기술과 일상

(허가 되지 않은 점검도구 활용 스캔은 법적 문제 소지가 있으니 주의!) 지난 포스트에 이어서 이번에는 UART 디버깅 포트의 점검 포인트를 알아보겠습니다. IoT 기기 보안점검 중 UART 디버깅 포트 점검을 할 때, 개인적으로 중요하다고 생각하는 포인트입니다. [점검 Point 01. UART 포트 불필요 존재] UART 포트의 존재 유무를 확인하고 실제 필요에 의해 사용하는지 여부를 인터뷰를 합니다. 개발, 구축 단계가 완료되고 상용에 배포가 될 때는 디버깅 포트를 물리적으로 제거하고 나가는 것이 가장 안전하기 때문에 해당 점검에 의미가 있습니다. 이전 포스트에서 말했던 것처럼 TX, RX, +3.3V(VCC), GND 이렇게 4개의 PIN으로 구성된 UART 포트를 찾을 수 있습니다. UART 포..

[Tech] 정보보안/보안진단, 모의해킹 2020. 8. 14. 09:23

(허가 되지 않은 점검도구 활용 스캔은 법적 문제 소지가 있으니 주의!) 지난 포스트에 이어서 이번에는 UART 디버깅 포트의 점검 시나리오를 알아보겠습니다. [점검 시나리오] 제 경험상, 일반적으로 점검 시나리오는 아래와 같이 3가지 단계로 나눠볼 수 있습니다. UART 포트 물리적 탐색 -> UART 포트/장치 연결 -> Serial 포트로 접속 1. UART 포트 물리적 탐색 먼저 IoT 단말에서 UART 의심 포트를 육안으로 확인해야 합니다. 일반적으로 UART 포트의 생김새가 어떤지 알고 있고 경험이 있으면 더 분별하기 쉽습니다. 다양한 UART 포트 케이스가 있기 때문에 확실히 하기 위해서는 멀티 테스터를 사용하여 전압을 측정하는 방법을 사용합니다. 보통 4PIN 포트가 UART 포트인 경우가..

[Tech] 정보보안/보안진단, 모의해킹 2020. 8. 13. 16:54

(허가 되지 않은 점검도구 활용 스캔은 법적 문제 소지가 있으니 주의!) 개인적으로 IoT 기기 진단 또는 IoT 보안 점검을 분류하면 크게 아래처럼 나눌 것 같습니다. 1. Device : IoT 기기의 물리적 보안 조치 (디버깅 포트 제거, 장비 접근 보호 등) 2. Firmware : IoT 기기 펌웨어 암호화, 내부 정보 유출, 바이너리 분석 등 3. Network : NW단의 트래픽 성능이나 DDoS에 대한 대응 점검 (트래픽 발생기 활용) 4. Service : IoT와 연동되는 웹 또는 모바일 페이지 점검 (OWASP Top10 등 웹, 모바일 취약점) 그 중에 Device 부분은 개발을 위한 디버깅 포트를 통해 공격을 시도해볼 수 있습니다. 이런 취약점 포인트인 디버깅 포트로는 대표적으로 ..

[Tech] 정보보안/보안진단, 모의해킹 2020. 8. 13. 11:07