주택용 경보 시스템은 ADT와 같이 100년 이상 사업을 이어온 전통적인 업체들에 비해 첨단 기술을 보유한 경쟁업체들이 등장하면서 점점 더 인기를 얻고 있으며 가격도 저렴해지고 있습니다.
이러한 차세대 시스템은 단순한 것부터 정교한 것에 이르기까지 다양한 기능을 갖추고 있으며, 특히 주택 침입 감지 등 여러 가지 기능을 제공합니다. 대부분의 시스템은 이제 홈 자동화 시스템의 원격 모니터링 및 제어 기능을 통합하고 있으며, 최근 라스베이거스에서 열린 CES(소비자 가전 전시회)에서 놀라운 생명 안전 및 편의 기술들이 전시된 것을 통해 이를 분명히 확인할 수 있었습니다.
이제 전 세계 어디에서든 원격으로 경보 시스템의 작동 상태(작동/해제), 출입 기록을 모니터링하고 시스템을 켜고 끌 수 있습니다. 주변 온도, 누수, 일산화탄소 농도, 비디오 카메라, 실내외 조명, 온도 조절 장치, 차고 문, 도어록, 의료 경보까지 모두 스마트폰, 태블릿 또는 컴퓨터를 통해 하나의 게이트웨이에서 제어할 수 있습니다.
대부분의 경보 시스템 업체들은 비용과 배선 작업의 어려움 때문에 가정 내 센서 설치 시 무선 방식을 채택하고 있습니다. 사실상 모든 경보 서비스 업체들이 저렴하고 설치가 간편하며 신뢰성이 높은 무선 경보기를 폭넓게 사용하고 있습니다. 하지만 상업용 보안 장치를 제외하고는 일반적으로 유선 경보기만큼 안전하지는 않습니다.
시스템 설계와 무선 기술 유형에 따라 무선 센서는 숙련된 침입자에 의해 매우 쉽게 무력화될 수 있습니다. 이 이야기는 바로 거기서 시작됩니다.
2008년, 저는 Engadget에 LaserShield 시스템에 대한 상세한 분석 기사를 썼습니다. LaserShield는 주택과 사업체를 위한 전국적으로 광고되는 보안 패키지로, 안전하고 설치가 간편하며 비용 효율적이라고 홍보되었습니다. 웹사이트에서는 "간단한 보안", "박스 하나에 담긴 보안"이라고 고객들에게 홍보합니다. 하지만 문제는 안전한 하드웨어를 구축하는 데 지름길은 없다는 것입니다. 2008년 이 시스템을 분석할 당시, 저는 타운하우스에서 저렴한 무전기로 시스템을 얼마나 쉽게 무력화시킬 수 있는지 보여주는 짧은 영상과, 시스템의 보안 기능을 자세히 보여주는 영상을 촬영했습니다. 해당 보고서는 in.security.org에서 확인하실 수 있습니다.
거의 같은 시기에 SimpliSafe라는 또 다른 회사가 시장에 진출했습니다. 제가 최근 인터뷰한 SimpliSafe의 수석 기술자에 따르면, 이 회사는 2008년경 사업을 시작했으며 현재 전국적으로 약 20만 명의 가입자를 확보하고 있다고 합니다.
7년이 지난 지금, SimpliSafe는 여전히 건재하며 설치와 프로그래밍이 간편하고 전화선 없이도 경보 센터와 통신할 수 있는 자가 설치형 경보 시스템을 제공하고 있습니다. SimpliSafe는 셀룰러 통신을 사용하기 때문에 훨씬 효율적인 통신 경로를 제공합니다. 셀룰러 신호는 방해를 받을 수 있지만, 도둑이 전화선을 끊을 가능성은 없습니다.
SimpliSafe는 전국적인 광고를 많이 하고 있고, ADT를 비롯한 주요 보안 업체들과 비교해 장비 구입 비용과 월별 모니터링 비용이 훨씬 저렴하면서도 경쟁력 있는 제품을 제공한다는 점에서 제 관심을 끌었습니다. 이 시스템에 대한 제 분석은 in.security.org에서 확인하실 수 있습니다.
SimpliSafe는 (여전히 판매 중인) LaserShield 시스템보다 훨씬 더 정교해 보이지만, 해킹 방법에 있어서는 똑같이 취약합니다. SimpliSafe가 수많은 전국 언론의 호평을 받았다는 사실을 믿는다면, 이 시스템이 대형 경보 회사에 대한 소비자의 해답이라고 생각할 수도 있습니다. 실제로 SimpliSafe는 기존 경보 회사보다 절반 정도의 가격으로 매우 편리하고 다양한 기능을 제공합니다. 하지만 안타깝게도 유명하고 권위 있는 언론의 호평이나 기사 중 어느 것도 보안 문제나 이러한 완전 무선 시스템의 잠재적 취약점에 대해 언급하지 않았습니다.
저는 SimpliSafe에서 테스트용 시스템을 제공받아 회사 수석 엔지니어에게 많은 기술적인 질문을 했습니다. 그 후, 플로리다에 있는 한 콘도에 동작 감지 센서, 자석식 도어락, 비상 버튼, 그리고 통신 게이트웨이를 설치했습니다. 이 콘도는 은퇴한 FBI 고위 요원이 소유하고 있었는데, 그의 집에는 무기, 희귀 미술품, 그리고 기타 귀중한 자산들이 많았습니다. 저희는 세 편의 영상을 제작했습니다. 하나는 시스템의 정상 작동 및 설치 과정을 보여주는 영상이고, 다른 하나는 모든 도어락을 쉽게 무력화하는 방법을 보여주는 영상이며, 마지막 하나는 SimpliSafe에서 제공하는 자석식 도어락을 홈디포에서 25센트짜리 자석과 스카치테이프를 이용해 무력화하는 방법을 보여주는 영상입니다.
