자동차 소프트웨어 보안을 위한 ASRG의 노력

토너먼트 토크: 자동차 소프트웨어 보안을 위한 ASRG의 노력

Automotive Security Research Group(ASRG)은 자동차 산업의 보안 인식을 제고하고 보안 개발을 지원하는 비영리 단체로, 자동차 제품을 더욱 안전하고 견고하게 만드는 솔루션을 발굴하고 홍보하는 데 중점을 두고 있습니다. 현재 자동차 산업은 연결성, 자율주행, 공유, 전동화, 소프트웨어 중심 차량으로의 대전환기를 맞이하고 있습니다. 차량과 생태계 애플리케이션을 구동하는 소프트웨어에 대한 의존도가 급격히 높아지는 이 새로운 기술 시대에 발맞춰, ASRG와 같은 조직은 자동차 산업 내 소프트웨어 보안의 중요성을 알리고 이를 유지하는 데 핵심적인 역할을 수행합니다.

소비자 시장에서 새로운 차량 기술 도입이 증가함에 따라 잠재적 공격 경로와 사이버 위험이 확대되고 있으며, 이러한 상황에서 보안 인식과 무엇보다도 제조업체의 적극적인 대응이 매우 중요해질 것입니다. 최근 FBI는 미국 자동차 산업을 겨냥한 공격자들에 대해 경고했으며, 침해 사고의 대다수는 암호화되지 않은 민감한 데이터로 인해 발생했습니다. 이는 잘못 구성된 데이터베이스에 대한 무차별 대입 공격과 더불어 막대하고 치명적인 결과를 초래할 수 있습니다. 자동차 제품의 소프트웨어 보안 표준을 수립하고 유지하는 데 도움이 되는 솔루션과 도구를 연구하는 과정에서, ASRG 팀은 Secure Code Warrior 플랫폼의 토너먼트 기능을 직접 체험해 보았습니다. 개발자가 친근한 게임 방식의 경쟁을 통해 참여하도록 유도하고, 보안 인식을 높이며, 안전한 코딩 기술을 연마하도록 설계된 이 기능을 통해 ASRG는 Secure Code Warrior가 어떻게 개발자의 보안 관심을 불러일으키고, 자동차 소프트웨어에 영향을 미치는 일반적인 취약점을 방지하는 기술을 가르치며, 허용할 수 없는 위험의 문을 닫을 수 있는지 살펴보았습니다.

‍

자동차 소프트웨어의 일반적인 공격 경로는 어디인가요?

에 자세히 설명된 바와 같이 많은 가능성이 존재합니다.Allot의 종합 보고서

보안 인식이 아무리 높더라도 개발자가 모든 공격을 방어할 수는 없으며(그럴 필요도 없습니다. 보안 전문가가 존재하는 이유니까요!), 하지만 숙련된 엔지니어라면 코딩 단계에서 미리 차단할 수 있는 일반적인 백도어는 다음과 같이 많습니다.

숙련된 엔지니어라면 코딩 단계에서 미리 차단할 수 있는 일반적인 백도어는 많습니다.

‍

차량이 해킹당하는 상황은 얼마나 심각한가요?

대부분의 차량이 100% 안전하지 않으며, 차량을 이용할 때 어느 정도의 위험이 따른다는 사실은 일반인들도 충분히 인지하고 있습니다. 자동차 오작동, 사고, 음주 운전 등은 모두 도로 이용자에게 치명적인 결과를 초래할 수 있습니다.

하지만 만약 그 치명적인 차량 오작동이 사실은 악의적인 사이버 공격으로 인해 원격으로 발생한 것이라면 어떨까요? 생명을 위협하는 결과가 발생해야만 비로소 전 세계가 사이버 보안을 심각하게 고려할 것이라는 의견이 오랫동안 제기되어 왔지만, 현실은 이미 그러한 위험 영역에 깊숙이 들어와 있으며, 적절한 개입이 없다면 상황은 더욱 악화될 것입니다.

2015년, 보안 연구원들은 고속도로를 주행 중인 지프 체로키의 엔진을 성공적으로 "정지"시켰습니다. 시스템 소프트웨어의 알려진 제로데이 취약점을 이용하여 에어컨, 라디오, 조향 장치, 브레이크 및 변속기를 무선으로 제어할 수 있음을 입증한 것입니다. 위험한 실험이었지만, 이는 공격자가 차량과 탑승자를 얼마나 치명적으로 통제할 수 있는지를 증명했습니다. 이 사건 이후 수백만 대의 커넥티드 차량이 도로를 달리고 있으며, 각 차량에는 보안이 필요한 수백만 줄의 코드가 포함되어 있습니다.

자율주행 기술과 그 도입은 매우 빠른 속도로 진행되고 있으며, 이는 미래의 편리함을 구현하는 코드를 작성하는 개발팀에게 엄청난 부담을 주고 있습니다. 자동차 산업의 소프트웨어 개발자들이 보안 책임을 공유해야 할 필요성이 시급해졌으며, ASRG는 최신 보안 지식, 도구, 동료 추천 및 지원을 얻기 위해 많은 이들이 의존하는 커뮤니티 허브입니다. 이들의 글로벌 Secure Code Warrior 토너먼트는 전 세계 ASRG 지부를 대표하는 100명 이상의 개발자를 참여시키고, 평가하며, 영감을 주기 위해 기획되었습니다. 참가자들은 친선 경쟁과 교육을 통해 업계 소프트웨어에서 흔히 발생하는 문제와 직접적으로 관련된 보안 코딩 과제를 해결하고자 했습니다.

자율주행 기술과 그 도입은 매우 빠른 속도로 진행되고 있으며, 이는 미래의 편리함을 구현하는 코드를 작성하는 개발팀에게 엄청난 부담을 주고 있습니다.

