Replay-Resistant Admission and Permissioned Quorum Consensus in Connected Vehicle Networks: A Fail-Closed, Implementation-Grounded Security Study

모든 자동차, 교통 신호등, 도로 표지판이 서로 즉각적으로 대화하며 사고, 날씨, 교통 체증에 대한 정보를 공유하여 모두를 안전하게 지키는 도시를 상상해 보십시오. 이것은 공중에 끊임없이 흐르는 디지털 메시지에 의존하는 기술인 커넥티드 차량 네트워크의 약속입니다. 그러나 이 개방된 무선 환경은 취약합니다. 악의적인 행위자가 자동차인 척 가장하여, 혼란을 야기하기 위해 동일한 메시지를 반복해서 보내거나, 시스템을 속여 허위 보고를 수용하게 만들 수 있습니다. 이 기술을 작동시키기 위해 엔지니어들은 세 가지 구체적인 문제를 해결해야 합니다. 바로 누가 대화에 참여할 수 있는지 결정하는 것, 메시지가 새로운 것인지 아니면 재사용된 오래된 것인지 확인하는 것, 그리고 다음에 무엇을 할지 투표하는 사람들이 실제로 권한이 있는 관리자인지 검증하는 것입니다.

보로네시 국립 임업 기술 대학교의 Md Shahanur Islam Shagor가 수행한 새로운 연구는 이러한 과제들을 정확히 다룹니다. 이 연구는 차량이 네트워크에 가입하는 방식과 공유된 정보에 대해 합의에 도달하는 방식을 관리하도록 설계된 'OmniGuard'라는 특정 보안 시스템에 초점을 맞춥니다. 모든 가능한 재난 시나리오에서 작동하는 완벽하고 깨지지 않는 시스템을 구축하려 하기보다, 연구진은 실용적이고 통제된 환경을 구축했습니다. 그들은 '페일 클로즈드(fail-closed)' 설계를 만들었는데, 이는 시스템이 혼란에 빠지거나 과부하가 걸리면 위험한 추측을 하기보다 단순히 새로운 입력을 받는 것을 중단한다는 것을 의미합니다. 이 연구는 이러한 접근 방식이 가짜 신원을 차단하고, 재전송된 메시지를 막으며, 오직 적절한 사람들만이 중요한 결정에 투표할 수 있도록 보장하면서도, 시스템의 한계가 어디에 있는지 투명하게 밝힐 수 있는지 테스트합니다.

연구진은 먼저 '실제 존재함'과 '허가됨'의 개념을 분리하는 것부터 시작했습니다. 많은 시스템에서는 자동차가 유효한 디지털 ID를 증명하면 즉시 입장이 허용됩니다. 하지만 여기서는 더 엄격한 접근 방식을 취합니다. 자동차가 완벽한 디지털 ID를 가지고 있더라도, 레지스트리(등록부)에 의해 관리되는 특정 사전 승인 목록에 없다면 입장이 거부됩니다. 이 레지스트리는 권한이 있는 차량의 마스터 목록을 확인하는 문지기 역할을 합니다. 만약 자동차가 그 목록에 없이 접속을 시도하거나 목록이 누락된 경우, 시스템은 자동으로 연결을 거부합니다. 이는 시스템 설정 오류로 인해 누구에게나 문을 열어주는 상황을 방지합니다. 일단 자동차가 수락되면, 시스템은 해당 차량의 연결을 특정 신원과 결합합니다. 즉, 자동차가 다른 차량의 자격 증명을 빌려 투표 세션에 몰래 들어올 수 없음을 의미합니다.

다음으로, 팀은 해커가 유효한 메시지를 캡처하여 나중에 다시 보내 시스템을 속이는 '재전송 공격(replay attacks)' 문제를 다루었습니다. 이를 막기 위해 시스템은 '논스(nonce)'라고 불리는 고유 코드로 식별되는 최근에 본 모든 메시지를 기억합니다. 만약 시스템이 이미 본 적이 있는 코드를 가진 메시지가 도착하면, 중복으로 간주하여 거부합니다. 연구진은 이러한 고유 코드의 홍수를 처리하기 위해 매우 구체적인 방식을 설계했습니다. 이 코드들의 메모리는 물을 담을 수 있는 양이 정해진 양동이처럼 고정된 크기를 가집니다. 만약 해커가 시스템이 오래된 코드를 잊게 만들기 위해 수천 개의 새로운 고유 코드로 양동이를 채우려 한다면, 시스템은 아무것도 버리지 않습니다. 대신, 양동이가 가득 차면 기존의 것들이 자연스럽게 만료될 때까지 새로운 코드를 받는 것을 중단합니다. 이는 시스템이 집중 공격을 받는 동안에도 시스템 내의 유효한 메시지가 재전송으로부터 안전하게 보호되도록 보장하지만, 동시에 공격 기간 동안 합법적인 새로운 트래픽이 일시적으로 차단될 수 있음을 의미합니다.

