IoT, 미래는 왜 이리 더딘가

IoT는 미래, 맞다. 이른바,

와해성 기술의 대표선수다

와해성 기술이란, 널리 확산되기만 하면 기존 시장을 완전히 재편성하고 시장 대부분을 점령하게 될 기술을 뜻한다. 등장 초기엔 시장이 요구하는 상품 조건을 당장 만족시키진 못하지만, 혁신 기업들의 투쟁 그리고 숱한 희생을 통해 존속성을 확보해 가며 전투적으로 시장에 진출, 기존 시장 외곽에서부터 단숨에 중심부를 타격하고 차지한다. 그리고, 시장은 완전히 대체된다. 디지털 카메라 등장으로 필름 시장이 사라지고 MP3 등장으로 LP와 CD 시장이 사라졌듯.
IoT는 클라우드, 인공지능, 무인자동차, 3D 프린팅, 재생 에너지 등의 기술들과 더불어 막강한 와해성 기술로서 그 위세가 아주 당당하다. “이 세상 모든 것들이 인터넷에 연결된다!” 멋지다. 일단 연결되기만 하면 연결되지 않은 것들은 시장에서 싹 사라지게 될 거다. 의심의 여지 없이 확실한 미래, 맞다. 그러나, 언론 플레이는 화려한데 비해 당장 뭔가 눈에 딱 보이는 건 없다 싶다. 맨날 사물인터넷! 사물인터넷! 요란한데 뭐 하나 제대로 볼 만한 건 없다. 왜 그럴까. 왜냐면,

연결의 혜택 설득에 성공하지 못했다

연결하기만 하면 완전 끝장인데, 연결하지도 못한 것들은 싹 다 사라지게 될 텐데, 정작 연결하면 왜 좋은지를 제대로 말하지 못한 거다. 그러니 소비자 반응은 어째 좀 서먹서먹하다. 이것이 미래라며 막 떠드는데, 감이 영 멀다. 광고를 보자.
냉장고에 붙은 스크린 띡띡띡 눌러 레시피 찾아 국수 삶아 먹으며 자기들끼리 하하호호 웃는다. 이게, 감동이 있나,, 그냥 스마트폰으로 찾아 보면 될 일이다. 소프트웨어와 인터넷을 그리고 게임을 손바닥 위에 올려놓기 위해 얼마나 많은 노력이 있었나. 그에 시장도 아주 화끈하게 반응해 한때 미래의 와해성 기술로 회자되던 스마트폰은 완전한 ‘현재’가 되었다. 기술의 혜택 설득에 성공, 즉 소비자 공감을 얻었기 때문에 가능한 일이었다. 그러니 IoT는 이 아주 단순한 질문에 대답부터 해야 한다.

“연결하면 뭐가 좋은데?”

지금의 IoT는, 글쎄, “어이쿠, 뭘 이런 걸 다,,” 정도의 느낌, 아닌가. “이것이 IoT입니다!” 열심히들 떠들지만 뭐가 어째서, 어떻게, 왜 좋은지를 모르겠다. 당연한 미래란 건 알겠다. 기존 시장을 완전히 전복할 무시무시한 기술이란 것도 자명하다. 번쩍번쩍 휘황찬란한 IoT 산업 전망, 이를테면 네트워크가 폭발적으로 확장할 거라며 국내외 네트워크 설비 회사들이 잔뜩 들떠 물량전 준비하는 것도 적절한 전략이다. 하지만,
먼저 이 질문에 대답부터 해야 하지 않을까. 연결하면 뭐가 좋은데? ‘IoT’로 검색해 보자. 기사가 정말 엄청나게 많이 뜬다. 하지만 별 감동은 없다. 제조사와 언론 그리고 정부만 잔뜩 흥분해 떠드는 것 같다. 확실한 미래니까 당연한 소란이긴 하다만, 그 소란의 내용은 다시 생각해 봐야 할 듯싶다. 게다가,

그 미래, 더디게 와서 차라리 다행이다

IoT 보안 사고는 충분히 확산되지 않은 지금도 끊임없이 일어나고 있다. 충분히 확산되고 나서도 지금 같다면, 상상만 해도 정말 무섭다. 지금은 꽤 큰 보안 사고 터져도 기껏 돈 좀 잃으면 그만이다. 하지만 IoT라면, 예컨대 자동차라면! 사람 목숨이 걸린 일이다. 그러니 우선 사후대처 방식에서부터 완전히 뜯어고쳐야 한다. ‘사후’ 따지고 그럴 여유도 없다.
IoT 기기 대부분이 사용자가 직접 패치 업데이트를 하는 사용자 책임 방식으로 되어 있기 때문에 사용자가 알아서 주기적으로 최신 버전 패치 업데이트를 해야 하는데, 그런 거 안 하는 사람들 참 많다. 그리고, 최근 사건들을 보면 해커들은 기기의 취약점보다는 IoT와 연결된 클라우드 환경의 최약점을 노리는 경우가 많다. 따라서 제조사는 디바이스, 애플리케이션, 클라우드 3개 요소의 보안을 모두 다 챙겨야 한다. 대기업 규모라면 각각의 전담 팀을 운영하지만, 작은 회사들 형편으로는 감당하기 쉬운 일이 아니다.
물론 이 문제는 회사 형편 따져 주고 그럴 일도 아닌, 아주 근본적인 문제다.