가장 큰 문제점 중 하나는 센서가 단방향 장치라는 점입니다. 즉, 센서가 작동되면 게이트웨이로 경보 신호를 보냅니다. 모든 경보 센서는 하나의 주파수로 송신하는데, 이 주파수는 인터넷에서 쉽게 확인할 수 있습니다. 레이저쉴드 시스템처럼 무선 송신기를 이 특정 주파수에 맞게 프로그래밍할 수 있습니다. 저는 시중에서 쉽게 구할 수 있는 무전기를 사용해서 구현했습니다. 하지만 이 설계의 문제점은 게이트웨이 수신기가 방해를 받을 수 있다는 것입니다. 마치 네트워크 서버에 대한 서비스 거부(DoS) 공격처럼 말입니다. 경보 작동 신호를 처리해야 하는 수신기는 신호를 수신하지 못하게 되어 경보 발생 사실을 전혀 알지 못하게 됩니다.
우리는 플로리다 콘도를 몇 분 동안 돌아다녔지만, 키 fob에 내장된 비상 경보를 포함하여 어떤 경보도 울리지 않았습니다. 만약 제가 도둑이었다면, 총기, 값비싼 미술품, 그리고 다른 많은 귀중품들을 훔칠 수 있었을 겁니다. 그것도 이 나라에서 가장 권위 있는 인쇄 매체와 텔레비전 방송사들이 인정한 시스템을 무력화시킨 것이죠.
이는 제가 "TV 의사들"이라고 불렀던 사례를 떠올리게 합니다. 그들은 전국 약국과 주요 소매점에서 판매되던, 어린이 보호 기능이 있다고 주장하는 처방약 용기를 홍보했습니다. 하지만 그 용기는 전혀 안전하지도 않았고 어린이 보호 기능도 없었습니다. 해당 회사는 곧 문을 닫았고, 그 제품을 홍보함으로써 암묵적으로 안전성을 보증했던 TV 의사들은 근본적인 문제에 대해서는 언급하지 않고 유튜브 영상을 삭제했습니다.
일반 대중은 이러한 종류의 사용 후기를 회의적인 시각으로 바라봐야 합니다. 왜냐하면 이는 단순히 교묘한 광고 전략에 불과하며, 대개 보안의 본질을 제대로 이해하지 못하는 기자나 홍보 회사들이 만들어낸 것이기 때문입니다. 안타깝게도 소비자들은 이러한 추천사를 믿고 언론 매체가 전문가라고 신뢰합니다. 기자들은 대개 비용, 설치 용이성, 월 계약 기간과 같은 단순한 요소만 이해하는 경우가 많습니다. 하지만 가족, 집, 재산을 보호하기 위해 경보 시스템을 구매할 때는 기본적인 보안 취약점을 파악해야 합니다. 왜냐하면 "보안 시스템"이라는 용어 자체에 "보안"이라는 개념이 내포되어 있기 때문입니다.
SimpliSafe 시스템은 대형 전국 기업에서 설계, 설치 및 모니터링하는 고가의 경보 시스템에 비해 저렴한 대안입니다. 따라서 소비자가 스스로에게 던져야 할 질문은 '보안이란 무엇인가'와 '인지된 위협에 따라 어느 정도의 보호가 필요한가'입니다. 이를 위해서는 경보 시스템 판매업체의 완전한 정보 공개가 필수적이며, 제가 SimpliSafe 담당자들에게 제안했듯이, 제품 포장과 사용 설명서에 면책 조항과 경고문을 명시하여 잠재 구매자가 충분한 정보를 바탕으로 자신의 필요에 맞는 현명한 구매 결정을 내릴 수 있도록 해야 합니다.
300달러도 안 되는 장비로 비교적 미숙한 도둑이 쉽게 당신의 경보 시스템을 무력화시킬 수 있다는 사실이 걱정되지 않으십니까? 더 나아가, 당신의 경보 시스템이 쉽게 무력화될 수 있다는 사실을 도둑들에게 알리고 싶지는 않으십니까? 문이나 창문에 경보 시스템 스티커를 붙이거나, 앞마당에 표지판을 세워 침입자에게 어떤 종류의 경보 시스템이 설치되어 있는지 알려줄 때마다, 그 시스템이 무력화될 수 있다는 사실을 알려주는 것과 마찬가지라는 점을 기억하십시오.
보안 시스템 업계에는 공짜 점심이 없으며, 가격만큼의 가치를 얻게 됩니다. 따라서 이러한 시스템을 구매하기 전에 어떤 보호 기능을 제공하는지, 그리고 더 중요하게는 기술 및 보안 엔지니어링 측면에서 어떤 부분이 부족할 수 있는지 정확히 이해해야 합니다.
참고: 저희는 2008년 조사 결과를 확인하기 위해 이번 달에 LaserShield의 최신 버전을 입수했습니다. 2008년 영상에서 보여드린 것처럼, 이 프로그램 역시 쉽게 무력화시킬 수 있었습니다.
저는 제 분야에서 두 가지 역할을 수행합니다. 바로 수사 전문 변호사이자 물리적 보안/통신 전문가라는 점입니다. 지난 40년간 저는 수사 업무를 해왔으며…
게시 시간: 2019년 6월 28일