Study of Security Requirement of Smart Home Hub through Threat Modeling Analysis and Common Criteria

위협 모델링 분석 및 국제공통평가기준을 통한 스마트홈 허브의 보안요구사항에 관한 연구

Abstract

In a smart home environment that integrates IoT technology into a residential environment, the smart home hub provides convenience functions to users by connecting various IoT devices to the network. The smart home hub plays a role as a gateway to and from various data in the process of connecting and using IoT devices. This data can be abused as personal information because it is closely related to the living environment of the user. Such abuse of personal information may cause damage such as exposure of the user's identity. Therefore, this thesis analyzed the threat by using LINDDUN, which is a threat modeling technique for personal information protection which was not used in domestic for Smart Home Hub. We present evaluation criteria for smart home hubs using the Common Criteria, which is an international standard, against threats analyzed and corresponding security requirements.

주거 환경에 IoT 기술을 융합한 스마트홈 환경에서 스마트홈 허브는 다양한 IoT 기기들을 네트워크로 연결하여 사용자에게 편의 기능을 제공한다. 스마트홈 허브는 IoT 기기들을 연결하여 활용하는 과정에서 다양한 데이터가 오고가는 통로의 역할을 하는데, 이 데이터에는 사용자의 생활환경과 밀접한 관련이 있어 개인정보로써 악용될 수 있다. 이러한 개인정보의 악용으로 사용자의 신원 노출 등 피해가 발생할 수 있다. 따라서 본 논문은 스마트홈 허브에 대해 기존에 국내에서 사용하지 않았던 개인정보보호 측면의 위협 모델링 기법인 LINDDUN을 사용하여 위협을 분석하였다. 분석한 위협과 대응하는 보안요구사항을 국제표준인 common criteria를 사용하여 스마트홈 허브에 대한 평가 기준을 제시한다.

I. 서론

사물인터넷 기술의 발전으로 각종 가전 기기에 통신기능을 추가하여 사용자에게 다양한 편의성을 제공하는 스마트홈 기술이 주목받고 있다. 해외 조사기관 strategy analytics에 따르면 해외 스마트홈 시장 규모는 2014년에 480억 달러로 집계되며, 2019년에는 1,115억 달러로 성장할 것으로 추산된다. 또한 국내 스마트홈 시장 규모는 한국스마트홈산 업협회에서 조사한 결과에 따르면 2014년에 8조 6천억 원에서 2019년에 23조 4천억 원으로 증가될 것으로 전망되며[1], 해당 자료는 Fig 1.과 같다.

Fig. 1. Smart Home Market Size Trend

스마트홈 시장이 증대되고 많은 사용자에게 보급되면서 다양한 문제가 발생하며, 특히 사용자의 생활과 밀접한 연관이 있기 때문에 개인정보 유출문제가 증가되고 있다. 위키리크스에서 공개한 문서에서 CIA와 MI5가 삼성 스마트TV를 대상으로 하는 감시도구인 ‘weeping angel’을 개발하고 이용하여 개인 사용자의 정보를 획득하였다고 발표했다[2]. 위키리크스의 이러한 발표로 인해 Joshua Siegel을 대표로 하여 뉴저지 지방법원에서 삼성을 대상으로 집단 소송이 발생하였다. 원고는 삼성이 허가받지 않는 제3자가 사용자의 사적인 대화에 접근하지 못하도록 보호하기 위한 합당한 조치를 취하지 않았다고 주장하였으며, 징벌적 손해배상을 통한 막대한 양의 배상금을 요구하였다[3].

다른 예로 베이비모니터에 대한 보안 취약점 공개 사례가 있다. 베이비모니터는 영유아를 대상으로 촬영 또는 녹음이 가능한 장비를 말한다. 미국의 보안회사 Rapid 7의 조사에 따르면 미국 내 유통되는 베이비모니터 7종에 대한 조사 결과를 발표하였고, 이를 통해 보안 및 개인정보에 영향을 끼칠 수 있다고 주장하였다[4].

