보라빛 소를 만나기 위한 도약

※ 아래 글은 정보통신기술진흥센터(IITP)가 발간하는 주간기술동향 1815호(2017. 9. 27. 발행)에 기고한 원고입니다.

▶ IITP에서 PDF 포맷으로 퍼블리싱한 파일을 첨부합니다. 가독성이 좋으니 참고하시기 바랍니다.

IoT 통신을 위한 ‘블루투스 메쉬’ 기술과 보안 취약점 ‘블루본’.pdf

ž 블루투스 확산을 목적으로 하는 업계 단체인 ‘Bluetooth SIG’는 이달 초 블루투스의 사물인터넷 활용을 위한 ‘블루투스 메쉬(Bluetooth mesh)’ 기술 사양에 대한 설명회를 개최

Ø ‘블루투스 메쉬’는 블루투스 기기에서 다대다(多對多, NtoN) 통신을 가능하게 해주는 기술로, 블루투스 LE 4.0 이상에서 작동함

Ø 블루투스 SIG가 올해 7월 18일에 사양을 발표한 기술로, 다수의 기기 간 통신이 필요한 IoT (사물인터넷) 환경에서 활용을 지향함

Ø 설명에 나선 블루투스 SIG의 마케팅 부사장 켄 콜더럽은 블루투스 메쉬의 주요 특징으로 메쉬 형 네트워크 구성을 채택해 신뢰성과 수천 노드를 하나의 네트워크에 수용 할 수 있는 확장성이 있다는 점, 그리고 알려진 모든 공격으로부터 방어할 수 있는 보안성 등을 꼽았음

Ø 켄 콜더럽에 따르면 블루투스 메쉬는 표준화 작업 과정에서 여러 벤더간 상호운용성 테스트를 마쳤으며, 이미 기술 사양을 테스트하고 인증 할 수 있는 도구의 제공이 시작되고 있음

ž 블루투스 메쉬가 우선 도입될 수 있는 분야로는 빌딩 자동화, 공장 등의 무선 센서 네트워크, 자산 관리를 위한 추적 등 3가지를 꼽았음

Ø 켄 콜더럽에 이어 설명에 나선 위치정보 서비스 기업 ‘웨어(WHERE)’는 메쉬 네트워크 기능을 지원하는 비콘(beacon)을 이용한 자사의 ‘EXBeacon 플랫폼’의 도입 사례를 소개

Ø 이 솔루션은 현재 블루투스 메쉬의 기반이 되는 미국 퀄컴의 ‘CSRmesh’ 기술을 지원하는 비콘 장비를 사용하고 있는데, 조만간 블루투스 메쉬 사양도 지원할 예정이라고 하며, ‘물건이나 사람의 위치 관리, 센서 네트워크, 빌딩 자동화’ 등에 적용 사례가 있다고 함

Ø 설명회 마지막 순서에는 블루투스 SIG의 이사회 멤버인 도시바에서 블루투스 기술 동향의 변천을 해설했는데, IoT 센서의 제어 방식을 블루투스로 통일하려고 하며 이러한 아이디어에 찬성하는 기업들을 모집하고 싶다는 의향을 밝혔음

Ø 설명회장 한 켠에서는 블루투스 관련 제품을 취급하는 칩 제조업체와 장비 제조업체, 소프트웨어 개발업체들이 블루투스 메쉬의 데모를 시연했는데, 여러 개의 램프와 조명을 제어하는 대만 구니테크(Gunitech)의 데모가 눈길을 끌었음

ž 한편 미국의 보안 기업 ‘아르미스 랩(Armis Labs)’은 최근 블루투스를 통해 연결된 기기에 무단 접근하게 할 위험이 있는 블루투스의 취약점 ‘블루본(BlueBorne)’에 관한 정보를 공개

Ø PC나 스마트폰, IoT 기기 등의 장치가 블루투스로 연결되어 있을 경우 무단으로 접근될 우려가 있다고 하는데, 이 취약점은 아르미스 랩이 지난 4월에 발견 한 것으로 구글과 마이크로소프트 등 PC와 스마트폰 OS 개발업체들은 이미 관련 업데이트를 공개하고 있음

Ø 블루본 취약점을 악용한 공격은 표적 장치와 페어링 할 필요가 없으며, 또한 표적 장치가 검색 가능 모드에 있지 않아도 공격 할 수 있다고 하는데, 아르미스 랩이 블루본 취약점과 관련해 지금까지 확인한 제로 데이 공격은 8 건임

Ø 제로 데이 공격이란 취약점이 발견되고 패치되기 전까지의 기간 동안 이루어지는 공격을 말하는데, 사실상 방어가 불가능하여 이 기간 동안은 매우 위험한 상황이 되므로 대부분의 취약점은 패치가 배포된 이후에 공개가 됨

Ø 블루본은 안드로이드, 리눅스, 윈도, iOS(버전 9.3.5 이전), tvOS(버전 7.2.2 이전) 등의 운영체제에게 작동하는 모든 기기에 영향을 미치며 블루투스 버전과는 상관없다고 하는데, 아르미스 랩은 이 조건에 해당하는 기기의 수가 80억 대가 넘을 것으로 추정함

ž 블루본은 다른 유형의 공격과는 달리 무선 통신을 통해 확산되는 것이기 때문에 큰 노력을 들이지 않고도 확산시킬 수 있는 위험이 있다고 아르미스 랩은 설명

Ø 또한 기존의 보안 대책으로는 막을 수 없는 것이어서, 링크를 클릭하거나 파일을 다운로드 하는 등 사용자의 조작이 없어도 공격이 시작되는 것이 큰 위협이라고 함

Ø 아르미스 랩은 블루본 취약점에 대해 MS와 구글에 4월 19일 통보했다고 하며, MS는 보안 업데이트를 7월 11일에, 구글은 보안 업데이트를 9월 4일에 공개한 바 있음

Ø 애플에는 8월에 통보하였고 현재 버전에는 취약점이 없다는 답을 받았으며, 삼성전자에는 세세 번 연락했지만 답을 받지 못했다고 함

Ø 리눅스에는 8월에 연락을 하였고, 리눅스 커널의 보안 팀과 리눅스 배포판의 보안 메일링 리스트에는 9월 초에 정보를 제공했다고 함