IoT Security & Device Management

1. Overview

IoT 보안과 디바이스 기하학(IoT Security & Device Management)은 공장 담장 밖 인터넷에 맨몸으로 던져진 수십만 개의 온도 센서와 로봇 암(Arm)들이 해커의 장난감(봇넷, Botnet)으로 전락하여 원자력 발전소를 멈춰버리는 재앙을 막기 위해, 칩 레벨의 암호학부터 클라우드 인증까지 겹겹이 방어벽을 쌓는 제로 트러스트(Zero Trust) 공학입니다.

학습자는 CPU 성능이 쥐꼬리만 한 센서에서 어떻게 대칭키/비대칭키를 버무려 데이터를 암호화(TLS/DTLS)하는지 뜯어보고, 장비가 태어날 때 공장에서 칩 다이(Die) 속에 고유 번호를 쇳물로 부어버리는 하드웨어 신뢰 뿌리(Root of Trust, PUF/Secure Element) 메커니즘을 해부합니다. 나아가 인터넷으로 날아온 의심스러운 해킹 펌웨어를 튕겨내고 오직 전자서명된 진짜 펌웨어만 받아들이는 보안 부팅(Secure Boot)과 OTA(Over-The-Air) 업데이트의 역학을 통달하여, 수만 대의 엣지 디바이스를 안전하게 지휘하는 군단장 급 아키텍트 역량을 확보합니다.

2. Scope & Boundaries

In-Scope

• 네트워크 암호화 궤적 (Crypto Physics): TLS/DTLS 핸드셰이크, AES(대칭키) 칩셋 하드웨어 가속, ECC(타원 곡선 암호, 비대칭키) 경량 연산.
• 하드웨어 방패망 (Hardware Trust): 보안 소자(Secure Element, SE), 물리적 복제 방지(PUF, Physical Unclonable Function), 난수 생성기(TRNG).
• 인증 및 프로비저닝 (Identity & Provisioning): X.509 기기 인증서(Certificate), JIT(Just-in-Time) 프로비저닝, PKI(공개키 인프라).
• 무결성 부트 및 업데이트 (Integrity & OTA): 보안 부팅(Secure Boot) 체인, A/B 파티션 OTA(Over-The-Air) 롤백 방지, 펌웨어 전자 서명 확인.

Out-of-Scope

• 클라우드 웹(Web) 계층의 보안 공격: SQL 인젝션, XSS, 서버 측 방화벽(WAF) 설정 $\rightarrow$ 08-03-02. Web Application Security 영역.
• 거대 리눅스 서버 커널 보안: SE-Linux 정책, 컨테이너(Docker) 샌드박싱 $\rightarrow$ 03-01-02. Process Isolation & Namespaces 영역.

Boundaries

• IoT Security vs. Web Security (08-03-02): 웹 보안(08-03-02)이 "해커가 서버 DB를 털지 못하게 웹서버 앞단에 소프트웨어 방패를 치는 것"이라면, IoT 보안은 "해커가 남의 집 공유기나 CCTV 기기를 아예 통째로 장악하여(Botnet) 좀비 무리로 만들거나, 칩을 물리적으로 뜯어내 현미경으로 메모리를 읽어내는(Side-channel) 물리적 침투까지 막아내는 극한의 하드웨어 방어전"입니다.

3. Counterexample

• 인증서 하드코딩의 학살극 (Hardcoded Secret Nightmare): 수만 대의 IoT 디바이스 펌웨어 소스코드(C언어) 안에 클라우드 접속용 패스워드나 대칭키 하나를 통일해서 하드코딩(const char* key = "secret123";)해버린 재앙적 무지함. 해커가 펌웨어 바이너리 파일(.bin) 하나만 인터넷에서 주워다 역어셈블리(Hex Editor)로 까보면 그 마스터키가 평문으로 노출됩니다. 해커는 그 키 하나로 수만 대의 기기로 위장(Spoofing)해 클라우드 DB를 모조리 삭제해 버립니다. 기기 인증은 반드시 기기마다 다르게 구워진(Unique) X.509 인증서나 칩 내부의 분리된 보안 소자(SE)에 맡겨야 합니다.
• 방어선 없는 OTA 업데이트 (Unsigned OTA Trap): 센서의 버그를 고치겠답시고 인터넷(OTA)으로 날아온 펌웨어를 무작정 덮어쓰기 하는 순진한 시스템 설계. 중간자 공격(MITM)을 한 해커가 펌웨어 중간에 '비트코인 채굴'이나 '공유기 디도스 공격' 코드를 섞어 던져주면, 수만 대의 센서가 그 해킹 펌웨어를 스스로 플래시 메모리에 구운 뒤 좀비 봇넷 군단(Mirai Botnet)으로 부활합니다. OTA에는 무조건 제조사의 프라이빗 키로 서명(Sign)된 암호학적 도장이 찍혀있어야 하며, 부트로더가 이를 검증(Secure Boot)하고 실패하면 부팅을 영원히 멈추는 방어선이 절대 헌법입니다.