IP 카메라에 대한 해킹 사례도 있다. 최근 IP 카메라를 영유아나 반려동물을 살피거나 가택침입 등의 범죄를 방지하기 위해 많이 사용하는데, 사이버수사대가 검거한 용의자는 2016년 1월부터 2017년 10월 13일까지 1600대의 IP 카메라를 12만 7000번해킹하여 옷을 갈아입거나 연인, 부부간의 관계 등 민감한 사생활을 훔쳐보고 약 90GB, 888개의 영상물을 불법 촬영한 혐의를 받고 있다[5].

이에 본 논문은 스마트홈을 개인정보 유출 관점에서 연구하고자 한다. 개인정보는 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함)를 의미한다[6]. 상기 정의는 개인정보보호법 제2조 1항으로, 법으로써 개인정보를 정의한 이유는 본 논문에서 제안할 평가 기준이 국내법에 부합하게 만들기 위함이다.

스마트홈에 대한 다양한 연구가 진행되고 있으며, 연구별로 조금씩 다른 스마트홈에 대한 정의를 실시하고 있다. 대표적인 예는 Table 1.과 같다.

Table 1. Definitions of Smart Home

상기 스마트홈 정의의 공통점은 두 가지 정도로 볼 수 있다. 첫째, 가전 등의 기기에 통신기능을 추가하여 일종의 네트워크를 구성한다. 둘째, 네트워크를 구성하는 것으로 기기의 개별 기능보다 개선되거나 추가적인 기능을 제공한다. 이를 참고하여 본 논문에서는 스마트홈을 다음과 같이 정의한다.

스마트홈은 가정용 기기에 통신기능을 추가하고 기기들을 통제하는 기기를 이용하여 소규모 네트워크를 구성하는 것으로 다양한 편의기능을 제공하는 시스템을 가리킨다. 이 중, 통신기능이 추가된 가정용 기기를 스마트홈 기기라고 지칭하며, 이를 통제하는 기기를 스마트홈 허브라고 정의한다. 스마트홈 기기들과 스마트홈 허브에 대한 구성도는 Fig 2.와 같다.

Fig. 2. Architecture of a Smart Home

이 연구를 통하여 기존의 일반적인 보안 관점에서 도출된 요구사항에 추가하여 개인정보 관점에서 분석한 요구사항을 추가적으로 도출하였다. 또한 이러한 연구결과를 토대로 실제로 발생할 수 있는 위협에 대한 식별이 가능하였으며, 새로이 식별된 위협과 공통평가기준을 통하여 실제 인증 기준에 적합한 보안 요구사항을 확인했다.

본 논문은 스마트홈을 구성하는 주요 기기인 스마트홈 허브를 개인정보 유출 관점에서 위협 분석을 실시하고 스마트홈 허브에 대한 평가 기준을 작성하였다. 2장은 관련연구로서 스마트홈에 대한 보안성 연구와 위협 모델링 기법에 대한 연구를 설명한다. 3장에서는 위협 모델링 기법을 적용하여 보안요구사항을 도출하기 위한 과정을 설명하고, 이 결과를 바탕으로 4장에서 평가 기준을 위한 보안요구사항을 작성한다. 5장에서 차후 연구와 결론을 내린다.

II. 관련 연구

2.1 스마트홈 보안

최근 IoT 기기에는 IP 카메라나 인공지능 스피커 등 개인정보를 수집할 수 있고, 이를 다루는 기기들이 증가하고 있다. 2015년 IEEE에서 주최한 국제 컨퍼런스인 Computer Communication and Networks에서 Ali Tekeo˘glu과 Ali Saman Tosun이 ‘Investigating Security and Privacy of a Cloud-Based Wireless IP Camera : NetCam’라는 주제로 IP 카메라 해킹을 통한 개인정보 유출을 다루었다[13].

