[논문 리뷰] Best Practices for IoT Security: What Does That Even Mean?

Christopher Bellman, Paul C. van Oorschot|arXiv (Cornell University)|2020. 04. 25.

Advanced Malware Detection Techniques참고 문헌 23인용 수 5

한 줄 요약

이 논문은 IoT 보안 분야에서 '최선의 실천 방법'이라는 용어의 모호하고 일관되지 않은 사용을 조사하며, 많은 지침이 바람직한 결과와 실행 가능한 실천 방법을 혼동하고 있다고 주장한다. 1,014개의 IoT 보안 권고사항을 분석한 결과, 70%는 주로 제조사의 책임이 되는 초기 기기 생애주기 단계와 관련되어 있으며, 91%는 구체적인 행동이 아닌 모호한 결과에 불과하여 구현을 약화시킨다. 주요 기여는 명확한 용어 정의와 효과적인 도입을 위한 실행 가능한 최선의 실천 방법을 정의하는 프레임워크이다.

ABSTRACT

Best practices for Internet of Things (IoT) security have recently attracted considerable attention worldwide from industry and governments, while academic research has highlighted the failure of many IoT product manufacturers to follow accepted practices. We explore not the failure to follow best practices, but rather a surprising lack of understanding, and void in the literature, on what (generically) "best practice" means, independent of meaningfully identifying specific individual practices. Confusion is evident from guidelines that conflate desired outcomes with security practices to achieve those outcomes. How do best practices, good practices, and standard practices differ? Or guidelines, recommendations, and requirements? Can something be a best practice if it is not actionable? We consider categories of best practices, and how they apply over the lifecycle of IoT devices. For concreteness in our discussion, we analyze and categorize a set of 1014 IoT security best practices, recommendations, and guidelines from industrial, government, and academic sources. As one example result, we find that about 70\% of these practices or guidelines relate to early IoT device lifecycle stages, highlighting the critical position of manufacturers in addressing the security issues in question. We hope that our work provides a basis for the community to build on in order to better understand best practices, identify and reach consensus on specific practices, and then find ways to motivate relevant stakeholders to follow them.

연구 동기 및 목표

• IoT 보안 분야에서 '최선의 실천 방법'이란 의미가 무엇인지에 대한 널리 퍼진 혼란과 공감대 부족을 해결하기 위해.
• 기존 문헌과 표준에서 '최선의 실천 방법', '권고사항', '가이드라인', '요구사항'과 같은 용어가 어떻게 일관되지 않게 사용되고 있는지 조사하기 위해.
• 1,014개의 IoT 보안 권고사항의 생애주기 단계 분포를 분석하여 보안 책임이 어디에 있는지 파악하기 위해.
• 대부분의 지침이 실행 가능하지 않다는 점을 입증하고, 제조사 및 기타 이해관계자의 구현에 악영향을 미치는 이유를 밝히기 위해.
• 바람직한 결과와 구체적이고 실행 가능한 실천 방법을 명확히 구분할 수 있는 더 명확하고 표준화된 어휘 체계를 정착시키기 위해.

제안 방법

• 저자들은 산업, 정부, 학술 자료에서 유래한 1,014개의 IoT 보안 최선의 실천 방법, 권고사항, 가이드라인을 종합적으로 분석하였다.
• 이러한 항목들을 세 가지 유형으로 분류하였다: (1) 실행 가능한 보안 실천 방법, (2) 구체적인 바람직한 결과(유형-S), (3) 모호한 바람직한 결과(유형-V).
• 각 권고사항을 기기 개발 및 배포의 적절한 단계에 매핑하기 위해 IoT 기기의 생애주기 모델을 적용하였다.
• 1,014개 항목을 매핑하고 분석하기 위해 영국의 소비자용 IoT 보안 코드 오브 프랙티스를 기준 프레임워크로 사용하였다.
• 다양한 생애주기 단계에서 권고사항의 세밀함과 실행 가능성에 대해 정성적 및 정량적 분석을 수행하였다.
• 보안 결과와 그 결과를 달성하기 위한 실천 방법을 구분하는 개념적 모델을 제안하였으며, 명확성과 구현 가능성을 향상시키는 것을 목표로 하였다.

실험 결과

연구 질문

• RQ1 '최선의 실천 방법'이란 IoT 보안 맥락에서 실제로 무엇을 의미하며, 왜 지침들 사이에서 일관되지 않게 적용되고 있는가?
• RQ2 IoT 보안 분야에서 '최선의 실천 방법', '권고사항', '가이드라인', '요구사항'과 같은 용어들은 의미와 적용에서 어떻게 다를까?
• RQ3 대부분의 보안 권고사항은 IoT 기기 생애주기의 어느 단계에 적용되며, 누가 그 이행을 담당하는가?
• RQ4 기존 지침의 실행 가능성은 어느 정도이며, 모호한 결과의 빈도는 제조사의 구현에 어떤 영향을 미치는가?
• RQ5 IoT 보안 실천 방법의 도입과 효과성을 향상시키기 위해 더 명확하고 정확한 어휘 체계를 어떻게 정립할 수 있는가?

주요 결과

• 분석된 1,014개의 IoT 보안 권고사항 중 약 70%는 기기 생애주기의 사전 판매(제작) 단계와 관련되어 있으며, 주로 제조사의 책임이 된다.
• 권고사항의 약 91%는 실행 가능한 실천 방법이 아니라 모호하거나 특정한 바람직한 결과에 불과하여 추가 설명 없이선 구현이 어려운 편이다.
• 대부분의 지침은 바람직한 보안 결과와 실제 실천 방법을 혼동하여 모호성을 초래하고, 도입 가능성은 감소시킨다.
• 연구는 보안 부채 현상이라는 중요한 문제를 밝혀내었으며, 개발 초기에 내려진 열악한 보안 결정들이 누적되어 후속에 수정하기가 매우 비용이 많이 드는 문제로 이어진다.
• 분석 결과 현재 지침들이 종종 구체적이고 실행 가능한 조치를 제공하지 못함으로써, 조건이 갖춰진 이해관계자들이라도 그 효과가 떨어진다는 점을 드러냈다.
• 연구는 IoT 보안을 향상시키기 위한 기초 단계로, 결과와 실행 가능한 실천 방법을 명확히 구분하는 정밀하고 공유되는 어휘 체계를 수립하는 것이 필요하다고 결론내렸다.