TL;DR

  • 칫솔·세탁기·청소기·정원 장식용 돌까지 소형 컴퓨터가 내장된 기기가 급증하지만, 기존 컴퓨터 보안 체계를 적용하기 어려워 보안 책임과 취약점 대응이 불분명한 상태임
  • Stephen Cravey는 아파트 전자식 자물쇠의 Bluetooth 라이브러리 취약점 패치 여부를 확인하려다 관리 주체가 책임을 서로 떠넘기는 문제를 경험함
  • 기존 보안 도구인 백신·Splunk 에이전트·프로세스 모니터링은 단일 프로그램을 실행하는 소형 사물인터넷(IoT) 기기에 적용하기 어려워 방어자의 가시성이 매우 제한됨
  • 연결된 기기는 네트워크 접근뿐 아니라 SSID·MAC 주소·사용 패턴 같은 정보를 수집할 수 있어 보안과 개인정보 위험이 함께 발생함
  • 제조업체와 기업 모두 기기의 보안 기능과 공급망 책임을 파악해야 하며, 취약점 발견 시 누가 수정할지 명확히 해야 함

전자식 자물쇠에서 시작된 문제

  • 일상용품에 내장된 소형 컴퓨터의 보안을 연구하게 된 Stephen Cravey의 출발점은 아파트 현관문이었음.
  • 전자식 자물쇠 사용이 의무인 아파트로 이사한 뒤, CYBR.SEC.Community의 오랜 구성원이자 수석 보안 자문가인 Cravey가 자물쇠의 관리·업데이트·패치 방식을 조사하기 시작함.
  • 자물쇠 내부 시스템온칩(system-on-chip, SoC)에 사용되는 Bluetooth 라이브러리에서 치명적인 취약점이 발견되자, 아파트 단지가 해당 자물쇠를 업데이트했는지 확인하려 함.
  • 그러나 답을 얻는 일은 상당히 어려움.

“부동산 관리 측은 자물쇠에 업데이트를 적용했는지, 취약점을 알고 있는지조차 논의하려 하지 않음.”

  • 그 과정에서 책임이 다른 주체에게 있거나 기술이 자동으로 처리한다고 여겨지는 익숙한 보안 문제가 드러남.

“우리 책임이 아니고 다른 사람의 문제라거나, 자동으로 처리되므로 생각할 필요가 없다는 식의 책임 떠넘기기 고리가 됨.”

  • 이 경험은 Cravey의 석사 논문과 CYBR.SEC.CON 2026 발표 연구의 계기가 됨.
  • 문제의 범위는 전자식 자물쇠를 넘어 연결된 일상용품 전반으로 확장됨.

모든 것에 컴퓨터를 넣는 시대

  • 마이크로컨트롤러(microcontroller)와 시스템온칩(SoC)이 전통적인 컴퓨팅 기기로 인식되지 않는 다양한 제품에 내장됨.
  • 칫솔
  • 구강 세정기
  • 세탁기
  • 청소기
  • Bluetooth 기능이 있는 정원 장식용 돌
  • 인터넷에 연결된 칫솔은 농담의 소재가 될 수 있지만, 그 안에 있는 보안 문제는 가볍지 않음.
  • 조직은 수십 년 동안 컴퓨터·서버·모바일 기기를 중심으로 보안 프로그램을 구축해 왔음.
  • 엔드포인트 에이전트 배포
  • 로그 수집
  • 프로세스 모니터링
  • 소프트웨어 변경 여부 탐지
  • 이 모델은 연결된 기기에 내장된 소형 프로세서에는 그대로 적용되지 않음.
  • Cravey는 이 문제를 운영기술(operational technology, OT) 환경에서 보안팀이 겪는 어려움과 비교함.

“이런 기기에 백신을 실행할 수 없고, 실제로 Splunk 에이전트를 설치하기도 어려움.”

  • 그 결과 방어자는 기기에서 무슨 일이 일어나는지에 대한 가시성이 매우 제한적이며, 기기가 계속 정상적으로 실행해야 할 소프트웨어를 실행하는지 판단하기도 어려움.
  • 문제는 제조업체 측에서도 반대 방향으로 발생함.
  • 하드웨어를 보유한 사람이 기기에서 소프트웨어를 추출하고 역공학할 가능성을 고려해야 함.
  • 소프트웨어 추출과 역공학은 지식재산을 노출할 수 있음.
  • 하드웨어가 제조업체의 통제를 벗어나면 새 소유자가 내부 구조를 조사할 상당한 기회를 얻게 됨.

칫솔이 핵심은 아님

  • 칫솔처럼 사소해 보이는 기기라는 이유로 문제를 무시하기 쉬움.
  • 핵심 우려는 공격자가 악성 칫솔 군단을 만드는 것이 아니라, 조직과 소비자가 컴퓨터라고 인식하지 못하는 컴퓨터들로 주변 환경을 채우는 상황임.

“전자 칫솔처럼 네트워크 어딘가에 기기를 둔다면, 안티멀웨어 기능이 없고 실제로 무엇이 실행 중인지 볼 수 없으며 로컬 무선 환경에 접근하는 Bluetooth 또는 와이파이(Wi-Fi) 기기로 무엇을 할 수 있는지 물어야 함.”

  • 네트워크 분할(network segmentation)은 대응책이 될 수 있음.
  • 토론에 참여한 Michael Farnum은 연결된 가전제품을 별도 네트워크에서 운영한다고 설명함.
  • 그러나 네트워크가 분리된 기기도 클라우드 서비스와 외부로 통신하고, 휴대전화와 다른 시스템의 애플리케이션으로 다시 연결됨.
  • 이러한 기기는 주변의 서비스 세트 식별자(SSID)와 미디어 액세스 제어(MAC) 주소를 수집할 가능성이 있으며, 해당 정보는 위치 추적에 사용될 수 있음.
  • 제조업체가 사물을 계속 연결하는 또 다른 이유는 데이터임.
  • 제품을 얼마나 자주 사용하는지
  • 언제 사용하는지
  • 어떤 행동 패턴을 보이는지
  • 이러한 이용 정보는 개인의 데이터 흔적을 구성하는 또 하나의 요소가 될 수 있음.

기기 자체가 스스로를 보호하지 못할 때

  • Cravey의 CYBR.SEC.CON 발표를 뒷받침하는 연구는 일반적인 운영체제 없이 비교적 단순한 아키텍처에서 단일 프로그램을 실행하는 소형 사물인터넷 기기에 집중함.
  • 연구 결과는 안심할 만한 수준이 아님.

“대부분의 기기는 어떤 종류의 보안 메커니즘도 제대로 지원하지 않음.”

  • 보안 기능을 제공하는 기기에서도 문서 부족이나 기타 제약으로 해당 기능을 이해하고 사용하기 어려울 수 있음.
  • 이 상황은 기술 공급망 양쪽에 질문을 제기함.
  • 제조업체는 제품에 넣는 구성요소의 보안 기능을 파악해야 함.
  • 기업은 네트워크에 도입하는 기기의 보안 기능을 파악해야 함.
  • 취약점이 발견됐을 때 해당 소형 컴퓨터를 누가 수정할지 책임 주체를 정해야 함.
  • 정원 장식용 돌이 우스꽝스럽게 들릴 수는 있음.
  • 그러나 그 안에 들어 있는 컴퓨터도 여전히 컴퓨터임.