프로젝트 목표
본 프로젝트의 목표는 WiFi 공유기와 스마트 허브 및 스마트 장치(조명/센서 등) 두 가지 IoT 기기의 보안 취약점을 탐지하고, 실제 공격을 통해 이를 검증하며, 상세한 분석 보고서를 작성하여 학문적 성과를 도출하는 것.
최종적으로, 취약점 발견 시 CVE 등록을 목표로 하며, 프로젝트 수행 과정과 결과를 논문 형태로 정리할 예정
주요 목표
-
펌웨어 추출 및 취약점 분석: 각 IoT 기기의 펌웨어를 추출하여 정적/동적 분석을 통해 보안 취약점을 식별
-
실제 공격 수행: 탐지된 취약점을 기반으로 PoC(Proof of Concept) 공격을 시뮬레이션하여 취약점의 심각성을 검증
-
보고서 및 CVE 제출: 분석 및 검증 과정을 상세히 문서화하고, 발견된 취약점을 CVE로 제출할 기회를 모색
프로젝트 수행 대상
-
WiFi 공유기
- 네트워크 중심 IoT 기기
- 공격 시 심각한 네트워크 침입과 데이터 유출 가능성을 초래할 수 있음
-
스마트 허브 및 스마트 장치
- 스마트 홈의 핵심 장치
- 센서나 조명과 같은 주변 기기와 연동
- 취약점 발견 시 스마트 홈의 기능이 마비되거나 해킹 위험이 발생할 수 있음
수행 계획
1. 환경 설정 및 장비 준비 (1주차)
- 목표: IoT 기기와 분석 도구의 준비
- 작업 항목:
- 분석 대상 IoT 기기 구매 및 기본 설정
- 펌웨어 추출 도구 준비 (JTAG 디버거, UART 케이블 등)
- 네트워크 분석 환경 구성 (AWS 클라우드, Wireshark 등)
- 팀원 간 역할 확인 및 초기 테스트
2. WiFi 공유기 분석 및 검증 (2~4주차)
-
목표: WiFi 공유기의 펌웨어 분석, 취약점 탐지, 공격 검증
-
작업 항목:
-
펌웨어 추출 및 정적 분석:
- Binwalk, Firmware-Mod-Kit을 활용한 구조 분석
/etc/shadow,/etc/passwd탐색 및 하드코딩된 크리덴셜 확인
-
네트워크 트래픽 분석:
- Wireshark로 평문 통신 여부 점검 및 민감 정보 노출 확인
-
공격 시뮬레이션:
- 디폴트 크리덴셜로 관리자 페이지 접근
- ARP 스푸핑과 같은 네트워크 공격 수행
-
분석 보고서 작성:
- 취약점 및 공격 시뮬레이션 결과 정리
-
3. 스마트 허브 및 장치 분석 및 검증 (5~7주차)
-
목표: 스마트 허브와 장치의 취약점을 분석하고 공격 수행
-
작업 항목:
-
장치 연결 및 펌웨어 추출:
-
OTA 다운로드 또는 플래시 메모리에서 펌웨어 덤프 추출
-
ARM 에뮬레이터(QEMU) 설정 및 테스트
2. 정적/동적 분석: -
펌웨어 내부의 하드코딩된 인증 정보 탐색
-
동적 분석 도구를 활용해 런타임 상의 취약점 확인
-
-
네트워크 분석 및 공격:
- 장치 간 통신 트래픽 캡처
- 네트워크 패킷 변조 및 ARP 스푸핑 공격 수행
-
분석 보고서 작성:
- 스마트 허브 및 장치의 취약점과 보안 권고안 정리
-
4. 최종 검증 및 발표 준비 (8주차)
- 목표: 최종 보고서와 발표 자료 작성, 논문 형태로 정리
- 작업 항목:
- 분석 보고서와 취약점 검증 결과 통합
- CVE 제출 문서 작성 및 등록 진행
- 발표 자료 제작 및 팀원 간 리허설
팀원 역할 분배
-
프로젝트 매니저 (PM)
- 이름: 이종훈
- 역할:
- 프로젝트 일정 관리 및 조율
- 각 팀원의 작업 상태를 파악하고, 일정 조율과 리소스 할당
- 팀 내 커뮤니케이션 중심으로 외부 보고와 발표 자료 작성 관리
- 보고서 최종 통합 및 검토
- 각 팀에서 작성한 분석 결과를 통합해 최종 보고서를 작성하고, 완성도를 점검
- 프로젝트 일정 관리 및 조율
-
자료 조사 및 기술 문서화 담당 1
- 이름: ---
- 역할:
- 기술 자료 조사
- 분석에 필요한 기술 자료, CVE 데이터베이스, IoT 보안 사례 등 조사 및 공유
- 최신 IoT 보안 트렌드와 참고 가능한 논문 자료 수집
- 기술 문서화
- 프로젝트에서 사용된 기술적 접근 방식을 상세히 기록하고, 참고 문헌 정리
- 기술 자료 조사
-
자료 조사 및 기술 문서화 담당 2
- 이름: ---
- 역할:
- 기술 자료 조사
- 분석에 필요한 기술 자료, CVE 데이터베이스, IoT 보안 사례 등 조사 및 공유
- 최신 IoT 보안 트렌드와 참고 가능한 논문 자료 수집
- 기술 문서화
- 프로젝트에서 사용된 기술적 접근 방식을 상세히 기록하고, 참고 문헌 정리
- 기술 자료 조사
-
PoC(Proof of Concept) 검증 담당
- 이름: ---
- 역할:
- PoC 공격 검증
- 팀이 제안 / 설계한 공격 시나리오를 테스트하고 검증
- 공격 실행 중 문제 발생 시 즉각 수정 및 기록
- 결과 정리
- PoC 공격의 성공 여부와 영향도를 문서화하고, 이를 보고서에 반영
-
데이터 정리 및 결과 검증 담당
- 이름: ---
- 역할:
- 분석 데이터 정리
- 시스템 및 네트워크 분석 결과 데이터를 체계적으로 분류하고 정리
- 각 데이터의 연관성을 파악해 보고서 작성에 필요한 주요 인사이트 제공
- 결과 검증
- 보고서 초안 및 최종 결과물을 검토하여 데이터의 일관성과 정확성을 확인
- 기술적인 오류 또는 누락된 데이터를 점검하고 수정 요청
