유창훈 대표가 말하는 ‘OT 보안에 센스톤의 OTAC가 필요한 이유’
“OTAC가 금융과 드론, 자율주행차 같은 분야에서는 아직 ‘있으면 좋은 기술’ 정도에 머물러 있지만, 운영기술(OT) 보안에서는 ‘반드시 필요한 기술’이 됐습니다.”
유창훈 센스톤 대표는 회사가 개발한 인증 기술 ‘일회용 인증코드(One-Time Authentication Code·OTAC)’를 산업용 제어 장치(PLC) 등 OT 장비에 적용하면, 외부 통신이 제한된 산업 현장에서도 사용자와 기기를 식별하고 비인가 접근을 막을 수 있다고 강조했다. 최근 센스톤은 최근 작업자가 실제 OT 설비에 접속하기 직전 신원을 다시 확인하는 인증 영역을 집중적으로 공략하고 있다.
OT는 공장과 발전소, 상하수도 시설처럼 물리적인 설비를 운영하는 기술을 뜻한다. 이 환경에서는 PLC, 휴먼 머신 인터페이스(Human-Machine Interface·HMI), 원격 단말 장치(Remote Terminal Unit·RTU), 감시 제어 데이터 수집 시스템(Supervisory Control and Data Acquisition·SCADA) 등이 생산설비와 기반시설을 직접 제어한다.
하지만 OT 현장에서는 여러 작업자가 하나의 고정 비밀번호를 공유하거나, 장비에 설정된 초기 비밀번호를 그대로 사용하는 문제가 발생할 수 있다. 장비가 외부 통신을 제한한 망에서 작동하고 한 번 설치하면 장기간 사용하는 경우가 많아, IT 환경의 인증체계를 그대로 적용하기도 어려운 구조다.
센스톤은 이 틈을 OTAC로 공략하고 있다. OTAC는 스마트폰이나 카드, 보안 칩에서 인증할 때마다 새로운 코드를 만든다. 인증시스템은 별도의 아이디를 먼저 입력받지 않아도 이 코드로 사용자나 기기를 식별하고 유효성을 확인한다. 센스톤은 서버와 사전에 통신하지 않고 매번 다른 코드를 만든다는 점에서 이를 ‘단방향 다이내믹 인증 기술’이라고 말한다. 외부 통신이 제한된 산업 현장에도 적용할 수 있는 이유다.
유 대표는 대학교에서 조선공학을 전공하고 삼성중공업에서 선박 설계 업무를 맡았다. 이후 보안기업 마크애니에서 10년 넘게 근무했으며, 2015년 센스톤을 설립했다. 창업 초기에는 생체인증 국제표준인 파이도(FIDO) 사업을 전개했지만 인증 시장의 가격 경쟁이 심화하자, 자체 원천기술로 사업 방향을 전환했다. 그 결과로 만들어낸 기술이 바로 OTAC다.
OTAC, 서버와 통신하지 않고 사용자 식별한다
센스톤이 개발한 OTAC는 ‘계속 바뀌는 카드번호’에서 시작됐다. 유 대표는 과거 일본에서 열린 한 제품 전시회에서 어떤 디스플레이 카드 제조사를 만났고, 이 회사는 “통신 기능이 없는 카드 안에서 새로운 카드번호를 계속 만들면서도 결제 시스템이 어느 사용자의 카드인지 알아볼 수 있는 기술을 한 번 만들어보라”고 유 대표에게 제안했다.
하지만 이 문제는 기존의 ‘일회용비밀번호(OTP)’ 기술만으로는 해결하기 어려웠다. OTP가 만든 숫자만 받아서는 어느 사용자가 생성했는지를 바로 알 수 없기 때문이다. OTP를 사용할 때는 먼저 아이디와 비밀번호로 로그인해야 한다. 서버는 로그인한 계정에 등록된 OTP의 일련번호를 찾고, 같은 알고리즘으로 숫자를 만들어 사용자가 입력한 값과 비교한다. OTP가 주로 2차 인증 수단으로 쓰이는 이유다.
반면 OTAC는 사전에 등록한 사용자나 기기의 식별정보와 비밀값을 바탕으로 매번 다른 코드를 생성한다. 인증시스템은 별도의 아이디와 비밀번호를 먼저 입력받지 않아도 코드 하나로 생성 주체를 식별하고 유효성을 확인할 수 있다. 아이디와 비밀번호가 코드 안에 그대로 저장되는 것은 아니지만, 코드 한 번으로 아이디·비밀번호와 OTP를 차례로 확인한 것과 같은 인증 효과를 내는 구조다.
센스톤은 2017년 OTAC 개발을 시작해 2018년 말 첫 모듈을 완성했다. 이후 스마트폰뿐 아니라 신용카드용 보안 칩과 소형 사물인터넷(IoT) 칩에서도 코드를 만들 수 있도록 알고리즘을 경량화했다.
