"미래 자동차 개발의 필수 덕목,
사이버 보안"

최근 자율주행 자동차 또는 커넥티드카* 등 소프트웨어 중심의 모빌리티(Software Defined Vehicle·SDV)의 상용화를 위한 전 세계의 경쟁이 치열해요. 특히 커넥티드카는 첨단 과학기술이 접목되면서 사람이 직접 운전하는 전통적인 방식을 뛰어넘어 자율주행 시에도 인간의 생명과 신체의 안전을 획기적으로 개선할 것으로 예상되고 있죠.

● 커넥티드카 (connected car)
IT 기술과 자동차를 연결시켜 양방향 인터넷, 모바일 서비스가 가능하며 이를 통해 주변과 실시간으로 소통하면서 운전자에게 안전과 편의를 제공하는 자동차.

하지만 자동차 부품과 서비스가 소프트웨어(S/W)로 연결되고, 차량에 등록된 개인정보, 스마트키, 운영 시스템 등의 외부 접근 경로가 많아지면서 외부로부터 차량에 대한 공격 위협도 높아지고 있어요.

일례로 2012년 영국에서는 한 자동차가 절도범 3명에게 해킹돼 3분 만에 도난당하는 사건이 발생했어요. 절도범은 차량의 자가진단장치(on-board diagnostics·OBD-Ⅱ)에 스마트폰과 노트북을 연결해 스마트키를 복제한 후 자동차를 훔친 것으로 전해졌죠. 참고로 OBD는 엔진을 포함한 자동차 부품 상태를 확인하고 스스로 진단하는 시스템으로, 운전자는 이 장치를 통해 실시간으로 차의 상태를 파악할 수 있어요.

뿐만 아니라 이후에도 미국, 유럽 등 세계 각국에서 자동차 해킹을 시연해 성공하고, 관련 학술논문을 발표하여 자동차 보안의 허점을 밝혀내면서 자동차 업계에 일대 파장을 불러오곤 했는데요. 최근에는 직접적인 해킹 공격과 OBD 해킹뿐 아니라 네트워크 중간에서 타인의 패킷 정보를 도청하는 ‘스니핑(Sniffing)’ 등 다양한 유형의 사이버 공격들이 등장하고 있어 자동차 사이버 보안 강화의 필요성이 더욱 높아지고 있는 상황이에요.

미래자동차 사이버보안 위협 유형

자동차에 대한 사이버 보안 위협은 크게 △실도로 차량 관련 백엔드* 서버에 대한 위협 △통신 채널을 이용한 차량 위협 △자동차 업데이트 절차 관련 위협 △의도하지 않은 인간 행동으로의 위협 △차량의 외부 연결 및 접속에 대한 위협 △자동차 데이터·코드 위협 △악용될 여지가 있는 잠재적인 취약점 등 7가지로 분류하며, 30개 세부 취약점 및 위협으로 나눌 수 있어요.

● 백엔드(back-end)
웹사이트, 웹 애플리케이션, 모바일 솔루션 등의 프로세스와 관련해 눈에 바로 보이지 않는 서버측(servere-side)과 데이터베이스를 관리해 주는 영역.

---

1. 실도로 차량 관련 백엔드 서버에 대한 위협
- 백엔드 서버가 자동차를 공격하거나 데이터 추출 수단으로 사용
- 백엔드 서버 서비스 중단으로 자동차에 영향
- 백엔드 서버 내 데이터 유출과 손상

2. 통신 채널을 이용한 차량 위협
- 자동차에서 수신한 메시지나 데이터의 스푸핑
- 차량 내 데이터·코드에 대한 무단 조작 또는 통신 채널 악용
- 통신 채널의 신뢰할 수 없는 메시지 허용 또는 세션 하이재킹·재생 공격
- 정보 노출
- 통신 채널을 이용한 자동차 기능을 방해하는 서비스 거부 공격 - 자동차 시스템의 액세스 권한 관리 취약 - 통신매체 내장 바이러스로 자동차 시스템 감염 우려 - 악의적인 콘텐츠가 포함된 메시지 수신

