유창훈 대표가 말하는 ‘OT 보안에 센스톤의 OTAC가 필요한 이유’

“OTAC가 금융과 드론, 자율주행차 같은 분야에서는 아직 ‘있으면 좋은 기술’ 정도에 머물러 있지만, 운영기술(OT) 보안에서는 ‘반드시 필요한 기술’이 됐습니다.” 유창훈 센스톤 대표는 회사가 개발한 인증 기술 ‘일회용 인증코드(One-Time Authentication Code·OTAC)’를 산업용 제어 장치(PLC) 등 OT 장비에 적용하면, 외부 통신이 제한된 산업 현장에서도 사용자와 기기를 식별하고 비인가 접근을 막을 수 있다고 강조했다. 최근 센스톤은 최근 작업자가 실제 OT 설비에 접속하기 직전 신원을 다시 확인하는 인증 영역을 집중적으로 공략하고 있다. OT는 공장과 발전소, 상하수도 시설처럼 물리적인 설비를 운영하는 기술을 뜻한다. 이 환경에서는 PLC, 휴먼 머신 인터페이스(Human-Machine Interface·HMI), 원격 단말 장치(Remote Terminal Unit·RTU), 감시 제어 데이터 수집 시스템(Supervisory Control and Data Acquisition·SCADA) 등이 생산설비와 기반시설을 직접 제어한다. 하지만 OT 현장에서는 여러 작업자가 하나의 고정 비밀번호를 공유하거나, 장비에 설정된 초기 비밀번호를 그대로 사용하는 문제가 발생할 수 있다. 장비가 외부 통신을 제한한 망에서 작동하고 한 번 설치하면 장기간 사용하는 경우가 많아, IT 환경의 인증체계를 그대로 적용하기도 어려운 구조다. 센스톤은 이 틈을 OTAC로 공략하고 있다. OTAC는 스마트폰이나 카드, 보안 칩에서 인증할 때마다 새로운 코드를 만든다. 인증시스템은 별도의 아이디를 먼저 입력받지 않아도 이 코드로 사용자나 기기를 식별하고 유효성을 확인한다. 센스톤은 서버와 사전에 통신하지 않고 매번 다른 코드를 만든다는 점에서 이를 ‘단방향 다이내믹 인증 기술’이라고 말한다. 외부 통신이 제한된 산업 현장에도 적용할 수 있는 이유다. 유 대표는 대학교에서 조선공학을 전공하고 삼성중공업에서 선박 설계 업무를 맡았다. 이후 보안기업 마크애니에서 10년 넘게 근무했으며, 2015년 센스톤을 설립했다. 창업 초기에는 생체인증 국제표준인 파이도(FIDO) 사업을 전개했지만 인증 시장의 가격 경쟁이 심화하자, 자체 원천기술로 사업 방향을 전환했다. 그 결과로 만들어낸 기술이 바로 OTAC다. OTAC, 서버와 통신하지 않고 사용자 식별한다 센스톤이 개발한 OTAC는 ‘계속 바뀌는 카드번호’에서 시작됐다. 유 대표는 과거 일본에서 열린 한 제품 전시회에서 어떤 디스플레이 카드 제조사를 만났고, 이 회사는 “통신 기능이 없는 카드 안에서 새로운 카드번호를 계속 만들면서도 결제 시스템이 어느 사용자의 카드인지 알아볼 수 있는 기술을 한 번 만들어보라”고 유 대표에게 제안했다. 하지만 이 문제는 기존의 ‘일회용비밀번호(OTP)’ 기술만으로는 해결하기 어려웠다. OTP가 만든 숫자만 받아서는 어느 사용자가 생성했는지를 바로 알 수 없기 때문이다. OTP를 사용할 때는 먼저 아이디와 비밀번호로 로그인해야 한다. 서버는 로그인한 계정에 등록된 OTP의 일련번호를 찾고, 같은 알고리즘으로 숫자를 만들어 사용자가 입력한 값과 비교한다. OTP가 주로 2차 인증 수단으로 쓰이는 이유다. 반면 OTAC는 사전에 등록한 사용자나 기기의 식별정보와 비밀값을 바탕으로 매번 다른 코드를 생성한다. 인증시스템은 별도의 아이디와 비밀번호를 먼저 입력받지 않아도 코드 하나로 생성 주체를 식별하고 유효성을 확인할 수 있다. 아이디와 비밀번호가 코드 안에 그대로 저장되는 것은 아니지만, 코드 한 번으로 아이디·비밀번호와 OTP를 차례로 확인한 것과 같은 인증 효과를 내는 구조다. 센스톤은 2017년 OTAC 개발을 시작해 2018년 말 첫 모듈을 완성했다. 이후 스마트폰뿐 아니라 신용카드용 보안 칩과 소형 사물인터넷(IoT) 칩에서도 코드를 만들 수 있도록 알고리즘을 경량화했다. 유 대표는 “OTP는 아이디를 필요로 하는 ‘일회용 비밀번호’지만, OTAC는 매번 바뀌는 코드 자체로 인증을 수행한다”며 “그래서 이름도 ‘일회용 인증코드’라고 붙였다”고 설명했다. 이어 “기존 인증사업만으로는 먹고사는 회사에 머물 수 있다고 판단했다”며 “센스톤만이 가질 수 있는 원천기술을 만들어야 했다”고 말했다. 기술은 만들었지만 맞는 시장을 찾지 못했다 OTAC를 개발했다고 곧바로 시장이 열린 것은 아니었다. 개발의 계기가 된 디스플레이 카드 시장부터 사라졌다. 카드 가격이 비쌌고 배터리 충전도 필요해 관련 기업들이 사업을 접거나 방향을 바꿨다. 센스톤은 이후 사용자 인증이 중요한 금융과 자율주행차, 커넥티드카, 드론, 출입통제 등으로 적용처를 넓혔다. 통신 지연이 발생하는 환경에서는 스마트폰이 직접 인증용 QR코드를 생성하도록 했다. 드론에는 공격자가 제어권을 탈취하더라도 유효한 OTAC가 없으면 명령을 실행하지 못하는 기술을 적용했다. 신용카드용 보안 칩에서는 근거리무선통신(NFC)으로 전력을 공급받은 뒤 0.25초 안에 코드를 생성했다. 이 과정에서 OTAC는 스마트폰용 인증기술에서 칩과 임베디드 장비에 들어가는 기술로 발전했다. 그러나 금융사는 기존 인증수단만으로 서비스를 운영할 수 있었고, 자율주행과 드론 시장은 예상보다 빠르게 확산되지 않았다. 유 대표는 “기술을 적용하면 보안성이 높아지지만 다른 방법으로도 서비스를 운영할 수 있었다”며 “고객이 반드시 도입해야 하는 시장은 아니었다”고 말했다. 산업설비에서 OTAC의 시장을 찾다 전환점은 2022년 말 찾아왔다. LS일렉트릭에서 PLC의 비밀번호 문제를 해결할 기술을 찾다가 센스톤에 연락했다. PLC는 공장의 로봇과 센서, 생산설비를 제어하는 장치다. 대규모 공장에는 여러 제조사가 만든 PLC와 HMI, RTU, 분산제어시스템(DCS)이 수천개에서 수만개씩 설치된다. 현장에서는 작업자와 외부 유지보수 인력이 PLC 같은 제어 장비에서 사용하는 고정된 비밀번호를 공유하기도 한다. 이 경우 실제로 누가 어떤 장비에 접속했는지 확인하기 어렵다. 비밀번호가 외부로 유출돼도 사용자별로 접속을 제한할 수도 없다. 유럽을 중심으로 산업제어시스템 보안표준인 국제…