‍

토너먼트 및 교육 실습을 통해 얻은 사실과 수치

이는 높은 참여도와 지속적인 학습 의지를 보여주는 지표이며, 교육 및 훈련에 게임화 기법을 도입했을 때 얻을 수 있는 매우 유익한 결과입니다.

교육과 토너먼트는 각 개발자가 원하는 언어와 프레임워크로 진행할 수 있어, 도전 과제가 매우 관련성 높고 일상 업무에서 접하는 실제 코드를 사용하도록 보장합니다. 이러한 맥락 중심의 짧은 학습 방식은 조직의 SDLC에서 가장 만연한 문제를 해결하는 데 필요한 콘텐츠를 신속하게 제공합니다.

참가자 중 가장 흔한 개발자 프로필

‍

‍

기타 주요 발견 사항:

글로벌 ASRG 가상 보안 코딩 토너먼트: 언어별 보안 코드 점수

글로벌 ASRG 가상 보안 코딩 토너먼트: 취약점별 보안 코드 점수

모든 참가자가 선택한 언어와 프레임워크에서 어느 정도 능숙함을 보였지만, "100% 안전"하다고 간주되거나 완전히 마스터한 취약점 영역은 없었으며 평균 정확도 점수는 67%였습니다. 개발자가 보안 전문가가 되어야 한다는 기대는 없지만, 토너먼트는 보안 표준, 품질 벤치마크, 그리고 코드 내의 일반적인 보안 버그를 해결하는 방법을 배우는 책임감을 도입하는 훌륭한 방법입니다. 특히 그 코드가 누군가의 차량에 대한 원격 제어권으로 이어지거나 더 심각한 결과를 초래할 수 있을 때는 더욱 그렇습니다.

취약점 및 기술 기반 위험 요소에 대한 토너먼트 인사이트

ASRG 토너먼트와 교육 이니셔티브는 커넥티드 차량에 영향을 미치는 다음과 같은 주요 취약점에 집중했습니다:

수천 분의 교육 시간과 수백 개의 과제를 수행한 결과, 접근 제어, 민감한 데이터 저장, 그리고 무엇보다 우선순위가 높은 메모리 손상 취약점에 집중해야 한다는 점이 분명해졌습니다. 후자는 초연결 차량뿐만 아니라 다른 많은 IoT 기기에서도 알려진 잠재적 공격 경로입니다.

최근 Cisco의 CX APT(Customer Experience Assessment & Penetration Team)는 Linux ARMv7 시스템에서 사용되는 라이브러리인 GNU Glibc에서 이러한 버그를 발견했으며, 패치가 생성되어 적용되기 전까지 메모리 손상에 취약한 상태로 방치되었습니다. 여러 환경 지점에서 실시간 데이터를 수집하는 센서 기반 장치가 많은 요즘, 장치에 대한 원격 제어가 불가능하더라도 공격자에게는 상당한 이득이 될 수 있습니다.

ASRG 팀은 자동차 보안 분야에서 역량을 발휘해야 하는 개발자들을 위해 검증된 도구 및 솔루션 디렉토리, 포괄적인 위키, 강력한 글로벌 커뮤니티 등 놀라운 자원을 구축했습니다. 이러한 독립적인 그룹 이니셔티브는 풀뿌리 수준에서 변화를 주도하는 원동력이며, 새로운 시도를 기꺼이 받아들이고 회원들의 보안 인식을 강화하려는 그들의 의지는 매우 민감한 기기에서 반복되는 취약점을 차단하는 강력한 요소입니다.

보안 코딩 모범 사례에 지금 투자함으로써 얻는 수익

SAE International과 Synopsys Software Integrity Group이 발표한 연구에 따르면, 커넥티드 기술을 기존 및 신종 사이버 위협으로부터 보호하고 안전하게 유지하는 측면에서 자동차 산업은 다른 많은 산업보다 상당히 뒤처져 있는 것으로 나타났습니다.

우려스러운 추세이지만 되돌릴 수 없는 것은 아닙니다. 특히 ASRG와 같은 조직이 업계에서 보안을 최우선 과제로 유지하기 위해 노력하고, 자동차 기업이 철저한 보안 프로그램을 구축하는 데 필요한 솔루션, 도구 및 교육을 조명하고 있기 때문입니다.

이들은 매우 참여도가 높은 글로벌 Secure Code Warrior 토너먼트를 운영하면서 개발자 그룹 내의 핵심 위험 영역, 추가 학습 기회, 보안 코딩 챌린지의 정확도 통계, 그리고 업계 요구 사항과 관련하여 집중해야 할 주요 취약점을 파악할 수 있었습니다.

그렇다면 조직 내 보안 프로그램을 혁신하고 SDLC 초기 단계부터 보안 인식과 실천을 심어줌으로써 얻을 수 있는 예상 수익은 어느 정도일까요? 함께 살펴보겠습니다.

보안 감사에서 매년 적지 않은 수의 취약점을 식별하는 기업의 경우, 탐지 및 수정에 드는 잠재적 비용은 상당할 수 있습니다. 또한 이러한 성가신 버그가 프로세스 중 어느 단계에서 발견되느냐에 따라 수정 비용은 극적으로 증가할 수 있습니다. "간단한" 수정 사항이라 하더라도 초기 단계에서 발견하여 해결한 경우보다 후반 단계에서 수정할 경우 최대 30배의 비용이 발생할 수 있습니다.

투자 수익률

이 3점 추정치는 Secure Code Warrior의 교육, 토너먼트 및 문화적 변화를 통해 얻을 수 있는 세 가지 절감 효과의 잠재적 재무 및 시간적 영향을 보여줍니다.

‍

잠재적 연간 절감액

‍