"홈네트워크 해킹 근절하자" 제도 개선·솔루션 개발 활발

과기정통부·국토부·산자부
지능형 홈네트워크 설비 고시 개정
세대간 홈네트워크 접근 제한 의무화

기기 정보보호인증제도 시행
보안요구사항 따른 등급 부여

정보보호업계선 솔루션 공급
ICTK홀딩스 'PUF 보안칩'
파이오링크 '티프론트'
노르마 '스마트홈 보안 컨설팅'
펜타시큐리티 '아이사인 홈크립트'

[정보통신신문=박광하기자]

스마트월패드, 냉난방 기기, 조명, 가전 등 가정 내 사물인터넷(IoT) 기기를 하나의 네트워크에 연결해 데이터를 공유하고 제어하는 스마트홈 시스템. 스마트홈이 원활하게 작동하기 위해서는 홈네트워크 구축 운영이 필수적이다. 최근 다수의 공동주택에서 홈네트워크를 대상으로 해킹이 일어나, 특수한 웹브라우저를 사용해야만 접근할 수 있는 웹인 다크웹을 통해 사생활 영상이 유포되고 있는 것으로 확인됐다. 이제는 홈네트워크의 사이버보안 강화가 필요한 시점이라는 데 민·관의 인식이 일치하고 있다. 이에 관련 제도 개선과 솔루션 개발 공급이 활발히 일어나고 있다.

■홈네트워크 설비 설치 시 보안 확보

정부는 홈네트워크를 대상으로 벌어지는 해킹 등 사이버 공격을 예방하기 위해 관련 제도 개선에 착수한 바 있다.

과학기술정보통신부, 국토교통부, 산업통상자원부는 지난해 12월 31일 3개 부처 공동으로 '지능형 홈네트워크 설비 설치 및 기술기준' 고시를 개정했다. IoT 융합기술발전 및 홈네트워크 설치, 이용 증가에 따라 홈네트워크를 통해 발생할 수 있는 보안사고를 예방하고 홈네트워크의 안정적인 운용을 구현하기 위한 조치다.

개정된 고시는 오는 7월 1일부터 시행하고, 시행 이후 주택건설사업계획승인을 신청하는 경우부터 적용을 받는다.

고시의 주요 내용을 살펴 보면, 홈네트워크 설비를 설치한 자는 홈네트워크 설비의 유지·관리 매뉴얼을 관리주체 및 입주자대표회의에 제공해야 한다.

홈네트워크 보안 강화를 위한 홈네트워크 보안강화, 홈네트워크 장비의 보안요구사항 준수, 정보보호인증된 홈네트워크 사용기기 등의 설치 등에 대한 규정을 담았다.

단지서버와 세대별 홈게이트웨이 사이의 망은 전송되는 데이터의 노출, 탈취 등을 방지하기 위해 △물리적 방법으로 분리 △소프트웨어(SW)를 이용한 가상사설통신망(VPN), 가상근거리통신망(VLAN), 암호화기술 등을 활용한 논리적 방법으로 분리 등의 기술적 조치를 적용해야 한다.

홈네트워크장비의 보안성 확보를 위해 '별표 1(홈네트워크장비에 대한 보안요구사항)'을 신설하고, 이에 따른 보안요구사항을 충족토록 했다.

별표 1의 '홈네트워크장비에 대한 보안요구사항'은 △데이터 기밀성 △데이터 무결성 △인증 △접근통제 △전송데이터 보안 등 5개 분야로 구성돼 있다.

여기서 '홈네트워크장비'란 홈네트워크망을 통해 접속하는 장치로, 고시는 △홈게이트웨이 △세대단말기 △단지네트워크장비 △단지서버 등을 홈네트워크장비의 종류로 열거하고 있다. 세대단말기는 세대 및 공용부의 다양한 설비의 기능 및 성능을 제어하고 확인할 수 있는 기기로 사용자인터페이스를 제공하는 장치를 뜻한다.

홈네트워크사용기기 및 세대단말기는 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 제48조의6에 따라 정보보호인증을 받은 기기를 설치할 수 있도록 했다.

이 때, 정보보호인증을 받은 세대단말기는 보안요구사항을 충족한 것으로 인정키로 했다.

■통신망연결기기 정보보호인증제 마련

과기정통부는 '정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)' 개정에 따라 정보통신망연결기기등 정보보호인증을 법정인증으로 개편, 2020년에 법적 제도로 근거를 마련했다.

또한, 지난해 9월에는 '정보통신망연결기기등 정보보호인증에 관한 고시(과기정통부 고시 제2021-73호)'를 제정했다.

