“아파트 월패드 해킹, IoT PKI로 근본적 대책 마련해야”
상태바
“아파트 월패드 해킹, IoT PKI로 근본적 대책 마련해야”
  • 김선애 기자
  • 승인 2021.12.02 13:30
  • 댓글 0
이 기사를 공유합니다

디지서트 ‘2022년 사이버 보안 전망’, IoT 기기에 대한 PKI 사용 증가
DX 가속화로 디지털 서명 늘어…SW 공급망 보호 위한 코드사이닝 필수

[데이터넷] 아파트 월패드 해킹 사건이 전 사회에 큰 충격을 주면서, 이러한 피해를 막기 위한 다양한 보안 기술이 제안되고 있다. 그 중 신뢰와 신원확인 수준 강화를 위해 IoT 기기에 대한 PKI 사용이 증가할 것이라는 전망이 나왔다.

디지서트의 ‘2022년 사이버 보안 전망’ 보고서에서는 “신원 확인과 신뢰는 IoT의 원동력”이라고 강조하며, “아파트 월패드 해킹과 같은 IoT 보안 사고 예방을 막기 위해 PKI를 통해 강력하고 검증된 신원확인, 신뢰 기반을 쌓아야 한다”고 밝혔다.

보고서에서는 IoT와 같이 데이터가 중심이 되는 환경에서, 신뢰는 그 무엇보다 중요하다고 강조했다. 헬스케어 모니터, 산업용 제어 장비, 가정용 보안 시스템 및 차량 센서 등과 같은 디바이스로 각종 프로세스와 의사 결정사항을 지원하려면 실시간 데이터의 무결성이 필수적이다. 5G 기술 도입이 가속화되면서 IoT 및 5G 애플리케이션의 융합이 증가하고 있어 이를 겨냥한 더 많은 공격이 일어날 것으로 예상된다. 이에 IoT 기기 해킹을 미연에 방지하기 위한 신뢰·신원확인 절차가 반드시 필요하다.

하이브리드 업무 위해 디지털 서명 필요

이 보고에서는 디지털 트랜스포메이션 시장이 2021년부터 2028년까지 연평균 24%씩 성장할 것이라고 언급하며, 복잡한 기술이 기업의 가장 핵심적인 프로세스에 깊숙이 자리잡게 되면서 디지털 서명의 사용이 증가하고 보다 강력한 수준의 신뢰 및 신원 확인이 요구될 것이라고 설명했다.

금융 서비스, 부동산, 헬스케어 및 교육 등 다양한 산업에서 더 많은 워크플로우가 디지털 서명과 연계될 것이다. 또한 디지털 서명은 하이브리드 업무 환경에서 원격 근무 직원들을 참여시키거나 지원하는데 일조할 것이다.

전자 서명을 오랫동안 앞장서서 배포해온 유럽은 코로나19 대유행을 겪으며 얻은 교훈을 바탕으로 공인 신용 서비스 제공업체를 통해 서명자의 신원을 높은 수준으로 원격 검증할 수 있도록 유럽연합(EU)의 전자신원확인 및 신뢰서비스(eIDAS) 규정을 개선하고 있다. 또한 국가간 상호작용을 위해 정부에서 발행하는 eID의 사용이 크게 늘어나게 될 것이다.

사이버테러 촉진시키는 공급망 공격

솔라윈즈·카세야와 등 소프트웨어 공급망 공격이 내년에 더욱 극성을 부릴 것이며, 사이버 테러, 랜섬웨어, 사이버 스파이 등의 활동을 촉진시킬 것이라는 경고도 나온다. 공급망 공격 방어를 위해서는 공급망에 참여하는 모든 주체가 강력한 통제 체계를 따라야 하는데, 현실적으로 불가능하다. 하이브리드 업무환경과 클라우드로 공급망이 더욱 복잡해지면서 취약점이 증가하고 공격자들이 침투할 수 있는 지점도 늘어난다.

이러한 공급망 공격은 사이버테러, 랜섬웨어를 성공시키는 주요 공격 기법으로 활용된다. 사이버테러는 올해 발생한 콜로니얼 파이프라인, 올즈마 수자원 시스템 공격 등을 통해 위험성을 충분히 알 수 있었다. 디지서트는 민간 우주선 발사나 선거 등 고도의 기술 환경이 다음 공격 대상이 될 수 있다고 경고하면서 화려한 사이버 공격에 취약한 공공· 민간 조직은 보안에 대한 제로 트러스트 접근방식을 강화해야 한다고 역설했다.

랜섬웨어 위협도 높아지고 있는데, 특히 코로나19 기간 동안 병·의원, 헬스케어 기업에 공격이 집중됐다. 이외에도 ICT 기술기업, 자동차 제조사, NBA 행사까지 영향을 미쳤으며, 암호화폐 사용 증가로, 은행권 시스템을 벗어난 막대한 자금을 추적하기가 어려워졌으며, 랜섬웨어 공격은 더 심각해지고 있다고 내다봤다.

디지서트는 코드사이닝(Code Signing)과 같은 모범 사례를 활용해 개발 프로세스의 각 단계마다 보안을 확보할 수 있다고 조언했다. 코드사이닝을 이용하면 개발 주기의 각 단계마다 키 공유 및 코드 검사의 위험성을 인지하고 서명 후 변조를 방지하면 코드를 안전하게 보호하는데 도움이 된다. 이를 통해 개발 주기를 거쳐 운영 환경 및 고객에 전달하기 전에 개발을 제어하고 코드의 무결성을 확인할 수 있다. 또한 소프트웨어 명세서를 작성하면 소프트웨어 앱을 구성하는 모든 요소를 추적해 코드 소싱에 대한 가시성을 확보할 수 있다.