스마트홈 시스템에 대한 보안 연구는 증가하고 있는 추세이다. Black Hat USA 2015에서 Tobias Zillner가 Zigbee 프로토콜을 사용하는 스마트홈허브 SmartThings와 SmartBulb에 대한 취약점을 발표하였으며[14], ShmooCon 2016에서 “Breaking Bulbs Briskly by BogusBroadcasts”를 주제로 Z-Wave 프로토콜을 사용하는 스마트홈의 제어권을 획득하여 개인정보 탈취 및 물적 피해 유발 등이 가능한 사례를 제시하였다[15]. Black Hat USA 2017에서는 Billy Rios와 Jonathan Butts가 생활 전반에서 사용되고 있는 IoT 가전을 통해 재산피해와 인명피해가 일어날 수 있음을 주장하였다[16].

Thomas Brandstetter는 스마트홈 서비스의 기반이 되는 건물 자동화 시스템를 주제로 발표하였으며, 건물 자동화 시스템에서 발생할 수 있는 공격시나리오에 대하여 서술하고 침투 테스트를 위한 도구의 제안과 기존 보안 조치와 서술한 문제들을 비교하였다[17]. Dimitris Geneiatakis 외 5명은 MIPRO 2017에서 사물인터넷 기반 스마트홈에 대해 개인정보와 관련된 보안이슈에 대해 논문을 발표하였다[18].

취약점 분석 이외에도 정책, 설계 등 스마트홈의 제작단계부터 보안을 적용하는 연구도 증가하고 있 Table 2. Definitions of LINDDUN element다. 한 예로 2012년에 Kristian Beckers가 새로운 요구사항 분석 방법론을 제안하고, 그 방법론을 기존의 LINDDUN과 같은 개인정보 중심의 요구사항 방법론과 비교하였다[19]. 그리고 2017에 Annanda Thavymony Rath와 Jean-Noel Colin이 스마트홈의 보안성을 강화하기 위해서 ABAC(Attributed-Based Access Control) 기반의 접근 통제 기법을 제안하였다[20].

Table 2. Definitions of LINDDUN element

스마트홈의 위협 및 취약점 연구는 지속적으로 진행된 반면, 사용자의 민감한 정보를 다루는 스마트홈을 개인정보 유출 관점에서 연구는 더딘 편이다. 그렇기 떄문에 개인정보 유출 관점으로 스마트홈을 다각적으로 연구하는 것이 필요하다.

2.2 위협 모델링

위협 모델링은 임의의 공격자의 관점에서 잠재적 위협(threat)을 식별하고 분석하는 방법론이다. 다시 말해서, 위협 모델링은 한 대상에 대한 위험(risk)을 식별하기 위하여 모델을 통해 추상적으로 표현하는 과정이다. 설계부터 구현 및 운용에 이르는 소프트웨어 개발주기에서 최초 설계 단계부터 위협 모델링을 적용하여 보안 취약점을 사전에 제거하기 위해 사용한다. 위협 모델링은 자산을 식별, 발생 가능한 위협을 발견하고, 위험에 우선순위를 결정하여 위험에 대한 대응책을 결정하는 과정을 수행한다[21].

최근 정보보안 이슈 중 하나로 단순히 정보가 노출되거나 변조되는 것을 막는 것뿐만 아니라 사용자의 개인정보의 유출을 막는 것이 주목받고 있다. 이 시기에 LINDDUN은 위협 모델링을 개인정보(privacy)의 관점에서 실시하는 대표적인 기법이다.LINDDUN은 개인정보 위협의 유형 7가지의 영문두문자를 통한 약어로 표기된다. 각 요소는 연결성(linkabiltiy), 식별성 (idetifiability), 부인 방지 (non-repudiation), 추적성(detectability), 정보 유출(disclosure of information), 미인지(unawareness), 정책 불이행(non-compliance)이다[22]. LINDDUN의 각 요소에 대한 정의는 Table 2.와 같다.

