최근 무선 통신 기능을 갖춘 IoT 기기에 대한 보안 요구가 강화되면서 제품 개발 초기부터 인증 기준을 반영하려는 움직임이 이어지고 있다. 특히 공공과 공동주택 분야에서는 IoT 기기의 보안성을 사업 발주 조건으로 제시하는 사례가 늘면서 인증 대응이 개발 과정의 주요 요소로 자리 잡고 있다.
이 같은 흐름 속에서 사물인터넷(IoT)·클라우드 전문기업 오픈아이오티(대표 김동은)는 개발 중인 스마트폰 근접 인식 아파트 출입 단말기를 대상으로 한국인터넷진흥원(KISA) IoT 보안인증 '라이트(Lite)' 등급 취득을 위한 사전 대응 작업을 수행한다고 밝혔다. 이번 업무는 현재 진행 중인 출입 통제 시스템 개발 과제의 수행 범위에 포함된다.
오픈아이오티는 인증 요구사항을 제품 설계 단계에서 반영하고, 기술문서 작성과 시험용 기기 준비를 담당한다. 본심사 신청과 인증 수수료는 발주처가 진행하는 구조다.
IoT 보안인증은 제품 완성 이후 준비하는 경우가 적지 않지만, 저장 데이터 보호나 디버깅 인터페이스 차단과 같이 하드웨어 구조와 직접 연결되는 항목은 개발이 끝난 뒤 적용하기 어려운 경우가 있다. 이미 선정한 칩과 회로 구성이 인증 기준을 충족하지 못하면 하드웨어를 다시 설계해야 하는 상황이 발생할 수 있기 때문이다.
오픈아이오티는 이러한 점을 고려해 요구사항 정의 단계부터 보안 항목을 별도 관리 대상으로 설정하고, 부품 선정 과정에서 인증 기준을 함께 검토했다고 설명했다.
단말기에는 인증되지 않은 펌웨어의 실행을 제한하는 기능과 저장 영역 전체 암호화 기능이 적용된다. 기기가 외부에 노출되더라도 내부 저장 데이터를 보호하기 위한 구성이다.
암호화 키는 한 번 기록하면 변경하거나 읽어낼 수 없는 칩 내부 보안 영역에 저장하도록 설계했으며, 암호 연산은 전용 하드웨어를 활용해 처리함으로써 소형 IoT 기기에서도 성능 저하를 최소화하도록 했다.
무선 통신 구간에서는 스마트폰과 출입 단말기가 상호 인증 절차를 거친 뒤 출입 신호를 교환하도록 구현했다. 이 과정에서 기존 통신 내용을 재전송하는 리플레이 공격과 데이터 위·변조를 방지하기 위한 절차도 함께 적용된다.
회사는 이번 프로젝트를 통해 축적한 인증 대응 체계를 향후 다른 IoT 기기 개발에도 확대 적용한다는 계획이다. 기기 유형별 보안 요구사항 분석과 인증 대상 제품 확대 등을 검토하고 있으며, 개발 초기부터 인증 기준을 함께 반영하는 방식으로 대응 범위를 넓혀간다는 방침이다.
김동은 오픈아이오티 대표는 "인증 항목을 제품 개발 이후 반영하려 하면 하드웨어를 다시 수정해야 하는 경우가 적지 않다"며 "부품 선정 단계부터 인증 요구사항을 함께 검토하는 개발 체계를 다른 IoT 프로젝트에도 지속적으로 적용해 나갈 계획"이라고 말했다.
한편 서울 구로구에 위치한 오픈아이오티는 IoT 단말기와 펌웨어, 클라우드 서버, 웹 서비스, 모바일 애플리케이션을 자체 인력으로 개발하는 기술 기업으로, 다양한 산업 분야의 IoT 기반 시스템 구축 프로젝트를 수행하고 있다.
관련문의는 오픈아이오티 공식홈페이지(https://openiot.app)에서 가능하다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
