[IOT-009][중급] 펌웨어를 안전하게 업데이트하기 > IT 기술 공유

• 목록

[이번 수업]

펌웨어는 센서와 통신 모듈 같은 장치 하드웨어를 제어하는 소프트웨어입니다. 취약점을 고치려면 현장 장치를 업데이트할 수 있어야 하지만, 잘못된 파일이나 전원 중단은 장치를 멈추게 할 수 있습니다. 이번에는 안전한 업데이트가 확인해야 할 조건과 복구 흐름을 배웁니다.

[선수지식]

IOT-002의 마이크로컨트롤러, IOT-006의 무선 통신, SEC-007의 해시·전자서명을 알면 좋습니다. 실습에는 Python 3만 사용합니다.

[학습목표]

1. 펌웨어 이미지와 매니페스트의 역할을 구분합니다.
2. 무결성·진위·버전·호환성 검사를 설명합니다.
3. 실패해도 복구 가능한 업데이트 순서를 설계합니다.

[핵심개념]

펌웨어 이미지는 장치가 실행할 바이너리 파일입니다. 매니페스트는 버전, 대상 장치 종류, 파일 크기, 해시, 설치 조건처럼 이미지를 설명하는 보호된 메타데이터입니다. 장치는 신뢰하는 공개키로 전자서명을 검증해 승인된 작성자의 파일인지 확인하고, 해시로 전송 중 내용이 바뀌지 않았는지 확인합니다. 암호화된 통신만으로 파일 작성자의 진위까지 보장되지는 않습니다.

설치 전에는 장치 모델과 하드웨어 버전, 남은 저장 공간, 전원 상태, 현재 버전과 의존성을 확인합니다. 알려진 취약 버전으로 되돌리는 다운그레이드는 버전 정책으로 막습니다. 다만 새 버전이 부팅되지 않을 때는 서명되고 허용된 이전 이미지나 별도 복구 이미지를 선택할 수 있어야 합니다.

안전한 흐름은 업데이트 알림 → 매니페스트 검증 → 이미지 다운로드 → 크기·해시·서명 확인 → 비활성 저장 영역에 기록 → 재부팅 후 상태 점검 → 성공 확정입니다. 실패하거나 전원이 끊기면 기존 정상 이미지로 돌아갈 수 있도록 이중 저장 영역이나 복구 절차를 둡니다. 소수 장치부터 배포하고 성공률과 오류 상태를 본 뒤 범위를 넓힙니다.

[따라하기]

아래를 verify_firmware.py로 저장합니다. 로컬의 가짜 펌웨어를 실제로 설치하지 않고, 고정된 SHA-256 해시와 같은지만 확인합니다.

```python
from hashlib import sha256
from hmac import compare_digest
from pathlib import Path

image = b"demo-firmware-v1.2.0"
expected_hash = (
    "4f78ae103b90eda5188e09f675a4fa7b"
    "16b1cfafa256ef44419a093d1b6ccb68"
)
path = Path("firmware.bin")
path.write_bytes(image)
actual_hash = sha256(path.read_bytes()).hexdigest()
matched = compare_digest(actual_hash, expected_hash)

print("버전: 1.2.0")
print("크기:", path.stat().st_size, "bytes")
print("해시 일치:", matched)
if not matched:
    raise SystemExit("검증 실패: 설치 중단")
print("검증 결과: 설치 후보 승인")
```

macOS와 Linux에서는 `python3 verify_firmware.py`, Windows PowerShell에서는 `py verify_firmware.py`를 실행합니다. 예상 결과입니다.

```text
버전: 1.2.0
크기: 20 bytes
해시 일치: True
검증 결과: 설치 후보 승인
```

이 예제는 무결성 검사만 보여 줍니다. 해시 값도 공격자가 바꿀 수 있으므로 실제 제품은 매니페스트 전자서명을 신뢰된 공개키로 검증해야 합니다.

[흔한 실수]

파일 다운로드 성공을 업데이트 성공으로 여기거나, 모델이 다른 장치에 같은 이미지를 배포하기 쉽습니다. 현재 이미지를 지운 뒤 새 이미지를 쓰면 전원 중단 때 복구하지 못합니다. 배포 성공률만 보고 부팅 반복, 센서 오류와 배터리 소모를 확인하지 않는 것도 문제입니다.

[보안 주의]

출처가 불분명한 펌웨어를 실제 장치에 기록하지 마세요. 실습은 본인 소유의 로컬 파일과 격리 장치에서만 진행합니다. 서명용 비밀키는 장치나 빌드 로그에 넣지 않고, 장치의 신뢰 공개키와 부트로더는 무단 변경에서 보호합니다. 매니페스트 길이와 필드를 제한해 파서 오류를 막고 업데이트 상태 기록에는 비밀값을 남기지 않습니다.

[직접 해볼 과제]

`image` 끝에 한 바이트를 추가하고 다시 실행하세요. 해시 불일치로 설치가 중단되는지 확인한 뒤, 모델 ID와 최소 배터리 잔량을 검사하는 조건을 함수로 추가합니다.

[확인문제]

1. 해시 검사만으로 펌웨어 작성자의 진위를 확인할 수 없는 이유는 무엇인가요?
2. 다운그레이드 차단과 장애 복구는 어떻게 함께 설계해야 하나요?
3. 새 이미지를 비활성 저장 영역에 먼저 쓰는 이유는 무엇인가요?

[다음 학습]

다음 과정 CORE-010에서는 오류 메시지와 로그로 문제를 좁히는 법을 배웁니다. IOT 트랙은 엣지 컴퓨팅과 로컬 추론으로 이어집니다.

[공식 참고 자료]

- IoT 장치 보안 기준: https://nvlpubs.nist.gov/nistpubs/ir/2020/NIST.IR.8259A.pdf
- 펌웨어 복원력 지침: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-193.pdf
- IoT 펌웨어 업데이트 아키텍처: https://www.rfc-editor.org/rfc/rfc9019.html
- 펌웨어 매니페스트 정보 모델: https://www.rfc-editor.org/rfc/rfc9124.html
- Python 해시 공식 문서: https://docs.python.org/3/library/hashlib.html
- Python 안전한 비교 공식 문서: https://docs.python.org/3/library/hmac.html#hmac.compare_digest