4. Prerequisites

• 부팅 및 메모리 기하학 (Basic): 부트로더가 리셋 벡터(0번지)에서 시작하여 메인 펌웨어 영역으로 플래시 메모리 주소를 점프(Jump)하는 하드웨어 궤적을 꿰야 보안 부팅(Secure Boot)을 설계할 수 있습니다. (02-05-01 Memory Map)
• 비대칭 암호와 해시 함수 (Recommended): 공개키/비밀키 쌍이 어떻게 서로를 증명(Signature)하는지, SHA 해시가 어떻게 무결성 지문이 되는지에 대한 기본 개념이 필요합니다.

5. Learning Map

6. Learning Topics

Basic

Core Topic 01: 굼벵이 코어의 타원 곡선 방어망, 경량 암호학 (Crypto on Constraint)

• Why to Learn: PC(서버)가 1밀리초면 푸는 거대한 RSA 암호화 연산을, 32KB 램을 가진 MCU에게 시키면 한 번 접속(Handshake)할 때마다 10초씩 걸려 배터리가 방전되므로, 뼛속까지 다이어트한 타원 곡선 역학을 쥐기 위함입니다.
• What to Learn:
  • Concepts: 대칭키(AES), 비대칭키(RSA vs ECC 타원 곡선 암호), 하드웨어 암호화 가속(Crypto Engine).
  • Skills: TLS/DTLS 핸드셰이크 오버헤드, 대칭키 교환 물리.
  • Tools: mbedTLS 라이브러리, 하드웨어 난수 생성기(TRNG).
  • Trade-offs: 암호화를 전부 칩 내장 하드웨어(Crypto Engine)에 외주 주면 속도와 배터리가 우주 방어를 치지만(극강의 효율), 칩 제조사가 특정 암호 알고리즘만 하드와이어링 해놓았기 때문에 훗날 양자 컴퓨터가 나와 새 암호(PQC)가 필요해도 소프트웨어로 업데이트할 수 없는 하드코딩의 한계.
• How to Learn:
  • 1단계: IoT 펌웨어가 클라우드 서버와 처음 만날 때, 미친 듯이 무거운 비대칭키(ECC) 연산은 딱 처음에 "너 진짜 맞지?" 신분 확인과 일회용 대칭키(세션 키)를 몰래 교환할 때 단 1번만 쓰고 버리는 전략적 암호 핑퐁을 해부합니다.
  • 2단계: 그 후 주고받는 온도 데이터는 가벼운 대칭키(AES-128) 록(Lock)을 채워, 칩셋 내부에 박혀있는 하드웨어 AES 가속기가 클럭 소모 거의 없이 CPU 대신 찰나의 순간에 데이터를 암호화 덤프하는 기하학을 뜯어봅니다.
• Implement: 파이썬 time 라이브러리로 성능 프로파일링. 10MB짜리 더미 데이터를 순수 소프트웨어(CPU) 연산 기반의 AES 암호화로 돌렸을 때 5초가 걸리는 것을, 가상의 Hardware_AES_Engine 객체(지연 없음)를 호출하여 0.01초 만에 튕겨내는 가속기 부하(Load) 차이 그래프 덤프.

Recommended

Core Topic 02: 물리적 금고와 실리콘 지문, 하드웨어 루트 오브 트러스트 (Root of Trust)

