IoT and Security Threat Koreatech NSTL Yo-Han Choi

사물인터넷 오픈 플랫폼/서비스 기술

IoT 주요기술 저전력 디바이스/센싱 빅데이터 기술 지능화 기술 통신/네트워킹 기술 오픈 플랫폼/API/서비스 API 기술 Dependabilty/보안/프라이버시 기술

IoT 보안에 대한 인지 TV·냉장고가 일거수일투족 감시… 해킹땐 사생활 100% 노출 ☞ 사물인터넷, '살인' 무기로 악용될 가능성 높아 ☞ 스마트 빌딩, 사물인터넷으로 보안 위협에 노출 ☞ 보안 무시한 사물인터넷 `재앙 부른다` ☞

보안 문제가 발생하는 이유 {가치(돈, 쇼크, 과시, 정치적 목적, …)} 𝟐 공격받을 가능성= × 공격기회 × 공격의 용이성 성공한 제품 널리 보급된 제품 지배적인 서비스 (Consumerization) 취약점 Zero-Day 사람

Internet of Broken Things 많은 요소기술의 통합으로 인한 보안 취약성 발생 여러 주체로 인한 높은 보안 /프라이버시 보호 책임 부재 및 통합 보안의 문제 IoT 디바이스에 대한 해킹 공격 네트워크 통신의 도/감청 개인정보에 대한 자기정보통제의 어려움 법 제도적 문제 IoT용 Security Anchor 기술의 부재로 인한 여러 기술 통합시의 보안 취약성 증대 IoT는 기존의 단일 사업자가 주도하는 vertical application market이 아닌 다양한 주체가 공존하는 horizontal market 이므로, 센서/디바이스 공급자, 통신/네트워크 공급자,서비스 개발자, API 개발자, 플랫폼 공급자, 데이터 owner 등 다양한 주체의 존재로 인한 보안/프라이버시 보장의 어려움 존재

IoT 보안 요구사항 보안위협 디바이스 네트워크 플랫폼/서비스 기기 정지 및 오작동 유발에 의한 인프라마비, 생명 위협 등 물리적 위협 기기 분실/도난, 기기 위변조 등에 의한 정보 변조 및 노출 디바이스간 악성코드 전이/공격 위협 경량/저저력 요구 기기에 IP 보안 기술 적용의 어려움 이기종 사물 네트워크간 연동 통신과정에서 정보 변조 및 유출 T2T 기기, 네트워크, 게이트웨이 해킹 공격 및 크로스 네트워크 기기로 피해 확산 대단위 사물봋에 의한 IoT 서비스 거부 공격 악성 기기/사용자의 플랫폼 불법 접속 및 공격 불법 접속 후 암호키 해킹에 따른 플랫폼 붕괴 위협 클라우드, 빅데이터 -개인 정보유출 및 프라이버시 침해

IoT 보안 요구사항 경량∙저전력 “암호, 인증“ 악성기기∙트래픽 “인식, 감시” 무결성 검증/보장 보안운영체제 경량 D2D 상호 인증 하드웨어 보안 모듈 IoT 기기 관리 /모니터링 T2T 통신보안 IoT 종단 보안 T2T 침입탐지 악성트래픽 대응 개방형 플랫폼 상호 연동형 인증 경량/저전력 암호 키은닉 암호 및 키관리 적응형 자율접근제어 프라이버시 협상 자동화

IoT 보안 기술 정의 디바이스 네트워크 플랫폼/서비스 디바이스 생명주기 全 단계 보호방안 마련 디바이스 생명주기 全 단계 보호방안 마련 다양한 기기 맟춤형 저전력 보안 HW모듈 및 운영체제 디바이스간 상호인증/접속제어 초연결 T2T 단대단 신뢰통신보안 초연결 사물 네트워크 해킹 감시∙대응 및 보안 관리 IoT 악성 트래픽 탐지∙대응 개방형 플랫폼에서의 기기 및 사용자 인증 방안 마련 키은닉 암호, 실제적 안전 암호 기반 플랫폼 구축 클라우드, 빅데이터 환경에서의 익명화 기술 적용

IoT 서비스 특화 보안 (u헬스, 금용, 자동차) 핵심 기술 IoT 보안기술로드맵 IoT 암호/인증 IoT 암호/인증 기술 IoT 공동 보안 (암호/인증, 임베디드 보안 OS) 초경량/저전력 암호/인증 크로스도메인 인증 키해킹 대응 키은닉/키관리 IoT 프라이버시 |보호 기술 IoT 네트워크 보안 IoT 프라이버시 IoT 서비스 특화 보안 (u헬스, 금용, 자동차) T2T 침해방지 IoT기기 모니터링/보안관리 개인식별 추적제어 IoT 보안 게이트웨이 IoT통신보안/VN IoT 네트워크 보안 기술 단계별 IoT 융합 (u헬스+공통, 자동자+공통) IoT 암호/인증 기술 IoT용 초경량/저전력/고속 암호 임증 물리적 키해킹 대응, 키은닉, 키관리 도메인간 보안수준 연동형 인증 IoT 프라이버시 보호 기술 디바이스용 개인식별 추젝 제어 프라이버시 퀄리티 자동 협상 위험도 기반의 빅데이터 비식별화 IoT 네트워크 보안 기술 IoT 디바이스 보안관리/모니터링 T2T 침해방지 및 악성 트래픽 대응 IoT 보안게이트웨이 보안 통신/라우팅/가상 사설망 IoT 디바이스 보안 기술 IoT 디바이스 보안 운영체제 저전력/고속 하드웨어 보안 모듈 기기간 원격 인증, 자율형 접속제어 프라이버시 레벨 자율협상 IoT 디바이스 보안 저전력/고속 하드웨어 보안 모듈 IoT 디바이스 보안 운영체제 생활밀착형 IoT (정보보호 인프라) IoT 디바이스 보안 기술 위험도 기반의 빅데이터 비식별화 기기간 원격 인증/접속제어

