기술 요약: 전기차 충전 포트에 대한 물리층 신호 주입 공격

문제 제기

전기차 (EV) 의 급속한 확산은 충전 인프라를 확장시켰지만, 차량과 충전기 간의 통신 물리층에서 심각한 보안 위험을 초래했습니다. 기존 연구는 원격 공격 (예: PLC 에 대한 전자기 간섭) 과 백엔드 네트워크 취약점에 집중해 왔으나, 충전 포트 인터페이스의 인증 메커니즘은 충분히 조사되지 않았습니다.

본 논문은 주요 충전 표준 (SAE J1772, CCS, IEC 61851, GB/T 20234, NACS) 에서 치명적인 약점을 규명합니다. 즉, 인증 및 상태 제어를 위해 단순하고 정적인 물리 신호 (저항 임피던스 및 펄스 폭 변조 [PWM] 듀티 사이클) 에 의존한다는 점입니다. 이러한 프로토콜은 암호학적 검증을 결여하여 공격자가 전기적 상태를 스푸핑할 수 있게 합니다. 핵심 문제는 충전기 (충전 더미) 와 차량이 연결 상태, 승인 여부 및 충전 매개변수를 결정하기 위해 아날로그 신호 값 (예: CC 포트의 특정 저항 값 또는 CP 포트의 PWM 듀티 사이클) 을 신뢰한다는 점입니다. 이러한 신뢰 모델은 공격자가 인증을 우회하고, 충전 세션을 조작하며, 잠재적으로 차량 내부 시스템에 접근할 수 있게 합니다.

방법론

저자들은 역공학적 분석, 하드웨어 프로토타이핑, 그리고 실증 실험을 포함한 포괄적인 보안 분석을 수행했습니다.

1. 역공학 및 취약점 분석:

   • 팀은 다양한 충전 건 (AC 및 DC, 완속 및 급속 충전) 의 내부 신호 회로를 역공학했습니다.
   • 인증 로직이 변조 감지나 동적 검증 없이 수동 소자 (저항) 와 기계적 스위치 (트래블 스위치) 에만 의존함을 확인했습니다.
   • 여러 표준에 걸친 충전 확인 (CC) 및 제어 파일럿 (CP) 포트의 신호 해석 로직을 분석하여 상태 전환 (예: "플러그 삽입", "버튼 누름", "충전 승인") 을 유발하는 특정 저항 값과 PWM 듀티 사이클을 매핑했습니다.

2. 하드웨어 개발 (PORTulator):

   • 실현 가능성을 입증하기 위해 저자들은 PORTulator라는 개념 증명 (PoC) 공격 장치를 개발했습니다.
   • 핵심 구성 요소: RP2040 마이크로컨트롤러 유닛 (MCU) 기반이며, 임피던스를 모방하기 위한 프로그래머블 디지털 포텐쇼미터 (AD5160), 신호 주입을 위한 PWM 가능 GPIO, 그리고 원격 제어를 위한 433 MHz 무선 수신기를 탑재했습니다.
   • 배포: 이 장치는 개조된 충전 건 내부에 은밀하게 설치되도록 설계되었습니다. 유연한 인쇄 회로 (FPC) 를 통해 CC 및 CP 핀에 연결되며, 원격으로 트리거될 때까지 대기 상태에 머뭅니다.
   • 기능: PORTulator 는 CC 라인에서 임피던스를 동적으로 변경하고 CP 라인에 특정 PWM 신호를 주입하여 합법적인 차량 상태를 모방하거나 오류 조건을 유도할 수 있습니다.

3. 실험적 평가:

   • 저자들은 7 가지 충전 표준을 지원하는 20 개의 실제 충전기와 여러 전기차 모델(테슬라, 폭스바겐, BYD 등 포함) 에서 PORTulator 를 테스트했습니다.
   • 취약점을 검증하기 위해 세 가지 구체적인 공격 시나리오를 실행했습니다.

주요 기여

본 논문은 네 가지 주요 기여를 합니다:

