기술 요약: 차세대 자동차 운영 체제의 취약점 모니터링

문제 정의

자동차 산업은 분산된 독자적 전자 제어 장치(ECU)에서 고성능 컴퓨터(HPC) 기반의 존 아키텍처(Zonal Architecture)로 전환되는 **소프트웨어 정의 차량(SDV)**으로의 급격한 변화를 겪고 있습니다. 이러한 진화는 가상화, 컨테이너화 및 무선 업데이트(OTA)를 지원하기 위해 POSIX 호환 운영 체제(예: Automotive Grade Linux, Android Automotive OS, Red Hat In-Vehicle OS)에 크게 의존합니다.

이러한 융합은 기능 배포를 가속화하지만, 동시에 차량의 공격 표면을 크게 확장시킵니다. 복잡하고 상호 연결된 소프트웨어 스택의 통합은 전통적인 컴퓨팅에서 흔히 볼 수 있는 취약점(예: 원격 코드 실행, 로컬 권한 상승)을 안전 필수(Safety-critical) 및 비안전 필수(Non-safety-critical) 도메인 모두로 유입시킵니다.

식별된 주요 과제:

1. CVE의 관련성: 공개된 POSIX/Linux 생태계의 공통 취약점 및 노출(CVE)이 자동차 소프트웨어 스택에 실제로 어느 정도 영향을 미치는지, 또는 OEM이 하드닝(Hardening)한 제약된 환경 내에서 여전히 악용 가능한지 여부가 불분명합니다.
2. 도구의 한계: 기존의 취약점 스캐너는 주로 일반적인 컨테이너나 패키지 스캐닝을 위해 설계되었습니다. 이들은 자동차 시스템의 특정 맥락(예: 개발자 툴체인과 런타임 바이너리의 구분, 또는 차량 내에서 악용 불가능한 유틸리티 식별)을 바탕으로 보고서를 파싱, 필터링 및 우선순위를 지정하는 데 실패하는 경우가 많습니다.
3. 교차 계층 분석의 부재: 체계적인 취약점 발견과 전체 SDV 스택(애플리케이션 → 미들웨어 → OS/하이퍼바이저 → 펌웨어)에 걸친 엔드 투 엔드 침투 테스트를 결합한 연구가 부족합니다.

방법론

저자들은 자동차용 POSIX 기반 운영 체제를 위해 설계된 경량화되고 오프라인 실행이 가능하며 확장 가능한 취약점 평가 스위트인 **VERA (Vulnerability Exposure and Reporting Analysis)**를 제안합니다.

VERA 프레임워크

VERA는 대상 시스템의 정확한 파일 시스템, 패키지 목록 및 소프트웨어 구성을 보존하면서 재현성과 격리를 보장하기 위해 Docker화된 개발 환경 내에서 작동합니다. 아키텍처는 다음과 같이 통합된 여러 구성 요소로 이루어져 있습니다.

1. 스캐닝 엔진:

   • 로컬 CVE 데이터셋(MITRE CVE List V5)을 활용합니다.
   • Grype 및 CVE Binary Tool (CBT)(컨테이너 이미지 및 바이너리용), Vanir(Google, Android 소스/코드용), cve-check(Yocto 프로젝트, Yocto 기반 시스템용) 등 다양한 스캐너를 통합합니다.
   • Docker 이미지, Android 에뮬레이터 및 패키지 인벤토리의 배치 분석을 지원합니다.

2. 데이터 처리 및 정규화:

   • 파서(Parser): 다양한 스캐너의 결과를 수집, 병합 및 정규화하여 정형화된 포맷으로 변환합니다.
   • 필터링(Filtering): 자동차 환경과 무관한 취약점을 제외하기 위해 맥락 특화 필터를 적용합니다. 예를 들어, 생산 차량 내에서 공격자가 사용하거나 존재할 가능성이 낮은 비 sudo 명령줄 유틸리티(예: apt, git) 및 개발자 툴체인(예: gcc, cmake)을 필터링하여 오탐(False Positive)을 줄입니다.

3. 악용 가능성 평가:

   • 분석기(Analyser): 특정 취약한 심볼이나 함수를 바이너리 내에서 확인하고 그 호출 경로를 추적합니다.
   • 익스플로잇 파인더(Exploit Finder): 사용 가능한 개념 증명(PoC) 익스플로잇 및 온라인 익스플로잇 코드를 검색합니다.
   • 러너(Runner): Docker 환경에 익스플로잇을 마운트하여 실현 가능성을 검증합니다.

4. 리스크 평가:

   • 프레임워크는 CVSS(심각도), EPSS(익스플로잇 예측), KEV(알려진 취약점) 지표를 포함합니다.
   • Automotive Threat Matrix (ATM) 및 ISO/SAE 21434의 TARA(위협 분석 및 리스크 평가) 방법론을 활용하여 취약점을 특정 공격 시나리오(예: 초기 접근, 횡적 이동, 차량 기능 영향)에 매핑하고 실현 가능성 및 리스크 점수를 계산합니다.