▲코드사이닝 작동 방법
▲코드사이닝 작동 방법

현재의 보안 상태를 위협하는 양자 컴퓨팅 기술

디지서트의 ‘2019 양자내성암호 조사 보고서(Post-Quantum Crypto Survey)’에 따르면, IT 의사결정권자의 71%가 양자 컴퓨팅이 2025년까지 기존의 암호화 알고리즘을 깰 수 있다고 답했다. 이는 보안 조직에서 양자 컴퓨팅 이후의 세상을 위한 보안을 다시 생각해야 한다는 의미이다.

양자내성암호(PQC)는 암호를 강화시켜 보안 침해의 가능성을 낮춰줄 수 있다. 하지만 많은 기업들이 자사가 배포한 암호에 대한 명확한 이해가 부족하기 때문에 새로운 취약점이 알려지면 여기에 노출된 모든 서버와 디바이스를 찾고 신속하게 업데이트하기 위한 사전 조치를 취하고자 할 것이다.

지속적으로 진화하는 포스트 코로나 위협

코로나19 상황이 진정되고 있지만, 코로나19 대유행과 관련된 보안 위협은 계속될 것으로 보인다. 공항, 소매업, 레스토랑 및 기타 공공장소에서 비대면 기술이 늘어나고 있지만 모두 사이버 공격에 취약하다. 운전면허증 및 헬스케어 기록 등의 디지털 ID 활용 계획이 점차 확대되고 있지만 해킹당할 가능성이 여전히 존재한다.

자동화는 사이버 보안 개선의 원동력

기업은 손익을 중요시하기 때문에 효율성이 높은 보안 기술을 요구하게 될 것이고, 보안 조직은 적은 자원으로 더 많은 업무를 수행해야 할 것이다. 이에 2022년에는 기업이 더 적은 비용으로 더 많은 업무를 지원할 수 있는 기술이 중요해질 것으로 예상되는 가운데, 새해의 보안 혁신이라는 관점에서 자동화가 중요한 역할을 할 것으로 보인다.

최근 디지서트가 발표한 ‘2021 PKI 자동화 현황 보고서(2021 State of PKI Automation Survey)’에 따르면, 91%의 기업에서 PKI 인증서 관리를 자동화하는 방안을 논의하고 있는 것으로 나타났다. 인공지능 및 머신러닝 기술은 앞으로도 자동화를 가속화하는데 핵심적인 역할을 하게 될 것이다.

클라우드 주권, 새로운 보안 사항 요구할 것

클라우드 서비스가 점점 세분화됨에 따라 사이버 보안 과제는 더욱 까다로워질 것이다. 기업들은 점점 더 현지 관할권과 규제를 준수해야 하는 클라우드 솔루션을 구축하고 있는데, 클라우드 주권 통제는 민감한 개인 정보를 보호하고 데이터가 소유자의 통제권을 벗어나지 않도록 하는데 주안점을 두고 있다.

한 예로, 최근에 IT 서비스 컨설팅 기업인 티시스템즈(T-Systems)와 구글 클라우드(Google Cloud)는 독일의 엔터프라이즈, 공공 부문 및 헬스케어 기관을 위한 독립된(sovereign) 클라우드 서비스를 구축해 제공하겠다고 발표했다. 이러한 독립 클라우드 전략이 많이 등장하고 있기 때문에, 기업은 지역별 보안 요구사항을 보다 확실히 이해할 필요가 있다.

이메일 마케팅을 탈바꿈시킬 VMC 신뢰 및 신원 확인

바쁜 마케팅 환경에서 마케팅 담당자들의 최우선 과제인 오래 기억되는 브랜드 인지도를 만드는데 도움이 되는 신기술이 등장하고 있다. 기업에서는 브랜드 자산을 구축하고 신뢰를 강화하기 위해 상표 표기 인증서(VMC)를 갈수록 더 도입할 것으로 본다.

메시지 식별을 위한 브랜드 표시(BIMI) 전략을 활용한 협업 프로젝트의 일환인 VMC는 이메일의 받은 편지함 바로 옆에 로고를 표시하는 것이다. 이메일 수신자는 메시지를 열기 전에 이메일의 진본임을 확인할 수 있는데, VMC는 도메인 기반 메시지 인증, 보고 및 적합성(DMARC) 보안에 의해 시행된다. DMARC가 보호하는 VMC를 사용하면, 마케팅 담당자들은 브랜딩을 강화하고 메시지 열람율을 10% 향상시킬 뿐만 아니라, 고객의 개인정보와 IT 보안에 신경 쓰고 있으며 리스크를 최소화할 수 있는 사전 예방 조치를 취하고 있음을 고객들에게 알릴 수 있다.

나정주 디지서트코리아 지사장은 "사이버 공격자들은 공급망 공격을 확대하고 양자 컴퓨팅 기술을 활용하는 등 계속 진화하면서 보다 복잡하고 더욱 은밀하게 진행되는 위협을 만들어낼 것이다. 위협에 선제적으로 대응하려면, 기업은 위협 환경을 잘 이해하고 자동화된 솔루션과 모범 사례를 활용해 첨단 보안 위협에 대처해야 한다”며, “아울러 조직 내 사이버보안 문화를 강화하는 것이 우선과제가 되야 한다. 미래 위협을 완화하기 위해 경영진의 의지와 전사 차원의 원활한 커뮤니케이션이 그 어느 때보다 절실히 필요하다”고 말했다.


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.