3. 자동차 업데이트 절차 관련 위협
- 업데이트 절차의 오용 또는 손상
- 정상적 업데이트 거부

4. 의도하지 않은 인간 행동으로의 위협
- 자동차의 소유자, 운영자, 엔지니어 등 합법적인 행위자가 속임수에 당해 의도하지 않은 악성 프로그램을 실행하거나 공격을 허용하는 행동 실행

5. 차량의 외부 연결 및 접속에 대한 위협
- 자동차의 커넥티비티 관련 기능 취약점
- 서드파티 소프트웨어에 의한 취약점
- 외부 인터페이스 연결된 장치가 공격 수단에 사용

6. 자동차 데이터·코드 위협
- 자동차 데이터·코드 추출
- 자동차 데이터·코드 조작
- 데이터·코드 삭제
- 악성코드(malware)의 설치
- 새로운 소프트웨어 설치 또는 기존 소프트웨어 덮어쓰기
- 시스템 운영 중단
- 자동차 매개변수 조작

7. 악용될 여지가 있는 잠재적인 취약점
- 암호기술 손상 또는 안전하지 않은 키·알고리즘 적용
- 소프트웨어·하드웨어 설계상 취약점
- 소프트웨어·하드웨어의 개발 과정에 의한 취약점
- 네트워크 설계 취약점
- 의도하지 않은 데이터 전송
- 시스템 조작 공격

---

그리고 이렇게 다양한 종류의 자동차 사이버 공격 및 해킹은 최악의 경우 사망 등 인명사고로도 이어질 수 있어 사이버 보안의 확보는 선택이 아닌 필수사항으로 자리 잡고 있죠.

자동차 사이버 보안의 중요성이 국제적인 화두로 떠오름에 따라, UNECE(유엔 유럽경제위원회) 산하 UNECE WP.29(국제 자동차 기준 조화 회의체)에서는 2020년 6월 자동차 사이버 보안에 관한 최초의 국제 기준을 공식적으로 채택 했으며, 이를 지난 2021년 1월부로 발효했어요.

그리고 우리나라에도 자동차 사이버 보안 관련 제도를 마련할 필요성이 제기되면서, 국토교통부는 이를 반영해 자동차 사이버 보안의 국내 기준이 마련되기 전까지 자동차 제조사들이 참조할 수 있도록 '사이버 보안 가이드라인’ 을 마련해 발표했죠. 이 가이드라인은 자동차 사이버 보안의 유일한 기준이자 세계 기준인 ‘UN Regulation No.155’를 바탕으로 마련됐으며, 자동차 사이버 보안 권고안과 기준 마련 및 인프라 계획 등을 담고 있어요.

또한 이 같은 국제적 움직임의 발맞춰 관련된 국내 기업들의 움직임도 빨라지고 있죠.

자동차 사이버 보안에 대한 국내 기업 3사의 전략

1) 보안 규제에 선제 대응하는 L사

자율주행차와 전기차, 커넥티드카 시장을 선도하며 글로벌 탑티어 자동차 부품기업으로 거듭나고 있는 L사는 이스라엘의 사이버보안 분야 선도기업인 C사를 인수하고, 전장사업의 사이버 보안 경쟁력을 세계 최고 수준으로 끌어올릴 계획을 갖고 있어요.

L사는 자율주행 기술 단계가 상향되고 커넥티드카에 대한 신기술이 늘어나면서 수많은 구성요소가 복합적이고 유기적으로 진화해 나갈 것이고, 이에 따라 자동차 사이버 보안의 역할은 더욱 중요해질 것이라는 사실을 인지하고 있어요. 따라서 자동차 사이버 보안 시장에서 세계 주요 국가의 다양한 커넥티드카 규제에 선제 대응하며 운전자용 디스플레이, 도메인 컨트롤러, 비전 시스템 등 핵심 솔루션에 대해 세계 경쟁력을 더욱 강화해 나갈 예정이라고 해요.

2) UNECE 제시 사이버 보안 요구사항을 충족한 H사

모빌리티 테크 기업 H사는 모빌리티 소프트웨어 플랫폼을 구축해 하드웨어와 소프트웨어를 유연하게 연결하며, 클라우드와 데이터 서비스를 기반으로 모빌리티 생태계의 새로운 가치를 창출하고 있어요.