정보보호인증은 정보통신망에 연결되는 기기·설비·장비에 대해 인증기관이 인증기준에 적합함을 승인하는 행위를 의미한다.

고시에 따르면, 과기정통부는 인증 체계에서 정보보호인증과 관련된 전반적인 정책을 수립·시행하는 역할을 담당하게 된다. 인증기관인 한국인터넷진흥원(KISA)은 인증기준 개발, 시험방안 마련, 시험결과 검증, 인증품질 관리, 인증 및 취소, 인증서 관리 등 업무를 수행하며, 이를 위해 필요한 경우 인증시험을 수행할 수 있다. 인증위원회는 인증기관의 요청에 따라 인증기준 및 인증대상의 적합여부, 인증시험 결과 등에 대해 심의한다. 시험대행기관은 과기정통부 장관이 필요한 경우 지정하며 정보통신망연결기기등이 인증기준에 적합한지 여부를 확인하는 시험을 대신해 수행한다.

과기정통부는 최근 한국정보통신기술협회(TTA)와 한국기계전기전자시험연구원(KTC)을 '정보통신망연결기기등 정보보호인증 시험대행기관'으로 지정한 바 있다.

이번 시험대행기관 지정에 따라 기존에 KISA가 자체적으로 수행하던 정보보호인증 시험을 앞으로는 TTA와 KTC가 수행하게 된다.

정보보호인증은 정보통신망법 시행령 제36조의2에 따라 가전, 교통, 금융, 스마트도시, 의료, 제조·생산, 주택, 통신 등 8대 분야 정보통신망연결기기등을 대상으로 한다. 단, 다른 법령에 따라 정보보호 관련 인증·시험을 받는 정보통신망연결기기등은 인증대상에서 제외된다.

인증영역은 △식별 및 인증 △데이터 보호 △암호 △소프트웨어 보안 △업데이트 및 기술지원 △운영체제 및 네트워크 보안 △하드웨어 보안 등의 7개로 구성돼 있다.

정보보호인증 인증유형은 보안요구사항 수준에 따라 '스탠다드(Standard)', '베이직(Basic)', '라이트(Lite)' 등의 3가지 유형으로 구성된다.

스탠다드 유형은 고도의 해킹공격에 대응할 수 있고 국제적인 요구사항을 포함한 종합적 보안조치 수준이다. 베이직 유형은 중요 정보의 불법적인 접근을 차단하고 노출방지에 대응할 수 있는 일반적인 보안조치 수준이다. 라이트 유형은 단순 해킹공격에 대응할 수 있는 필수 보안조치 수준이다.

아울러 3가지 인증 유형마다 추가적인 권고 사항을 충족하는 경우 플러스(+)등급을 받을 수 있다.

종합해 보면 인증은 △스탠다드+ △스탠다드 △베이직+ △베이직 △라이트+ △라이트 등 6개 등급으로 나뉜다.

정부는 스마트월패드, IP카메라 등의 정보통신망연결기기 이용 시 정보보호인증을 획득한 제품을 사용할 경우, 기기의 보안 취약점 등을 악용한 사이버위협으로부터 보다 안전하게 개인정보나 중요정보의 유출을 방지할 수 있다고 밝혔다.

■사이버보안 강화 솔루션 봇물

ICTK홀딩스는 PUF(Physically Unclonable Functions) 보안칩을 기반으로 IoT 기기의 보안 문제를 해결하는 솔루션을 제공하고 있다.

PUF는 '물리적 복제 방지 기술'로 불리우며, 반도체의 생산과정에서 사람의 지문이나 홍채와 같이 각 칩마다 다른 고유의 물리적 ID가 생성되는 원리를 이용한다.

ICTK홀딩스는 특허받은 기술인 자사의 'VIA PUF' 기술을 이용해 세계 최초로 PUF 보안칩을 양산했으며, 700만개 이상의 칩이 실제 필드에서 동작하고 있다.

LGU+에서는 실시간으로 집안 상태를 확인해 사람의 움직임을 감지하면 알려주는 홈 CCTV에 PUF 보안칩을 적용, 타사에서 CCTV 해킹 등의 이슈가 발생했을 때도 LGU+에서는 관련한 문제가 발생하지 않았다.

또한, LGU+의 무선랜엑세스포인트(AP) 장비에 PUF 보안칩을 적용, 고객댁내장치(CPE, Customer Premise Equipment or Customer Provided Equipment)의 유무선 환경에서의 보안성을 확보하고 있다.

