센스톤 Blog

비밀 없는 비밀번호 그대로 쓰는 OT 보안은 “문 열린 금고나 마찬가지”

작성자: 센스톤 | Feb 26, 2025 6:58:54 AM
 

주요 인프라 시스템을 보호하기 위한 조치만 놓고 보면, 운영기술(OT)은 정보기술(IT)에 비해 한참 뒤쳐져 있는 게 사실입니다. 여전히 수많은 OT 환경에서 비밀번호를 쓰는 것도 문제지만, 이 비밀번호들마저도 변경조차 안되는 하드코딩된 비밀번호이거나, 운영자들끼리 전혀 꺼리낌없이 비밀번호를 공유하고, 정기적으로 비밀번호를 변경하는 작업조차 이뤄지지 않는 경우도 흔합니다.

이러한 행동들이 오래 전부터 이어져온 관행이라는 말로 치부되고 있다는 사실이 더욱 놀랍습니다. 이러한 관행이야말로 시스템을 외부 공격에 취약하게 만들 뿐만 아니라 조직 전체의 보안 수준을 저하시키기 때문입니다. 따라서 수많은 전문가들은 고정값으로 사용하는 비밀번호는 반드시 철퇴되어야 마땅하며, 이미 그 대책들도 충분하다고 강조합니다.

 

OT 환경에서 비밀번호는 얼마나 위협적인가?

앞서 언급한 바와 같이 비밀번호는 OT 환경에서 가장 손꼽히는 취약점 중 하나입니다. 수많은 경험이 없는 공격자들조차도 인공지능(AI)의 도움을 받아 특정 기기 또는 특정 조직의 비밀번호를 그리 어렵지 않게 찾아냅니다. 그런데 더 놀라운 건, 굳이 AI 도움조차 필요 없는 경우가 더 많다는 점입니다.

비밀번호 공유

여러 명의 운영자가 함께 관리하는 경우 각 OT 기기들에 설정된 비밀번호는 더 이상 비밀이 아닙니다. 그래서 비밀번호 관리는 더 더욱 어렵습니다.

  • 책임 추적 불가능: 여러 사람이 동일한 비밀번호를 사용할 경우, 누가 시스템에 접속했고 어떤 작업을 수행했는지 추적하기 어렵습니다. 이는 악의적인 활동이 감지되지 않고 지나갈 가능성을 높입니다.
  • 내부 위협 증가: 직원이나 계약업체가 동일한 비밀번호를 공유하면 비인가된 접근을 구별하기 어려워 내부 위협이 증가합니다.
  • 접근 권한 회수 어려움: 직원이 퇴사하거나 권한이 변경될 경우, 모든 사용자의 비밀번호를 변경하지 않는 한 해당 직원의 접근을 완전히 차단하기 어렵습니다.
     

하드코딩된 비밀번호

일부 OT 기기는 변경 자체가 매우 어려운 비밀번호를 가진 채 생산되기도 합니다. 이러한 비밀번호를 우리는 하드코딩된 비밀번호라 말하며, 결국 외부 위협의 시발점이 되기도 합니다.

  • 변경 불가능: 하드코딩된 비밀번호는 소프트웨어나 하드웨어에 직접 삽입되어 있어 변경이 어렵습니다. 따라서 한번 노출되면 시스템 전체가 보안 위협에 노출됩니다.
  • 해커의 주요 공격 대상: 공격자들은 하드코딩된 비밀번호를 역공학(Reverse Engineering) 기법을 통해 쉽게 발견하고 악용할 수 있습니다.
  • 규제 위반 위험: 많은 산업 규제에서는 강력한 비밀번호 관리 정책을 요구합니다. 하드코딩된 비밀번호 사용은 법적, 재정적 리스크를 초래할 수 있습니다.

 

비밀번호 변경 주기 부족

비밀번호를 주기적으로 변경하는 작업은 손쉽게 추측할 수 없는 새로운 비밀번호를 고민하는 것도 귀찮지만, 변경하는 시간이나 책임소재 여부까지 걸려 있는 지라, 많은 OT 조직들이 차일피일 뒤로 미루는 게 일반적입니다.

  • 장기적인 보안 위협: 비밀번호를 오랜 기간 변경하지 않으면 해킹 가능성이 높아집니다.
  • 크리덴셜 스터핑(Credential Stuffing) 공격 위험: 유출된 비밀번호가 다른 서비스에 사용될 경우, 공격자가 이를 악용해 추가적인 침입을 시도할 수 있습니다.
  • 보안 수준 저하: 정기적인 비밀번호 변경은 기본적인 보안 절차 중 하나이며, 이를 무시하면 조직 전체의 보안이 취약해집니다.



비밀번호 취약점과 관련된 주요 CVE

거의 매일 수많은 OT 기기 및 솔루션에서 취약점들이 발견되고 있는데, 비밀번호로 야기된 취약점들도 쉽지 않게 발견됩니다. 그 중 위협적인 비밀번호 관련 취약점들은 다음과 같습니다:

  • CVE-2024-51547: 하드코딩된 비밀번호 사용으로 인해 발생하는 보안 취약점
  • CVE-2024-28020: 사용자 및 비밀번호 재사용 문제로 인해 공격자가 높은 권한을 가진 계정의 정보를 악용할 수 있는 취약점
  • CVE-2024-28022: 공격자가 여러 개의 비밀번호를 무차별 대입하여 인증을 우회할 수 있는 취약점
  • CVE-2024-6515: 웹 브라우저 인터페이스를 통해 평문 또는 Base64로 저장된 사용자명과 비밀번호가 노출될 가능성이 높은 취약점

 

비밀번호 없는 보안 환경으로의 전환 가능할까?

비밀번호의 고질적인 보안 문제로 인해 최근 IT 및 소비자 기술 분야에서는 비밀번호 없는 인증 솔루션이 빠르게 확산되고 있습니다. 그러나 이러한 솔루션의 상당수는 OT 환경에 적합하지 않습니다. OT 환경에서는 보다 특화된 접근 방식이 필요합니다.

센스톤의 OTAC(One-Time Authentication Code) 기술은 OT 환경의 고유한 보안 문제를 해결합니다. OTAC는 고정값 기반의 비밀번호 없이 일회용 다이내믹 인증 코드를 활용하여 보다 강력하고 유연한 인증 방식을 제공합니다. 이를 통해 전통적인 비밀번호 기반 시스템의 취약점을 해결하고, 주요 OT 시스템의 보안 수준을 크게 향상시킬 수 있습니다. OTACOT 환경의 새로운 보안 표준으로 그 입지를 넓혀가고 있는 만큼 반드시 주목하시기 바랍니다.