하드웨어 보안의 최신 동향
IoT 기기용 보안 인증 프레임워크인 PSA Certified나 SESIP에서 중시되는 합성(컴포지션)의 개념으로 올바른 것은?
- A인증을 받은 칩이나 신뢰의 근간 위에 제품을 만들 때 그 평가 결과를 재사용하고, 기기 제조사는 추가한 부분을 중심으로 평가를 받는다
- B기기를 구성하는 모든 부품을 한 회사만이 설계하고 제조하지 않으면, 기기로서의 인증을 전혀 받을 수 없게 한다
- C한 번 인증을 받은 칩을 사용하면, 그 위에서 동작하는 애플리케이션에 취약점이 있어도 기기 전체가 인증된 것으로서 안전하다고 간주된다
정답과 해설 보기
정답: A. 인증을 받은 칩이나 신뢰의 근간 위에 제품을 만들 때 그 평가 결과를 재사용하고, 기기 제조사는 추가한 부분을 중심으로 평가를 받는다
IoT 기기는 종류가 많아서, 하나씩 공통 평가 기준 같은 무거운 평가를 받는 것은 비용과 시간의 부담이 커집니다. PSA Certified(2019년에 시작된, Arm 등에 의한 프레임워크)나 GlobalPlatform이 정한 SESIP(나중에 유럽 규격 EN 17927도 된 평가 방법)에서는 칩, 신뢰의 근간, OS 등의 계층별로 평가를 받고, 위 계층은 그 결과를 전제로 평가를 쌓는 합성의 개념을 취합니다. 이로써 기기 제조사는 인증된 부품을 고르고, 자신이 추가한 부분의 평가에 집중할 수 있습니다. 다만 아래 계층의 인증은 위 계층의 안전성까지는 보증하지 않으므로, 위 계층의 평가나 부품 사용 조건을 지키는 것이 필요합니다.