Cyber-Resilience and Trust-Aware Command Authorization for Autonomous UAV Swarms in GPS-Denied Environments

GPS 없이 주변 환경을 감지하고 서로 통신하며 함께 비행하는 드론 무리를 상상해 보십시오. 이 고도의 긴박한 환경에서, 단 한 대의 드론은 인간 운영자나 이웃 드론으로부터 전달된 명령을 따를지 말지를 결정해야 합니다. 핵심 과제는 단순히 메시지가 알려진 출처로부터 왔는지 확인하는 것이 아니라, 지금 당장 그 메시지를 따르는 것이 안전한지를 판단하는 것입니다. 명령은 올바른 디지털 키로 서명되어 완벽하게 인증되었을지라도, 드론의 위치 센서가 오작동하거나, 배터리가 부족하거나, 명령을 보낸 사람을 더 이상 신뢰할 수 없는 경우라면 위험할 수 있습니다. 이 논문은 암호학적 보안과 물리적 안전 사이의 간극을 다루며, 들어오는 모든 명령을 엄격한 다층 검사를 통과하기 전까지는 잠재적 위험으로 취급하는 시스템을 제안합니다. 연구진은 드론이 비행의 전체 맥락, 건강 상태, 그리고 송신자에 대한 신뢰도가 완벽하게 일치하지 않는 한 원격 지시를 절대 실행하지 않도록 보장하는 게이트키퍼 역할을 하는 프레임워크를 구축했습니다.

이 연구는 GPS가 지원되지 않는 환경에서 작동하는 자율 주행 드론 군집에 초점을 맞추고 있으며, 이러한 환경에서는 일반적인 위성 항법을 사용할 수 없습니다. 이러한 조건에서 드론은 대형을 유지하고 임무의 무결성을 유지하기 위해 피어 투 피어(P2P) 통신과 온보드 센서에 의존합니다. 저자는 물리적 기계에 있어 디지털 서명 검증 단계에서 멈추는 전통적인 보안 모델은 불충분하다고 주장합니다. 서명은 누가 메시지를 보냈는지는 증명하지만, 그 메시지가 행동에 옮기기에 안전하다는 것을 증명하지는 않습니다. 이를 해결하기 위해 연구진은 "페일 클로즈드(fail-closed)" 런타임 감독관을 개발했습니다. 이는 드론의 내부 상태와 외부 환경을 지속적으로 모니터링하는 소프트웨어입니다. 이 시스템은 무선 연결 품질, 드론 자체의 위치 추정 신뢰도, 배터리 잔량, 명령을 내리는 주체의 신뢰도를 포함한 9가지의 뚜렷한 요인을 살펴봅니다. 이러한 입력값을 바탕으로 시스템은 드론을 완전히 신뢰함에서부터 즉각적인 격리에 이르기까지 9가지 특정 보안 상태 중 하나로 할당합니다.

이 시스템은 엄격한 계층 구조 원칙에 따라 작동합니다. 만약 드론이 배터리가 안전 임계값 아래로 떨어지거나 갑작스러운 통신 손실과 같은 치명적인 결함을 감지하면, 즉시 모든 원격 명령을 무시하고 착륙이나 귀환과 같은 미리 프로그래밍된 안전 기동을 수행하는 상태로 진입합니다. 이 결정은 자동적이며, 설령 운영자가 인증된 상태라 할지라도 외부에서 재정의할 수 없습니다. 연구진은 이 로직을 C++ 소프트웨어 플랫폼에 구현하고 다양한 시나리오에 대해 테스트했습니다. 그 결과, 기술적으로는 유효하지만 맥락상으로는 안전하지 않은 명령을 성공적으로 거부한다는 것을 발견했습니다. 예를 들어, 드론의 위치 신뢰도가 특정 임계값 아래로 떨어지면, 명령이 신뢰할 수 있는 리더로부터 왔고 최신 상태라 할지라도 시스템은 대형 유지 명령을 거부합니다. 마찬가지로, 시스템이 오래된 유효 명령을 다시 보내 드론을 혼란에 빠뜨리는 재전송 공격(replay attack)의 징후를 감지하면, 의심 상태로 전환하여 추가적인 원격 제어를 차단합니다.

