글로벌 아웃소싱 시대, IoT 보안을 더 챙겨야할 이유

최근 미국의 동부 지역에서 주요 인터넷 서비스들이 장애를 겪었다. 도메인을 관리하는 DNS 업체인 DYN이 엄청난 규모의 분산서비스거부(DDoS)공격을 당한 것이 원인이었다.

이로 인해 넷플릭스, 링크드인과 같은 인터넷 서비스들에서 장애가 발생했다. 원인을 파악한 결과 공격자들은 시에라 와이어리스 게이트웨이에 있는 보안 취약점을 이용했다. 보안 취약점으로 인해 봇으로 변한 CCTV, 공유기 등의 IoT 기기들이 대규모 장애를 일으킨 것이다.

12만대 이상의 IoT 기기가 악성코드를 유포하는 봇 역할을 했고 악성코드 소스코드도 공개되어 2차 피해는 더 확산될 것으로 보인다.

IoT 기기는 특성상 패치가 쉽지 않고 악성코드에 감염된 사실을 확인하기도 힘들다. 가장 큰 문제는 사용자의 무관심이다. 누가 카페에 있는 무선 인터넷 공유기를 신경 쓰겠는가? 인터넷에 연결된 CCTV의 보안 패치를 얼마나 많은 사람이 챙기겠느냐는 것이다.

최근 IoT 기기를 이용한 사이버 공격이 빈번해짐에 따라 미국 CSA(Cloud Security Alliance)에서는 클라우드 아키텍처, 정책, 운영 등에 대한 권고문을 공개했다.

이 가이드라인은 최근 이슈가 되는 IoT 악성 코드를 막고, 취약점을 패치하고 패치하고 유지보수하기 위한 생애 주기를 제안하고 있다. 주목할 점은 가이드라인이 IoT 기기를 만들 때 사용할 하드웨어의 안정성부터 시작하고 있다는 것이다. USB 등이 미국에 유통될 때 생산 공장에서 악성 코드가 고의나 실수로 감염되어 유통된 전례에 비춰봤을 때 당연한 결과라고 할 수 있다.

이와 함께 가이드라인은 IoT 환경에서 사용되는 주요 프로그래밍 언어의 보안 가이드와 신뢰할만한 프레임워크, 인증체계도 추천하고 있다.

한국의 경우는 안타깝다. 내비게이션 업계와 인터넷 중소 기기 업체에서 소스와 원천 기술이 이미 중국에 넘어간지 오래라는 말이 있을 지경이다. 겉보기에 브랜드는 한국산이지만 펌웨어나 소프트웨어, 하드웨어 칩셋은 한국 업체가 검증할 길 조차 없어진 경우도 의외로 많다.

글로벌 아웃소싱이 일반화된 지금의 세상에서 애플 조차도 디자인은 캘리포니아에서 하지만 생산은 중국에서 하고 있다. 생산지보다 그것은 기획하고 설계하고 마케팅하는 능력이 중요한 시대임을 보여주는 장면이다.