공격하는 것과 같은 광범위한 범죄 활동을 일으킬 수 있습니다. .

장치 제조업체와 업계 전체에 있어 공격은 훨씬 더 큰 영향을 미칠 수 있습니다. 브랜드에 대한 소비자의 신뢰는 일단 상실되면 다시 회복하기가 매우 어려우며, 위험/이득의 균형이 합리적이지 않은 것처럼 보이면 소비자는 브랜드 또는 전체 제품 세그먼트를 빠르게 무시합니다. 이 진술은 의료 또는 상업용 IoT와 같이 규제 대상이 되는 시장의 경우 더욱 사실입니다. 이 시장에서는 제품이 부족한 것으로 밝혀지면 규제 기관이 신속하게 조치를 취합니다.

앞으로의 길

과거에는 보안이 구매 결정이 아니었습니다. 변화하고 있습니다. 전 세계의 규제 기관은 보안 부팅 및 기본 암호 제거와 같은 소비자 IoT에 대한 몇 가지 기본적인 위생을 요구하고 있습니다. 이것은 훌륭한 시작이지만 의심할 여지 없이 첫 번째 단계에 불과하며 위에서 논의한 바와 같이 보안 전략의 한 부분일 뿐입니다. 업계는 미래의 규제를 예상할 수 있지만 실제로 필요한 것은 보안을 체크박스로 보는 것에서 제품의 필수 기능인 보안으로 이동하는 것입니다.

저자는 Trustonic의 CISO인 Richard Hayton입니다.