자동차를 해킹해? 👀

2018년 미국 텍사스주에서 21세의 한 남성이 테슬라 모델 S를 훔쳐 도주한 사건이 있었어요! 이 남성은 테슬라의 스마트폰 애플리케이션을 해킹하여 자동차 문을 연 후에, GPS를 비활성화해서 추적을 피했다고 해요. 그 남자는 차량을 훔친 렌트카 회사의 단골 손님이었고, 평소 자동차와 보안에 대해 많이 알고 있다고 자랑했던 이유 때문에 3일 만에 검거되었다고 하네요.

또한 2022년 1월!! 바로 얼마 전에는 독일에 사는 10대 소년이 테슬라 전기차 25대를 해킹하여, 원격으로 차량 문을 강제로 열거나 음악을 틀게 할 수 있는 취약점을 발견했다고 트위터에 자랑했던 사건이 있었어요. 이 소년은 해킹을 통해 나쁜 짓을 하지는 않았고, 트위터를 통해 위험성을 알린 후에 Tesla가 취약점을 패치할 때까지 협조했다고 해요.

우선 자동차에 탈 수 있는 상황이라면, 물리적 방법을 사용할 수 있어요. 자동차 내부에는 내부 진단 및 점검을 위한 OBD(On-Board Diagnostics) 포트가 존재하는데, 이것을 이용하면 자동차 내부 유닛들의 통신 네트워크에 접근할 수 있다고 해요. 이러한 내부 네트워크를 CAN 통신이라고 부르는데, 여기에서도 수많은 공격 기법들이 존재하지만 일부만 알아보기로 해요!

[해키피디아] CAN 통신

• 데이터 삽입(Data Insertion) : 정말 무서운 공격이에요!! 브레이크를 밟지 않았는데, 브레이크를 밟았다는 신호를 보내 속도를 줄일 수도 있어요. 반대로 엑셀을 무한정으로 밟고 있다는 거짓 신호를 보내 차량이 계속 빨라지도록 만들어 버릴 수도 있겠죠 😖
• 서비스 거부 공격(DOS) : 재미있는 공격이에요. 너무 많은 요청을 내부 네트워크에 보내면 네트워크 망이 과부하로 마비되고, 정상적인 네트워크 통신이 되지 않게 만드는 방법이에요. 브레이크를 밟았는데, 자동차가 내 말을 듣지 않는다고 상상해 보세요...!!! 너무 무섭지 않나요? 😱
• 도청(Eavesdropping) : CAN 통신을 도청하면, 운전자의 수많은 개인정보를 빼낼 수 있다고 해요. 예를 들면 브레이크 페달을 밟는 주기나 세기를 분석해서 개인을 식별할 수도 있어요. 이 공격은 위에 언급한 공격을 수행하기 위해서 정보를 획득하는 용도로 많이 쓰인다고 하네요.

2. 원격 접근

원격 접근은 여러분들이 “자동차 해킹"하면 생각하시는 바로 그 모습이에요. 유튜브에 멋진 영상도 있는데, 원격으로 자동차 문을 열고 탈취해서 도주하는 영상이에요. 한 번 보고 오시는 것을 추천드립니다!!

원격 접근은 정말 다양한 접근 방법을 사용해요. 자동차 내부 시스템도 하나의 컴퓨터라고 볼 수 있는데요. 이 컴퓨터와 통신할 수 있는 수단들을 최대한 활용하는 모습을 보입니다. 블루투스, 원격 키(Remote Keyless Entry), 모바일 애플리케이션을 이용해서 해킹이 가능했다고 해요. 심지어는 자동차 공기압 경보 장치(TPMS)도 해킹을 위해 이용되었다고 합니다!!

해킹의 원리는 물리적 방법과 크게 다르지 않아요. 결국에는 원격 접근을 통해 자동차 내부의 Gateway를 넘어와 자동차 내부 네트워크에 접근하는 것이 목적입니다. 내부 네트워크에 침입할 수만 있다면, 해킹의 방법은 물리적 방법과 크게 다르지 않은 것이죠 🥺

3. 소프트웨어 업데이트

마지막으로 자동차 제조 회사의 소프트웨어 업데이트를 이용하여 공격할 수도 있습니다. 소위 공급망 공격이라고 불리는 공격인데요. 자동차의 소프트웨어 업데이트를 제공하는 서버를 해킹하여, 취약점이 심어진 소프트웨어를 자동차가 다운로드하게 하는 방법입니다. 이 내용에 대해서는 해키피디아에서 공급망 공격을 자세히 설명해드리고 있으니 참고하시면 이해가 빠를 것 같네요!!

[해키피디아] 공급망 공격(Supply Chain Attack)

그럼 이제 자동차도 안전하지 않은거야..? 😢

아니오 그렇지 않아요!! 모든 기업과 국가들이 열심히 노력하고 있기 때문이죠.

실제로 많은 회사들이 자동차 보안에 굉장한 관심을 기울이고 있어요. 2015년 7월에 지프의 체로키라는 차량이 주행 중에 엔진과 브레이크를 원격으로 조종할 수 있는 취약점이 존재한다는 사실이 밝혀져 무려 140만 대를 리콜했던 사례도 있었어요. 이제 기업들이 자동차 보안에 신경쓰는 것은 선택이 아니라 필수인 것이죠. 영국 주니퍼리서치에 따르면 자동차 업계는 매년 240억 달러(약 28조 9500억 원)의 비용을 자동차 보안을 위해서 치러야 할 것이라고 해요. 실제로 테슬라는 버그를 발견하는 해커에게 포상을 주는 버그 바운티 제도를 지속적으로 운영하고 있어요. 뿐만 아니라 세계 정상급 해커들이 참여하는 Pwn2Own 행사를 통해서도 매년 새로운 취약점들이 발견되고, 패치되고 있답니다 👍

국가적 차원에서도 자동차 보안을 고려하고 있는데요. 2020년 6월에 제정된 자동차 사이버보안 관련 국제기준(UNR No.155)은 유럽경제위원회(UNECE) 산하 자동차 국제기준 회의체(WP.29)에서 채택한 것으로, 제조사가 스스로 사이버보안 관리체계를 갖추고, 그 체계에 따라 자동차 사이버보안을 관리해야한다는 내용입니다. 국내에서도 국토교통부를 중심으로 가이드라인을 만들고, 자동차관리법 및 하위법령을 개정하여 자동차 사이버보안에 대해 철저히 관리할 수 있도록 할 계획이라고 하네요!

자동차 해킹에 대한 이야기, 재밌게 보셨나요? 저 역시도 자료를 조사하는 과정에서 정말 재미있는 분야라는 생각이 들었어요. 모두들 다음 주에도 또 만나요~ 안녕🖐