자동차 보안, 눈앞에 닥친 ISO 21434

PREPARE FOR ISO/SAE 21434
자동차 보안 테스트 아직도 안하고 계십니까?
눈앞에 닥친 ISO 21434와 커넥티드 카



escrypt      Marko Wolf                                 에스크립트 마코 볼프 박사
 
3월 초, 전 세계 주요 OEM의 사이버 시큐리티를 책임지고 있는 에스크립트의 마코 볼프 박사와 이야기를 나눴다. 볼프 박사는 이와 관련 2가지를 강조했다. 코앞에 닥친 자동차 보안 법제화에 대비해야 하고 마련된 보안대책이 라이프사이클 동안 계속해서 유효할 것이란 보장이 없기 때문에 지속적인 테스팅을 해야한다고 말했다.

글| 한상민 기자_han@autoelectronics.co.kr

마코 볼프 
마코 볼프 박사는 보쉬의 100% 자회사인 에스크립트에서 컨설팅 및 엔지니어링 부문을 이끌고 있다. 15년 이상 자동차 임베디드 보안과 프라이버시 보호를 위해 유럽, 아시아 및 미국의 다양한 기업체, 정부기관, 표준화 단체에서 일했으며, 60여 편이 넘는 관련 문헌을 저술했다. 현재 그는 전 세계 100여명 이상의 보안 컨설턴트와 함께 기술 로드맵,  사업 전략 및 기업 리서치 등 에스크립트의 전문적인 보안 서비스를 총괄하고 있다. 볼프 박사는 독일 보훔대학(1997-2003)과 미국 퍼듀대학(2001-2002)에서 전기 엔지니어링 및 컴퓨터 엔지니어링을 전공했다. 2003년 석사학위를 취득했고, 2008년 크리스토프 파르(Christof Paar) 교수가 이끌던 임베디드 보안 학과에서 차량 보안 엔지니어링에 관한 최초의 포괄적 연구(차량 IT 시스템의 보안 엔지니어링, Springer+Vieweg-Verlag, 2009)를 바탕으로 박사 학위를 취득했다. 
 

 

“기술적인 보안은 조직적인 보안이 없다면 성립할 수 없다. 이것이 최근의 빅트렌드이고 곧 발효될 규제와 함께 자동차 사이버 시큐리티를 매우 중요하게 만들 것이다”

Q. 현재 자동차 보안시장 상황이 어떻습니까? 상당히 긴박해 보이는데요. 보안 솔루션들은 이미 양산차량에 적용되고 있지요?
A. 제가 기술 전문가이기 때문에 보안시장의 규모와 같은 것은 말씀드리기는 힘들지만, 현업에서 일하면서 느끼는 것은 지속적으로 성장하고 있다는 것입니다. 예를 들어 에스크립트의 솔루션은 이미 모든 프리미엄 카에 들어가 있습니다. 커넥티비티, 자율주행, 공유화, 전기화란 자동차 시장의 메가트렌드가 보안 솔루션을 필요로 하고 있고, 여기에 유럽, 북미의 자동차 보안 법제화 움직임이 큰 영향을 미치며 시장에 불을 지피고 있습니다.

Q. 임베디드 측면의 ECU 보안, 커뮤니케이션 보안, 외부 커뮤니케이션 보안에서부터 라이프사이클과 엔터프라이즈 백엔드 보안, 그리고 말씀하신 조직적인 보안 영역까지 사이버 시큐리티 영역이 더욱 다양하고 광범위해졌다고 봅니다.   
A. 자동차 보안은 크게 두 가지 기둥으로 이뤄져 있습니다. 그 중 하나는 자동차와 자동차 주변에 대한 기술 보안입니다. 그런데 이 기술적인 보안은 조직적인 보안(organizational security)이 없다면 성립할 수 없습니다. 이 조직적인 보안이 두 번째 기둥이고, 최근의 빅 트렌드입니다.

때문에 제품 개발 프로세스, 보안 제품, 오퍼레이션 등과 같은 요소들이 접목되고 있습니다. 보안 이슈는 차가 공장을 떠나 폐차될 때까지 발생하는 것이기 때문에 이런 모든 것을 고려한 프로세스와 조직, 문화가 필요합니다. 예를 들어, 사이버 디펜스 센터는 차가 운영되면서 일어나는 침투에 대한 것입니다. 조직적인 보안은 현재의 메이저 마켓이고, 곧 발효될 규제와 함께 매우 중요해질 것입니다.  

Q. 조직적인 보안이란 것이 ISO 26262와 같은 조직, 문화, 프로세스 차원의 표준을 말하는 것으로 ISO 21434를 말하는 것이지요?
A. 맞습니다. 자동차 보안 법규는 두 가지 레벨이 있습니다. 하나는 국제적 차원으로, UNECE WP29 사이버 시큐리티로 유럽 보안법의 근거가 될 것입니다. 또 따른 하나는 ISO/SAE 21434입니다. 자동차는 형식승인을 받아야하는데, ISO 21434가 요구하는 기술적, 조직적인 승인을 받아야만 할 것입니다.