• Why to Learn: 해커가 드론이나 킥보드를 훔쳐 가서 칩을 화학 용액으로 녹이고 현미경(탐침)으로 램(RAM)을 읽어 비밀키를 탈취하는 궁극의 물리 공격(Side-channel) 앞에서는 소프트웨어 암호화가 한낱 종이 쪼가리에 불과함을 깨우치고, 칩 자체를 하드웨어 금고로 만들어버리기 위해서입니다.
• What to Learn:
  • Concepts: 루트 오브 트러스트(RoT, 신뢰의 뿌리), 보안 소자(Secure Element, SE), PUF(물리적 복제 방지 기술).
  • Skills: 키 탈취 방어(Anti-Tampering), TrustZone(물리적 구역 격리).
  • Tools: 스마트카드 칩 아키텍처.
  • Trade-offs: 일반 플래시 메모리에 키를 저장하면 공장에서 굽기(Provisioning) 편하지만 해커의 탐침 한방에 뚫림 vs 메인 CPU 옆에 독립된 보안 소자(SE) 칩을 박으면 해커가 뜯어내도 자폭(Anti-tamper)해버리지만, 단가가 2달러씩 추가되어 10만 대 양산 시 수억 원의 비용이 터지는 극한의 B2B 타협.
• How to Learn:
  • 1단계: CPU 안에 일반 구역(Normal World)과 절대 침범 불가 구역(Secure World, TrustZone)을 하드웨어 논리 게이트로 갈라치기 하여, 리눅스 커널(일반)이 해킹당해 좀비가 되어도 보안 구역에 숨겨둔 프라이빗 키는 물리적으로 절대 읽어오지 못하는 칩 분할 마법을 해부합니다.
  • 2단계: 공장에서 칩을 찍어낼 때 생긴 미세한 공정 오차(반도체 회로의 저항값 편차)를 마치 인간의 '지문'처럼 이용해, 전원이 켜질 때마다 그 칩 고유의 비밀키를 우발적으로 생성해 내고 전원이 꺼지면 흔적도 없이 램에서 사라지는 PUF(Physical Unclonable Function) 흑마법을 뜯어봅니다.
• Implement: 일반 Flash_Memory 딕셔너리에 담긴 키는 Hacker.read(address)를 쳤을 때 평문으로 터미널에 덤프되지만, Secure_Element 객체는 내부 연산(Sign) 결과만 반환할 뿐 Hacker.read()를 치는 순간 Tamper_Detected_Exception을 뱉으며 내부의 키값을 스스로 0x00으로 덮어써 파괴(Zeroize)해 버리는 하드웨어 방패 모사.

Practical

Core Topic 03: 호적 파기와 족보 증명, 기기 인증 및 프로비저닝 (Identity & PKI)

• Why to Learn: 서버 입장에서는 갑자기 인터넷으로 기어들어 온 온도 센서가 우리 공장에서 만든 진짜 제품인지, 아니면 북한 해커가 만든 위장 봇(Spoofing)인지 구별할 도리가 없으므로, X.509라는 '전자 호적등본' 시스템(PKI)을 세우기 위함입니다.
• What to Learn:
  • Concepts: PKI(Public Key Infrastructure), X.509 인증서(Certificate), 프로비저닝(Provisioning).
  • Skills: 팩토리 프로비저닝(공장 주입), JIT(Just-in-Time) 등록, 상호 인증(Mutual Authentication, mTLS).
  • Tools: AWS IoT Core 디바이스 레지스트리.
  • Trade-offs: 디바이스마다 고유한 X.509 인증서를 공장에서 하나하나 구워주면 보안은 우주 방어급이 되지만 팩토리 생산 라인에 복잡한 보안 장비(HSM)를 깔아야 하는 병목 vs 똑같은 대칭키(Shared Secret)를 공통으로 쑤셔 넣으면 양산 속도는 빛의 속도지만, 한 놈 칩이 털리는 순간 전체 시스템을 모조리 리셋해야 하는 멸망의 리스크.
• How to Learn:
  • 1단계: 서버가 센서를 못 믿듯 센서도 자기가 접속한 서버가 해커의 위장 서버(MITM)인지 믿을 수 없으므로, 접속하는 찰나의 순간 서로의 전자 인증서를 까보고 제조사(CA, Root)의 빨간 도장이 찍혀있는지 쌍방향으로 검사하는 mTLS 상호 인증 궤적을 해부합니다.
  • 2단계: 기기 수만 대가 클라우드에 핑을 때릴 때, 사전에 등록된 놈이 아니면 즉각 연결을 끊어버리지만, 공장에서 방금 막 태어난 놈이면 클라우드가 인증서를 보고 "음, 내 새끼 맞네"라며 IoT 레지스트리에 호적(Thing)을 동적으로 파주는 JIT(Just-in-Time) 클라우드 맵핑을 뜯어봅니다.
• Implement: Device가 클라우드 Broker에 연결을 시도할 때, Device_Cert와 Cloud_CA_Root_Cert를 입력으로 받음. 브로커의 verify_signature() 검증 파이썬 로직이 실패하면 소켓 연결을 즉각 Close 해버리고, 성공 시에만 Accept 하여 고유 Client_ID 토픽 권한(Policy)을 부여해 주는 인증 방호벽 구축 데모.

