뉴스스터디 - 커지는 자동차 해킹 위협 ① ②

https://www.ajunews.com/view/20220703080835330 

​[커지는 자동차 해킹 위협] ① 자동차도 해킹되는 시대, 사이버보안 강화 시급하다 | 아주경제

사물인터넷(IoT) 기술의 확산 - 정보통신망에 연결

(ex. 냉장고, 에어컨과 같은 가전제품 / 가스차단기와 같은 비가전제품 / 스마트빌딩, 스마트시티 등 살아가는 공간)

파이프라인 랜섬웨어 공격, 월패드 해킹

 

 

자동차도 '정보통신망 연결기기'로 거듭나고 있음

이미 전자화된 엔진 제어 장치(ECU) 를 비롯해 다양한 전자부품 탑재

지능형 교통체계와 연결되는 네비게이션

스마트폰을 이용한 원격 차량 제어 등 다양한 정보통신 기술이 접목되고 있음

 

특히 전기차는 모터, 배터리 관리 시스템 등 전자장비 비중이 더 큼

 

여기에 자율주행 자동차를 위한 핵심 기술인 '차량-사물 간 통신(V2X, Vehicle to Everything)'이 도입되면

자동차는 상시적으로 정보통신망에 연결된 상태가 됨

 

💡커넥티드카(Connected Car)
차량과 주변의 연결에 초점을 맞춤 - 도로를 달리는 컴퓨터/스마트폰
수 천개의 전자부품을 탑재하고 정보통신망과 실시간으로 연결돼 교통과 관련한 모든 정보를 수집

도시 인프라 차원의
지능형 교통 시스템(ITS, Intelligence Transport System)과 융합하며
협력 지능형 교통 시스템(C-ITS, Cooperative-ITS)로 확장되고 있음

[기술의 연계]
대형 스크린이나 유리창에 띄우는 "UX기술"
운전자가 말하는 자연어를 인식하고 각종 기능을 조작할 수 있게 지원하는 "음성인식 기술"
사용자의 육체적, 정신적 상황을 분석하고 대안 제시하는 "인공지능과 딥러닝 기술"

https://edumon.tistory.com/517

 

💡인포테인먼트(Infotainment)
정보(Information)+오락(entertainment)
특히 차량용 인포테인먼트는 차세대 차량용 응용 서비스로서 주목
차량 자체를 하나의 이동수단 겸 휴식·업무·생활공간으로 탈바꿈 시키고 있음

- 탑승자에게 주행 관련 정보 뿐만 아니라 즐길 거리를 동시에 서비스
- 내비게이션, 블랙박스 등 기타 차량용 기능성 장치들과 연동
- 자율주행 기술을 기본적으로 추구

- 다양한 개발자들이 자동차용으로 개발한 App

[기능 예시]
일정관리 기능
이메일/문자 보내기 기능
인터넷 검색 및 내용 요약하여 보고
스마트PC에 명령 및 제어
예약

[활용 기술]
음성인식(speech-to-text), 음성화(text-to-speech), 인공지능, 자연어처리 등

https://edumon.tistory.com/516

💡차량 주요 통신 기술
차량 내 네트워크(IVN, In-Vehicle Networking)
차량과 사물 간 통신(V2X, Vehicle to Everything); 도로, 교통체계, 주변 차량 등과 통신
차량과 차량 간의 통신(V2V, Vehicle to Vehicle)
차량과 주변 인프라 간 통신(V2I, Vehicle to Infrastructure)
차량과 모바일 기기 간 통신(V2N, Vehicle to Nomadic devices)
차량과 전기 충전 관련 통신(V2G, Vehicle to Grid)

셋의 경계가 모호해지고 있다.

자동차를 노리는 사이버 공격의 다양화

해커가 시스템을 조작해 문을 잠그거나 열고, 시동을 켜고 끌 수 있다

→ 정차한 상태에서는 물리적인 도난에 그치지만,
    주행 상태에서는 큰 인명 피해로 이어질 수 있다.
     (자율주행 - 조항, 감속 가속까지 제어하기 때문)

 

차량용 인포테인먼트 시스템을 통한 정보 유출

자율주행 자동차 시대에 자동차는 단순 이동수단이 아니라 업무 공간이나 문화생활 공간으로 활용될 가능성이 크다

→ 시스템 해킹으로 차량 내에서 하는 회의 내용을 엿듣고나 화상 회의 유출

     & 블루투스, 와이파이를 통해 차량 내에 있는 노트북에 접근

 

실제로 해킹 가능성 제기 2022년 5월, 영국 사이버보안 기업 NCC그룹

저전력 블루투스(BLE, Bluetooth Low Energy) 기술에 자체 취약점, 잠금용으로 적합하지 않다

① 수백만 개의 디지털 잠금장치에서 보안 취약점 발견

② 2021년식 테슬라 모델Y 차량의 잠금장치 해제에 성공

 

다른 사례

2020년에도 테슬라 모델X가 2분 30초 만에 화이트해커 손에 뚫리기도 했다.

해커는 본인 노트북과 자동차 키를 연결해 잠금 해제 코드를 생성하고, 이를 통해 문을 열 수 있었다.

