갤러리

[BoB 7기 WYP팀] 4학년 김성범 학생 국내 스마트홈 기기 해킹 취약

등록일: 2018-11-12
작성자: 관리자

C2018] 보안성 결여된 Z-Wave 버전 사용하는 국내 스마트홈 기기 해킹에 취약해

BoB 7기 WYP팀, 취약한 Z-Wave 프로토콜 사용하는 국내 스마트홈 IoT 기기 연구 발표

길민권 기자 mkgil@dailysecu.com 2018년 11월 11일 일요일

▲ POC 2018에서 취약한 Z-Wave 프로토콜을 사용하는 스마트홈 기기 보안문제에 대해 연구 발표한 BoB 7기 WYP팀. 좌측에서부터 임지환, 성민석, 정영호, 김성범.

한국을 비롯한 글로벌 해커 450여 명이 참석한 국제 해킹〮보안 컨퍼런스 POC 2018이 11월 8일~9일 양일간 양재동 더케이호텔서울 거문고홀에서 성황리에 개최됐다.

이 자리에서 차세대 보안리더 양성 프로그램 BoB(BEST OF BEST) 7기 성민석, 정영호, 김성범, 임지환, 조기윤 학생들로 구성된 WYP팀은 "Vulnerability analysis of Z-wave products used in Korea"란 주제로 발표를 진행했다. Z-Wave(지웨이브) 무선 통신 프로토콜을 사용한 여러 제품의 보안 취약점을 분석하고, Z-Wave 스푸핑 도구를 사용해 임의로 만든 패킷을 통해 관련 제품을 제어하는 프로세스를 보여줬다. 발표에는 Z-Wave 통신 모듈이 장착된 스마트 도어록을 비롯, 가스 잠그미와 열림센서 제품 등 주요 제품에 대한 몇가지 공격 시연도 포함됐다.

데일리시큐는 현장에서 WYP팀을 만나 인터뷰를 진행했고 Z-Wave 프로토콜 취약점의 위험성에 대해 들어보는 시간을 가졌다.

▲ POC 2018에서 발표를 진행하고 있는 BoB 7기 WYP팀.

WYP팀은 "Z-Wave는 와이파이보다 저전력으로 사용할 수 있고 블루투스보다는 원거리에서 이용할 수 있다는 장점이 있어 스마트홈 시스템에 주로 적용되는 프로토콜이다"라며 "원격에서 스마트폰 앱을 통해 도어락을 열고 잠글 수 있고 가스벨브를 잠글 수도 있다. 또 창문 센서에도 사용된다. 또 문제가 발생할 경우 스마트폰에 알람을 울려 사용자에게 알려준다. 스마트홈 아파트가 아니더라도 일반 가정에서도 많이 사용하고 있다. 국내 기업들이 판매하고 있는 스마트홈 패키지 제품에 대부분 Z-Wave가 사용되고 있다"고 설명했다.

하지만 WYP팀 연구 결과, Z-Wave 프로토콜에는 심각한 취약점이 존재해 간단한 해킹기술로도 심각한 피해를 줄 수 있다는 것이 밝혀졌다. 해커가 원격에서 Z-Wave가 적용된 IoT 기기들을 제어할 수 있다는 것이다. 취약점을 이용하면 원격에서 스마트홈 시스템이 적용된 아파트나 일반 가정의 도어락을 열거나 잠글 수 있고 가스벨브도 잠글 수 있다. 또 문제 발생시 사용자 폰에서 울려야 할 알람을 제어할 수 있다는 것이다.

한편 문제는 국내 기업들이 출시하고 있는 대부분의 스마트홈 관련 제품에 Z-Wave 프로토콜이 채택되고 있다는 점이다. 사용자 편의성과 보안을 위해 만든 제품들이 프로토콜 취약점 때문에 오히려 더 위험한 상황을 초례할 수 있게 된 것이다. 스마트홈 패키지 제품들은 일반가정 뿐만 아니라 매장에서도 많이 사용하고 있으며 이용자는 더욱 늘어날 전망이라 신속한 보안대응이 필요한 상황이다. 더 큰 문제는 기업들이 Z-Wave 프로토콜중 보안이 고려되지 않은 버전을 사용하고 있다는 것이다.

WYP팀은 "Z-Wave 프로토콜은 넌시큐어와 S0버전 그리고 최신 버전인 S2가 있다. 최신 보안 표준인 S2는 ECDH(Elliptic-Curve Diffie-Hellman)와 같은 고급 키 교환 메커니즘을 사용해 컨트롤러와 클라이언트 기기의 페어링 과정 중 고유한 네트워크 키를 교환한다. 하지만 국내 기업들이 사용하는 넌시큐어와 S0버전은 보안취약성으로 인해 스마트홈 IoT 기기들이 무방비로 공격당할 수 있다"며 "현재 국내 기업들은 넌시큐어와 S0를 대부분 제품에 적용하고 있어 문제다. 보안이 적용된 S2버전이 지난해 5월 상용화되면서 그전에 제작된 제품들이 상당히 취약한 상태다. 또 더 큰 문제는 취약한 버전의 제품들을 최신 버전으로 업데이트할 수 있는 방법은 리콜뿐이라는 점이다.

이어 "사용자 편리성을 위해 만든 제품이지만 보안성을 고려하지 않아 발생한 문제다. 고급 해킹 기술을 활용하지 않아도 사회에 파급력 있는 피해를 줄 수 있어 제조사와 사용자도 경각심을 가져야 한다. Z-Wave 프로토콜을 활용한 제품 개발시 보안성검증이 반드시 필요하다"고 강조했다.

★정보보안 대표 미디어 데일리시큐!★

목록 이전 다음