IoT 장치를 보호하는 방법: IoT 보안 요건

모든 IoT 보안 솔루션의 주요 요구 사항은 다음과 같습니다.

• 장치 인증, 데이터 기밀성 및 무결성을 포함한 IoT 장치 및 데이터 보안
• IoT 규모의 보안 운영 구현 및 실행
• 규정 준수 요건 및 요청 충족
• 사용 사례에 따른 성능 요건 충족

IoT 보안 솔루션은 아래에 나열된 기능 블록을 격리되지 않고 상호 연결된 모듈로 구현하여 IoT 규모, 데이터 보안, 장치 신뢰 및 규정 준수 요건을 충족해야 합니다.

• IoT 장치 신뢰: 장치 ID와 무결성 확립 및 관리
• IoT 데이터 신뢰: 정책 중심의 엔드투엔드 데이터 보안, 생성부터 소비까지 개인정보 보호
• 신뢰 운영: 표준 기반의 입증된 기술/제품 자동화 및 연결 (예: PKI 제품)

IoT에 안전하게 참여하려면 연결된 각 장치에는 IP 주소가 있기 전부터 고유한 식별이 필요합니다. 이 디지털 자격증명은 초기 설계에서 배포, 폐기에 이르기까지 장치의 전체 수명 주기에 대한 신뢰의 기반을 세웁니다.

Entrust는 Entrust 기술 파트너의 지원 보안 애플리케이션과 결합된 nShield HSM(하드웨어 보안 모듈)을 사용하여 제조업체가 가장 강력한 암호화 처리, 키 보호 및 키 관리를 사용하여 각 장치에 고유한 ID를 제공하도록 지원합니다. 각 장치에는 디지털 인증서가 삽입되어 있어 다음을 할 수 있습니다.

• 조직의 아키텍처에 도입된 각 장치의 인증
• 장치의 운영 체제 및 애플리케이션의 무결성 확인
• 장치, 게이트웨이, 클라우드 간 보안 커뮤니케이션
• 승인된 코드를 기반으로 한 인증된 소프트웨어 및 펌웨어 업데이트

많은 조직이 IoT에 대한 보안 지침을 개발했습니다. 여기에는 다음이 포함됩니다.

• IoT Security Foundation의 '모범 사례 가이드라인'
• OWASP(Open Web Application Security Project)의 '보안 지침'
• GSMA(Groupe Spéciale Mobile Association)의 'GSMA IoT 보안 지침 및 평가'
• 사물 인터넷("IoT") 장치에서의 보안 구현에 관한 미국 상무부 NIST(National Institute of Standards and Technology)의 특별 간행물 800-160("지침")
• CSA(Cloud Security Alliance)의 '연결된 세계의 미래 대비하기: 보안 IoT 제품 개발의 13가지 단계'

IoT에 연결된 장치를 그 취지대로 신뢰할 수 있게 하려면 강력한 IoT 장치 인증이 필요합니다. 따라서 각 IoT 장치는 게이트웨이 또는 중앙 서버 연결을 시도할 때 인증할 수 있는 고유한 ID가 필요합니다. 이 고유 ID가 있으면 IT 시스템 관리자가 수명 주기 동안 각 장치를 추적하고, 장치와 안전하게 통신하며, 유해한 프로세스가 실행되는 것을 방지할 수 있습니다. 장치에서 예상치 못한 동작이 확인되는 경우 관리자는 해당 권한을 간단히 해지할 수 있습니다.

IoT 장치가 보안되지 않은 제조 프로세스를 통해 생산되면 범죄자들이 생산 실행을 변경하여 무단 코드를 유입하거나 이후에 암시장에서 판매할 추가 장치를 생산할 수 있는 빌미가 됩니다.

제조 프로세스를 보호하는 한 가지 방법은 HSM(하드웨어 보안 모듈)과 지원 보안 소프트웨어를 사용하여 암호화 키와 디지털 인증서를 삽입하고 구축된 장치 수와 각 장치에 통합된 코드를 제어하는 것입니다.

소프트웨어 개발자는 맬웨어에 감염된 소프트웨어로부터 비즈니스, 브랜드, 파트너, 사용자를 보호하기 위해 코드 서명을 채택했습니다. IoT에서 소프트웨어 릴리스 프로세스의 코드 서명은 IoT 장치 소프트웨어 및 펌웨어 업데이트의 무결성을 보장하고, IoT 소프트웨어 코드 변조 또는 조직 정책에서 벗어나는 코드와 관련된 위험을 방지합니다.

공개 키 암호화에서 코드 서명은 조직이 소프트웨어 게시자의 ID를 확인하고 소프트웨어가 게시된 후 변경되지 않았음을 인증할 수 있도록 하는 인증서 기반 디지털 서명의 특정 용도에 해당합니다.

오늘날 온라인에는 지구상의 사람들보다 더 많은 사물(장치)이 있습니다! 장치는 인터넷의 가장 주요한 사용자이며 안전한 작동을 위해 디지털 ID를 필요로 합니다. 기업이 경쟁력을 유지하기 위해 비즈니스 모델 혁신을 모색함에 따라 IoT 기술의 신속한 채택은 IoT PKI(사물 인터넷 공개 키 인프라)의 수요를 증가시키고 있습니다. PKI는 점점 늘어나는 장치와 그러한 장치에서 실행되는 소프트웨어 및 펌웨어에 대한 디지털 인증서를 제공합니다.

안전한 IoT 배포를 위해서는 장치가 인증된 것이고 다른 장치가 아님을 신뢰할 수 있어야 할 뿐만 아니라, 수집하는 데이터가 진짜이며 변조되지 않았다는 것도 신뢰할 수 있어야 합니다. IoT 장치와 데이터를 신뢰할 수 없다면 수집된 정보를 바탕으로 분석을 수집 및 실행하고 결정을 실행하는 것이 의미가 없습니다.

IoT를 안전하게 채택하려면 다음이 필요합니다.

• 연결된 장치와 애플리케이션 간의 상호 인증 지원
• 장치로 수집한 데이터의 무결성과 기밀성 유지
• 장치에 다운로드된 소프트웨어의 합법성과 무결성 보장
• 더 엄격한 보안 규정을 고려하여 민감한 데이터의 프라이버시 보호