최근 사물인터넷(IoT) 시장이 급성장하고 있는 가운데 정보보안업체 시만텍이 스마트홈 기기의 보안 강화가 시급하다고 주장했다. IT분야 시장조사업체 가트너에 따르면 올해 IoT 기반 스마트홈 기기의 수는 29억 대에 달할 것으로 전망된다.

시만텍은 스마트 온도 조절 장치, 스마트 잠금 장치, 스마트 전구, 스마트 연기 감지기, 스마트 에너지 관리 기기, 스마트 허브 등 50가지 스마트홈 기기의 보안 상태를 분석한 결과 대부분의 기기에서 보안취약점이 발견됐다고 19일 밝혔다.

스마트홈 기기는 클라우드 서비스를 통해 사용량을 모니터링 하거나 사용자가 원격으로 시스템을 제어할 수 있도록 한다. 사용자가 모바일 애플리케이션이나 웹을 통해 스마트홈 기기를 제어하거나 데이터에 접근할 수 있는 것이다. 하지만 시만텍의 조사 결과 IoT 기기(스마트홈 기기)를 제어하는 모바일 애플리케이션의 약 20%가 암호화 통신(SSL)을 사용하지 않고 있었다.

시만텍은 스마트홈이 아직 초기 단계라 해커가 이를 공격했을 때 얻을 수 있는 이득이 별로 없어 공격하지 않았을 뿐, 스마트홈이 보편화되면 언제든 취약한 보안망을 타고 집안 네트워크에 침입할 수 있다고 지적했다. 다음은 시만텍이 찾아낸 스마트홈 기기의 3가지 보안 취약점이다.

■취약한 인증

이번 조사에서 50가지의 기기 중 상호 인증을 사용하거나 강력한 비밀번호를 설정한 기기가 단 한 대도 없었다. 심지어 단순한 4자리 숫자로만 인증할 수 있게 제한돼 사용자가 복잡한 비밀번호를 설정할 수 없는 경우도 있었다. 이런 상황에서는 비밀번호 무차별 대입 공격을 차단하는 방어 수단이 없다면 공격의 표적이 되기 쉽다.

■웹 취약점

다수의 스마트홈 웹사이트에서 경로 조작(path traversal), 파일 무제한 업로딩(원격 코드 실행), 원격 파일 삽입(RFI) 등의 취약점이 발견됐다. 스마트 전구뿐만 아니라 스마트 도어록에서도 이와 같은 취약점이 발견돼 시만텍 분석팀은 비밀번호 없이도 인터넷을 통해 원격으로 현관문을 열 수 있었다고 한다.

■로컬 공격

해커가 허술한 와이파이 등을 통해 집안 네트워크에 침입할 경우 또다른 문제가 발생한다. 이번 조사에서 비밀번호를 암호화된 문서가 아닌 일반문서로 저장하거나 아예 비밀번호도 설정하지 않은 기기도 발견됐다.

인증되지 않은 펌웨어로 업데이트가 되는 기기도 발견됐다. 해커는 이러한 보안 결함을 이용해 홈 네트워크에 잠입, IoT 기기의 비밀번호를 알아낼 수 있다.