IoT 기기의 분류

IoT 기기를 기능에 따라 센싱, 액츄에이팅, 데이터 수집 및 전송 등 맡은 일에 따라 나눌 수 있지만, 그보다는 성능에 따른 분류가 우선이다. 성능에 따라 기기의 성격 자체가 완전히 달라지기 때문이다. IoT 기기는 성능에 따라 0~3등급으로 분류한다. 좀 길지만 중요하니 한 번 쭉 훑어보자면,
‘등급 0’은 초소형 초경량 초절전 저성능, 너무나 보잘것없이 사소해서 기기라고 말하기도 좀 민망한 물건이다. 주로 센서 역할만 맡으며, 메모리 및 프로세싱에 상당한 제한이 걸려 있다. 따라서 안전한 통신, 아니 통신 자체가 매우 제한적이라서 게이트웨이 등 주변 다른 장치가 필수적이다. 센서로 수집한 데이터에 대한 최소한의 보안, 그리고 역시 최소한으로 제한된 최초 설정 파일에 대한 상태 확인 정도의 보안 조치만 가능하다.
‘등급 1’은 8 또는 16비트 프로세서로 작동하는 의료기기, 도어락, 온도조절기, 스마트미터, 웨어러블밴드 등의 기기다. 프로세싱 능력이 제한적이다 보니 HTTP 등 기존의 흔한 프로토콜 통신 또한 제한적이기 때문에 CoAP 등 특수 프로토콜을 사용한다. 게이트웨이 등 기타 장치 도움 없이도 통신이 가능하긴 하나, 보안 기능은 선택적 그리고 제한적으로 가능해 근본적 위험성이 있다. 특수 목적 기기다 보니 전용 어플리케이션 보안이 특히 중요한데, 어플리케이션은 업데이트가 가능하다. 단, 기기 수가 관리하기에 너무 많아지지만 않는다면.
‘등급 2’부터는 그냥 일반 기기라 부를 만하다. 32비트 프로세서로 동작하는 게이트웨이나 스마트폰 등의 기기다. 보안 기능 지원은 충분하지만, 전원 관리 등의 이유로 제한적으로 사용할 때 성능 이득이 있다. 역시 어플리케이션 보안이 가장 중요한데, 등급 1에 비해 전용 어플리케이션이 아닌 경우가 많아서 범용, 즉 본격 헬게이트가 열리는 시작점이라 할 수 있다. ‘등급 3’은 등급 2 이상의 성능을 가진 기기로서 성능 면에서 따로 제한을 두고 생각할 필요가 없다.
자, 이런 사물들에 대해 기존 IT 보안 방법론을 적용해 보자면,

너무 작고, 너무 많다,,

초소형 초경량 초절전 저성능, 이는 다시 말해 보안 패치 업데이트 등의 조치를 할래야 할 수가 없다는 뜻이다. 애초에 패치가 불가능할 정도로 사소하다. 그러나 기기 수는 아주 많아서 일일이 조치하기가 사실상 불가능하다. 눈에 잘 보이지도 않는 그 쪼매난 물건에다 대고 운영체제 위변조 및 백도어 설치를 방지하고 부정한 비인가 접근을 차단하고 비밀키 유출을 방지하고 애플리케이션 취약점을 탐지해 차단하고 악성코드 감염 시 치료하고 등등등, 이걸 어떻게 하겠나,, 정말 힘든 일이다. 게다가 그런 물건들이 한두 개가 아니다.
작고, 많다. 그러니 도난 및 탈취도 큰 문제다. 따라서 데이터를 수집하되 저장하면 안 되고 송신하되 처리하면 안 된다. 보안의 3대 요소 기밀성 무결성 가용성 뭐 그런 걸 따질 수도 없는 형편인 거다.
세상 모든 사물을 인터넷에 연결했는데, 취약점이 발견되어 기기 업데이트를 해야 한다면, 그건 정말 시작할 엄두조차 나지 않는 어마어마한 일일 거다. 일단 연결하고 취약점이 발견되면 그때 되어서야 보안 조치를 취하는 기존 IT 보안 ‘선연결-후보안’ 방법론을 적용해선 안 되는 이유다. 그래서,

IoT는 무조건 ‘선보안-후연결’

이거, 아주 심각한 문제다. 예전처럼 그냥 막 연결해선 절대 안 된다. 그럼에도 미래산업 부흥을 위해 일단 띄우고 보자? 그럼 정말 무시무시한 미래가 펼쳐지게 된다. 지금 세상은, 감히 말하건대, 차라리 안전하다. 아직까지는 진짜 아닌 사이버 세계의 위험 정도로 그치고 마니까. 그런데 IoT 세계가 본격적으로 시작되고 그때도 지금처럼 ‘선연결-후보안’ 사후대처 방식으로 안일하게 대처한다면, 그 흔한 사이버 위험들은 고스란히 진짜 세상의 위험이 된다.
IoT는 사람 신체에 직접 영향을 미칠 수 있는 우리 주변 사물들을 동작하게 하는 기술이다. 그 물건들이 오늘날 온갖 사이버 사건사고들처럼 빵빵 터진다면 어떻겠나. 그래서다. 그래서 그 미래, 더디게 와서 차라리 다행이라 말하는 거다. 그래서,
‘선보안-후연결’, 선택이 아닌 필수다.