"자동차 해킹!" 기사 쓰나미에 대해

근래 갑자기 “자동차 해킹!” 기사들이 무슨 쓰나미처럼 막 쏟아졌다. 잠깐 조용하나 싶더니 “자동차 해킹, 또 성공!”이라며 또 요란하다. ‘자동차 해킹’ 구글링하면 10페이지쯤 쫙 깔린다. 이게 뭔 일이여? 살펴보니,

미국 IT 잡지 ‘Wired’의 저널리스트 Andy Greenberg와 전직 NSA 해킹 툴 전문가 등이 모여 기획한 폭로성 기사 때문. 이들은 예전에도 자동차 뒷좌석에 앉아 노트북으로 차량, 보다 정확히 말하자면 각종 ‘ECU(Electronic Control Unit)’를 임의로 조작하는 실험을 했더랬는데 이번엔 직접 접속하지 않고 아예 16km 떨어진 곳에서 원격 조작에 성공했다고 주장한다. 기사와 함께 동영상까지 공개해 파장이 더욱 큰 듯싶다. 보다 자세히 들여다보자.

실험에 사용된 차량은 ‘FCA, 피아트-크라이슬러’의 무선통신 시스템 ‘Uconnect’를 탑재한 차량이다. 시스템 도입 시기를 찾아보니 2013년 후반 이후 모델들, 대략 47만 대 정도가 팔렸다고 한다. 이외에도 도요타, 포드 등 자동차회사들의 인터넷 연결 차량에 대해 실험도 성공했다 하고, 이후 테슬라 해킹 시연도 예고했다.

우선 조심스레, 실험 전에 미리 목표 차량의 ‘CCU(Communication Control Unit)’에 접근했음을 의심해 본다. 기사에 따르면 “해당 자동차의 IP만 알면 해킹이 가능하다”고 말하지만, 현재 자동차보안 수준도 그렇게까지 호락호락하진 않다. 그렇다 하더라도 보다 컴컴하게 상상해 보자면 늘 곁에 두고 지키지는 못하는 거대한 물건인 자동차의 특성상 주인 몰래 접근해 장치를 조작해 두는 일쯤은 얼마든지 상상 가능한 위협이긴 하다. 그러니 접근 여부는 그리 중요하지 않은 듯싶다.

아무튼, “인터넷을 통해 에어컨, 오디오 등 좀 만만한 장치들에 이어 액셀러레이터, 브레이크 등 주요 구동계 장치까지 조작했다”는 정황을 보아하니 CCU를 통해 접근하고 CAN(Controller Area Network)을 통해 나머지 ECU(Electronic Control Unit)들을 장악한 것. 그게 도대체 그게 뭔 소리냐? 이해를 위해 1년 전에 썼던 ’10년 뒤 가장 중요한 IT는, 자동차 보안’ 글을 다시 보자. (죄송합니다, ’10년’은 제가 너무 느긋하게 썼던 것 같군요, 세상이 하도 빨라서,,) 화제가 된 기사 내용과 윗글 중간의 ‘V2X 보안’ 그림을 비교해 보면,

1) CCU 앞에 있어야 할 WAF가 없어서 아무런 제한 없이 CCU 접근이 가능했고,
2) CCU와 ECU 사이를 잇는 자동차 내부 통신의 보안성이 충분하지 못했고,
3) 암호화 키와 정책 등을 통해 서로를 검증해야 할 ECU 간 확인 과정이 없었고,
4) 각 ECU의 Secure Boot, Secure Flashing 등 적절한 보안 절차가 생략되었고,
5) PKI를 통한 인증 절차 등 기본적인 보안성을 관장하는 ITS 인프라가 없었기 때문..
..이라고 정리(?)할 수 있겠다. 이를 간단히 추상화 하면,

자동차 보안을 위해서는,
1. 자동차 내부 보안 (In-Vehicle Security)
2. 자동차 통신 보안 (V2X Security)
3. 교통 보안 인프라 (Information Transportation System)

위 세 가지가 모두(!) 제대로 구성되어야 하는데, 이번에 문제시된 Uconnect에도 상식적 수준의 보안기술은 적용되어 있겠지만, 전체적 관점으로 볼 때 위 3개 요소의 균형이 제대로 조합되지 않았기 때문에 뚫린 것으로 볼 수 있다.

안타깝게도, 모두 다 이미 했던 이야기들이다.

ICT 보안 이슈들이 대개 그러하듯, 모르고 당하는 게 아니다.
자 그럼, 다시 “자동차 해킹!” 쓰나미로 되돌아가 보자.

이 소비자 공포 유발 목적성이 의심스러운 폭로성 기사가 뜻하는 바는 무엇일까? 그냥 아무나 막 까고 보자는 그런 막장 폭로인가? 아니다. 이들은 아마도 ‘순전히 사업적 선제권 장악을 위해 아직 미성숙한 기술을 함부로 막 공개하지 말고 충분히 숙성시키라’는 말을 하고 싶었던 것일 게다. 이는 실제로 매우 중요한 메시지다.

위에 나열한 1)~5) 그리고 1.~3. 자동차보안의 제반 문제들은 모두 다 현재 치열하게 연구되고 개발되고 있는 기술들이다. 차량용 WAF, ECU 통신보안 및 인증, V2X 통신 전용 프로토콜, PKI 검증 시스템, RSU 포함 총체적 ITS 인프라 등, 소위 ‘자동차보안’은 (’10년 뒤’가 아니라,,) 지금도 가장 뜨거운 ICT 보안의 주요 분야다. 관련 국제표준 규격도 상당히 구체화되어 있다.

지금도 자동차산업 관련 회사들은 악의적인 스마트카 해킹 위협에 대응하는 방법 연구에 열심이다. ‘GM’은 해킹에 대비해 미국 ‘NHTSA, 고속도로교통안전국’과 협업해 차량의 데이터 통신 보안 강화 방안을 연구하고 있고, (이미 몇 번 털렸던,,) ‘테슬라’는 아예 해커 고용에 나섰다. 한국도 마찬가지, 현대자동차 등 자동차회사들의 스마트카 보안 관련 연구개발 및 실제 적용 작업이 한창 진행 중이고 국내 유일하게 자동차보안 국제표준 규격을 모두 구현한 펜타시큐리티 등 기업정보보안 전문기업의 연구 또한 이미 제품화 단계에 이르렀다. 간단히 말해,

준비를 “거의” 다 마쳤다. 즉, 조만간 모두 해결될 문제들이다. 안심해도 좋다.

그러니 세계의 자동차회사들에게 정중히 권하는 바, 조금은 느긋하게 마음먹고 잠깐만 기다려 주시라. 뭐가 그리 급해서 아직 충분히 성숙하지도 않은 불완전한 기술을 서둘러 내놓나. 자동차는 사람의 목숨이 대롱대롱 매달린 그런 아주아주 위험한 물건 아니냔 말이다.