유 대표는 “OTP는 아이디를 필요로 하는 ‘일회용 비밀번호’지만, OTAC는 매번 바뀌는 코드 자체로 인증을 수행한다”며 “그래서 이름도 ‘일회용 인증코드’라고 붙였다”고 설명했다. 이어 “기존 인증사업만으로는 먹고사는 회사에 머물 수 있다고 판단했다”며 “센스톤만이 가질 수 있는 원천기술을 만들어야 했다”고 말했다.
기술은 만들었지만 맞는 시장을 찾지 못했다
OTAC를 개발했다고 곧바로 시장이 열린 것은 아니었다. 개발의 계기가 된 디스플레이 카드 시장부터 사라졌다. 카드 가격이 비쌌고 배터리 충전도 필요해 관련 기업들이 사업을 접거나 방향을 바꿨다.
센스톤은 이후 사용자 인증이 중요한 금융과 자율주행차, 커넥티드카, 드론, 출입통제 등으로 적용처를 넓혔다. 통신 지연이 발생하는 환경에서는 스마트폰이 직접 인증용 QR코드를 생성하도록 했다. 드론에는 공격자가 제어권을 탈취하더라도 유효한 OTAC가 없으면 명령을 실행하지 못하는 기술을 적용했다. 신용카드용 보안 칩에서는 근거리무선통신(NFC)으로 전력을 공급받은 뒤 0.25초 안에 코드를 생성했다.
이 과정에서 OTAC는 스마트폰용 인증기술에서 칩과 임베디드 장비에 들어가는 기술로 발전했다. 그러나 금융사는 기존 인증수단만으로 서비스를 운영할 수 있었고, 자율주행과 드론 시장은 예상보다 빠르게 확산되지 않았다.
유 대표는 “기술을 적용하면 보안성이 높아지지만 다른 방법으로도 서비스를 운영할 수 있었다”며 “고객이 반드시 도입해야 하는 시장은 아니었다”고 말했다.
산업설비에서 OTAC의 시장을 찾다
전환점은 2022년 말 찾아왔다. LS일렉트릭에서 PLC의 비밀번호 문제를 해결할 기술을 찾다가 센스톤에 연락했다. PLC는 공장의 로봇과 센서, 생산설비를 제어하는 장치다. 대규모 공장에는 여러 제조사가 만든 PLC와 HMI, RTU, 분산제어시스템(DCS)이 수천개에서 수만개씩 설치된다.
현장에서는 작업자와 외부 유지보수 인력이 PLC 같은 제어 장비에서 사용하는 고정된 비밀번호를 공유하기도 한다. 이 경우 실제로 누가 어떤 장비에 접속했는지 확인하기 어렵다. 비밀번호가 외부로 유출돼도 사용자별로 접속을 제한할 수도 없다.
유럽을 중심으로 산업제어시스템 보안표준인 국제전기기술위원회(IEC) 62443 규제의 적용 요구가 확대된 점도 영향을 미쳤다. 이 표준은 산업제어시스템의 주요 보안요건으로 사용자와 기기의 식별·인증을 제시한다.
그러나 IT 환경에서 사용하는 다중요소인증(MFA)을 OT 장비에 그대로 넣기는 어렵다. 다중요소인증은 비밀번호처럼 사용자가 아는 정보와 휴대전화처럼 사용자가 가진 수단, 지문과 같은 생체정보 가운데 두 가지 이상을 결합하는 방식이다.
일반적인 다중요소인증은 단말과 서버가 정보를 주고받아야 한다. 반면 OT 현장에는 외부 통신이 제한된 장비와 제조사의 지원이 끝난 노후 장비가 함께 존재한다. 인증기능을 넣기 위해 장비 프로그램과 통신구조를 바꾸면 생산설비 운영에도 영향을 줄 수 있다.
유 대표는 “OT에서는 비밀번호를 대체할 인증수단이 필요하지만 기존 장비를 고치기도 어렵다”며 “서버와 사전 통신하지 않고 사용자를 식별하는 OTAC의 특성이 OT 환경과 맞아떨어졌다”고 했다.
센스톤은 LS일렉트릭과 PLC 내부에 OTAC 알고리즘을 넣는 개념검증(PoC)을 진행했다. 사용자가 스마트폰이나 카드에서 만든 일회용 코드를 입력해야 PLC에 접속할 수 있도록 했다.
기존 설비 앞에 인증 게이트웨이로 검증
다만 전 세계 장비 제조사를 하나씩 만나 기술을 탑재하는 방식으로는 확산 속도가 느렸다. 공장도 특정 제조사에 종속되지 않기 위해 여러 회사의 장비를 섞어 사용한다. 이에 센스톤은 장비에 기술을 직접 넣는 방식과 함께 게이트웨이 방식을 개발했다.