Q. 언제쯤 발효될까요?   
A. 드래프트이기 때문에 아직 정해진 것은 없습니다. 하지만 파이널 버전은 내년 중반이 될 것입니다. 점진적인 방법으로 적용될 것인데, 2021년부터는 적용될 것으로 보고 있습니다.

Q. 그렇다면 이미 컨설팅 서비스를 포함해 에스크립트의 비즈니스가 대단히 활발해졌다는 것이죠? 현재와 향후 계획은 어떻습니까?
A. 사실 2018년부터 보안 규제에 대한 컨설팅 서비스를 시작했고, 올해 첫 파일럿 컨설팅 프로젝트로 독일 프리미엄 OEM에 대한 컨설팅을 하고 있습니다. 2020년이면 오토모티브 사이버 시큐리티 표준, 규제가 유럽, 미국, 캐나다 등 전 세계에 영향을 미칠 것이기 때문에 저희 에스크립트에게는 큰 기회가 될 것입니다.
아시다시피 에스크립트는 ISO 21434 작업에 참여하는, 이 표준을 만드는 회사 중 하나입니다. 당연하게도 UNECE에도 참여하고 있고요.

Q. 에스크립트의 규모, 조직 구성은 어떻습니까?
A. 전 세계적으로 30개국, 350여명의 종업원을 두고 있는데, 이중 7곳이 R&D 기능을 포함하고 있습니다. 에스크립트는 보쉬 그룹의 한 조직이지만 보안 비즈니스의 경우엔 독립적으로 OEM, 협력사들과 함께 협업하고 있습니다.
에스크립트의 비즈니스는 크게 3가지로 구분할 수 있습니다. 하나는 제가 맡고 있는 엔지니어링 컨설팅, 테스팅 서비스 제공에 대한 부문이고, 다른 하나는 HSM, V2X, 침입탐지(IDPS)와 같은 부분에 대한 제품을 개발하고 판매하는 부문입니다. 마지막으로 보안 관리 서비스 비즈니스(MSS)가 있습니다.

 

“어떤 회사들은 그들 스스로 자동차를 해킹하고 이를 마케팅에 활용하지만, 에스크립트는 고객의 요청이 있지 않는 한 이를 마케팅에 활용하지 않는다”

Q. 마코 박사님은 엔지니어링 테스트 부문의 수장입니다. 자동차 보안 테스팅이란 어떤 것입니까?
A. 보안 테스팅은 크게 5가지로 나눌 수 있습니다. 첫 번째는 기능적인 테스트입니다. 예를 들어 암호화 알고리즘으로 된 보안대책이 있으면 이것이 잘 작동하는지, 원래 의도된 대로 작동하는지를 검증하는 것입니다. 두 번째는 취약점을 스캔하는 것입니다. 오퍼레이팅 시스템에 알려진 취약점이 있으면, 이것이 재차 발견되는지를 확인하는 것입니다. 이미 알려진 이슈에 대한 바이러스 스캐너를 생각하면 이해가 쉽습니다.

세 번째는 표준화돼 가고 있는 퍼징(fuzz) 테스트입니다. 보안취약점을 찾기 위해 무작위적인 데이터 신호를 주는 것입니다. 예를 들어 방화벽이 있다면, 아무 메시지나 보내고, 이 메시지가 방화벽에 문제를 일으키면 ‘이런 취약점 있구나’라고 확인하는 것입니다.

네 번째는 전문적인 보안회사들이 하는 모의해킹(penetration testing)입니다. ECU를 열던지, 차를 열던지, 통신을 도청하던지, 보안회사가 해커처럼 모든 것들을 해보는 것입니다. 마지막은 하드웨어 레벨에서 하는 매우 수준 높은 테스팅인 사이드 채널 어택(side channel attack)입니다. 소프트웨어가 있다는 것은 이것이 돌아가는 칩이 있고, 칩은 주변기기들과 연결돼 정보를 주고받으면서 제어를 한다는 것입니다. 이때 이 정보를 악용해 칩에 가짜 정보를 흘려 제어기를 장악해보는 것입니다.     

Q. 다섯 가지 요소 중 모의해킹, 사이드 채널 어택 테스팅이 보안회사의 역량 차이를 나타내는 부분인가요?
A. 이 부문에서 기술격차가 존재하고 이것이 에스크립트의 셀링 포인트냐고 묻는다면 맞는다고 답할 수 있습니다. 자동차 해킹은 윈도 해킹과 다릅니다. 그런 면에서 에스크립트는 오토모티브 임베디드 시스템에 대한 모의해킹, 사이드 채널 어택에 특화돼 있습니다. 왜냐면, 우리는 유명한 대학, 연구소와 협업을 광범위하게 하고 있고, 이를 수행할 수 있는 인재들을 보유하고 있기 때문입니다.

