위협 모델링을 이용한 자율 주행 환경 분석

Analysis of Self-driving Environment Using Threat Modeling

Abstract

현재 국내외 자동차 기업들은 꾸준한 기술 개발을 통해 자율 주행 자동차 산업을 선도하고자 경쟁하고 있다. 이러한 자율 주행 기술은 자동차와 주행 도로 환경과 같이 사물 간의 다양한 연결 의존성을 가지면서 발전하고 있다. 따라서 자동차를 포함한 전체 자율 주행 환경 내에서 사이버 보안 취약점이 발생하기 쉬워지고 있으며, 이에 대한 대비책의 중요성이 커지고 있다. 본 논문에서는 자율 주행 자동차에서 발생할 수 있는 위협을 모델링하고, 자율 주행 자동차의 안전한 보안을 위해 점검이 필요한 요소들을 체크리스트로써 제안한다.

Domestic and foreign automakers compete to lead the autonomous vehicle industry through continuously developing self-driving technologies. These self-driving technologies are evolving with dependencies on the connection between vehicles and other objects such as the environment of cars and roads. Therefore, cyber security vulnerabilities become more likely to occur in the self-driving environment, so it is necessary to prepare for them carefully. In this paper, we model the threats in autonomous vehicles and make the checklist to securely countermeasure them.

1. 서론

자동차의 수가 급격하게 증가함에 따라 교통사고는 심각한 사회적 문제로 대두되고 있다[1]. 4차 산업 혁명의 주요 기술 분야 중 하나인 자율 주행 자동차는 자동차 운전자의 주의결핍, 운전미숙, 인지능력 저하로 인하여 발생하는 교통 사고를 줄이고, 운전의 편의성을 향상시키는 것을 목적으로 한다[1]. 이러한 자율 주행 분야는 구글의 웨이모, 포드와 같은 기업들의 꾸준한 관심과 연구 개발을 통해 계속해서 성장하고 있다[2]. 삼정 KPMG의 보고서[2]에 따르면 글로벌 자율 주행 자동차 시장 규모는 2025년 약 1549억 달러로 전망된다. 또한 미국 교통부는 현재 ITS 배포 가속화, 자동화, ITS를 위한 사이버 보안, Data Access and Exchange, ITS 활성화 기술 연구 등 지능형 교통체계의 발전을 가속화하고 있다[3].

미래의 자율 주행 자동차는 사람의 감각을 따라가고 사람이 인지하지 못하는 순간에도 실시간 판단하기 위하여 더 많은 SW 시스템 의존도를 가지게 될 것이다[1]. 따라서, 자율 주행 자동차 상용화에서 발생할 수 있는 사이버 보안 문제는 한 부분에 그치지 않고, 여러 부분에서 동시다발적으로 발생할 수 있다. 이러한 사이버 보안 문제를 고려하여 자율 주행 자동차의 개발 단계에서 침해 사고 및 사이버 사고에 대한 보호 대책을 마련할 필요성이 있다. 그러나 기존의 자율 주행 자동차 사이버 보안 대응 방안에 대한 연구는 주로 특정 취약점을 해결하는 것을 목적으로 하였다[4,5]. 이러한 개별적인 문제 접근을 통한 대응 방안은 실무에서 적용하기 위하여 또 다른 시스템 구축이 필요하고, 자율 주행 자동차에서 발생할 수 있는 다양한 사이버 보안 문제에 대해서 통합적으로 대응하기에 한계가 있다.

본 논문은 위협 모델링을 통해 자율 주행 환경의 위협을 식별하고 이를 점검하기 위한 체크리스트를 제안한다. 2장과 3장에서는 자율 주행 차량 및 자율 주행 환경과 관련된 연구를 설명한다. 4장에서는 보안 모델링 기법을 활용하여 자율 주행 환경의 위협을 분석하여 체크리스트를 도출한다. 마지막으로 5장과 6장에서는 연구 결과에 관한 고찰 및 결론을 서술한다.

2. 논문 인용의 예

자율 주행 자동차는 운전자 또는 승객의 조작 없이 자동차 스스로 운행이 가능한 자동차를 의미한다[6]. 보편적으로 저수준의 주행 보조 기술이 탑재된 자동차보다는 고수준의 자율 주행 기술이 탑재된 자동차(완전 자율 주행 자동차)를 자율 주행 자동차로 분류한다. 자율 주행 기술 수준에 대한 수준의 지표는 미국 자동차기술학회(SAE)의 자율 주행 기술 6 단계 분류에 따르며, 이는 미국 교통부 산하 도로 교통 안전국(NHTSA)의 5단계 분류와 약간의 차이가 존재하나, 이 또한 자율 주행 기술을 논할 때 많이 사용되며 전세계에서 통칭하고 있는 표이다[7].