연구의 핵심은 이러한 차량들이 어떻게 결정을 내리는가에 관한 것입니다. 시스템은 교통 규칙을 변경하거나 안전 경보를 확인하는 것과 같은 제안에 투표하기 위해 권한이 있는 검증인 그룹을 사용합니다. 연구진은 제안이 수락되려면 검증인들의 특정 과반수가 찬성 투표를 해야 한다는 규칙을 설정했습니다. 세 명의 검증인이 있는 테스트 설정에서, 결정이 통과되려면 두 표가 필요했습니다. 시스템은 모든 투표가 현재 목록에 있는 검증인으로부터 왔는지, 투표가 올바른 시간대에 대한 것인지, 그리고 투표가 두 번 던져지지 않았는지를 확인합니다. 투표가 진짜임을 보장하기 위해 각 투표는 해당 검증인만이 알고 있는 비밀 키로 서명됩니다. 만약 해커가 투표 내용을 변경하거나 다른 검증인인 척 가장하려고 하면, 서명이 일치하지 않아 시스템은 이를 거부합니다.

이 설계가 작동함을 증명하기 위해 연구진은 일련의 엄격한 테스트를 수행했습니다. 그들은 컴퓨터가 공격자 역할을 하여 시스템을 192가지 방식으로 파괴하려는 시나리오를 만들었습니다. 공격자는 제안의 해시를 변경하거나, 시간대를 바꾸거나, 가짜 신원을 사용하거나, 디지털 서명을 손상시키거나, 이미 투표한 검증인의 이름으로 메시지를 보내는 등의 시도를 했습니다. 이 192번의 모든 시도에서 시스템은 오류를 정확히 식별하고 투표를 거부했습니다. 연구진은 유효한 투표를 사용하여 시스템을 테스트했습니다. 두 명의 권한 있는 검증인이 올바른 투표를 던졌을 때, 시스템은 이를 수락하고 결정을 확정했습니다. 결정이 이미 내려진 후 세 번째 투표가 시도되었을 때, 시스템은 결과를 변경하는 것을 방지하기 위해 이를 정확히 거부했습니다. 별도의 테스트를 통해 메시지 코드의 메모리가 가득 찼을 때, 시스템이 기존 유효한 메시지의 증거를 삭제하지 않고 새로운 트래픽을 거부함으로써 재전송 방지 기능이 유지됨을 확인했습니다.

또한 연구는 이 시스템이 할 수 없는 일에 대해서도 명확히 밝혔습니다. 이 시스템은 권한이 있는 검증인 그룹이 함께 악의적으로 행동하는 것을 막기 위해 설계되지 않았습니다. 만약 승인된 검증인들 중 충분한 수가 나쁜 아이디어에 투표하기로 결정한다면, 시스템은 이를 수 లaccept할 것입니다. 왜냐하면 시스템은 권한 있는 구성원들의 과반수를 신뢰하기 때문입니다. 연구진은 이 시스템이 '비잔틴 결함 허용(Byzantine fault-tolerant)' 시스템, 즉 그룹 내의 일정 수의 배신자를 견뎌낼 수 있는 프로토콜이 아니라고 명시적으로 밝히고 있습니다. 대신, 이 시스템은 권한 있는 검증인 목록을 관리하는 사람들이 신뢰할 수 있고 그 목록 자체가 안전하다는 가정에 의존합니다. 만약 레지스트리가 침해되면 전체 네트워크의 보안도 침해됩니다.

결과적으로, 이 접근 방식은 통제되고 허가된 커넥티드 차량 네트워크를 위해 견고하고 테스트 가능한 보안 계층을 제공합니다. 이는 네트워크 가입, 신선도 증명, 투표의 과업을 성공적으로 분리하여, 한 영역의 실패가 전체적인 붕괴로 이어지지 않도록 합니다. 시스템은 그 경계를 투명하게 공개하도록 설계되었습니다. 즉, 외부인을 차단하고, 재전송된 메시지를 막으며, 중복 투표를 방지하지만, 누가 투표할 수 있는지 목록을 관리하기 위해서는 인간의 감독이 필요합니다. 시뮬레이션된 공격을 높은 볼륨으로 테스트하고 예상치 못한 실패가 0건임을 기록함으로써, 연구진은 그들의 설계가 구축된 목적에 부합하는 위협들에 대해 강력하다는 것을 입증했습니다. 이 연구는 복잡하고 검증되지 않은 이론에 의존하지 않고 신뢰와 조율을 관리할 수 있는 커넥티드 차량 네트워크를 위한 명확하고 재현 가능한 청사진을 제공하며, 더 안전하고 보안이 강화된 도로를 향한 실질적인 경로를 제시합니다.