H사는 지난 2022년, 자동차 사이버 보안 엔지니어링 국제 표준인 ‘ISO/SAE 21434’를 준수해 독일의 글로벌 시험·인증기관인 TUV 라인란드(TUV Rheinland)로부터 사이버 보안 관리체계 인증을 받았어요. 이는 H사가 유럽경제위원회가 제시한 사이버 보안에 필요한 모든 사항을 충족하고 있다는 것을 의미하죠. 또한 ‘기술적 보안’에서 ‘절차적 보안’으로 폭을 넓히고 있는 자동차 사이버 보안 생태계에서 H사가 변화에 빠르게 대응하고 있음을 알 수 있는 부분이기도 해요.

참고로 자동차 사이버 보안에서 의미하는 ‘절차적 보안’은 “사이버 보안 사고의 근본 원인이 실수에서 비롯된다”는 개념에서 나왔어요. 예를 들면 ID나 비밀번호를 입력할 때 ‘해당 ID가 존재하지 않는다’고 알려주는 것은 공격자가 공격에 활용 가능한 목록을 파악할 수 있도록 하기 때문에 실수로 보는 것이죠. 그리고 절차적 보안 과정의 도입은 ID·비밀번호 도입 기획 단계부터 사이버 보안 사항을 검토하고, 대응법을 연구하는 것을 의미해요.

최근 스마트폰이 ID나 비밀번호 대신 지문인식과 얼굴인식을 사용하는 것처럼, 자동차도 앞으로 보안성과 편의성을 높인 새로운 보안 기술이 등장하게 될 거예요. H사는 기술과 절차를 모두 꼼꼼하게 살피며 증가할 사이버 보안 위협에 대응하며 발전하고 있죠.

3) V2X 네트워크 보안 핵심기술을 보유한 A사

2019년 자동차 보안에서 출발한 자율주행 보안 기업으로, 자율주행 보안을 바탕으로 한 모빌리티 플랫폼을 제공하는 A사는 국내 유일의 충전 네트워크 보안 기업이기도 해요.

국내는 아직 충전 시스템과 관련한 보안 규정과 규제가 없어 충전 서비스에서의 보안 수요는 낮지만, 충전소 확충, 급속 충전 확대 등 양적 확장이 이뤄지고 있는 만큼 이에 대한 질적 확장(사이버 보안)에 대한 수요도 증가할 것으로 전망되고 있어요. 그리고 이러한 부분을 봤을 때 특히 A사의 최근 행보를 주목할 만하죠.

A사는 커넥티드카 충전 보안 파트에서도 일정 수준의 보안규정이 마련된 유럽에 관련 기술을 제공하고 있어요. 또한 커넥티드카의 협력주행통신(V2X)과 차량 내부 안전에 대한 2가지 핵심 기술을 소유하고 관련 제품을 양산하고 있죠. 아울러 자동차 사이버 보안 강화를 위해 독일 법인을 세우고 독일과 북미 시장을 중심으로 기술 개발에 주력하며, 현재 ISO 21434(전장부품의 사이버 보안) 인증과 Automotive SPICE(소프트웨어 프로세스 검증) 인증 획득을 위해 인증 프로그램을 설계 중인 것으로 알려져 있어요.

미국 전략 컨설팅업체 프로스트앤드설리번에 따르면 자동차 사이버 보안 시장은 2018년 1억 1천만 달러 규모에서 2025년 34억 달러 규모로 성장할 것으로 전망돼요. 특히 최근에는 대부분의 차량들이 원격으로 차량 내 소프트웨어를 업데이트하는 OTA(무선 소프트웨어 업데이트) 기능을 적용하면서 자동차 사이버 보안의 중요성이 더욱 커지고 있죠.

이제 세계는 전문가와의 지속적인 협력을 통해 지속 가능한 사이버 보안이 필요하다고 외치고 있어요. 앞으로 급변하는 모빌리티 생태계에서, 국가와 기업이 어떤 방식으로 사이버 보안을 강화해 나갈지 그 행보를 지켜봐야 할 것 같네요.