본 논문에서는 보안요구사항을 도출하여 스마트홈허브의 평가기준을 제시하기 위하여 다소 변형된LINDDUN 기법을 사용하였다. 적용한 LINDDUN의 작업 흐름은 Fig 3.과 같다.

Fig. 3. Work Flow of LINDDUN

3장에서 각 단계별로 서술할 것으로 3.1장에서는 DFD(Data Flow Diagram)의 작성, 3.2장은 위협과 LINDDUN 요소의 매핑, 3.3장은 위협 트리(threat tree) 작성, 3.4장은 misuse case 작성이다. 상기 4가지 과정은 문제를 식별하는 과정으로 남은 세 단계는 문제를 해결하는 과정이다. 3.5장에서는 위협 우선순위 지정에 대해 논하고, 마지막으로 3.6장에서 완화 전략(mitigation strategy) 및 요구사항 도출에 대해 서술할 것이다.

III. 스마트홈 허브 위협 모델링

스마트홈 허브는 사용자의 생활환경과 밀접하게 연관되어 있다. 스마트홈이 사용자에게 편의를 제공하는 과정에서 스마트홈 허브를 통한 개인정보 유출이 발생할 수 있다. 그래서 본 논문에서는 LINDDUN을 통해 전체적인 개인정보 관련 위협 모델링을 수행한다. DFD를 작성하고 위협 트리를 통해 misuse case를 분석한다. 그리고 위협의 우선순위를 결정하고 완화 전략을 작성 후, solution을 결정한다.

LINDDUN 실시간 고려사항은 위협 트리를 가능한 최소로 작성하는 것이다. DFD 요소를 선별하거나 그룹화하여 작성하는 위협 트리를 최소화한다. 이는 중복되는 작업을 제거하고 개인정보에 관련하여 위협을 모델링하기 위해 실시한다[23].

3.1 DFD 작성

DFD는 시스템에서 데이터의 흐름을 보여주기 위하여 작성하는 그림이다. 가시화된 데이터 흐름을 통해서 DFD는 정보 유출과 같은 보안문제가 발생하는지 여부를 확인시켜준다. 이러한 DFD의 주요 요소로 외부 객체(external entity), 데이터 저장소(data store), 프로세스(process), 데이터 흐름(data flow)으로 구성된다. 추가적으로 신뢰 경계(trust boundary) 요소가 있다. 신뢰 경계는 데이터 흐름이 발생하는 영역의 신뢰 수준이 변경되는 경계를 가리키는 것으로 해당 경계를 지나가는 데이터 흐름은 보안 위협이 발생할 가능성이 있는 것으로 판단된다.

스마트홈 허브에 대한 DFD는 Fig 4.과 같다.DFD 작성 결과로 5개의 외부 객체와 2개의 데이터 저장소, 22개의 프로세스와 44개의 데이터 흐름을 도출하였다. 신뢰 경계는 총 3개로 사용자와 서버간의 경계, 서버와 스마트홈 허브의 경계 그리고 스마트홈 허브와 IoT 기기의 경계이다.

Fig. 4. Data Flow Diagram

사용자 측에는 사용자가 어플리케이션을 통해 실시할 수 있는 작업들이 해당된다. 스마트홈 서버 측에는 사용자 인증을 위한 정보와 스마트홈과 관련된 데이터를 저장하며, 사용한다. 스마트홈 허브 영역은 IoT 기기와 연결하기 위한 물리주소와 논리주소를 치환하는 장비와 저장소가 있으며, 마지막으로 IoT기기는 해당 기기가 실시하는 작업과 데이터 흐름이 해당된다.

3.2 DFD 요소와 LINDDUN 위협 매핑

DFD에서 작성된 모든 DFD 요소는 LINDDUN의 요소를 매핑하여 위협을 식별한다.Table 3.는 DFD 요소가 LINDDUN의 각 요소에 매핑되는 모든 경우를 나타냈다.

