[IoT 보안] IoT보안이란? - 주요 점검항목 알아보기

사물 인터넷 (IoT, Internet of Things)

사물에 센서와 통신 기능을 내장하여 인터넷에 연결하는 기술 및 네트워크를 의미한다.

---

  IoT 취약성

· 디바이스마다 관리 목적으로 내장된 수단(ex. 디버거)이 존재한다.

· 디바이스가 사용자에게 직접 제공되기 때문에 피해는 일상생활과 직결된다.

· 한 단말기의 취약점은 동일한 단말기의 취약점으로 통용되어 악용될 수 있다.

---

  IoT 디바이스 점검 대상

1. JTAG (Join Test Action Group)

  주로 디지털회로에서 특정 Note의 디지털 I/O을 위해 직렬 통신 방식으로 출력 데이터를 전송하거나 입력데이터를 수신하며 쉘(콘솔)기능은 없으나 디바이스의 메모리에 대한 변조 및 삭제가 가능하다.

JTAG 식별 (출처 - https://pol4.dev/reversing-embedded-device-2/)

2. UART (Universal Asynchronous Receiver/Transmitter)

  범용 비동기화 송수신기로 병렬 데이터를 직렬방식으로 전환하여 전송하는 역할을 맡는다. 즉, PC와 직렬 통신이 가능한 인터페이스이기 때문에 관리자 권한의 쉘, 부트로더 쉘을 획득할 수 있다.

UART 식별 (출처 - https://m.blog.naver.com/wnswl316/221428720820)

3. NB-IoT (Narrow Band Internet of Things)

  일반 통신기기와 달리, 가능한 전력소비가 적은 네트워크를 사용해야 하는 IoT 기기는 저전력의 효용성이 높은 NB-IoT대역을 사용한다. 점검 시 IP스캔 후 발견되는 취약점으로 진단을 진행한다.

 

4. IPv4 to IPv6

  현재 많은 통신사에서 IPv6 업그레이드를 진행하기 때문에, IPv6에 대한 방화벽 방어가 부족한 경우가 있다.

IPv4, IPv6 헤더비교 (출처-https://jennana.tistory.com/10)

5. ADB (Android Debug Bridge)

  안드로이드를 위한 디버깅 도구로써, 주요 데몬을 포함하여 루트 쉘에 대한 접근이 가능하다.

6. UPnP (Universal Plug and Play)

  UPnP는 표준 네트워킹 및 인터넷 프로토콜을 사용하여 네트워크에 연결된 장치들이 자동으로 설정될 수 있는 역할을 수행한다. 이러한 자동 포트 포워딩(port forward) 기능은 해킹의 경로로 악용될 수 있으며, 자체 라이브러리에서 취약점이 발견된 바 있다. (아래 링크 참조)

* ipTIME 공유기의 UPnP기능은 비활성화 권고

[UPnP 자세히 알아보기] https://somenotes247.blogspot.com/2019/03/upnp.html

UPnP 장치 해킹 취약

---

  기타 IoT 관련 진단

ERP진단: 소스코드에 취약한 버전이 사용될 경우 전사적인 유출위협 존재

기본 비밀번호: 기본패스워드 또는 백도어 패스워드가 숨겨져 있는 경우 다수

CCTV포트: 기본 설정으로 554번(RTSP) 열린 경우 비인가자의 영상접근 가능

단말기 관리페이지 : 관리용 백도어 및 히든페이지 명령어 존재

인터넷 전화: 통화 패킷이 평문으로 발송될 경우 스니핑 및 통화조작 가능

암복호화: 암호키가 평문으로 저장되었거나, 강도가 약하다면 복호화 가능

 

KISA IoT 디바이스디바이스 인증 점검항목

https://www.kisa.or.kr/2060205/form?postSeq=2&lang_type=KO&page=

KISA 한국인터넷진흥원

 

본 게시물은 학습 기록을 위한 포스팅입니다. 악의적인 목적으로 이용 시 발생할 수 있는 모든 법적 책임은 자신에게 있습니다.

---

참고자료

https://blog.uplus.co.kr/3122

https://ko.wikipedia.org/wiki/%EC%82%AC%EB%AC%BC%EC%9D%B8%ED%84%B0%EB%84%B7

https://www.kisa.or.kr/2060205/form?postSeq=2&lang_type=KO&page= 

https://pol4.dev/reversing-embedded-device-2/

https://jennana.tistory.com/10