하나로 연결되는 IoT 시대… 보안 MCU로 해킹 막는다
교통카드 · 전자여권 분야에 사용
자동차 외부 해킹 가능성 급부상
현관 도어록 등 스마트홈도 노출
"하드웨어 기반 보안성 확보해야"
교통카드 · 전자여권 분야에 사용
자동차 외부 해킹 가능성 급부상
현관 도어록 등 스마트홈도 노출
"하드웨어 기반 보안성 확보해야"
![[알아봅시다] 사물인터넷 해킹 시대… 부상하는 보안 MCU](http://contents.dt.co.kr/images/201610/2016100402101832781001[1].jpg "[알아봅시다] 사물인터넷 해킹 시대… 부상하는 보안 MCU")
최근 중국 인터넷 업체인 텐센트의 한 부서 '킨보안연구소'가 테슬라 모델S를 원격에서 조정하는 동영상이 유튜브에 올라와 화제가 된 적이 있습니다. 물론 제한적인 조건에서 실시한 실험이지만, 자율주행차 시대가 열리면 이런 일이 실제 일반 도로에서도 일어날 수 있습니다.
사물인터넷(IoT) 시대가 열리면서 보안의 중요성이 갈수록 커지고 있습니다. 연결이 늘어날수록 개인정보 유출은 물론 안전까지 위협받을 수 있기 때문입니다.
이 같은 문제를 해결하기 위해 등장한 것이 바로 보안 MCU(마이크로컨트롤러유닛)입니다. MCU란 특정 시스템을 제어하기 위해 만든 전용 프로세서로, 반도체 칩 내에 특정 목적의 기능을 수행하는 소프트웨어를 이식해 다양한 기능을 발휘할 수 있도록 하는 집적회로(IC)의 하나입니다.
보안 MCU는 이 자체 연산 기능이 있는 마이크로프로세서에 메모리와 보안 알고리즘을 내장해 외부의 해킹을 감지·차단해 주는 기능을 수행합니다. 이 MCU는 교통카드와 신용카드, 전자여권 등 가장 높은 보안성이 있어야 하는 스마트카드 분야에 주로 사용되고 있습니다.
이 보안 MCU를 만들기 위해서는 EMVCo(유로페이, 마스터카드, 비자카드 중심으로 결성된 세계 IC카드 표준규격 단체)나 CC(국제공통평가기준) 인증과 같은 국제 공인 기관의 보안 인증을 의무로 받아야 합니다.
중요한 금융 정보나 개인 정보를 담고 있는 보안 제품에는 예전부터 그 내부에 저장된 민감한 정보를 빼내거나, 이를 위한 IC 자체의 동작 원리를 알아내려는 시도가 계속 다양하게 발전해 왔습니다. 보안 MCU에는 이를 방어하기 위해 다른 반도체 IC와는 차별화한 여러 솔루션이 들어가 있습니다.
예를 들어 먼저 반도체의 물리적인 층을 하나하나 제거하거나 타이밍과 소모 전력 분석으로 내부 회로 구조를 파악하려는 것이 있고, 또는 레이저를 IC의 특정 부위에 쏘거나 전압·클록의 급격한 변화로 예기치 않은 오류를 일으킴으로써 보안 MCU 내에서 일어나는 암호화 연산의 약점을 노출 시키려는 것 등이 있습니다.
높은 보안성이 있어야 하는 제품에 보안 MCU를 적용하지 않았을 때 이로 인한 피해는 상당합니다. 2010년에는 RFID(근거리 무선통신)의 일종인 마이페어 기반의 교통 카드를 해킹해 최대 50만원까지 충전 금액을 조작할 수 있는 보안 취약점이 보도된 바 있고, 2014년에는 실제로 마이페어 기반의 마이비카드를 해킹해 1억8000만원 상당의 부당이익을 챙긴 일당 5명이 경찰에 붙잡히기도 했습니다. 이후 지금은 마이페이 대신 ISO14443 기반 교통카드 발급이 의무화됐습니다.
최근에는 자동차의 외부 해킹 가능성이 뜨거운 감자로 부상했습니다. 지난 3월에는 미국 연방수사국 FBI가 미국 도로교통안전국 NHTSA와 함께 발표한 자료에서 자동차와 트럭에 대한 해킹 공격 위협을 경고했으며, 실제로 독일 자동차운전자협회(ADAC)가 자체 개발한 해킹 장치로 수십 개의 인기 차종을 해킹했더니 거의 모든 차종에 대해 해킹이 가능한 것으로 파악됐습니다.
여기에 스마트홈에 대한 보안 역시 심각한 문제입니다. 작년 '시큐인사이드 2015' 콘퍼런스에서 보안회사인 그레이해시의 한 연구원은 직접 자신이 거주하는 아파트 내 월패드를 뜯어내 분해한 뒤 이곳에서 여러 가지 보안 취약점을 찾아냈고, 월패드를 직접 조작하지 않고서도 원격에서 현관 도어록 등을 제어하는 데 성공했다고 소개한 바 있습니다.
현재 IT 프로젝트를 진행하는 대부분 업체에서는 보안에 대한 필요성을 심각하게 느끼지 못하고 있으며, 보안성에 대해 고려하는 일부 업체의 경우에도 소프트웨어적인 암호화만으로 보안성을 확보하고자 하는 노력을 하고 있습니다.
하지만 소프트웨어뿐만이 아니라, 보안 MCU와 같은 높은 수준의 보안성을 갖는 하드웨어 기반으로 보안성을 확보해야지만 CC(Common Criteria)와 같은 국제적인 공인 인증기관에서 인증하는 높은 수준의 보안성을 가질 수 있다고 보안 업계에서는 조언하고 있습니다.
기기 간에 오가는 데이터 등을 다양한 기법을 사용해 암호·복호화하는 알고리즘을 적용한 소프트웨어를 활용하는 기본적인 보안 대책은 물론이고, 하드웨어적으로도 내부에 담긴 정보나 동작 원리 등을 안전하게 보호할 수 있는 보안 MCU를 적용하는 이중 장치가 필요하다는 설명입니다.
박정일기자 comja77@dt.co.kr
자료제공: ST마이크로일렉트로닉스
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