Table 3. Available DFD elements per LINDDUN

이 표를 근거로 해당 DFD 요소가 해당 위협에 해당하는지 판단하고 매핑을 실시하였다. 그 결과는 Table 4.와 같다.

Table 4. Smart Home LINDDUN mapping

3.3 위협 트리 작성

위협 트리는 이전 단계에서 확인한 LINDDUN 위협요소별로 발생할 수 있는 위협을 트리형태로 작성한 결과물을 말한다. 위협 트리 작성 간에 중복되는 결과물이 다수 발생할 수 있다. 불필요한 작업을 줄이기 위해 DFD 요소 간의 그룹화나 트리를 그릴 요소를 선별한다. Table 5.와 Table 6.는 전체 위협 트리 중 data store와 external entity에 대한 위협 트리 중 일부이다.

Table 5. Data Store Threat Tree

Table 6. External Entity Threat Tree

3.4 misuse case 작성

misuse case는 각 위협 트리별로 해당 위협이 발생하기 위해 실시하는 행동의 시나리오를 서술한 중간문서를 의미한다. misuse case에는 위협 트리를 통해 위협을 구체화한 이후에 해당 위협이 실제로 어떻게 적용되는지의 시나리오를 작성해야 한다. misuse case 작성 시에는 최소한으로 필요한 정보가 양식 형태로 주어져 있다[24]. 해당 사항을 참고하여 misuse case를 작성한다. Table 7.은 non-compliance에 관한 misuse case를 서술한 Table이다.

Table 7. Misuse Case

3.5 위협 우선순위 지정

LINDDUN 위협모델링 기법에서는 도출되는 위협이 상당히 많은 수가 도출된다. 모든 위협에 대한 대응책을 구비하는 것은 많은 시간과 자본이 소모된다. 노력대비 최대의 성과를 위해 대처할 위협의 우선순위를 선정하여 먼저 처리할 위협을 선택하는 과정을 실시한다.

본 논문에서는 마이크로소프트의 DREAD를 기준으로 우선순위를 결정하였다[25]. DREAD는 측정 대상을 5가지 기준으로 점수를 매기고 그 합계를 통해 우선순위를 결정하는 기법이다. 이름은 각 속성의 두문자의 약어이며 그 요소는 피해 규모(damage),공격 재생성(reproducibility), 공격 유용성(exploitability), 피해 대상자(affected user),공격 발견성(discoverability)이다. 각 요소별로 0~ 3점의 점수를 매기고 모두 더하여 점수를 산출한다. 산출한 점수가 크면 클수록 높은 우선순위를 설정한다. 본 논문에서 실시한 DREAD의 결과는 Table 8.과 같다.

Table 8. DREAD

3.6 완화 전략 및 요구 사항

위협의 우선순위까지 선정하였다면, 해당 위협에 대해 대응하기 위한 완화 전략을 결정한다. 완화 전략은 위험을 최소화하기 위하여 대응하는 조치의 방향성을 의미한다. 이 과정은 각 misuse case가 어떠한 전략을 통해서 완화될 수 있는지 확인한 후, 해당 시나리오를 대처하기 위한 구체적인 방법론에 대해 확인하는 과정이다. misuse case 별로 도출된 완화 전략을 통해 요구사항을 도출하는 것이 가능하다. 해당 과정에서 요구사항은 어떤 위협에 대응하는지에 대한 명세를 가리킨다. misuse case별 완화 전략과 요구사항의 일부는 Table 9.과 같다.

Table 9. Mitigation Strategy

IV. 스마트홈 허브 평가 기준

상기 과정을 통하여 완화 전략과 각 위협에 대한 보안요구사항을 도출하였다. 스마트홈 허브의 평가 기준을 도출하기 위해서 국제표준인 CC(Common Criteria)를 참고하였다[26]. 도출한 보안요구사항과 연관되는 보안기능요구사항과 보증요구사항을 확인하고 이를 통해 스마트홈 허브 평가 기준을 도출한다.

