[IT열쇳말] 쇼단 by 수다피플

쇼단은 세계 최초의 사물인터넷(IoT) 검색엔진이다. 쇼단은 웹사이트를 검색 결과로 보여주는 일반 검색엔진과 달리, 인터넷에 연결된 기기의 다양한 정보를 제공한다. 웹캠, 라우터, 서버, 산업제어시스템, 스마트TV, 스마트 냉장고 등 인터넷에 연결된 모든 기기가 검색 대상이다.

| 쇼단은 세계 최초의 사물인터넷 검색엔진이다. <출처: 쇼단 첫 페이지 갈무리>

세계 최초 IoT 검색엔진

만약 웹사이트를 찾고 싶다면 구글, 빙, 네이버 등 일반 검색엔진을 이용하면 된다. 그런데 만약 찾고 싶은 게 아파치(Apache)같이 특정 소프트웨어로 돌아가는 컴퓨터라면? 마이크로소프트 인터넷정보서비스 (IIS·Internet Information Service) 버전 중 가장 인기 있는 버전의 정보라면? 혹은 얼마나 많은 익명의 파일 전송 프로토콜(FTP·File Transfer Protocol)이 존재하는지 궁금하다면? 일반 검색엔진은 이런 질문에 대한 답을 제공하지 않는다. 이때 필요한 게 쇼단이다.

쇼단은 2009년 만들어졌다. 창립자는 스위스 출신 프로그래머 존 매덜리(John Matherly)다.

googletag.cmd.push(function() { googletag.defineSlot(‘/6357468/0.Mobile_Article_intext_1_300_250’, [300, 250], ‘div-gpt-ad-1468307418602-0’).addService(googletag.pubads());googletag.pubads().collapseEmptyDivs();googletag.pubads().enableSyncRendering();googletag.enableServices();googletag.display(‘div-gpt-ad-1468307418602-0’); });

| 존 매덜리 쇼단 창립자. <출처: 존 메덜리 트위터>

존 매덜리는 코딩이 취미이던 10대 시절 IoT 기기에 관심을 갖기 시작해 2003년 ‘IoT 기기를 검색하면 좋겠다’라는 아이디어를 떠올렸다. 이후 수년에 걸친 코드 수정 작업 끝에 IoT 기기 정보를 수집하고 시각화하는 방법을 개발했다. 그리고 이 방법을 기반으로 세계 최초의 IoT 검색엔진 쇼단을 만들었다.

쇼단은 가입제로 운영되며, 일부 서비스를 제외하고는 유료다.

| 검색 결과 페이지가 5개를 넘어가면 에러 메시지와 함께 유료 멤버십을 구매하라는 메시지가 뜬다. <출처: 쇼단 홈페이지 갈무리>

| 쇼단의 가격 정책 <출처: 쇼단 홈페이지 갈무리>

쇼단은 여러 가지 검색 필터를 이용해 사용자가 원하는 결과를 찾을 수 있게 돕는다. 사용자는 필터를 사용해 원하는 정보를 빠르게 찾을 수 있다. 예를 들어 ‘webcam country:KR’를 검색하면, 인터넷에 연결된 국내 웹캠 정보를 볼 수 있다. 지도, 3D 지도, 데이터 대시보드 등 형태로 쇼단에서 찾을 수 있는 데이터를 보는 것도 가능하다.

■ 일반 필터
– 국가
– 도시
– 운영체제(os)
– 제품의 버전
– 호스트네임
– IP
– org
– (etc)

■ NTP 필터
– ntp.ip
– ntp.ip_count
– ntp.more
– ntp.port

■ SSL 필터
– ssl.cert.extension
– ssl.cert.serial
– ssl.cert.pubkey.bits
– ssl.cert.pubkey.type
– ssl.cipher.version
– ssl.cipher.bits
– ssl.cipher.name

IoT 보안 심각성 일깨워

쇼단이 만들어지고 얼마 지나지 않아 존 매덜리와 초기 쇼단 사용자들은 놀라운 사실을 알게 된다. 많은 IoT 기기의 보안이 매우 취약하다는 사실이다. 산업제어장치, 물탱크와 교통신호 등을 비롯한 다양한 인프라 시설 보안이 해킹 위험에 거의 무방비로 노출됐다고 말할 수 있을 정도로 형편없었다. 웹캠, CCTV, 라우터도 마찬가지였다.

일례로 상당수 IoT 기기가 아이디(ID)와 비밀번호(PW)의 초기값을 바꾸지 않고 사용되고 있었다. 기기에 대한 접근권을 얻기 위해서는 보통 ID/PW를 입력해야 하는데 기기가 공장에서 출하될 때 ID/PW는 보통 ‘admin/1234’ 같이 간단한 것으로 설정돼 있다. 많은 사람은 이를 재설정하지 않고 기기를 사용한다. ‘admin/1234’를 입력하면 누군가의 거실 천장에 달린 웹캠으로 그 사람의 일상을 엿볼 수 있는 것이다. ID/PW가 아예 설정돼 있지 않은 기기도 상당수다.

| 쇼단에서 ‘webcam country:KR’를을 검색한 결과. 한국의 한 사무실 모습을 그대로 볼 수 있다. <출처: 쇼단 검색화면 갈무리>

| ID/PW를 설정해 놓지 않아 간단한 검색만으로 인터넷에 노출된 독일의 한 가정집 거실. 실시간으로 거실을 볼 수 있으며, 카메라를 바꿔가며 여러 장소를 볼 수도 있다. <출처: 쇼단 검색화면 갈무리>