‘OTAC Trusted Access Gateway(TAG)’는 PLC와 HMI 등 기존 장비 앞단에 설치한다. 장비의 프로그램과 설정을 바꾸지 않고 네트워크 연결 구간에 인증 절차를 추가하는 방식이다. 작업자가 설비 관리 프로그램을 실행하면 센스톤의 OTAC 인증창이 먼저 나타난다. 스마트폰이나 디스플레이 카드, 지문인증 기능을 갖춘 USB 장치에서 생성한 코드를 입력해야 게이트웨이가 연결을 허용한다.
고정 비밀번호를 알고 있더라도 등록된 단말에서 만든 OTAC가 없으면 장비에 접근할 수 없다. 사용자별 접속 시간과 대상 장비도 기록해 작업 이력도 확인할 수 있다. 유 대표는 “PLC 자체를 바꾸거나 제조사의 개발 지원을 받지 않아도 된다”며 “여러 제조사의 장비가 섞인 공장에서도 하나의 인증체계를 적용할 수 있다”고 설명했다.
센스톤은 최근 한국수자원공사와 수도시설 감시·제어설비의 사용자 인증시스템을 개발했다. 기존 수도시설을 바꾸지 않고 설비 접속자를 식별하고 접근을 통제하는 구조를 검증했다.
유 대표는 “한국수자원공사가 적용 범위를 확대하기로 했고 에너지 기업의 생산공정에도 제품을 공급했다”며 “다른 제조기업과 국가 기반시설 운영기관도 OTAC를 검토하고 있다”고 밝혔다.
현대자동차그룹은 지난 6월 센스톤에 전략적 투자를 단행했다. 현대차그룹은 약 7개월 동안 현업 부서와 관련 계열사를 통해 OTAC의 필요성과 적용 가능성을 검토했다. ㅇ 외에도 센스톤은 스마트팩토리와 소프트웨어 정의 공장(SDF), 원격 유지보수 등 다양한 OT 환경에서 작업자와 기기의 접속을 확인하는 방안을 논의하고 있다.
AI 시대, OT 환경에서 OTAC 중요성 더 커져
센스톤은 앤트로픽의 미토스 같은 프론티어 AI가 소프트웨어 취약점을 빠르게 찾고 공격 과정을 자동화하면서 OT 엔드포인트 인증의 중요성도 커질 것으로 보고 있다.
공장에서는 방화벽과 망분리로 IT망과 OT망의 경계를 보호한다. 그러나 공격자가 경계를 우회하거나 정상 계정과 비밀번호를 확보하면 내부 설비에 접근할 수 있다.
센스톤은 공격자의 내부망 침입 여부와 별개로 실제 장비에 접속하는 단계에서 인증을 다시 요구한다. 공격자가 비밀번호를 알아내더라도 등록된 단말이나 보안 칩에서 만든 일회용 코드가 없으면 장비 제어를 허용하지 않는다.
유 대표는 “AI가 공격자가 되면 OT 경계망을 넘어오는 시도도 늘어날 것”이라며 “경계를 통과하더라도 마지막 장비 앞에서 사용자나 기기를 다시 식별하고 인증하면 직접 제어를 막을 수 있다”고 설명했다.
AI 에이전트가 다른 에이전트와 기기를 호출하는 환경에서도 하드웨어에 저장한 인증정보와 유효시간이 짧은 토큰이 필요하다고 봤다. 센스톤은 소형 보안 칩에서 OTAC를 생성해 AI 에이전트와 기기의 신원을 확인하는 기술도 연구하고 있다.
글로벌 시장 공략에는 영국 법인 ‘스위치(swIDch)‘를 활용한다는 계획이다. 센스톤은 2018년 영국에 스위치를 설립하고 해외 사업을 맡겼다. 스위치는 유럽을 비롯한 글로벌 장비 제조사와 보안기업, 사업 파트너를 발굴하는 전진기지 역할을 한다. 국내에서 원천기술과 제품을 개발하고, 영국 법인을 통해 해외 고객과 협력 기회를 넓히는 구조다.
유 대표는 “처음부터 OTAC를 국내 시장에만 판매할 기술로 보지 않았다”며 “영국 법인을 거점으로 글로벌 제조사와의 기술 내장과 라이선스 사업을 확대할 계획”이라고 말했다.
이어 “해외 보안 제품보다 단순히 특정 기능을 더 잘 만드는 회사가 되고 싶지 않다”며 “한국에서 만든 보안 원천기술이 세계의 장비와 서비스에 표준처럼 적용되는 첫 사례를 만들고 싶다”고 강조했다.
글. 바이라인네트워크
<곽중희 기자>god8889@byline.network