4.1 보안기능요구사항

도출한 보안요구사항을 만족하기 위한 기능을 상세히 명세한 항목이 보안기능요구사항(Security Functional Requirements, SFR)이다[27]. 이러한 SFR은 CC에서 서술하고 있으며, 본 논문에서는 SFR을 통해 스마트홈 허브의 평가 기준을 작성하였다. 위협 모델링을 실시하여 도출한 보안요구사항 별 SFR을 연결한 결과는 Table 10.와 같다.

Table 10. Security Functional Requirements

4.2 보증요구사항

보증요구사항(Security Assurance Requirements, SAR)은 평가 대상의 보안기능이 보안목적 달성 여부를 확인하기 위하여 최소한으로 필요한 요구사항을 서술한다. CCRA 협정서 개정으로 2015년 이후 평가보증등급(EAL) 기반 상호인정 방식에서 공동보호프로파일(cPP) 기반 상호인정으로 변경되는 것으로 인해 상호인정을 하는 수준이 EAL4에서 EAL2로 변경된다. 따라서 본 논문에서는 보증등급을 EAL2로 지정하고, 그에 따른 보증요구사항을 도출하였다. Table 11.은 스마트홈 허브에 대한 보증요구사항을 나타낸다[28].

Table 11. Security Assurance Requirements

Table 10.와 Table 11.의 SFR과 SAR을 평가 기준으로 해당 스마트홈이 SFR을 만족하는 기능을 포함하고 있는지와 해당 기능을 SAR에 만족하는 문서를 통해 증명하는지를 평가한다.

V. 결론 및 향후과제

스마트홈은 개선된 편의 기능을 제공하기 때문에  그 시장규모가 확대되고 있는 추세이다. 스마트홈은 IoT 기기들을 통해 사용자의 정보를 수집하고 활용한다. 이 과정에서 스마트홈 허브는 기기들에서 정보들을 송, 수신하는 기능을 수행하고 있기 때문에 사용자 정보 유출을 통해 개인정보가 침해될 수 있다. 그래서 본 논문은 스마트홈 허브에 대해 개인정보 침해 관점에서 연구를 실시하였다.

기존의 국내 위협 모델링 연구는 마이크로소프트의 STRIDE를 통하여 진행되었다. 본 논문은 개인 정보보호 측면에 집중하여 위협을 분석하고 요구사항을 도출하고자 LINDDUN 위협 모델링 기법을 국내에서 최초로 사용하였다.

또한 최근 업계에서 시판되고 있는 스마트홈 허브에 대한 공통적인 표준이나 요구사항에 대한 연구가 미비하여 보안위협에 대한 체계적인 대비가 제한된다. 따라서 본 논문은 분석한 보안요구사항을 통해 보안기능요구사항과 보증요구사항을 도출하여 스마트홈 허브의 평가 기준을 제시하는 것을 통하여 스마트홈 허브 개발에 대한 공통적인 기준을 제안하고자 하였다.

본 논문의 평가 기준은 공통평가기준의 EAL2 등급을 만족시키는 요구사항들을 토대로 작성되었다. 따라서 제작 단계에서 본 평가 기준을 참고로 하여 제작을 실시하는 경우 국제표준에 따르는 보안인증을 위하여 필요한 작업을 줄일 수 있을 것으로 기대한다. 향후 과제로 작성한 평가 기준을 다양한 스마트홈 허브에 대해 평가를 실시하고 미비점을 보완하여 평가 기준의 실효성을 개선하는 것이 향후 과제로 남아있다.

* “본 연구는 미래창조과학부 및 정보통신기술진흥센터의 대학ICT연구센터육성 지원사업의 연구결과로 수행되었음”