ch7. 모바일과 IoT 보안 / 연습문제 7장
01. 모바일 운영체제 보안
02. 모바일 기기 보안
03. IoT 보안
01. 모바일 운영체제 보안
- IOS의 보안
+특징
-안전한 부팅 절차 확보
-시스템 소프트웨어 개인화
-응용 프로그램에 대한 서명
-샌드박스 : 응용 프로그램이 실행될 때 가상 머신 안에서 실행되는 것처럼 원래의 운영체제와 완전히 독립되어 실행되는 상태.
-멀티태스킹 금지
-원격지에서 iOS 로그인 금지
+취약점
-iOS의 보안 상 문제점은 대부분 탈옥을 한 iOS에서 발생(애플이 공식적으로 지원하지 않는 기능(내부의 시스템 파일 및 응용 프로그램 파일에 대한 접근과 외부 관리 인터페이스가 포함되어있음)을 위해 탈옥함)
-iOS에서 root의 패스워드가 alpine으로 설정되어 있다.
-탈옥된 iOS에서 SSH 서버를 실행하면 로컬 또는 원격지에서 로그인이 가능하다.
- 안드로이드의 보안
+특징
-응용 프로그램의 권한 관리: 모든 응용프로그램은 일반 사용자 권한으로 실행되고 데이터에 접근할 때 모든 사항을 명시하고 사용자 동의를 받도록 함.
-응용 프로그램의 서명
-샌드박스 활용
+취약점
-사용자가 보안 수준을 선택할 수 있다.
-자유로운 운영체제인 만큼 바이러스와 악성 코드가 유포됨
02. 모바일 기기 보안
+문제점
- 이동성
워드라이빙(wardriving): 노트북에 수신율이 좋은 안테나를 연결하고 차에 탄 채 보안이 취약한 무선 랜을 탐색하며 해킹을 시도.
- 블루투스
: 선을 사용하지 않고 핸드폰, 단말기, 주변 장치 등을 연결하는 기술로 암호화와 인증을 구현하기 어렵다.
-블루 프린팅(blueprinting): 블루투스 공격 장치의 검색 활동을 의미.
각 블루투스 장치는 MAC 주소와 유사하게 6바이트의 고유 주소가 있어서 앞의 3바이트는 제조사에 할당되고 뒤 3바이트는 블루투스 장치별로 할당된다. 뒤 3바이트 주소만으로는 장치의 종류를 식별하기가 불가능하다. 그래서 블루투스 장치는 종류를 식별하기 위해 서비스 발견 프로토콜(SDP)을 보내고 받는다.
공격자는 이 프로토콜을 이용해 공격이 가능한 블루투스 장치를 검색하고 모델을 확인할 수 있다.
-블루스나프
: 블루투스의 취약점을 이용해 장비의 임의 파일에 접근하는 공격.
공격자는 블루투스 장치끼리 인증 없이 간편하게 정보를 교환하도록 개발된 OPP(Obex Push Profile) 기능을 사용하여 블루투스 장치에 있는 주소록이나 달력 등의 내용을 요청하여 열람하거나 취약한 장치의 파일에 접근할 수 있다.
-블루버그
: 블루투스 장비 간의 취약한 연결 관리를 악용한 공격으로, 공격 장치와 공격 대상 장치를 연결하여 공격 대상 장치에서 임의의 동작을 실행한다. 블루투스는 한번 연결하면 다시 연결하지 않아도 되는 취약점을 이용해 공격하는 것.
03. IoT 보안
IoT 공통 보안 7대 원칙
1. 정보 보호와 프라이버시 강화를 고려한 IoT 제품과 서비스 설계
2. 안전한 소프트웨어와 하드웨어 개발 기술 적용 및 검증
3. 안전한 초기 보안 설정 방안 제공
4. 보안 프로토콜 준수와 안전한 파라미터 설정
5. IoT 제품과 서비스의 취약점 보안 패치 개발 및 업데이트 지속 이행
6. 안전한 운영/관리를 위한 정보 보호 및 프라이버시 관리 체계 마련
7. IoT 침해 사고 대응 체계 및 책임 추적성 확보 방안 마련
연습문제
1. RIM이 만든 모바일 운영체제로 메시지와 이메일 전송 기능 및 보안에 초점을 둔 모바일 운영체제는 무엇인가?
1 블랙베리 os
2. 다음 중 iOS의 특징으로 적절하지 않은 것은? 3 리눅스 커널을 기반으로 만들어진 운영체제다
3. 애플의 iOS는 애플이 자신의 CA를 통해 각각의 응용 프로그램을 서명하여 배포하는 반면, 안드로이드는 (개발자 )가 서명하도록 하고 있다.
4. 애플이 응용 프로그램의 실행을 통제하기 위해 가상 머신 안에서 실행하듯 응용 프로그램을 원래 운영체제와 완전히 독립되게 실행하는 것을 무엇이라고 하는가? 샌드박스
5. 애플의 iOS에서는 프로그램이 (관리자) 권한으로 실행되고, 안드로이드에서는 (사용자) 권한으로 실행된다.
6. 서비스 발견 프로토콜(SDP)을 통해 자이를 검색하고 모델을 확인하는 블루투스 공격은 무엇인가? 1 블루 프린팅
7. 다음 중 IoT 공통 보안 7대 원칙에 속하지 않는 것은? 2 물리적 보안 방안 제공