해킹으로 자동차를 훔치는 시대가 다가온다

지난 8월 12일 역삼동 한국과학기술회관에서 산·연 보안컨퍼런스(ESCON)이 열렸다. ETRI는 ESCON을 통하여 ETRI가 개발한 첨단 기술을 활용하여 국내 보안 업체가 괄목할 만한 성과를 이루기 위한 방법을 함께 모색하는 동시에 산업체의 기술적 요구 및 사업화 과정의 애로사항을 효과적으로 수렴하고 해소할 수 있는 산·연 소통의 장을 제공하였다.

초청강연으로 KAIST 김용대 교수는 임베디드 보안기술에 대해 발표해주었다.

" the security mindset involves thinking about how things can be made to fail. It involves thinking like an attacker, an adversary or a criminal. You don't have to exploit the vulnerablilties you find, but if you don't see the world that way, you'll never notice most security problems."

-Bruce Scheneier-

'공격자의 입장에서 생각하지 못 하면 절대로 취약점을 찾을 수 없고, 취약점을 찾을 수 없으면 공격을 막을 수 없다.'라는 김용대 교수의 발표는 해커의 입장에서 생각하기의 중요성을 상기시켜주는 발표였다. 다음은 주요 내용.

 

Who are the attrackers?

과거의 공격자는 script-kiddie, 컴퓨터 잘하는 사람, 사회의 불만이 있는 사람 등이었지만 요즘은 국가가 공격자가 되기도 한다. 또 사회적, 정치적 목적 달성을 위한 Hacktivists, 조직범죄자 + 해커로 개인이 아닌 대규모의 공격이 이루어진다. 이 세 가지 부류의 특징은 엄청난 예산과 규모가 공격에 투입이 된다는 사실이다.

 

Bug Bounty Program

Bug Bounty Program은 취약점을 찾아주는 프로그램으로 취약점을 계속 찾으면 오히려 예산이 줄어들고 결국 보안에 투자할 수 있는 기회를 마련해 준다는 것이다. 글로벌 회사들은 Bug Bounty Program을 하고 있는데 상대적으로 우리나라는 미미하다. 취약점의 개수는 한정되어 있기 때문에 많이 찾아낼수록 장기적인 관점에서 경제적으로 훨씬 도움이 될 것이다. 그렇기에 우리나라의 Bug Bounty Program 도입이 증가됐으면 한다.

 

전세계적으로 취약점을 모아서 파는 프리랜서가 늘고 있는 상황에서 현재는 국가가 취약점을 사주는 역할도 하고 있다. 패치가 알려져 있지 않은 제로데이를 파는 사업이 붐을 이루고, 해커들은 더이상 공짜로 버그를 알려주지 않는다. 이런 시점에서 각 나라들은 내 나라를 지키기 위해서 다른 나라의 취약점을 찾아낸다. 현재 윈도우의 큰 버그는 15만불, 아이폰 iOS 버그는 50만불에 팔리고 있고 브로커는 15%를 가져간다고 한다. 그렇기 때문에 수비하는 것이 굉장히 어렵다. 그래서 취약점을 계속 찾아내야 공격을 막을 수 있을 것이다.

보안을 단순히 컴퓨터 사이언스로 다루는 것이 아니라 physical event로 봐야 보안을 지켜낼 수 있다. 미국에서 BMW 300대를 훔친 사례가 있다. 자동차 보안은 Network Boundary가 안전하면 된다고 생각하기 때문에 Boundary를 뚫고 들어오기만 하면 해커가 어떤 행동을 해도 알 수가 없다.

누군가가 '차 안에 있는 사람은 공격자가 아니다'라는 자동차 설계의 원칙을 이용해서 자동차 잠금 주파수를 중간에 해킹하여 차를 훔쳐온 것이다. 자동차 안에 있는 OBD-ll connector를 이용해서 자동차의 유니크함을 읽어내고 차 키를 복사하고 GPS를 설정하는 등의 조작을 통해 훔친 것이다. 또한 전기를 훔쳐오는 사례도 있었는데 Infrared port를 이용해서 meter를 재프로그램하였다고 한다.

이렇게 소프트웨어와 하드웨어가 하나가 된 것, 전기나 기계에 연결된 것들이 임베디드 시스템인데 모든것이 컴퓨터화는 시점이기 때문에  임베디드 보안 기술이 중요해지는 것이다. 세상의 모든 장비에 OS와 CPU가 들어가기 때문이다. 요즘의 냉장고, 비행기 등 모든 것이 임베디드 시스템으로 이루어져 있다. 더 이상 컴퓨터 보안만이 중요한 것이 아니다. 핸드폰, 선풍기, 냉장고 등 모든 것의 보안이 중요해지고 있다. Ahn

 

대학생기자 임지연/ 덕성여자대학교 컴퓨터학과