신형 모델이 구형 모델보다 취약, 그러나 아직 걱정할 단계 아냐

자동차의 기능들이 어떤 식으로 연결되어 있느냐가 관건

[보안뉴스] 혹시 2014년형 지프 체로키, 인피니티 Q50, 2015년형 에스컬레이드의 차주신가? 현존하는 최고의 사물인터넷 자동차를 보유한 것에 축하와 부러움을 함께 표한다. 하지만 조심하라는 말도 하나 덧붙인다. 가장 해킹이 쉬운 차종이기도 하기 때문이다.

이는 자동차의 취약점에 대해 연구한 찰리 밀러(Charlie Miller) 씨와 크리스 발라섹(Chris Valasek) 씨가 함께 발표한 보고서에 나오는 내용이다. 두 연구원들은 원격에서 이루어지는 공격의 가능성에 특히 중점을 두고 연구를 실시했다. 예를 들어 자동차에 장착되어 있는 무선 라디오나 인터넷 네트워크를 통해 자동차의 다른 기능을 조정하는 게 가능한지를 가장 중요하게 분석했다는 의미다.

그러기 위해서는 먼저 현대 자동차들의 ‘자동화 기능’과 ‘네트워크 기능’, ‘물리 기능’을 상세하게 분석하는 게 필수였다. 블루투스, 텔레매틱스, 전화 관련 앱 등 침투 경로가 될 수 있는 부분은 물론 이런 경로를 통해 자동 주차 기능이나 스티어링, 브레이킹 등의 물리적인 기능도 외부에서 조작하는 게 가능한지 실험했다. 대부분 공격자가 근접해 있어야 그런 식의 불법 침투가 가능해졌지만 텔레매틱스를 통해서는 훨씬 먼 곳에서도 공격이 가능하다는 결과가 나왔다.

당연한 이야기지만 사물인터넷 기능이 없는 구식 모델일수록 이런 해킹의 가능성이 적었다고 두 연구원은 밝혔다. “가장 해킹이 쉬웠던 자동차는 컴퓨터 및 자동화 기능을 가장 많이 갖춘 모델이었습니다. 게다가 이런 자동차들이 가진 기능들은 전부 같은 네트워크에 연결되어 있어서 상호 소통까지도 가능했습니다. 그렇지 않은 자동차들은 자동화 기능 자체가 적었고 기능들이 전부 독립되어 있었습니다.”

가장 해킹이 쉬웠던 차는 2014년형 인피니티 Q50이었다. 텔레매틱스, 블루투스, 라디오 기능과 엔진, 브레이크 시스템 등이 전부 한 네트워크에서 작동하기 때문이다. 해커 입장에서 한번만 침투하는 데에 성공하면 자동차의 물리적 기능에까지 손을 뻗칠 수 있는 구조라는 것이다.

하지만 모든 자동차가 이런 식으로 네트워크 하나에 모든 기능이 몰려있는 건 아니었다. 2014년형 닷지 바이퍼, 2014년형 아우디 A8, 2014년형 혼다 어코드 등은 해킹하기가 가장 까다로운 모델이었다. 그중에서도 특히 아우디 A8의 벽은 정말로 단단했다고. “자동화 기능과 물리 기능이 전부 따로따로 분리되어 있었습니다. 각 기능이 서로 다른 네트워크에서 작동하고 게이트웨이를 통해서만이 상호 교통이 되는 구조였습니다.”

이에 반해 2014년형 지프 체로키의 경우 “사이버 물리” 기능들이 원격 제어 기능들과 같은 네트워크에서 작동하고 있음을 발견할 수 있었다. “그렇다고 체로키를 아우디보다 쉽게 해킹할 수 있다고 단언하기는 어려웠습니다. 결과가 뭔가 애매했어요. 하지만 라디오와 브레이크가 한 네트워크에 있다는 건 분명합니다.”

이에 대해 크라이슬러의 대변인은 체로키에는 보안 기능이 탑재되어 있으며 그것조차 이미 새로운 기능으로 대체될 예정이라고 언질을 주었다. “크라이슬러에게 있어 사이버 보안은 정말로 중요한 문제입니다. 그래서 저희가 만드는 자동차마다 해킹과 같은 공격을 막을 수 있는 보안 기능을 따로 만들어 탑재합니다. 이 부분을 개발하는 팀을 따로 운영하고 있습니다.”

사물인터넷 시대가 열림에 따라 책상 위의 컴퓨터 외에 자동차의 신변안전도 신경 써야 하는 때가 되었다. 두 연구원은 자신들이 분석한 자동차 제조업체에 분석 결과를 보고했으나 포드와 토요타 측에서는 아직까지 이렇다 할 답변이 없는 상태다. 하지만 최근 자동차 산업에서 ISAC이 형성되는 등 정보 보안에 대한 경각심이 자라나고 있는 상태인 것으로 미루어 이들의 연구 결과가 그저 조용히 묻힐 것으로 보이지는 않는다.

두 연구원은 취약점을 찾아내는 것에 더해 혹시나 모를 침입 행위를 감지할 수 있는 기기를 만들어내기도 했다. “일종의 작은 침입방지시스템이라고 볼 수 있습니다. 누군가 라디오나 블루투스 등을 통해 자동차로 침입했을 때 이를 감지하고 그 후에 브레이크 등의 물리 시스템에까지 명령을 전달하는 걸 막는 기능을 가졌습니다. 자동차에 꼽아 놓으면 됩니다.”

이번 연구의 목적에 대해서 “사물인터넷 시대가 됨에 따라 ‘공격 후 방어’라는 기본 보안 체제를 뒤집어야 할 때가 되었다고 생각했습니다. 이젠 위협이 들어오는 걸 미리 알고 막지 않으면 안 됩니다. ‘자동차를 해킹한다’는 개념이 널리 퍼지기 전에 방어진을 미리 짜보는 연습을 해보고 싶었습니다”라고 밝혔다.

또한 아직 일반 차주들이 걱정할 단계는 아니라는 설명도 덧붙였다. “자동차를 해킹한다는 건 굉장히 전문적이고 고도의 난이도를 가진 작업입니다. 뺐을 게 어지간히 많지 않고서야 해커 입장에서 자동차를 해킹한다고 해도 오히려 손해일 정도입니다. 그러니 아직은 차고문만 닫혀있다면 안심하셔도 됩니다.”

하지만 대단히 중요한 인물이라면 얘기가 달라진다. “해킹할 가치가 있다면 누군가는 반드시 해킹을 할 것입니다. 그게 시장의 원리이기도 하고요. 다만 그런 공격들을 누군가 진지하게 시도하기 전에 막아보려는 게 저희 연구의 목적입니다.” 이들에게는 그 무엇보다 자동차 생산업체들의 협조가 절실히 필요하다고 거듭 강조했다.

ⓒDARKReading

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>