2016년에는 닛산 리프 차량을 제어하는 전용 스마트폰 애플리케이션을 해킹해 자동차 문을 여는 데 성공하기도 했으며,

2015년에도 지프 체로키 차량을 해킹해 조향장치와 제동장치를 원격에서 조종하는 사례가 발견돼 크라이슬러가 차량 140만대를 리콜하기도 했다.

 

해커는 모든 교통 환경을 노린다

자동차에 대한 사이버 공격은 차량 뿐만 아니라 둘러싼 환경 전반을 노린다

(1) 광학정보에 대한 공격

주로 카메라 등 광학 정보로 주변 환경을 인식하여 판단하는 자율주행 자동차를 대상으로 함

ex) 2020년 보안 기업 맥아피,
시속 35마일(약 56㎞)로 적힌 표지판을 전기 테이프로 시속 85마일(약 137㎞)로 바꾼 결과 차량 속도가 치솟음

 

(2) 차량과 사물 간 통신(V2X, Vehicle to Everything)에 대한 공격

교통환경 관련 모든 요소와 정보를 공유하기 때문에 

잘못된 정보가 들어오거나 통신 내용이 탈취되지 않도록 보안 환경이 마련돼야 한다. 

 

국내: 한국도로공사 V2X 보안인증체계 실증하기 위한 사업

-> 통신 메시지 해킹 방지는 물론 보안기술을 검증과 개선점을 도출하여 체계 수립

 

(3) 공급망에 대한 공격

자동차 제조사가 차량에 대한 사이버 보안을 철저히 확보하더라도협력자를 통해 보안 취약점을 갖춘 부품이 탑재될 수 있음

 

일반적인 내연기관 작동 자동차 한 대 => 반도체 200~300개 탑재하이브리드 자동차 => 반도체 500개 이상 탑재전기차 => 반도체 1000개 이상 탑재자율주행 자동차 => 반도체 2000개 이상 탑재

 

반도체 => 차량 내 전자부품이 작동하도록 명령을 내림

 

주요 부품 반도체에 하드웨어 백도어가 설치된다면

해커는 이를 통해 차량 내부 시스템에 접근하고, 다른 부품에 대한 제어권 획득 가능

 

제조사는 자사의 보안뿐만 아니라 내부에 탑재되는 부품 종류를 파악하고, 공급망 전방에 대한 보안 체계를 확립해야 한다.

 

(4) 소프트웨어 업그레이드 과정에 대한 공격

이동통신을 이용한 무선 업데이트(OTA·Over The Air) 방식이 도입될 전망 (like 스마트폰 업데이트)

 

실시간으로 펌웨어를 최신 버전으로 유지해 기능과 보안 강화

(기존: 운전자가 정비소를 방문하나 업데이트 파일을 복사해 자동차로 가져가 업데이트)

 

이 과정에서! 해커가 개입할 가능성 커짐

ex1) 해커가 제조사 서버를 해킹해 악성 기능을 포함한 변조 업데이트 파일을 배포하는 시나리오

ex2) 통신 내용을 가로채는 하이재킹(Hijacking) 기법을 통해 해커가 마련한 가짜 서버로 유도하는 시나리오

 

 

https://www.ajunews.com/view/20220703103720375

​[커지는 자동차 해킹 위협] ② 글로벌 자동차 보안 규정 가동...국내 대응도 본격화 | 아주경제

국제 규정

자동차에 대한 사이버공격 위협이 가시화되면서, 이에 대한 논의와 규제 역시 본격화

유엔 유럽경제위원회(UNECE) 세계 포럼이 발표한 UNECE WP.29 R155, R156이 대표적

WP.29는 차량 및 부품의 안전성과 성능에 대한 기술규정을 다루는 규제 포럼

 

2020년 6월 UNECE는 자동차 수명주기 전체에 적합한 사이버보안 요구사항을 충족하고,보안 사고에 대응할 수 있는 체계를 수립해야 한다고 발표, 한국도 여기에 서명함

 

2022년 7월 회원국에 출시되는 자동차 제조사는 신차 출시 시사이버보안에 대한 관리 체계(CSMS, Cyber Security Management System)을 갖추고, 차량 형식에 대한 승인을 UNECE로부터 받아야 함 (통과하지 못하면 다른 회원국 내에 출시 금지)

 

2024년 7월 신차를 넘어 모든 차량을 대상으로 확대

 

ISO/SAE 21434:2021
https://www.dnv.co.kr/services/page-194910
https://www.dnv.co.kr/services/page-196873
https://www.dnv.co.kr/services/page-194911

https://www.dnv.co.kr/services/page-219415

 

국내 동향 (정부)

~해야한다...의 내용들 이어짐

국내 동향 (기업)

각 기업에서 어떤 식으로 보안 제품들 내고 있는지, 어떤 솔루션 도입하고 있는지 등

---

[국토교통부] 자동차 사이버보안 가이드라인

부록 - 자동차에 대한 사이버보안 위협 및 보안조치 목록 참고하면 좋을듯

[국토교통부] 레벨4 자율주행자동차 제작 안전 가이드라인

레퍼런스 참고하면 좋을듯

 

한국자동차공학회 https://www.ksae.org/bbs/index.html?code=notice