주요 기여

1. 체계적 조사 및 매핑: 본 논문은 자동차 운영 체제, 미들웨어 및 배포 아키텍처에 대한 포괄적인 조사를 제공하며, 플랫폼(예: QNX, VxWorks, AGL, AAOS)을 역할, 사용 사례 및 공식 인증 수준(EAL, ASIL, SIL, CAL)에 따라 매핑합니다.
2. POSIX CVE의 경험적 평가: 저자들은 POSIX/Linux CVE가 차량 스택으로 어떻게 전파되는지를 경험적으로 평가합니다. 연구 결과, 인증(예: ASIL D, EAL 4+)이 리스크를 감소시키기는 하지만, 인증된 커널과 RTOS에도 여전히 상당한 수의 고심각도 CVE가 존재하므로 공격 표면을 완전히 제거하지 못함을 입증했습니다.
3. VERA 툴 스위트: 단순한 열거를 넘어, CVE의 실질적인 악용 가능성을 평가하기 위해 정적 발견과 통제된 침투 테스트 검증을 통합한 특화된 취격점 스캐닝 프레임워크를 출시합니다.
4. 실험적 산출물: 재현성 및 비교 분석을 촉진하기 위해 VERA 소스 코드, 개념 증명(PoC) 및 익스플로잇 구현체를 공개합니다.

실험 결과

저자들은 차세대 차량에 사용되는 다양한 운영 체제 및 미들웨어(예: Ubuntu, VxWorks, QNX Neutrino, Zephyr, ROS2, AGL, AAOS)에 대해 VERA를 평가했습니다.

• 취약점 유병률: 연구 결과 이질적인 취약점 지형이 드러났습니다.
  • 고용량 플랫폼: Android 기반 시스템(AGL, AAOS)과 ROS2가 가장 많은 수의 CVE를 나타냈습니다. 예를 들어, AGL은 1,203개의 CVE를, Android 30은 749개를 보유하고 있었습니다.
  • 치명적 심각도: ROS2는 28개의 치명적 심각도 취약점을 보유하여 특히 높은 리스크 프로필을 가진 것으로 식별되었습니다.
  • 인증된 시스템: VxWorks 7 (EAL 6+) 및 QNX Neutrino (EAL 4+)와 같은 고도로 인증된 시스템조차도 고심각도 발견 사항을 포함하여 상당한 수의 취약점(각각 33개 및 56개)을 보여주었습니다.
• 필터링 효능: 제안된 필터링 메커니즘은 노이즈를 크게 줄였습니다. 예를 들어, 필터링을 통해 AutoSD의 보고된 CVE는 59.8%, VxWorks 7은 57.1% 감소했으며, 개발 도구와 같은 비악용 가능 클래스가 제거되었습니다.
• 악용 가능성 검증:
  • 팀은 Android Automotive OS 환경에서 SQLite에 영향을 미치는 CVE-2022-35737을 성공적으로 악용했습니다.
  • 이들은 디스어소시에이션 공격(de-association attack)(SOME/IP 서비스 디스커버리 타겟)을 구현하였으며, 이는 AutoSD와 TeslaOS에서는 성공했으나 AAOS에서는 실패했습니다. 이는 포트 랜덤화 보안 메커니즘 때문인 것으로 보이며, 이를 통해 동일한 심각도 등급이라도 플랫폼 구성에 따라 운영 결과가 달라질 수 있음을 강조했습니다.
• 시나리오 분석: 두 가지 다단계 공격 시나리오가 모델링되었습니다.
  • 시나리오 A (안전 위협): 악성 인포테인먼트 앱을 통한 원격 침해로 차량 기능(예: 브레이크) 조작 유도.
  • 시나리오 B (프라이버시/제어): 데이터 수집 및 안전 필수 ECU로의 잠재적 횡적 이동을 위한 원격 침해.
  • 두 시나리오 모두 특정 조건 하에서 실현 가능한 것으로 간주되었으며, 영향 범주(안전, 재무, 운영, 프라이버시)에 따라 리스크 평가가 Medium에서 High 사이로 나타났습니다.

의의 및 주장

본 논문은 SDV의 소프트웨어 스택 구성 요소 인증을 체계적으로 제시하고, 기업 공시를 바탕로 차량 모델의 SoC 및 OS 구성을 결정한 최초의 연구라고 주장합니다.

핵심 의의:

• 정적 목록을 넘어: 저자들은 가공되지 않은 CVE 수치가 리스크의 완벽한 대리 지표는 아니라고 주장합니다. VERA는 "카탈로그식" 나열에서 측정 및 침투 테스트 기반의 검증으로 초점을 전환합니다.
• 맥락적 관련성: 차량에 존재하지 않는 도구(예: 유틸리티)와 같은 무관한 취약점을 필터링함으로써, VERA는 더 높은 신호 대 잡음비를 제공하여 산업 종사자들이 진정으로 악용 가능한 취약점에 우선적으로 대응할 수 있도록 합니다.
• 인증은 만능 해결책이 아님: 연구 결과는 공식 인증(ISO 26262, EAL)이 면역을 보장한다는 가설에 도전합니다. 본 연구는 인증된 플랫폼 역시 지속적인 모니터링과 패치가 필요한 상당한 공격 표면을 보유하고 있음을 보여줍니다.
• 실용적 프레임워크: VERA는 이론적인 취약점 발견과 실제 악용 가능성 평가 사이의 간극을 메우며, SDV 보안 노출을 평가하기 위한 실용적이고 통합된 방법론을 제공합니다.

저자들은 Docker 환경가 벤더별 커널 빌드, 독자적 펌웨어 상호작용 또는 하드웨어 종속적 동작을 완전히 재현하지 못한다는 점을 인정하며 제한 사항에 대해 겸허한 태도를 유지했습니다. 또한, 자사의 도구가 잠재적 공격 벡터를 식별할 수는 있지만, 실제 악용 가능성은 정적 분석에서 포착되지 않는 특정 배포 구성 및 런타임 방어 기제에 달려 있다고 언급했습니다.