본문 바로가기

Home > 정보마당 > 공개SW 활용 성공사례

공개SW 활용 성공사례

[공개SW 활용 성공사례 205] 시큐리티플랫폼 - 개방형 보안플랫폼 개발

OSS 게시글 작성 시각 2015-10-07 18:53:55 게시글 조회수 1592

공개SW와 표준 암호화 기술 적용


전세계적으로 사물인터넷(IoT) 기술 개발이 빠르게 진행되고 있다. 현재 인터넷에 연결된 사물은 100억개에 이르며, 오는 2020년에는 500억 개의 사물이 인터넷으로 연결될 것으로 예상된다. 이처럼 모든 사물이 네트워크로 연결되면서 새롭게 부각되는 것이 보안 위협이다. 인터넷의 발달은 보안 위협을 키웠으며, IoT 시대는 새로운 보안위협을 만들어 냈다. 이런 가운데, 시큐리티플랫폼은 최근 공개SW를 활용해 IoT용 보안운영체제(OS)를 공개했다.

- 기관 시큐리티플랫폼
- 수행년도 2015년 7월
- 도입배경 사물인터넷 등에 활용이 기대되는 임베디드 리눅스 기반의 보안 OS개발 필요성
- 솔 루 션 Embedded Linux, TSS(Trusted Software Stack), Node.JS, MariaDB
- 도입효과 다양한 CPU 플랫폼을 지원하며 기능성, 확장성, 보안성이 우수한 보안운영체제 개발 및 공개

시큐리티플랫폼은 설립한 지 이제 갓 4개월째인 신생기업이다. 삼성전자 출신으로써 보안업체인 시큐아이에서 10여년간 근무한 황수익 대표와 김경모 최고기술책임자(CTO)가 지난 7월 1일 의기투합해 설립한 사물인터넷(IoT) 보안 전문 스타트업이다. 이 회사는 HW부터 운영체제(OS), 애플리케이션까지 포괄해 보장된 IoT기기를 구현할 수 있는 전용 플랫폼과 개술지원을 제공하고자 하고 있다.


이런 가운데 이 회사는 지난 9월, 전세계 오픈소스 코드 관리 및 프로젝트를 지원하는 깃허브(GitHub)를 통해 자사의 사물인터넷(IoT, Internet of Things)용 보안운영체제(OS)를 공개하며 ‘개방형 보안플랫폼 사업’을 시작한다고 알렸다. 공개SW인 임베디드 리눅스가 핵심이다.



임베디드 리눅스를 활용 IoT 보안 OS 공개

임베디드 리눅스는 임베디드 SW 중 OS인 리눅스를 사용하는 것을 말한다. 임베디드SW는 마이크로프로세서 위에 내장돼 제한된 자원을 활용해 특정 기능을 수행하도록 지원하는 SW다. 특히 임베디드 리눅스는 휴대전화, PDA, 미디어 플레이어, 세톱박스 등의 가전기기를 비롯해 네트워킹 장비, 기계 제어, 자동화, 내비게이션 장비, 의료기구와 같은 임베디드 컴퓨터 시스템에 가장 많이 활용되고 있다.




▲ 시큐리티OS와 HW모듈 구성도


임베디드 리눅스는 상업용 임베디드 운영체제와 비교해 다양한 장단점을 갖고 있다. 장점으로는 SW개발과 지원 업체가 많다는 점과 별도의 로열티나 라이선스 비용이 없다는 점이다. 또 커널이 안정적이며 소스코드를 이해하고 변경, 재배포가 용이하다. 단점도 존재하는데, 커널과 루트 파일 시스템 등에 상대적으로 많은 메모리가 차지될 수 있으며, 사용자 모드와 커널모드의 메모리 접근에 복잡성을 갖기도 한다. 또 디바이스 드라이버 프레임워크가 복잡하기도 하다.


황수익 시큐리티플랫폼 대표는 임베디드 리눅스를 선택한 배경에 대해 “다양한 CPU 플랫폼을 지원할 뿐 아니라 기능성과 확장성이 우수하고 사용자 층이 넓어 오류 수정이 빠르고 안정성이 우수하다”고 설명했다. 다만 임베디드 리눅스는 기존의 RTOS에 비해 많은 메모리를 요구하고 있어 RTOS를 활용한 보안 OS 지원도 고려하고 있다고 설명했다. 그는 이어 “특히 이미 공개된 국제표준 기술이나 공개W를 활용함으로써 그 동안 기기 제조사들이 어려워했던 보안 문제를 해결하고자 했다”고 말했다.



