[논문 리뷰] Understanding IoT Security Through the Data Crystal Ball: Where We Are Now and Where We Are Going to Be

Nan Zhang, Soteris Demetriou외 12명|arXiv (Cornell University)|2017. 03. 28.

Advanced Malware Detection Techniques참고 문헌 62인용 수 47

한 줄 요약

이 논문은 의미적 클러스터링과 기계학습을 사용하여 3,367편의 산업 및 학술 논문을 채굴하여 소비자 IoT 보안에 대한 종합적이고 다중 출처 분석을 제시한다. LAN에 대한 불신, 환경에 대한 불신, 애플리케이션의 과도한 권한 부여, 인증 없음 또는 약한 인증, 구현 결함의 다섯 가지 핵심 보안 문제 영역을 규명하고, 기존 솔루션을 평가하기 위한 체계적인 분류 체계와 평가 프레임워크를 제안한다. 이는 현재 방어 조치의 심각한 격차를 드러내며 통합된 보안 프레임워크와 기기 독립적 액세스 제어의 필요성을 제기한다.

ABSTRACT

Inspired by the boom of the consumer IoT market, many device manufacturers, start-up companies and technology giants have jumped into the space. Unfortunately, the exciting utility and rapid marketization of IoT, come at the expense of privacy and security. Industry reports and academic work have revealed many attacks on IoT systems, resulting in privacy leakage, property loss and large-scale availability problems. To mitigate such threats, a few solutions have been proposed. However, it is still less clear what are the impacts they can have on the IoT ecosystem. In this work, we aim to perform a comprehensive study on reported attacks and defenses in the realm of IoT aiming to find out what we know, where the current studies fall short and how to move forward. To this end, we first build a toolkit that searches through massive amount of online data using semantic analysis to identify over 3000 IoT-related articles. Further, by clustering such collected data using machine learning technologies, we are able to compare academic views with the findings from industry and other sources, in an attempt to understand the gaps between them, the trend of the IoT security risks and new problems that need further attention. We systemize this process, by proposing a taxonomy for the IoT ecosystem and organizing IoT security into five problem areas. We use this taxonomy as a beacon to assess each IoT work across a number of properties we define. Our assessment reveals that relevant security and privacy problems are far from solved. We discuss how each proposed solution can be applied to a problem area and highlight their strengths, assumptions and constraints. We stress the need for a security framework for IoT vendors and discuss the trend of shifting security liability to external or centralized entities. We also identify open research problems and provide suggestions towards a secure IoT ecosystem.

연구 동기 및 목표

• 학술 논문, 화이트페이퍼, 뉴스, 블로그 포스트 등의 자료를 통합하여 2010년대 초반 기준 IoT 보안 위협과 방어 조치에 대한 종합적이고 최신의 시각을 제공한다.
• 새로운 분류 체계를 통해 소비자 IoT의 주요 보안 및 개인정보 문제 영역을 규명하고 체계화한다.
• 다양한 위협 카테고리에 걸쳐 기존 IoT 보안 솔루션의 강점, 가정 조건, 한계를 평가한다.
• 학술 연구와 산업 연구 간의 괴리를 드러내며, 새로운 연구 격차를 규명한다.
• IoT 업체를 위한 통합 보안 프레임워크와 보안 책임을 중심화되거나 외부 기관으로 이전시키는 것을 주장한다.

제안 방법

• 웹 크롤링, 의미적 추출, 콘텐츠 필터링, 기사 클러스터링을 수행하는 문헌 검색 및 마이닝 툴킷을 개발하여 IoT 보안 사고의 일관된 '이야기'를 식별한다.
• 3,367편의 비학술 기사(화이트페이퍼, 뉴스, 블로그 포스트)와 47편의 학술 논문을 수집 및 분석하여 2010년에서 2016년 사이에 107건의 고유한 공격 사례를 도출한다.
• IoT 보안 문제에 대한 다섯 단계 분류 체계를 제안한다: LAN에 대한 불신, 환경에 대한 불신, 애플리케이션의 과도한 권한 부여, 인증 없음 또는 약한 인증, 구현 결함.
• 기존 솔루션의 효과성과 가정 조건을 평가하고 비교하기 위해 위협 모델, 완화 범위, 호환성 등의 평가 속성 세트를 정의한다.
• 분류 체계와 평가 프레임워크를 사용하여 107건의 공격 사례와 그에 해당하는 방어 조치를 체계적으로 분석하고 분류한다.
• 모든 수집된 데이터, 즉 기사와 애플리케이션 메타데이터를 향후 연구를 지원하기 위해 공개할 계획이다.

실험 결과

연구 질문

• RQ1 2010년에서 2016년 사이의 실제 사례를 바탕으로, 소비자 중심 IoT 시스템에서 지배적인 보안 및 개인정보 위협은 무엇인가?
• RQ2 산업 보고서와 뉴스에서의 발견 및 위협 모델은 학술 연구에서의 결과와 어떻게 비교되는가?
• RQ3 기존 IoT 보안 솔루션의 핵심 한계와 가정 조건은 무엇이며, 실제 위협 환경과 얼마나 일치하는가?
• RQ4 연결된 자동차와 같은 새로운 IoT 애플리케이션 플랫폼 및 사용 사례는 어떤가? 이 분야에는 충분한 보안 연구와 방어 메커니즘이 부족한가?
• RQ5 IoT 생태계 전반의 보안을 향상시키기 위해 필요한 체계적 변화는 무엇인가? (예: 새로운 보안 프레임워크 또는 책임 모델)

주요 결과

• growing awareness에도 불구하고 LAN에 대한 불신과 애플리케이션의 과도한 권한 부여와 같은 핵심 IoT 보안 문제는 여전히 대부분 해결되지 않았으며, 효과적이고 확장 가능한 솔루션이 거의 없다.
• 학술 연구와 산업 연구 사이에 심각한 격차가 존재하며, 특히 공급망이나 펌웨어 위변경을 포함한 실제 공격 사례들이 학술 문헌에서 다소 부족하게 보고되고 있다.
• 기존 액세스 제어 메커니즘은 스마트폰의 악성 애플리케이션이나 로컬 네트워크 내에서 해킹된 IoT 기기의 위협을 고려하지 못하고 있어, 기기 종속적이지 않고 신뢰 기반의 액세스 제어 모델이 필요하다.
• 본 연구는 연결된 자동차 및 새로운 IoT 플랫폼에 대한 상당한 연구 부족을 규명하여 현재 보안 노력의 심각한 맹점이 있음을 시사한다.
• 많은 제안된 방어 조치는 레거시 기기와의 호환성이 없어 실제 도입 및 보급에 제한을 받고 있다.
• 보안 책임을 외부 또는 중심화된 기관으로 이전시키는 경향이 새로운 트렌드로 부상하고 있으며, 이는 책임을 다하고 전체 생태계 보안을 향상시키기 위해 필수적이다.