1. 치명적 취약점 식별: 저자들은 여러 전기차 충전 프로토콜에서 상태 위조 문제를 최초로 완전히 연구하고 악용했습니다. 공격자가 물리적 인증을 조작하여 안전 점검을 우회함으로써 서비스 거부 (DoS), 포트 잠금, 그리고 CAN 버스 같은 내부 시스템에 대한 무단 접근이 가능함을 입증했습니다.
2. PORTulator 개발: MCU, FPC, 무선 통신을 통합한 다목적 공격 세트를 개발하여 다양한 충전 표준에 대한 은밀한 연결과 포트 상태의 원격 조작을 가능하게 했습니다.
3. 실제 공격 시연: 본 논문은 현실적인 시나리오에서 공격의 효과를 검증하는 세 가지 포괄적인 사례 연구를 제공합니다:
   • DoS 공격: CC/CP 신호를 조작하여 오류 상태를 유발함으로써 충전을 방해합니다.
   • 데드락/랜섬웨어 공격: 임피던스를 스푸핑하여 충전 건을 기계적으로 잠그고, 제거를 방지하며 NFC/QR 코드를 통해 대가를 요구합니다.
   • CAN 버스 주입: GB/T 20234.3 및 NACS 에서 접근 가능한 통신 라인 (S+/S-) 을 악용하여 악성 메시지를 주입하고, 잠재적으로 배터리 열 보호 기능을 우회합니다.
4. 제안된 대응책: 저자들은 트랜지스터, 커패시터와 같은 비저항성 메모리 소자를 통합하고 동적 고주파 PWM 신호를 활용하여 인증을 강화하는 방어 메커니즘을 제안합니다. 이는 고정된 저항 값에서 동적이고 주파수에 의존하는 임피던스로 인증 방식을 전환하여, 공격자가 단순한 저항을 사용하여 신호를 스푸핑하는 것을 불가능하게 만듭니다.

결과

PORTulator 에 대한 평가는 다음과 같은 결과를 도출했습니다:

• 취약점 범위: 테스트된 20 개의 충전기가 사용하는 7 가지 충전 표준이 제안된 공격에 취약한 것으로 확인되었습니다.
• 공격 성공률:
  • DoS 공격: CC/CP 임피던스를 변경하거나 저 듀티 사이클 PWM 신호를 주입함으로써 모든 테스트된 차량 모델과 표준에서 보편적으로 성공했습니다.
  • 데드락 공격: 전자식 잠금 메커니즘이 장착된 차량에서 성공하여 차량을 효과적으로 마비시켰습니다. 다만, CCS II 포트가 장착된 테슬라 모델 3 과 리오토 L7 은 공격에 활용된 특정 잠금 기반 제약이 없어 예외 사항으로 기록되었습니다.
  • CAN 버스 주입: S+/S- 통신 라인이 접근 가능한 NACS 및 GB/T 20234.3 표준에서 실현 가능했습니다. 반면, 직접적인 CAN 상호작용을 위한 접근 가능한 인터페이스가 부족하여 CCS 또는 SAE J1772 구현에서는 불가능했습니다.
• 특정 악용 결과:
  • 데드락 시나리오에서 팀은 폭스바겐 ID.4 를 성공적으로 가두어 건을 해제하기 위해 몸값 지불을 요구했습니다.
  • CAN 주입 시나리오 (테스트베드 BMS 에서 시뮬레이션) 에서 팀은 열 보호 로직을 우회하여 배터리가 안전 온도 임계값 (40°C) 을 초과하여 충전되게 했습니다 (최대 56.47°C 도달).

중요성 및 주장

본 논문은 단순한 인증 데모를 넘어 체계적인 위험을 입증하기 위해 전기차 충전 프로토콜의 상태 위조를 완전히 연구하고 악용한 최초의 작업이라고 주장합니다.

• 체계적 위험: 이 연구 결과는 정적 아날로그 신호 인증에 대한 의존성이 GB/T, IEC, SAE, NACS, CCS 등 주요 글로벌 표준 전반에 걸친 근본적인 결함임을 드러냅니다. 이는 방대한 수의 전기차와 충전 인프라를 물리층 공격에 노출시킵니다.
• 안전성 영향: 이러한 공격은 차량 마비, 과충전을 통한 배터리 손상, 그리고 차량 제어 시스템 (CAN 버스) 에 대한 무단 접근을 포함한 즉각적인 안전 위험을 초래합니다.
• 방어의 필요성: 저자들은 현재의 보안 가정이 불충분하다고 주장합니다. 정적 저항을 동적이고 메모리 기반인 소자 및 주파수 민감 신호로 대체하는 제안된 방어 메커니즘이 물리 신호 스푸핑을 방지하기 위해 필수적이라고 강조합니다.
• 책임 있는 공개: 저자들은 윤리적 접근을 강조하며, 발표 전에 주요 벤더 (세레스, BYD, XPeng 등) 와 국가 데이터베이스 (NVDB-CAVD) 에 취약점을 공개했으며, 4 개의 공식 취약점 ID 를 할당받았다고 밝혔습니다.

본 논문은 인증 프로토콜을 동적 검증 및 암호화 또는 복잡한 물리층 점검을 포함하도록 업그레이드하지 않는 한, 확장 중인 전기차 생태계가 정교한 물리층 악용에 여전히 취약하다고 결론 내립니다.