▲ 시큐리티플랫폼이 개발한 IoT게이트웨이와 보안플랫폼



보안 중요성은 인식하지만…구현은 어려워

실제 대다수 사물(Thing) 제조사들은 보안의 중요성은 인식하지만 보안 기술에 대한 이해와 경험이 부족해 제대로 구현하는 것이 매우 어려운 문제라고 한다. 보안 전문 회사들도 사물의 보안 문제를 해결하기 위한 이렇다 할 만한 솔루션을 아직 제공하지 못하고 있는 현실이다.


황 대표는 “제품을 만드는 제조사들이 사용하는 기존의 OS는 IoT 시대에 걸 맞는 보안이 이뤄지지 않았을 뿐 아니라 보안이 들어있는 OS는 없었다”며 “이에 보안이 이뤄진 OS를 제공하는 것으로 사업모델을 구축하고자 헀다”고 설명했다.


특히 보안OS 개발에 있어 세 가지 원칙만 지켜지면 결코 어려울 것이 없다는 것이 그의 주장이다. 그는 “보안은 세 가지 원칙만 지켜지면 된다”며 기밀성과 무결성, 가용성을 꼽았다.


기밀성은 오직 인가된 사람들에게만 정보가 공개되는 것을 말한다. 전송되는 데이터의 내용을 완벽히 보호해 비인가자가 정보의 실제 내용에 접근하는 것을 방지한다. 또 무결성은 원래의 정보 또는 신호가 전송/저장/변환 중 또는 그 후에도 동일함을 유지하는 것을 말한다. 마지막으로 가용성은 요구 기능을 요구 시간 동안 올바르게 수행하는 능력을 일컫는다. 즉, 시스템의 데이터 또는 자원을 필요로 할 때 지체 없이 원하는 객체 또는 자원을 접근 및 사용할 수 있어야 한다는 것이다.



보안의 핵심은 ‘기밀성’, ‘무결성’, ‘가용성’

이를 위해 다양한 국제표준 기술과 공개SW를 활용했다. 기밀성을 위해 TPM(Trusted Platform Module)을 도입했다. TPM은 보안전용 마이크로 프로세서로써 사물에 ID를 생성하고 암호키를 안전하게 보호하는 기술이다. 디바이스 식별, 인증, 암호화 무결성 검증에 활용되고 있으며 윈도PC에는 오래전부터 사용돼 왔지만 임베디드 리눅스에서는 적용 사례가 드물었다.



▲ TPM 구조도


무결성을 위해선 안전부팅(Secure Boot) 기술을 개발했다. 안전부팅은 전원을 켜고 OS가 시스템 통제권을 가져가지 전에 리눅스 커널과 시스템 이미지의 암호화된 서명을 확인하고 보안 인증된 파일의 경우에만 실행하게끔 하는 기술이다. 애플의 아이폰과 삼성 녹스 등이 이 기술을 사용하고 있으며, 구글의 크로미움OS에도 적용돼 있다.



▲ 보안부팅(Secure Boot)


마지막으로 가용성을 위해 어플리케이션을 샌드박스(Sand Box) 안에서 실행되게 함으로써 강제적 접근제어(MAC : Mandatory Access Control)을 구현했다. 강제적 접근제어란 어떤 주체가 특정 객체에 접근 시 보안 레벨에 기초해 낮은 수준의 주체가 높은 수준의 객체 정보에 접근하는 것을 제한하는 방법이다.



▲ 강제적 접근제어(MAC)


황 대표는 “이런 방법을 샌드박스 또는 컨테이너라고 부른다”며 “SElinux(Security Enhanced Linux)나 SMACK(Simple Mandatory Access Control Kernel) 등과 같은 공개SW로 활용이 가능하다”고 설명했다.


김경모 시큐리티플랫폼 이사(CTO, 최고기술책임자)는 “이 외에도 오픈SSL, 리눅스 커널 사이에서 TPM을 사용할 수 있는 트라우저스(TSS, Trusted Software Stack), 오픈VPN, SSL VPN, 스트롬스완 등이 활용됐다”고 설명했다.



공개SW 활용에서 끝이 아닌 재공유 이뤄져야

시큐리티플랫폼은 오픈소스하드웨어를 활용해 사물(Thing)을 개발하는 개발자들을 위해 인텔 에디슨/갈릴레오 및 라즈베리파이, 비글본블랙 등에 수정없이 바로 사용이 가능한 OS 이미지와 수정 가능한 소스코드를 함께 배포했다. 여기에는 4가지 이유가 존재한다.