Q. 어떤 자동차 보안회사들은 모의해킹, 자동차의 취약 사례를 마케팅에 이용하기도 합니다. 에스크립트도 그렇게 합니까? 
A. 말씀하신대로 어떤 회사들은 그들 스스로 자동차를 해킹하고 이를 마케팅에 활용하지만, 에스크립트는 고객의 요청이 있지 않는 한 하지 않습니다. 저희는 OEM과의 신뢰 관계를 이렇게 구축해왔습니다. 이것이 데프콘과 같은 유명 해킹 컨퍼런스에 에스크립트의 이름이 나오지 않는 이유입니다. 저희가 못하기 때문이 아닙니다.

Q. 정책이 그렇다니 많은 이야기를 들을 수는 없을 것 같습니다만, 그래도 해킹 가능성이 높은 예 몇 가지 들어주신다면.
A. 오래된 것이지만, OBD 동글이 있습니다. 대부분의 동글은 서드파티가 만들고 보안이 취약하기 때문에 해커들은 이를 이용해 침투합니다. 또 현재 개발 중이고 진전을 이루고 있는 것 중 하나가 셀룰러 통신을 이용한 키리스 엔트리 시스템인데, 이것이 대중화되면 많은 해커들이 릴레이 어택을 시도하는 대상이 될 것이라고 생각합니다. 그러나 이런 예들은 수많은 위험요소 중 매우 작은 부분일 뿐입니다. 

Q. 차 내에 마켓플레이스도 도입되고 있습니다.   
A. 자동차의 사이버 시큐리티는 세이프티를 가장 중요하게 생각하지만 이것만이 목표가 아닙니다. 지적재산권, 프라이버시, 서비스 품질과 가용성 등 모든 면에서 보안이 담보돼야 합니다. 인카 마켓플레이스와 같은 서비스를 제공하려면 서비스 플랫폼 또한 보안이 돼야합니다. 이런 서드파티 플랫폼에 보안을 제공하는 것은 에스크립트가 하는 중요한 일 중 하나입니다. 예를 들어 지불이 가정의 PC 뿐만 아니라 차에서 이뤄진다면, 자동차가 안전하지 않으면 그 플랫폼은 안전하지 않은 것입니다.   


전체론적 자동차 보안과 에스크립트의 포트폴리오

Q. 에스크립트가 OEM과 보안 솔루션에 대해 협업하면 이는 자동차 모델 기반입니까?
A. 해킹에 대한 보안, 안전성에 대한 유즈케이스는 모든 세그먼트에 대한 것입니다. 보안은 럭셔리 카에 대한 것이 아닙니다. 모든 차에 대한 아주 기본적인 기능입니다. 우리는 모델 기반이 아닌 플랫폼 기반인데, 이 플랫폼이란 것은 자동차 플랫폼이 아니라 소프트웨어 플랫폼입니다. 보안 솔루션이 들어가게 되면, 관련 부품에 적용돼야겠지만, 그것이 적용되는 과정, 절차에도 적용돼야만 합니다.

Q. 홍보물에 IoT 솔루션이란 말이 유독 강조돼 보입니다. 원래부터 그랬던 것인가요? 아님 제가 잘못 본 것인가요?
A. 우리는 냉장고에서 보안 작업을 한 적이 있습니다. 커넥티드 홈, 가전 등 모든 것이 예를 들어 자동차와 연결돼 고객이 사진을 찍어 냉장고 안에 계란이 있는지 여부를 확인하고 계란을 구매하는 것처럼 유스케이스는 갈수록 다양해지고 있습니다. 이렇게 하기 위해서는 냉장고가 백엔드와 연결돼야하고 보안성이 요구됩니다.

IoT 솔루션이란 문구는 에스크립트가 예전부터 써왔던 것입니다. 다만 조금 작게 넣었었고 임베디드 시큐리티란 말을 더 많이 써왔던 것이 사실입니다.

에스크립트의 자동차, IoT 역량은 갈수록 확장되고 있습니다. 예를 들어, 2017년 커넥티드 카, 스마트시티, 주요 인프라 애플리케이션 등 IoT 및 M2M 통신시장에 대한 혁신적인 솔루션들을 개발해온 트러스트포인트 이노베이션 테크놀로지(TrustPoint Innovation Technologies)를 인수하면서 보안 역량이 더 강화됐습니다. 

Q. 마지막으로 한 번 더 강조하고자 하는 것이 있다면.  
A. 자동차 보안 테스트를 벌써 하고 계셨어야 합니다. 다가오는 법제화에 대비해야만 할 뿐만 아니라 끊임없이 보안 테스트를 수행해야만 합니다.   

보안 테스트는 디지털입니다. 대개 자동차의 많은 테스트들이 물리적인 것에 반해 보안 테스트는 가상의 소프트웨어로 하는 것이지만, 세이프티, 퀄리티, 파이낸셜, 법제도와 관련된 리스크에 대응하기 위해 반드시 필요한 것입니다. 보안 테스팅이 일반 기능 테스트와 다른 것은 계속해서 위험요소가 나타나는 점입니다. 개발이 끝났을 때 마련된 보안대책이 라이프사이클 동안 계속해서 유효할 것이란 보장이 없으며 나중에 취약점을 발견하면 또 이것은 너무 늦은 것이 됩니다. 지속적인 테스팅이 필요합니다. □

---