이승환 ㈜케이티엔에프 상무, ‘HW 공급망 보안대책과 국산서버 개발 동향’ 발표에서 강조

이승환 ㈜케이티엔에프(KTNF) 상무가 ‘HW 공급망 보안대책과 국산서버 개발 동향’을 주제로 발표하고 있다. [사진=뉴스투데이] 

국방·공공기관에 납품되는 서버 장비의 공급망 보안이 새로운 안보 이슈로 부상하고 있다. 기존의 소프트웨어 중심 보안체계만으로는 고도화되는 사이버 공격을 막기 어렵다는 인식이 확산되면서, 서버 메인보드 바이오스(BIOS), 펌웨어 등 하드웨어(HW) 영역까지 보안 검증 범위를 확대해야 한다는 목소리가 커지고 있다.

최근 이승환 ㈜케이티엔에프(KTNF) 상무가 국방혁신기술보안협회 토론회에서 ‘HW 공급망 보안대책과 국산서버 개발 동향’을 주제로 발표한 내용에 따르면, 글로벌 사이버 위협은 이제 단순 악성코드 차원을 넘어 제조 단계에서 하드웨어 자체에 백도어나 스파이 칩을 삽입하는 수준까지 진화하고 있다. 

이 상무는 2018년 논란이 됐던 중국산 ‘스파이 칩’ 의혹 사례를 언급하며, 서버 메인보드 공급망이 국가안보 핵심 변수로 떠오르고 있다고 지적했다. 당시 블룸버그는 중국이 슈퍼마이크로 서버 메인보드에 초소형 스파이 칩을 삽입했다고 보도해 글로벌 공급망 보안 논쟁을 촉발했다.

특히 방산업계에서는 “중국산 CCTV는 퇴출하면서도 핵심 군사 시스템 서버는 외국산 메인보드에 의존하는 것이 과연 안전하냐”는 문제의식이 확산되고 있다. 이 상무는 미사일 통제 서버나 원전 관리 서버에 외산 메인보드가 적용될 경우 공급망 차원의 보안 리스크를 완전히 배제하기 어렵다고 지적했다. 

실제 HW 공급망은 기획·설계·생산·유지보수·폐기에 이르는 전 단계에서 공격에 노출될 수 있다. 제조 과정에서 악성 소프트웨어가 삽입되거나, 검증되지 않은 펌웨어와 위조 부품이 사용될 가능성이 대표적이다. 

특히 개발·생산 단계에서는 인쇄회로기판(PCB) 설계 불일치, 취약한 제3자 라이브러리 사용, ODM(제조업자 개발생산)·OEM(주문자 상표부착 생산) 부품 검증 부재, SMT(표면 실장 기술) 공정 이후 스파이 칩 검사 미실시 등이 주요 위험 요소로 꼽혔다.

업계는 이제 공급망 보안을 단순 IT 문제가 아닌 국가안보 문제로 접근해야 한다고 강조한다. 이 상무 역시 “중요 인프라 및 국방 시스템에 사용되는 HW 보안이 취약할 경우 국가안보에 심각한 위협이 될 수 있다”고 진단했다. 

그럼에도 국내 IT 시장은 외국산 HW 제품이 대부분 점유하고 있다. 이 상무는 “외국산 HW 제품들이 직접생산증명서를 받은 국내 업체에 OEM 형태로 제공되면서 국산 장비로 둔갑해 제안하는 사례가 다수”라고 지적했다.

게다가 “HW에 탑재된 어플리케이션이 보안적합성 검증 대상 제품일 경우 어플리케이션만 검증받아 HW 보안체계가 무방비 상태”라며 “정부가 HW까지 철저히 검증하거나, HW 납품 시 HW 자재명세서(H-BOM) 검증을 적용해야 한다”고 강조했다. 

이 상무는 개선방안으로 “외국산 HW 제품의 OEM 방식을 통한 편법 우회 진입을 원천적으로 차단하고 주요 부품의 국산화 여부를 명확히 검증하며, HW 납품 시 H-BOM 검증 적용으로 국방 정보보안을 강화해야 한다”고 제안했다.

이와 관련, 2024년 4월 신설된 방위사업법 시행령(제61조의 5)에서는 국방 분야에 HW 도입 시 국산 장비·부품의 우선 획득과 외국산 제품 사용 시 정보 유출 또는 침해 우려에 대한 대책을 제안서 평가에 반영할 수 있도록 했다. 

또한, 정보통신기술 표준 개발·보급·시험인증을 지원하는 한국정보통신기술협회(TTA)에서도 2024년 6월 ‘HW 공급망 보안 검증을 위한 공통보안 요구사항’을 발표하는 등 HW 공급망 보안의 표준을 제시하고 있다. 

이에 따라 방산·공공 분야에서는 HW 보안 요구사항이 빠르게 강화되는 추세다. 대표적으로 H-BOM 제출 의무화, 백도어 검증, SMT 이후 스파이 칩 검사, 업데이트 파일 전자서명, 공급망 추적 체계 구축 등이 요구되고 있다.

특히 BIOS와 펌웨어 보안은 차세대 공급망 보안의 핵심으로 부상하고 있다. 이상무는 “펌웨어 보안이 무너지면 그 위에 구축된 모든 보안체계가 무의미해진다”고 강조했다.

이 같은 흐름 속에서 국내에서는 국산 서버 및 메인보드 개발 움직임도 본격화되고 있다. 이 상무는 “KTNF는 BIOS·펌웨어 등을 자체 개발하고 H-BOM 제공 체계를 구축해 공급망 투명성을 강화하고 있다”고 밝혔다. 

회사는 이미 국방통합데이터센터, 육군 LAN 교체사업, 한화시스템 B2CS 연동서버 사업 등 국방·방산 분야에 다수의 서버를 공급했으며, 레이더용 고속신호처리 엣지서버 개발도 추진 중이다. 

전문가들은 향후 방산 보안이 소프트웨어 중심에서 HW도 중시하는 방향으로 변화할 가능성이 있다고 보고 있다. 실제로 K-RMF, 제로트러스트, 국가망 보안체계(N2SF) 등 차세대 보안체계에서 HW 기반 공급망 보안의 중요성이 확대되는 분위기다.

보안업계 관계자는 “과거에는 CPU와 GPU 성능이 서버 경쟁력이었다면 앞으로는 메인보드·BIOS·펌웨어를 얼마나 신뢰할 수 있느냐가 핵심 경쟁력이 될 것”이라며 “방산과 국가기간망에서는 공급망 보안이 곧 국가 주권 문제로 연결되는 시대가 오고 있다”고 말했다.

뉴스투데이 김한경 안보전문기자 

기사원문 보러가기 > [방산기술보호] “서버 메인보드까지 들여다본다”…방산 하드웨어 국산화로 공급망 보안 강화해야