우선 자신들이 개발한 보안OS의 성공을 위해서다. 운영체제가 보다 널리 이용되고 성공되기 위해서는 확장성이 커야 한다. 이는 개발자 한 두 사람이 해결할 수 있는 문제가 아니다. 때문에 여러 개발자가 붙어 공유하고 함께 발전시켜 나가야 한다는 것이 황 대표의 설명이다.


또, 개발자가 곧 고객이기 때문이다. HW와 SW, OS, 보안을 모두 개발자가 알아야 하기 때문에 이를 모두 갖추기가 어려울 수 밖에 없다. 황 대표는 “공개를 통해 많은 개발자가 이를 개발할 수도 있지만 스스로 해결을 다 할 수는 없을 것”이라며 “보안은 계속 손이 가야 하기 때문에 결국은 그 개발자들이 고객이 될 수밖에 없다”고 말했다.


또 보다 나은 실력의 개발자를 구인하기 위함이다. 같은 프로젝트에 참여하고 관심이 있어 하는 개발자들과 같이 사업을 확장해 나가겠다는 목표다.


마지막으로 표준화를 위해서다. 표준화란 가장 많이 사용되는 것이 표준이 되기 마련이다. 더 많은 개발자들이 시큐리티플랫폼의 보안OS를 경험하고 더 많이 쓸 수 있도록 해 업계 표준이 될 수 있도록 하겠다는 각오다.


황수익 대표는 “보안이라고 하면 이제까지는 솔루션을 생각해 왔다”며 “이는 결국 효용성을 떨어뜨릴 수 밖에 없으며, 성능의 문제로 이어질 수 밖에 없었다. 이제 보안은 내제화돼야 한다”고 강조했다.



[인터뷰]

“보안OS 어렵지 않아요”

시큐리티플랫폼 김경모 이사, 황수익 대표


시큐리티플랫폼 김경모 이사, 황수익 대표

창업을 하게 된 이유는

임베디드SW가 중요하며 그 중 OS는 특히 중요하다. 덧붙여 사물인터넷 시대에 보안이 가장 중요한 영역으로 떠오르고 있는 상황이다. 우리 정부도 그 중요성을 인식하고 대응을 시작한 상황이다. 하지만 전 직장은 장비 쪽에 초점을 맞췄다. OS쪽을 하고 싶어 김 이사가 의기투합해 회사를 창업하게 됐다. 특히 보안이라고 하면 많이들 어렵다고 하는데, 보안은 최신 해킹 기술을 이해하는데서 시작하는 것이 아니라 기밀성, 무결성, 가용성이라는 세 가지 요건만 갖추는 것이 핵심이다.


공개SW의 활용효과는

공개SW가 없었으면 짧은 시간에 성과를 거두기 힘들었을 것이다. 아마 혼자했다면 10년이 더 걸렸을지도 모를 일이다. 개발자의 역량 중 알고리즘을 잘 다루고 짜는 것이 중요할테지만, 그에 못지않게 중요한 것이 기업이 원하는 성능 등을 어디서든 빠르게 구현할 수 있어야 한다는 점이다. 이런 점에서 공개SW는 엄청난 효과를 가져다 준다.


오픈SSL은 취약점이 많다. 올초에도 하트블리드 등 이슈가 발생한 바 있는데?

취약점은 계속 나올 수밖에 없다. 꼭 오픈SSL이기 때문에 위험하다? 이건 아닌 듯 싶다. 기능개선 등의 패치는 사용자가 불편을 느낄 수는 있지만 충분히 넘어갈 수 있다. 하지만 보안 패치는 취약점이 나오면 반드시 개선돼야 한다. 보안 취약점은 알려지기 이전부터 공격들이 발생할 수 밖에 없다. 이를 모두 자체적으로 해결하긴 어려울 것이다. 그래서 서비스로서의 사업을 펼쳐 나가려 한다.


짧은 시간이지만, 워낙 독특한 비즈니스 아이템이기 때문에 성과가 예상된다.

벌써 여러 곳에서 연락이 오고 있는 상황이다. 물론 고객을 확보한 것은 아니지만, 게이트웨이를 만드는 회사, 자체 보안이 없어 TPM을 개발하고자 하는 곳, 스마트 팩토리 중 센서에 해당하는 영역, CCTV 관련된 곳 등에서 문의가 들어와 진행을 하는 곳 등이 있다.




- 공개SW 역량프라자

맨 위로
맨 위로