Advanced

Core Topic 04: 생명 연장과 롤백의 미학, 보안 부팅과 OTA (Secure Boot & OTA)

• Why to Learn: 우주에 떠 있는 위성이나 바닷속 부표의 펌웨어 버그를 고치기 위해 사람이 갈 수는 없으므로 원격으로 코드를 쏘아 덮어쓰되(OTA), 그 코드가 해커의 쥐약일 경우 부팅을 틀어막고 옛날의 건강한 코드로 시간을 돌리는(Rollback) 불로장생의 아키텍처를 쥐기 위해서입니다.
• What to Learn:
  • Concepts: 보안 부팅(Secure Boot), 부트 체인(Trust Chain), OTA(Over-The-Air) 업데이트, A/B 파티션.
  • Skills: 전자 서명(Digital Signature, ECDSA) 검증 로직, 플래시 메모리 뱅크 스왑(Bank Swap), 안티 롤백(Anti-Rollback).
  • Tools: MCU 부트로더 링커 스크립트.
  • Trade-offs: A/B 듀얼 파티션을 나누어 플래시 메모리 절반(B)에 새 펌웨어를 다운받으면, 업데이트 중 전원이 꺼져도 칩이 벽돌(Brick)이 되지 않는 완벽한 안전성을 얻지만, 값비싼 플래시 메모리 용량의 딱 50%밖에 앱(App) 개발에 쓰지 못하는 고통스러운 용량 반 토막 패널티.
• How to Learn:
  • 1단계: 전원을 켜자마자 실행되는 마이크로 부트로더(Bootloader) 롬이, 메인 펌웨어 영역(플래시)으로 점프하기 전 찰나의 순간에 펌웨어 덩어리를 해시(SHA) 돌려보고 제조사의 공개키로 도장(서명)이 일치하는지 심판(Secure Boot)한 뒤, 도장이 다르면 즉각 CPU를 Halt 시켜버리는 단호함을 해부합니다.
  • 2단계: 해커가 어제자 '진짜 도장이 찍힌, 하지만 치명적 버그가 있는 옛날 펌웨어'를 주워다 칩에 던져서 기기를 바보로 만들려는 다운그레이드(Downgrade) 공격을 시도할 때, 칩 내부의 돌아가지 않는 하드웨어 카운터(eFuse)와 버전 번호를 비교해 옛날 버전은 도장이 맞아도 가차 없이 쳐내는 안티 롤백 방어망을 뜯어봅니다.
• Implement: Flash_Memory 객체를 [Bootloader | Partition_A | Partition_B] 3구역으로 찢어놓는 파이썬 부트 시뮬레이터. OTA_Download 스레드가 해커의 펌웨어 바이트(서명 불일치)를 Partition_B에 다 덮어쓰고 재부팅 플래그를 올리지만, Bootloader가 0.1초 만에 서명 해시를 대조해 Verification_Failed를 띄우고 다시 안전한 Partition_A로 우회 점프하여 시스템 벽돌 사태를 방어하는 기적의 부트 궤적 로그.

7. Terminology

8. References

Primary References

• [P1] CS2023 - SF/Physical Layer Security — Basic device security.
• [P5] SFIA - Systems Development — Real-world update management skills.

Secondary References

• [IoT Security: Issues, Innovations and Interoperability] — Engineering perspectives.
• [Secure Firmware Updates for IoT Devices] IETF RFC draft guidance — Standard procedures.

Industry References

• [GlobalPlatform TEE Specifications] — The industry standard for hardware isolation.
• [Arm Platform Security Architecture (PSA)] — Holistic IoT security framework.

9. Final Checklist

Primary Checklist

• 하드웨어 신뢰점(RoT)이 없는 기기에서 펌웨어 변조를 물리적으로 왜 막을 수 없는지 논리적으로 입증할 수 있는가? (P1)
• 보안 부팅 과정에서 이전 단계가 다음 단계의 해시(Hash)를 검증하는 '신뢰의 사슬' 메커니즘을 설명 가능한가? (P1)

Secondary Checklist

• OTA 업데이트 시, 네트워크 장애로 파일이 깨졌을 때 기기가 안전하게 부팅 가능한 상태를 유지하는 물리적 구조(Dual Bank 등)를 설계했는가?
• X.509 인증서 기반의 mTLS 연결이 일반 비밀번호 기반 인증보다 IoT 대규모 운영에서 왜 더 보안적이고 유리한지 제안할 수 있는가?

Industry Checklist

• 펌웨어 이미지의 델타(Delta) 크기를 분석하여, 협대역(NB-IoT 등) 무선 통신에서의 업데이트 성공 확률을 수리적으로 설계 가능한가?
• 제품 출고 시 기기 고유 키(Unique Key)를 안전하게 주입(Injection)하는 공정 보안 시나리오를 기술할 수 있는가? (SFIA)