Embeded OS, 오픈소스 소프트웨어, 통신기능 내장

- 다른 IoT 기기의 내부 환경과 비슷

낮은 하드웨어 스펙, 보안 소프트웨어 미탑재(보안OS, 백신 등)

공유기가 전국에 분포

- 취약점이 발견될 경우 다수의 공유기가 취약점에 노출 위협

- 유통구조 단품 유통, 취약한 상태로 유통될 경우 보안 조치의 어려움

가정공공장소

회사 대학

사용자의 편리성을 고려하여 제작

- 알기 쉬운 초기 ID/PW 상태, 원격코드실행 등 소프트웨어 취약점

사용자는 인터넷 사용 목적으로 구매, 보안 설정 방법, 필요성 부족

업데이트 환경) 펌웨어가 자동으로 업데이트되지 않아 취약점에 노출

- 몇몇 기기는 업데이트 지원 불가

사용자가 해킹 사실을 인지하기 어려움

오픈소스 소프트웨어의 보안 위협 증가

- GoAhead Web Server (공유기 HTTP Server)

통신 데이터 가로채기(개인정보 노출)

- 사용자의 암호화되지 않은 통신 데이터를 가로채어 개인정보 추출공격자

사용자

이름, 주민증록번호, 전화번호 등

접속 가능 무선 공유기 확인

취약한 인증 방식(WEP) 사용 AP 탐색 후 해킹

통신 데이터 가로채기

악성코드 감염(DDoS 공격)

- 공유기 Exploiting를 통해 쉘권한 획득 후 악성코드 다운로드

공격자

취약점 코드 전송

감염된 공유기가 DDoS 공격 수행

인터넷

쉘 권한 획득

피싱/파밍 사이트 접속 유도

- 기기에 설정된 DNS 주소를 해커 DNS로 변경하여 피싱 등 공격

악성 피싱 사이트 접속

공유기

사용자

공격자 관리자 페이지 취약점을 통해DNS 설정 페이지 접속

DNS 주소 변경

해킹 경유지로 악용

- 해킹된 공유기를 공격 경유지로 악용하여 IP 위조

취약한 공유기 해킹

공격자그룹

공유기 접속 통한공격 IP 위조

CSRF(크로스 사이트 요청 위조) 공격

- 관리 설정을 변경하는 URL링크를 사용자가 클릭하도록 유도하여 공격

웹 사이트 해킹

사이트 내 CSRF 스크립트 삽입

사용자

사용자 AP취약사이트

사이트 접속 시스크립트 실행

DNS 변조

공유기 백도어를 통한 쉘 권한 획득

- 백도어가 기기에 내장된 채로 출고(기기 유지보수 목적 등)

- 백도어의 접속패스워드가 펌웨어에 하드코딩

- 공격자는 펌웨어 분석 툴 등을 통해 패스워드 추출 후 공유기 공격

- 사용자가 직접 패스워드 변경이 어려움

PASSWORD

패스워드 추출

* Hardware hack!

* Software hack!

JTAG revealing

- hadware debugging, flash image dump

- bug hunting

Firmware customizing

- security function bypass

- service for free

chipset reverse engineering

- Encryption info disclosure

IoT 기기 소프트웨어 취약점

- 버퍼오버플로우, 원격 명령 실행 취약점 등 발생

IoT 기기 관리자 애플리케이션 취약점

- 디폴트 패스워드(발견 빈도수가 가장 높음), 관리자 인증 우회 등

불필요하게 오픈된 시스템 접속 포트(유지보수용 포트 등)

IoT 내 탑재된 오픈소스 소프트웨어 취약점

IoT 기기의 통신 프로토콜

IoT packet replay attack

- 원격에서 IoT 기기에 인가되지 않은 명령제어 패킷 전송

- IoT 기기 강제 제어 / 오작동/ 과금발생 등

Packet replay

IoT 기기 악성코드 감염

- Arm, MIPS, 리눅스OS 기반에서 실행되는 악성코드

- 악성코드에 감염될 경우 Privacy issue, DDoS 공격 Cyber Attack등

기기 내부의 개인 사생활 정보 저장악성코드에 의한 유출 발생

IoT Zombie Spraying

Next generation Worm?

IoT Zombie Spraying

- PC의 보안성이 점점 향상, 공격자의 활동이 iOT로 이동 예상

- IoT 기기가 다른 IoT 기기를 전염시키는 Worm의 위협

파급력 => (제로데이 취약점 하나 x 특정 IoT 기기 개수)

IoT 서비스 인프라

- 인터넷에 연결된 IoT 기기를 경유하여 서비스 인프라 공격 위협

- IoT 기기를 통해 내부 서버 공격

SHODAN

- IoT 기기 검색 서비스

오픈소스 소프트웨어의 보안 위협이 증가

2014년 발표된 OpenSSL 취약점

OpenSSL 하트블리드 취약점 1건 2014-04-07

OpenSSL 다중 취약점 6건 2014-06-05

OpenSSL 다중 취약점 9건 2014-08-06

OpenSSL 다중 취약점 4건 2014-10-15

하트블리드(2014.04)

2014년 발표된 Bash 취약점

CVE-2014-6271 2014-09-24 (쉘쇼크)

CVE-2014-7169 2014-09-24

CVE-2014-6277 2014-09-27

CVE-2014-7186 2014-09-28

CVE-2014-7187 2014-09-28

CVE-2014-6278 2014-09-30

Gnu bash 쉘쇼크 취약점(2014.09)

오픈소스 소프트웨어의 보안 위협이 증가

IoT 소프트웨어에 대한 Secure Coding 준수

IoT 기기 초기 보안 설정 상태 강화

IoT 기기 파일 시스템 및 통신 과정에서의 개인정보보호

IoT 소프트웨어 보안 업데이트 환경

IoT 서비스 인프라에 대한 보안