본 연구의 주요 발견은 이러한 결정을 내리는 데 있어 단일한 종합적 "건강" 점수만으로는 충분하지 않다는 것입니다. 연구진은 서로 다른 요인들의 가중 평균에 의존하는 것이 위험할 수 있음을 입증했습니다. 예를 들어, 배터리 상태가 매우 좋고 송신자에 대한 신뢰도가 높더라도 무선 연결 상태가 매우 나쁠 수 있습니다. 만약 시스템이 평균 점수만을 본다면, 끊어진 연결에도 불구하고 명령을 허용할 수도 있습니다. 대신, 이 프레임워크는 엄격한 임계값을 사용합니다. 무선 링크가 특정 품질 아래로 떨어지거나 송신자의 신뢰 점수가 특정 숫자 미만으로 떨어지면, 다른 수치들이 아무리 좋아 보이더라도 시스템은 즉시 권한을 제한합니다. 이는 한 분야의 결함이 다른 분야의 성공에 의해 가려지지 않도록 보장합니다. 또한 시스템은 재전송된 메시지나 시계 불일치와 같은 다양한 유형의 이상 징후에 대해 점수를 누적하는 "변조 증거(tamper evidence)"를 추적합니다. 충분한 증거가 쌓이면 드론은 자신의 로컬 안전 시스템만을 신뢰하는 상태로 전환됩니다.

연구진은 유닛 테스트와 시나리오 시뮬레이션 저장소를 사용하여 소프트웨어 프레임워크를 테스트했습니다. 그들은 시스템이 변조된 메시지, 재전송된 명령, 그리고 낮은 신뢰 점수를 가진 송신자의 지시를 올바르게 거부했음을 확인했습니다. 또한 이러한 보안 검사를 처리하는 데 걸리는 시간을 측정했습니다. 결과에 따르면 인증 경로의 중앙값은 12.219밀리초였으며, 평균은 22.603밀리초였습니다. 이는 많은 소프트웨어 애플리케이션에는 충분히 빠른 속도이지만, 저자는 이 수치가 로컬 컴퓨터 시뮬레이션에서 나온 것이며 실제 비행 하드웨어에 대한 인증된 실시간 보장을 나타내는 것은 아님을 주의 깊게 언급합니다. 연구는 이 코드가 완벽하다는 수학적 증명이나 물리적 비행 테스트, 라디오 재밍 실험을 포함하지 않는다고 명시적으로 밝히고 있습니다. 대신, 보안 증거가 어떻게 물리적 제어 권한으로 변환되어야 하는지에 대한 소프트웨어 기반의 수학적으로 명시적인 모델을 제공합니다.

또한 이 프레임워크에는 긴급 명령을 위한 특별 예외 조항이 포함되어 있습니다. 만약 명령이 긴급 착륙으로 표시되면, 해당 메시지가 초기 암호학적 검증을 통과했다는 전제하에 일반적인 신뢰 및 최신성 검사를 우회할 수 있도록 허용합니다. 이러한 설계 선택은 엄격한 프로토콜 준수보다 즉각적인 물리적 안전을 우선시하며, 위기 상황에서는 확인을 위한 추가 명령보다 검증된 착륙 명령이 더 중요하다는 점을 인정하는 것입니다. 그러나 이 예외는 엄격하게 통제됩니다. 이는 메시지가 보안 인증 채널을 통해 전달될 때만 작동합니다. 연구진은 이 긴급 오버라이드가 신중하게 관리되어야 하는 의도적인 신뢰 경계임을 강조합니다.

궁극적으로, 이 작업은 자율 기계에게 있어 보안이란 단순히 해커를 막는 것뿐만 아니라, 기계가 언제 "아니오"라고 말해야 하는지를 아는 것임을 보여줍니다. 제안된 시스템은 명령이 모터를 제어하기 전에 인증, 최신성 검사, 신뢰 평가, 그리고 안전 제약 조건을 모두 통과해야 하는 심층 방어 체인을 생성합니다. "누가 이것을 보냈는가"라는 질문과 "이것을 수행해야 하는가"라는 질문을 분리함으로써, 연구진은 자율 군집이 사이버 공격과 물리적 실패 모두에 대해 더 탄력적으로 대응할 수 있게 하는 모델을 만들었습니다. 연구는 소프트웨어 로직이 건전하고 안전하지 않은 명령의 거부가 결정론적이지만, 이 접근 방식의 완전한 검증을 위해서는 하드웨어 테스트와 실제 적대적 시나리오를 포함한 향-후 연구가 필요하다고 결론짓습니다. 현재로서는, 이 연구는 자율 시스템이 주변 환경이 불확실해질 때 어떻게 안전을 유지할 수 있는지에 대한 명확한 소프트웨어 기반의 청사진으로 남아 있습니다.