IoT (Internet of Things)가 최근 몇년간 실리콘 밸리의 화두가 되어옴에 따라, IoT의 뉴스와 IoT 해킹에 관련된 뉴스도 늘어나고 있다. 최근 VentureBeat는 FBI가 자동차 제조사와 운전자들에게 자동차 해킹위험에 관해 경고한 사실을 보도했고, IoT 기기가 트로이 목마 바이러스 (Trojan Horse)에 이용될 수도 있다고 밝혔다. 불과 몇일전에는, Ring 이라는 스마트 현관벨 회사가 이용자들의 집안 내부를 다른 유저들에게 노출한 사건도 있었다.
해커와 악성 소프트웨어에 익숙한 테크업계 종사자들은 이러한 현상은 새로운 플랫폼의 성장과 더불어 나오게 되는 성장통이라고 얘기한다. 하지만, 일반 이용자들의 입장에서는 디바이스나 개인정보를 넘어, 그들과 가족들의 물리적 안전까지 위협하는 요소이다. 지난 주 구글이 발표한 Home 등 IoT 기기의 종류 및 그에 관련된 보안 취약점이 늘어날 수록, IoT 산업 전체도 위험에 빠지게 되리라 예상된다.
수많은 IoT 해킹 공격이 왜 일어나는지, 그리고 테크업계 종사자들이 이러한 문제를 해결하기 위해서는 무엇을 해야할 지 알아보기 위해, 우리는 현재 일어나는 문제에 대해 자세히 이해할 필요가 있다.
실리콘 밸리 문화가 IoT의 불안정함에 기여하는 점
모바일 앱으로의 이행 때에도 그랬지만, PC시대의 개발 경험으로 쌓은 지식 및 보안 권장사항등은 IoT개발에서 찾아볼 수 없다. IoT 기기들이 사용하는 코드베이스는 웹사이트, 앱, 또는 PC 소프트웨어를 개발하는 언어들과 크게 다르지 않지만, 지난 수십년간 존재해온 보안취약점들은 여전히 IoT 기기에 존재하고 있다. 예를 들어, 대기업들이 만든 제품이 충분한 보안이 갖춰지지 않은 클라이언트 소프트웨어를 사용하고 있거나, 서버간의 커뮤니케이션은 암호화하지만 기기 단위의 의 인터넷 연결 프로토콜은 보안이 적용되지 않은 사례들이 있다.
이러한 현상의 이유는 IoT가 아직 접근하기 어려운 심오한 기술이라서가 아니라, 보안을 고려한 코딩을 중요하게 여기지 않는 관습 때문이다. 이는 이용자의 안전성과 보안성을 위협하는 보안 취약점으로 직접 이어지고 있다. 최근 일어난 한 사례를 보자면, 해커들은 와이파이로 연결된 유아 모니터를 공격하고 직접 유아에게 말을 거는 등 심각한 피해를 끼쳤다. 하지만, 해커들이 이 공격에 성공할 수 있었던 원인은 대중에게 많이 널려지지 않았다. 이 공격을 가능하게 한 원인은, 기기들이 중요한 개인정보를 포함한 데이터들을 간단한 텍스트 형태로 보내고 저장하고 있었기 때문이다.
IoT가 안전하지 않은 주 이유는 코드를 짜는 개발자가 아니라 개발 문화라고 본다. 실리콘밸리는 항상 최신 플랫폼을 강조하며, 시장을 먼저 점유하는 데에만 집중하여 보안은 뒷전으로 밀려난다. 이는 새로운 플랫폼이 나올 때마다 계속 되풀이 되는 현상이기도 하다. 모바일 생태계에서도 흡사한 트렌드를 찾아볼 수 있다. 경험이 많지 않은 팀이 앱을 시장에 빨리 내놓기에만 급급하여 스스로를 해킹위협에 처하게 하는 패턴은 반복되고 있다. 그와 더불어 하드웨어 관련 경험 및 하드웨어, 미들웨어, 소프트웨어의 상호작용에 대해 이해를 가지고 있지 않은 사람들이 많은 IoT 기기들을 만들고 있다.
이러한 문화적 단점들이 커넥티드 기기의 빠른 성장과 함께 커지고 있다. IDG는 2020년에 IoT시장이 1.7조 달러 규모로 성장할 것이라고 예견했다. 동시에, Gartner는 IoT 암시장의 규모가 5백만 달러를 넘을것이라고 추정했다. IoT기기의 말웨어는 벌써 빠르게 커지고 있는 산업으로, 하루가 다르게 기술이 발전하고 있고, 심지어 무료로 배포되기도 한다. 네트워크에 연결될 수 있는 모든 기기들은 말웨어에 감염될 수 있는 가능성을 가지고 있다. 즉, 일회성 감염이 커넥티드 기기 모두에게 영향을 끼칠 수 있다. 또한, 시스템이 다양한 층을 가지고 있어, 어떤 문제가 어디에서 시작되는지 알아내기도 쉽지 않다.
위에 소개된 이유들에서 볼 수 있듯이, 테크 회사들의 개발팀 내부에서부터 개혁을 일으키는 건 쉽지 않다. 이는 회사를 이끄는 경영진 및 투자자들의 몫이라고 생각되고, 그들이 변화를 시작하는 것은 가능하다고 본다.
보다 자세한 감사 과정을 요구하라: AT&T가 발표한 IoT 리포트에 따르면, 기기를 만드는 회사 중 절반 이하가 보안 로그 및 알림을 하루에 한번씩 분석한다. 이 속도는 리스크가 커질수록 더 빨라져야 할 것이다. 또한, 이 회사들 중 14%만이 개발하는 기기가 안전한지 알아보는 공식적 감사 과정을 가지고 있다. 그리고, 설문에 응답한 회사들의 17%만 이사진이 IoT 보안에 관련된 결정권에 관여하고 있다.
지속적이고 자동화된 보안 프로세스를 요구하라: 회사들은 그들의 제품이 어떻게 작동하는지에 대한 자세한 가시성을 가지고 있어야 한다. 예를 들어, 모든 디바이스의 활동을 기록하고, 의심스러운 행위는 바로 분류 및 차단해놓아야 한다. IoT 기기들이 생산하는 데이터 양과 연결된 엔드포인트들이 빠르게 증가함에 따라, 데이터 관찰, 위협 탐지, 그리고 보안이 자동화되야 할 것이다.
이러한 원칙들이 업계의 기준이 되기 위해서는, 더 많은 대화와 아이디어 및 깊은 고심이 필요하다. 실리콘밸리는 창의적이고 이탈적 성향을 가지고 있는 해커들을 환영하고, 그들을 신화화하는 경향이 있다. 스티브 잡스와 스티브 워즈니악이 블루박스를 사용하여 교황에게 장난전화를 한 일화가 한 예가 될 수 있다. 이러한 태세는 업계에 잠재적으로 영향을 끼쳐, 자율주행 자동차나 드론을 해킹하는 것이 삶을 위협하는 요소라기보다는, 재밌는 일이라고 생각하는 경향이 있다. 적절한 상황과 플랫폼에서 기술적 독창성을 축하하는 것은 옳은 일이지만, 지금 현실은 그렇지 않다. 이 도전에 우리가 어떻게 대처하는지에 따라 수백만 이용자들 및 제품의 전체 카테고리의 안전성이 결정될 수 있다.