보안 위협 발생 원인 기술적 환경 NFC Bluetooth Wi-Fi 3G Network HTML5 GPS Enterprise App Store Open Platform Base

Contents Provider App 검증 보안 위협 발생 원인 기존 해킹 방법의 적용 가능 IoT 보안 주파수 간섭 이동통신 서비스 무선 네트워크 M2M 웹 브라우징 보안 위치 추적 Contents Provider App 검증 Open Platform Kernel

보안 사례 : 체중계

보안 사례 : 체중계

보안 사례 악성코드가 감염된 차량진단 앱을 통한 자동차 원격제어

보안 사례 심박기 신호정보 위·변조를 통한 전류량 과잉공급

보안 사례 홈서버 해킹을 통한 댁내 가스밸브 원격개방

보안 사례 교통정보 수집 센서 해킹을 통한 신호제어

보안 사례 기내 와이파이를 통한 악성코드 감염 및 항공기 제어시스템 오동작 유발

주요 3대 분야 보안 고려사항 홈/가전 스마트홈/가전 기기는 출시전 보안취약점 점검을 의무적으로 실시 출시 후에도 제조사는 지속적으로 보안패치 적용 및 배포 개인정보 저장·관리 또는 음성·영상 저장기능이 장착된 기기의 경우, 프라이버시 보호를 위한 사용자 인증 및 접근제어 기능 적용 원격제어 기능이 탑재된 스마트홈/가전 기기는 외부의 비인가 접근을 방지하기 위한 사용자 인증 및 암호화 통신 기능 적용 스마트홈 애플리케이션을 안전하게 사용할 수 있도록 지속적인 보안성 검증 및 업데이트 수행

주요 3대 분야 보안 고려사항 의료 개인정보, 질병정보를 저장·처리하는 의료장비 및 이와 연동되는 데이터 처리장치는 프라이버시 보호를 위한 인증 및 암호화 기능 적용 의료기기에 대해 정기적인 취약점 검증을 수행하고, 국제표준을 고려한 보안관리 체계 적용 의료기기 SW의 불법 위·변조 방지를 위해 유통망의 안전한 관리 스마트의료 서비스를 통해 수집·관리·공유되는 개인정보 보호방안 마련

주요 3대 분야 보안 고려사항 교통(자동차) ABS, TPMS 등 자동차 주행 및 구동장치의 중단/오작동을 방지하기 위한 보안기능(데이터 암호화·복구, 비인가 접근통제 등)을 적용 전자제어시스템(ECU)과 연동된 각종 전자시스템은 정기적인 취약점 점검 및 보안패치 적용, SW 안전성 검사 수행 차량내부통신망(CAN)에 대한 암호화 통신 기능 적용 디지털 운행기록계(DTG, Digital Tachograph)를 통해 수집되는 정보의 안전한 저장·관리를 위해 ITS는 DB 보안기술 적용 ITS의 차량검지센서 및 노변장치에서 전달되는 모든 교통 데이터는 암호화가 이루어져야 하며, 각 장치에 대한 인증기술 적용

IoT, 개인정보 개인정보? 개인정보 문제의 발생 원인 개인정보는 정보주체를 인식할 수 있는 직접적인 정보 다른 정보와 결합하여 정보주체를 식별할 수 있는 정보 개인정보 문제의 발생 원인 Connected Device 인터넷과 직접 연결된 기기뿐만 아니라 매개체를 통한 간접 연결 기기 개인정보 보호를 위해 기술적 방법 보단, 법/제도적 문제에 대한 논의가 많이 되고 있음

IoT, 개인정보 기존 보안 기술 적용 IoT 특성에 따른 법/제도의 개선 기술적 해결 방안 제도적 해결 방안 데이터 암호화 접근제어 침입 탐지/차단 개인정보보호법 정보통신망법 위치정보법 지능형전력망법

결론 : IoT 보안 전력 경량화 된 암호화 기법 적용 통합 보안 기술 개발 전방위적 보안 시스템 구축 PC와 같은 높은 수준의 보안 기법을 적용하기 어려움 통합 보안 기술 개발 전 세계적으로 통합된 자동화된 식별자 발급 및 관리 체계가 필요 사용되는 단말 및 각종 단말에 사용되는 서비스 환경, 운영체제들은 굉장히 다양 전방위적 보안 시스템 구축 주로 외부 공격자에 대한 대응책에만 치중 실시간 통신 상태 점검, 문제 발생 시 즉각적인 복구 가능을 위한 체계적인 보안 설계가 필요