PUF 칩은 Root of Trust 기능을 가지고 있으며, PUF로 생성된 아무도 모르는 키(Key)를 이용해 내부의 플래시 메모리(Flash Memory)와 RAM을 암호화한다.

특히, PUF 보안칩은 내부적으로 공개 키 기반(PKI, Public Key Infrastructure)의 키 쌍을 생성할 수 있다. 생성된 개인키(Private Key)는 태어나서부터 없어질 때까지 PUF 키로 암호화된 '보안 저장소(Secure Storage)'에 존재하게 돼 극상의 보안을 제공하게 된다.

이 밖에도, KT에서 만든 5G 에그에 ICTK홀딩스의 PUF가 탑재되는 등 보안 통신 및 Secure FOTA(Firmware Over the Air) 기능을 제공하는 데 기여하고 있다.

파이오링크는 홈네트워크의 사이버보안 강화를 위한 정보보호 솔루션을 개발·공급하고 있다.

파이오링크의 티프론트(TiFRONT)는 '홈네트워크 보안'과 '쉬운 네트워크 관리'라는 두마리 토끼를 동시에 잡을 수 있는 솔루션이다.

티프론트는 네트워크 구성의 기본인 스위치에 보안기능을 추가한 △보안스위치와 △클라우드 기반 통합관리시스템으로 구성돼 있다.

티프론트는 홈네트워크 보안에서 요구하는 세대간 홈네트워크 접근 제한을 보안스위치의 프라이빗 VLAN 기능으로 지원한다.

세대간 홈네트워크 접근 제한 조치 이후 외부 기기 접속이나 인터넷으로 유입해 발생할 수 있는 보안 위협은 스위치의 IP 관리 기능을 통해 네트워크에 접근하는 비인가 단말을 차단하고, 랜섬웨어, 스캐닝, 플러딩 공격 등 홈네트워크를 통해 내부로 확산하는 공격을 스위치 내 보안엔진에서 탐지·차단해 보호한다.

또한, 클라우드 기반 통합관리시스템을 통해 여러 지역·단지·동 내에 있는 수많은 스위치를 원격지에서 중앙집중방식으로 관리할 수 있어 보안 위협 및 장애를 신속하게 파악·대응하는 게 가능하다.

특히 사용자가 장애를 인지하기 전에 관리업체가 먼저 대처할 수 있고, 문제가 생기더라도 엔지니어 출장을 기다릴 필요 없이 원격 대응하기 때문에 민원 대처나 유지관리 비용 측면에서도 장점이 있다.

아울러, 이미 구축된 아파트라도 노후화된 스위치를 티프론트 보안스위치로 변경하는 것만으로도 동일한 보안과 관리 용이성 얻을 수 있다는 점도 눈여겨 볼 만하다.

노르마의 스마트홈 보안 컨설팅은 최근 불거진 신축 아파트 해킹 우려를 해소해줄 필수 솔루션으로 주목을 받는다.

노르마는 최근 국내 주요 스마트홈 기업과 협업해 보안 컨설팅을 수행 중으로, 국내 대표 건설사들과 신축·기축 아파트 현장에서 월패드 및 네트워크 인프라의 보안 취약점을 진단하고 있다.

노르마의 스마트홈 보안 서비스는 월패드 등 세대 내 IoT 기기에 대한 취약점 점검을 수행해 개선 방안을 도출, 해킹 사고를 예방하고 안전하게 홈 네트워크 시스템을 누릴 수 있도록 돕는다.

노르마의 정보보호방법론(N-CSCM, Norma-Cyber Security Consulting Methodology)에 따라 △현황 분석 △IoT 기기 취약점 점검 △개선 방안 수립 순서대로 프로젝트를 수행한다.

취약점 점검은 IoT 기기는 물론 모바일 앱과 IT 인프라에 대한 취약점 점검을 종합적으로 진행한다. 취약점 점검은 자체 진단 기준과 더불어 OWASP(Open Web Application Security Project) Top 10과 국내 IoT 진단 기준 등을 종합적으로 고려해 수립한 기준을 따른다.

이 같은 취약점 점검 과정을 거치면 도출된 문제점을 분석하고 대응 방안을 제시하는 컨설팅을 제공한다.

개발 단계 보안, IoT 취약점 결과 반영, 관련 법률 요건 및 제도 충족 등 다방면에서 보안 체계가 개선될 수 있도록 대책을 수립한다. 컨설팅 후에도 시스템 유지관리, 사용자 교육 등과 같은 체계적인 품질 보증 서비스를 제공한다.