새로운 에디스톤 비콘 포맷으로 보안 문제 해결

임시 식별(Ephemeral Identities) 기능이 추가된 구글의 보다 안전한 에디스톤 비콘 포맷은 이제 노르딕의 전용 소프트웨어 개발 키트를 이용해 지원이 가능하게 되었다.

비콘(Beacon)을 기반으로 한 새로운 근접 기반 서비스가 확대되고 있다. 이러한 기기는 특정 위치나 관심지점에 실내 및 실외에서 사용할 수 있는 저비용 블루투스(Blutooth) 저에너지 송신기를 배치하여 구성된다.

비콘은 범위 안에 있는 블루투스 4.0 기반의 모든 모바일 기기에 자신의 식별자를 전송하는데, 관련 호스팅 앱으로 위치를 확인하고 소프트웨어로 다양한 유형의 알림 메시지를 트리거할 수 있다. 

비콘은 수미터 내에 있는 스마트폰의 위치를 식별할 수 있기 때문에 특히 해당 위치에 특화된 컨텐츠를 원하는 사용자에게 전달할 수 있다. 따라서 이 기술은 판매촉진 방안의 일환으로 상점들이 빠르게 적용할 것으로 예상된다.

ABI(Analyst Business Insider)에 따르면 미국의 상위 100대 소매점의 경우 비콘-트리거 스마트폰의 알림 기능의 영향으로 올해 말까지 판매량이 약 440억달러를 달성할 것으로 전망되고 있다. 

하지만 이러한 잠재력에도 불구하고 비콘의 시장 확산은 초기의 예상보다 조금 더 오래 걸릴 것으로 보인다. 노르딕세미컨덕터의 테크니컬 제품 매니저인 레이다르 마틴 스벤센(Reidar Martin Svendsen)은 “비콘은 IoT(Internet of Things)의 핵심 빌딩 블록이지만 비콘 포맷의 보안 및 개인정보 보호 문제가 우려되는 상황이다”고 언급했다.

문제의 근원은 정보 교환을 위해 모바일 기기와의 페어링에 사용되는 블루투스 저에너지 기술의 고유의 식별자이다. 대부분의 애플리케이션에서는 문제가 되지 않지만, 비콘은 범위 내로 진입하는 모든 모바일 기기와 페어링되도록 설계되었기 때문에 이러한 고정 식별자는 비윤리적인 통신 도청을 위한 부정수단으로 사용될 수 있으며 악의적인 공격으로 소비자의 개인정보가 노출될 수 있다. 

이러한 취약성이 알려지면서 비콘 개발이 속도를 내지 못하고 있다. 포레스터(Forrester) 리서치의 분석가인 아담 실버맨(Adam Silverman)은 기술저널인 ‘Wired’에 “개인정보보호는 비콘이 컨수머 분야에 폭넓게 적용되는데 것을 방해하는 가장 큰 장애물이다”고 지적한바 있다. 

◇비콘의 보안 강화 
지난 4월 구글은 2015년 중반에 발표된 에디스톤(Eddystone) 비콘 포맷에 추가된 에디스톤-EID(Ephemeral Identities)를 출시함으로써 비콘의 개인정보보호 기능을 향상시키는 새로운 기술을 발표한바 있다. 

구글은 개발자들이 에디스톤-EID를 이용해 비콘 신호 사용자에 대한 보다 강력한 제어기능을 구현할 수 있으며, 이를 통해 사용자가 안전하고, 비공개적으로 정보를 교환할 수 있는 새로운 이용사례들을 만들 수 있다고 설명하고 있다. 이 기술의 비결은 주기적으로 비콘 프레임을 변경하는 것으로, 그 결과 제어 가능한 사용자(서비스에 가입한 사용자)들만이 이를 인식할 수 있다. 

에디스톤-EID 비콘은 AES-암호화된 8바이트의 비콘 식별자를 사용하며 이 식별자는 개발자가 결정한 평균 주기에 따라 유사-랜덤(Pseudo-Randomly)하게 변경된다. 이 식별자는 비콘 상에서 구동하는 키(Key)와 타이머(Timer)를 이용해 생성된다. 

키는 정의된 프로토콜을 이용한 확인 서비스를 통해 생성 및 교환되며 등록된 비콘과 서비스만 이 키에 액세스할 수 있다. 서비스 비콘 ‘Attachments’에 등록되어 있다면 안전한 링크를 통해 소비자의 모바일 기기와 정상적인 방법으로 서비스가 제공된다.

또한 에디스톤-EID는 보안기능 개선과 별도로 URL 브로드캐스팅 기능과 같은 다른 개선 사항들도 포함되어 있다. 

스벤센은 “예를 들어 인근의 스마트폰에 포스터를 애드버타이징하는 경우 관련 웹 주소도 브로트캐스팅할 수 있으며, 관심있는 사람들은 앱을 먼저 다운로드할 필요없이 애드버타이징된 아이템에 대한 보다 자세한 정보를 쉽게 확인할 수 있다”고 설명했다.

노르딕세미컨덕터는 현재 에디스톤-EID를 지원하는 15개 제조업체 중 하나이며 이 중에는 노르딕의 블루투스 저에너지 무선 기술을 이용해 비콘을 만들고 있는 센서로(Sensoro) 및 에스티모트(Estimote) 등도 포함되어 있다. 구글의 에디스톤-EID 발표와 동시에 노르딕은 보다 안전한 비콘 기술을 구현하고자 하는 엔지니어들을 위해 소프트웨어개발키트(Software Development Kit, SDK)와 지원 툴을 출시했다. 

에디스톤을 위한 nRF5 SDK는 매우 다양한 근접-기반 비콘 애플리케이션에서 사용자에게 실제 상황정보를 제공하는 에디스톤-EID 비콘을 개발할 수 있도록 해준다. 또 이 SDK는 스마트폰에서 비콘을 설정할 수 있는 GATT(Generic Attribute Profile)를 갖추고 있다.

이 SDK는 노르딕의 nRF52 시리즈 블루투스 저에너지 SoC(Systems-on-Chip)를 위해 설계되었으며, OTA(Over-The-Air) 펌웨어 업데이트를 통해 기존 nRF51 또는 nRF52 에디스톤 비콘을 에디스톤-EID로 업데이트할 수 있도록 업그레이드될 예정이다.

글 : 최수철 지사장 / 노르딕세미컨덕터코리아