심지어 원격으로 카메라 팬을 조정해 카메라가 비추는 장소를 바꿀 수 있는 IoT 웹캠도 있다. IoT 웹캠 관리자 페이지의 보안이 취약할 경우에도 이런 사생활 노출 같은 문제가 발생할 수 있다.

| 사물인터넷 시대, 보안 문제도 함께 화두로 떠올랐다. <출처: 위키미디어 CC BY Wilgengebroed>

4차 산업혁명이 화두로 떠오른 시대다. IoT 기기의 숫자는 빠르게 늘고 있다. 시장조사업체 IHS마킷의 조사에 따르면 오늘날 IoT 기기 숫자는 200억대에 이른다. 2025년에는 700억대로 증가할 것으로 예측된다. 시장이 커질수록 기기값은 내려갈 전망이다.

| IHS마킷 조사에 따르면 2017년 IoT 기기는 200억대에 이른다. <출처: IHS마킷 ‘IoT trend watch 2017’>

IoT 보안에 대한 인식과 대책이 개선되지 않으면 값은 저렴하지만 보안은 취약한 IoT 기기가 생활 곳곳에 침투할 것이다.

쇼단의 검색 결과는 많은 사람에게 IoT 보안의 심각성을 일깨웠다. 몇 년 전만 해도 ID/PW 설정이 안 된 채 개인의 실내 공간을 보여주는 IoT 기기들이 많았는데 최근 상대적으로 이 숫자가 줄었다. 하지만 개인 사생활을 노출시킬 수 있는 IoT 기기 일부를 포함해 주차장 등 야외 장소를 비추는 웹캠 중에는 여전히 ID/PW가 재설정되지 않은 경우가 많다.

| 웹캠(Webcam), 캠(Cams), 넷캠(Netcam), 비밀번호 초기값(default password)이 쇼단에서 가장 많이 검색되는 검색어 1~4위다. <출처: 쇼단>

쇼단은 ‘어둠의 구글’?

쇼단의 근본적인 기능은 IoT 보안을 강화하기 위해 그 취약점을 찾아는 것이다. 많은 보안 전문가가 쇼단을 사용한다. 보안 전문가들은 쇼단을 통해 자신이 관리하는 장비와 서비스의 보안 취약성을 파악할 수 있다. 쇼단은 보안과 관련된 다양한 자료를 제공하고 전문가들을 보고서를 발행하기도 한다.

| 쇼단이 발표한, 소프트웨어 버그 ‘하트블리드’(Heartblled)에 취약한 서버가 많은 나라 순위. <출처: 쇼단 홈페이지 갈무리>

문제는 보안 전문가 뿐만 아니라 해커도 쇼단을 사용한다는 점이다. 데이비드 골드만(David Godman) <CNN> 기자는 쇼단을 ‘인터넷에서 가장 무서운 검색엔진’이라고 묘사하기도 했다. 그는 쇼단에서 보안이 취약한 교통신호등까지 찾을 수 있다고 짚으며 해커가 이를 악용한다면 “인명사고가 일어날 수도 있는 문제”라고 지적했다. 이런 이유로 쇼단에는 ‘어둠의 구글’, ‘해커들의 놀이터’ 같은 수식어가 따라다닌다.

하지만 보안은 그 취약성이 공개될수록 발전을 거듭하는 분야다. 게다가 전문가들은 쇼단이 가입제이고 웹 크롤링 결과를 가질 수 있는 방법은 여러 가지가 있기 때문에 쇼단이 유독 해커에게 매력적인 정보 창구는 아니라고 지적한다. 여전히 악용의 소지가 있어 양면성을 지니지만, 궁극적으로는 쇼단이 우리 사회 IoT 보안에 기여한다는 것이다.

2018년 ‘한국형 쇼단’ 나온다

우리나라도 IoT 보안 문제에 대응하기 위해 ‘한국형 쇼단’을 만든다. 한국인터넷진흥원(KISA)은 2018년 ‘한국형 쇼단’ 기술을 개발하겠다고 밝혔다.

이 기술은 일반인이 이용하는 쇼단과 달리 국내 정보통신망법에 저촉되지 않는 형태로 구현될 예정이다. 인터넷에 연결된 IoT 기기의 정보를 자동으로 수집해, 보안 취약점 정보와 연계 검색하고 표준화 작업을 하는 기술이다. IoT 보안 취약점의 정보를 분석하는 시스템과 위협 정보를 공유하는 플랫폼 등으로 구성된다.

| 한국인터넷진흥원은 2018년 ‘한국형 쇼단’ 기술을 개발하겠다고 밝혔다. <출처: 한국인터넷진흥원>

※ 참고문헌

이 글은 ‘네이버캐스트→테크놀로지월드→용어로 보는 IT’에도 게재됐습니다. ☞‘네이버캐스트’ 보기

from Bloter.net http://www.bloter.net/archives/283526

Advertisements

답글 남기기

아래 항목을 채우거나 오른쪽 아이콘 중 하나를 클릭하여 로그 인 하세요:

WordPress.com 로고

WordPress.com의 계정을 사용하여 댓글을 남깁니다. 로그아웃 / 변경 )

Twitter 사진

Twitter의 계정을 사용하여 댓글을 남깁니다. 로그아웃 / 변경 )

Facebook 사진

Facebook의 계정을 사용하여 댓글을 남깁니다. 로그아웃 / 변경 )

Google+ photo

Google+의 계정을 사용하여 댓글을 남깁니다. 로그아웃 / 변경 )

%s에 연결하는 중