가정용 IoT 기기 노리는 보안 위협 여전

스마트 전구, IP 카메라 등 가정 내 보안이나 편의성 향상을 위해 쓰이는 대표적인 IoT(사물인터넷) 기기에서 보안 취약점이 잇달아 발견되고 있다.

스마트 조명의 대표적인 기기로 꼽히는 필립스 휴에서는 외부 공격자가 전구를 통해 내부 네트워크에 침입할 수 있는 취약점이 포착됐다.

또 화웨이 자회사인 하이실리콘이 IP 카메라나 DVR(영상녹화감시장치)용으로 만든 칩에서는 외부에서 아무런 제한 없이 접속해 제어 가능한 백도어가 발견됐다.

■ 전구 통해 외부 침입 허용한 필립스 휴

보안업체 체크포인트리서치는 5일(미국 현지시간) 시그니파이가 제조한 IoT 전구인 필립스 휴(Hue)에 보안 결함이 있다는 사실을 공개했다.

필립스 휴는 2014년 출시 이후 IoT 바람을 타고 미국과 유럽 등지에 급속히 보급된 스마트 조명기기다. 스마트폰으로 조명 색상을 조절함은 물론 IFTTT 등 애플리케이션을 이용해 메일 수신이나 날씨 등 다양한 조건에 따라 불을 끄거나 켤 수 있다.

체크포인트리서치가 밝힌 공격 방법은 다음과 같다. 먼저 휴 전구를 공격해 색상이나 밝기를 바꾼 다음 이용자가 이를 초기화하게 만든다.

이 과정에서 전구 제어권을 가로채 악성 코드를 심은 펌웨어를 담은 다음 무선 통신 규격인 지그비(ZigBee)를 이용해 휴 전구를 제어하는 '휴 허브'를 공격하고, 이를 발판삼아 내부 네트워크에 침투하는 방식이다.

체크포인트리서치는 이 문제점을 지난해 11월 시그니파이에 통보했고 지난달 중순 보안상 문제를 막은 최신 펌웨어가 배포된 상태다.

그러나 체크포인트리서치는 "휴 전구는 설계상 한계 때문에 여전히 취약점이 남아 있으며 또 다른 공격 사례가 발생할 수 있다. 또 지그비를 이용하는 아마존 링, 삼성 스마트싱스, 벨킨 위모 등 다른 기기에서도 비슷한 문제가 발생할 수 있다"고 밝혔다.

■ DVR/NVR용 하이실리콘 칩에서 백도어 발견

러시아 보안 전문가인 블라디스라브 야르마크는 화웨이 자회사인 하이실리콘이 DVR/NVR용으로 만든 칩에 보안을 우회하는 백도어가 있다는 내용의 보고서를 6일(현지시간) 공개했다.

이 보고서에 따르면 백도어에 접근하는 방법은 매우 간단하다. 외부에서 암호화 되지 않은 접속 방법인 텔넷(Telnet)을 이용해 접속하면 된다. 미리 지정된 ID와 비밀번호만 입력하면 해당 기기의 제어권이 넘어온다.

블라디스라브 야르마크는 "이 백도어는 하이실리콘이 고의로 만들어 놓은 것으로 보이며 또 하이실리콘이 문제에 대해 적절한 조치를 취하지 않을 것으로 보인다. 하이실리콘이 해당 문제를 해결할 것이라는 신뢰가 가지 않아 문제를 보고하지 않았다"고 밝혔다.

관련기사