오랜시간 실생활에서 유용하게 이용하고 있는 교통수단, 자동차가 어느새 바퀴 달린 IT 기기로 진화 중 입니다.
20세기 초 경쟁에서 밀려, GM에서 EV1을 양산하기 시작한 1996년까지 약 90년 동안 시장에서 사라졌던 전기자동차가 다시 등장하면서 그동안 차곡차곡 축적되어 왔던 다양한 IT기술이 자동차에 적용되고 있기 때문입니다.
* 1890년대 후반부터 1900년대 초반까지는 전기자동차가 엔진자동차보다 많았습니다.
여기서 생각해 볼 점은 자동차가 하드웨어(HW) 중심에서 '소프트웨어 정의 자동차(SDV)'로 전환되었으며 무선 소프트웨어 업데이트(OTA·Over-the-Air)를 통해 외부와 통신도 가능하다는 점입니다. 주변과 통신을 하며 연결되어 정보를 주고받는 '커넥티드카' 라고도 불립니다. 그리고 주고받은 정보와 자동차의 다양한 센서를 통해 운전자의 제어 없이 주행이 가능한 자율주행 기술의 완성도를 높여가고 있는 중이구요.
자동차에서 사용하던 '네비게이션' 이상의 소프트웨어가 늘 구동되어 있고 외부와 통신도 가능하다는 이야기이며, 이것은 실생활에서 자주 사용하는 스마트폰, 노트북컴퓨터 등과 같아진 것입니다.
* SDV는 소프트웨어 중심으로 구동되는 이동수단 입니다.
* OTA는 직접 방문할 필요 없이 차량 내 각종 장비의 소프트웨어를 무선으로 업데이트하는 기술 입니다.
그렇다면 스마트폰, 노트북컴퓨터 등에서 가능하던 해킹이 자동차에서는 불가능할까요? 아닙니다. 동일하게 취약점을 가지고 있습니다. 자동차에 소프트웨어가 설치되고 외부와 통신이 가능해진 시점부터 자동차는 다른 IT기기들과 동일한 기능을 사용할 수 있고 동일한 취약점들을 갖게 된것 입니다. 사람을 태우고 고속으로 주행하는 장치이기때문에 동일한 취약점에 노출되었을 경우 그 피해가 인명과 직결될 수 밖에 없습니다.
미국 전략컨설팅업체 프로스트앤드설리번에 따르면 자동차 사이버 보안 시장은 2018년 1억1천만 달러 규모에서 2025년 34억 달러 규모로 성장할 것으로 전망하고 있습니다. 또한 유엔유럽경제위원회(UNECE)를 비롯한 글로벌 정책주체들이 자동차 사이버 보안을 강화하는 흐름을 보이는 것도 자동차 사이버 시장 확대에 힘을 보탤 것으로 예상됩니다.
유엔유럽경제위원회는 사이버 보안 법규(R-155)를 통해 작년 7월부터 유럽에서 판매되는 신차에 보안기능을 강화해야 한다는 규제를 적용하고 있습니다. 사이버보안 인증 없이는 판매가 전면 금지돼 사이버보안 인증 요구가 커지고 있는 것입니다.
* 유엔유럽경제위원회(UNECE)는 56개 회원국으로 구성되어 유럽 지역의 회원국 간의 경제 협력과 통합을 촉진하기 위해 설립되었습니다.
사이버보안 인증을 요구하며 최소한의 보안기준을 충족시키고자 하는 이유는 자동차를 대상으로 한 전자제어 장치나 센서 등 하드웨어에 대한 물리적 공격, 펌웨어 위·변조 등으로 인한 장애 유발, 보안설계 미흡으로 인한 권한 탈취 및 임의 접근의 한계, 유무선 네트워크 연계로 인한 공격 등이 거론되고 있기 때문입니다. 이외에 임의 제어 및 무기화 등의 공격에 악용될 소지가 있고 보안성 검토 및 진단 시스템 표준화 부재로 인한 사고 원인 분석의 한계로 자동차에도 보안기준이 적용 및 관리되어야 합니다.
자동차산업이 전기자동차의 재등장과 함께 IT기술이 접목되며 급격히 변화해가고 있고 이와함께 보안의 영역 또한 기업의 전산망을 보호하는데 그치지 않고 도로위의 자동차까지 그 영역을 넓히고 있습니다. 산업과 산업의 경계가 허물어지고 영역이 뒤섞이고 있는 이 시기에 자동차 사이버 보안에 대해 관심을 가져보시는 것은 어떠실까요? Security engineer로써 업무를 하고 계시다면 보안의 적용범위를 기존의 전산망 외에 자동차, 더 나아가 로봇까지 시야를 넓게 가져보시면 좋겠습니다.
※ Network Engineer, Security Engineer로써 많은분들이 공감하고 이해하실 수 있도록 쉽게 직무관련 글을 쓰고자 합니다. 매일매일 더욱더 노력하겠습니다. 감사합니다.
9
