무슨 일이 있었냐면요
스마트홈 카메라로 유명한 TP-Link의 Kasa 시리즈 카메라(EC71 모델)가 무려 6년 동안 집의 GPS 좌표를 아무 인증 없이 노출해왔다는 보안 연구 결과가 공개됐어요. 연구자가 이 카메라의 네트워크 통신을 분석하다가 발견했는데요, 특정 UDP 패킷 하나만 보내면 카메라가 자기가 설치된 집의 위도와 경도를 그대로 응답해줬다고 해요. 비밀번호도, 로그인도 필요 없었고요.
여기서 UDP가 뭐냐면, 네트워크에서 데이터를 주고받는 방식 중 하나예요. TCP가 전화처럼 '여보세요, 잘 들리시죠?' 하고 연결을 확인한 다음 대화하는 방식이라면, UDP는 엽서처럼 그냥 던져 보내는 방식이거든요. 빠르고 가벼워서 기기 검색이나 영상 스트리밍에 많이 쓰여요. 문제는 이렇게 가벼운 통로로 민감한 정보를 실어 보내면서 아무런 잠금장치도 걸어두지 않았다는 거예요.
카메라가 왜 GPS 좌표를 갖고 있었을까요
스마트홈 기기들은 '해가 지면 녹화 시작' 같은 자동화 기능을 위해 위치 정보를 저장해두는 경우가 많아요. 일출과 일몰 시각은 위치에 따라 달라지니까요. 보통 설정 과정에서 스마트폰 앱이 폰의 GPS 좌표를 기기로 넘겨주고, 기기는 이걸 내부에 저장해두거든요. 여기까지는 흔한 설계예요. 진짜 문제는 이렇게 저장된 좌표를 아무 인증 없이 조회할 수 있는 통로가 열려 있었다는 점이에요.
TP-Link 기기들은 같은 네트워크 안에서 기기를 자동으로 찾아주는 '디스커버리 프로토콜'을 UDP 위에서 운영해요. 이게 뭐냐면, 앱이 '이 네트워크에 Kasa 기기 있니?' 하고 방송을 하면 기기들이 '나 여기 있어!' 하고 자기 정보를 담아 응답하는 구조예요. 사용자 입장에서는 기기가 자동으로 잡히니 편하죠. 그런데 이 응답에 기기 모델명이나 별명 수준을 넘어, 집 위치를 특정할 수 있는 좌표까지 담겨 있었고, 응답을 받는 데 어떤 인증도 필요하지 않았다는 게 이번 연구의 핵심이에요.
'내부망이니까 괜찮다'는 착각
'같은 네트워크에 있어야 요청을 보낼 수 있으니 괜찮은 거 아니야?'라고 생각할 수도 있는데요, 현실은 그렇게 간단하지 않아요. 숙소나 매장처럼 여러 사람이 공유하는 와이파이에 카메라를 설치하는 경우도 있고, 집 안의 다른 기기가 악성코드에 감염되면 그 기기가 내부망을 훑으면서 이런 정보를 수집해 외부로 보낼 수도 있거든요. 수상한 앱이 폰에 설치돼 있어도 마찬가지고요. 그래서 요즘 보안 설계에서는 '내부망은 신뢰할 수 있다'는 가정 자체를 버리는 제로 트러스트 접근이 기본이 되고 있어요. 이번 사례는 그 가정이 왜 위험한지를 아주 구체적으로 보여주는 셈이에요.
6년이라는 기간도 곱씹어볼 만해요. 그 긴 시간 동안 수많은 가정에 팔린 기기가 이런 상태였는데도 공식적으로 문제가 드러나지 않았다는 거잖아요. IoT 기기는 한 번 팔리면 펌웨어 업데이트가 잘 안 되고, 사용자는 문제를 인지할 방법조차 없다는 구조적인 약점이 그대로 드러난 거예요.
업계 맥락: IoT 보안의 오래된 숙제
사실 IoT 보안 사고는 어제오늘 일이 아니에요. 2016년에는 기본 비밀번호를 그대로 쓰던 IP 카메라 수십만 대가 미라이(Mirai) 봇넷에 감염돼 대형 인터넷 장애를 일으켰고, TP-Link의 스마트플러그도 과거에 사실상 암호화라고 부르기 민망한 수준의 통신 방식이 연구자들에게 분석된 적이 있어요. 이런 일이 반복되면서 업계도 움직이고 있는데요, 스마트홈 표준인 Matter는 기기 인증과 암호화를 기본으로 요구하고, 영국이나 미국 등에서는 IoT 기기의 최소 보안 요건을 법으로 정하는 흐름이 이어지고 있어요. 다만 이미 팔려나간 수억 대의 기존 기기들은 이런 규제의 사각지대에 있다는 게 문제죠.
한국 개발자에게 주는 시사점
먼저 사용자 입장에서요. 집에 IoT 기기가 있다면 공유기의 게스트 네트워크나 별도 VLAN으로 분리해두는 걸 추천해요. IoT 기기가 뚫려도 노트북이나 NAS 같은 중요한 기기와 같은 망에 있지 않게 하는 거예요.
개발자 입장에서는 배울 점이 더 많아요. 첫째, 로컬 API라도 반드시 인증을 붙이세요. '어차피 내부에서만 쓰는데'라는 생각이 이런 사고를 만들거든요. 둘째, 데이터 최소화 원칙이에요. 일출·일몰 계산이 목적이라면 정밀한 좌표 대신 소수점을 뭉갠 대략적인 위치만 저장해도 충분해요. 필요한 것보다 정밀한 데이터를 들고 있으면, 유출됐을 때 피해도 그만큼 커져요. 셋째, 임베디드나 IoT 쪽 일을 한다면 설계 단계에서 '이 정보가 새면 무슨 일이 생기나'를 따져보는 위협 모델링을 습관으로 만들어두면 좋아요.
마무리
한 줄로 정리하면, '인증 없는 로컬 프로토콜에 민감한 정보를 얹으면 언젠가 반드시 사고가 난다'예요. 여러분 집의 IoT 기기들, 네트워크 분리해서 쓰고 계신가요? 혹시 직접 패킷을 잡아서 우리 집 기기가 뭘 떠들고 있는지 확인해본 경험이 있다면 공유해주세요.
🔗 출처: Hacker News