SAE Level 0 비자동 단계는 자동 시스템이 경고 알람을 하거나 일시적으로 개입할 수 있지만 지속적인 차량 제어는 부재한 상태다[8]. SAE Level 1 운전자 지원 단계는 운전자와 자동 시스템이 같이 차량 제어권을 공유하는 단계이며 설정된 속도 유지나 엔진과 브레이크를 제어해 속도 유지, 주차 보조 시스템과 같은 운전자 보조 시스템을 예로 들 수 있으며 운전자는 언제든지 차량 제어권을 통제할 수 있어야 하는 상태이다[8]. SAE Level 2 부분 자동화 단계는 자동 시스템이 차량의 가속 및 제동, 조향 시스템을 완전히 제어하는 단계이며 운전자는 주행 상태를 모니터링해야 하고 시스템이 대응하지 못하는 환경에서 언제든지 즉시 개입해야 한다[8]. 운전자는 차량 제어권의 즉시 개입을 확인하기 위하여 운전 내내 운전대를 쥐고 있어야 한다. SAE Level 3 조건부 자동화 단계는 차량 제어권의 대부분을 자동 시스템이 제어하는 단계이며 안전을 위한 운전자의 주의가 필요하지 않은 단계다[8]. 운전자는 차량 내에서 독서나 영화를 볼 수 있으며 자동 시스템이 비상 제동과 같은 즉각 대응을 요구할 시 운전자에게 개입 요청하게 되며 운전자는 이에 적절하게 반응해야 한다[8]. SAE Level 4 고도 자동화 단계는 자동 시스템이 운전자가 차량 제어 개입 요청에 적절히 응답하지 않더라도 주행을 유지할 수 있는 단계다[8]. 대부분 정상적 주행을 자동 시스템이 처리하며 제한된 환경이나 악천후 같은 특별 상황에서만 운전자에게 개입을 요구할 수 있다[8]. 대부분의 주행 상황에서 운전자가 개입하지 않으므로 핸들이 수납돼 있고 운전자는 차량에서 주행 이외의 생활을 할 수 있다[8]. SAE Level 5 완전 자동화 단계는 기존 운전자가 수행하는 모든 도로 및 환경 조건에서의 주행을 자동 시스템이 제어하는 단계다[8]. 완전한 자율 주행 자동차를 의미하고 운전자가 운전을 하지 않아 탑승자의 개념이며 차량 내 핸들이 필요하지 않다 각 [8]. 자율 주행 기술 수준을 구분하는 중요 기준은 주행 환경을 모니터링 하는 주체다. Level 0 단계부터 2 단계는 사람이 주행 환경을 모니터링하며 Level 3 단계부터 5 단계는 사람 대신 자율 주행 시스템이 주행 환경을 모니터링 하며 주행한다.

<표 1> 자율 주행 기술 수준 6단계 분류[7]

3. 연구의 필요성

Level 0부터 Level 3까지 운전자는 차량의 제어를 감독할 책임이 있으므로 사고 위험 상황을 스스로 조절할 수 있다[9]. 그러므로 Level 3까지 시스템의 안전성 평가는 주로 엑추에이터와 전기 기계 시스템에 초점을 두고, 최악의 위협 시나리오만을 고려한다[9]. 그러나 Level 4 이상은 시스템이 차량의 운행 주체이기 때문에 운전자가 주행 중에 발생할 수 있는 모든 위협을 통제한다고 보기 어렵다[9]. 따라서 안전한 주행 기능을 갖춘 시스템에 대해 더 철저하게 고려하고, 보다 많은 보안 위협 시나리오를 도출해야 한다.

자율 주행 차량의 발전과 함께 정보 통신 기술을 교통 인프라에 접목한 지능형 교통 시스템이 등장하였고, 이에 따라 차량의 연결성이 증가하면서 사이버 보안 위협이 증대되기 시작하였다. 자동차에 대한 사이버 공격은 심각한 인명 사고를 초래할 수 있으므로 자동차 사이버 보안 대책을 수립하는 것은 필수적이다.

이러한 자동차 사이버 보안의 중요성을 인식하면서, 최근 사이버 공격에 대응하기 위한 연구가 활발하게 진행되고 있다. 예를 들어, 차량 내부에서 발생하는 무선 센서 데이터에 비대칭 암호화를 적용하여 센서 보안을 향상시키는 연구가 이루어졌고[4], 공유된 비밀키를 포함한 요소를 저장한 메커니즘을 사용하여 CAN 네트워크에 대한 위장 및 재생 공격을 방지하기 위한 방법이 제시되었다[10].

또한 자율 주행 차량 외부의 구성 요소에 대한 공격 대응 방안 역시 중요하게 다루어지고 있다. 예를 들어, 차량과 연결된 인프라에서 발생하는 사이버 공격은 모빌리티 환경 전반의 보안 위협으로 확대될 수 있다. 충전 시스템을 공격 진입점으로 삼고 네트워크를 교란시킨다면 충전 시스템의 비정상적인 작동을 유발하는 것에 그치지 않고 사용자의 안전에도 영향을 미칠 수 있다[11]. 이러한 문제점을 해결하기 위하여 충전 인프라에 대한 위험도를 평가하고 효과적인 대응책을 개발하기 위한 연구가 진행되었다[12]. 통신 환경에 대한 공격의 경우, 외부 통신 채널을 이용하여 데이터 조작, 중간자 공격 공격 DoS 등이 수행될 경우 차량을 정상적으로 제어하지 못할 수 있다. 이러한 공격을 방지하기 위하여 은닉 마르코프 모델을 이용한 이상 탐지 시스템이 제안되었다[5].

이와 같이 기존 연구들은 교통 시스템의 구성 요소를 종합적으로 고려하기보다는 개별적으로 다루는 측면이 강했고, 식별한 하나의 취약점에 대한 대응방안을 제시하는 경우가 많았다. 그러므로 본고에서는 스마트 교통 시스템 내 구성 요소에 대한 취약점과 공격 유형을 식별한 후, 유형별 요구 사항을 분석하여 종합적인 보안 대책을 제시하고자 한다.

4. 자율 주행 환경에 대한 위협 모델링

자율 주행 환경은 여러 요소가 모여 다양하고 복잡하게 구성되어 있다. 본 장에서는 위협 모델링을 수행하여 전체적인 자율 주행 환경의 위협을 분석한다. 데이터 흐름 다이어그램을 통해 자율 주행 환경 구성 요소들 간의 데이터 흐름을 파악하고 STRIDE를 통해 위협을 식별한다. STRIDE는 Microsoft에서 제안한 위협 모델링 방법론으로 Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege의 6가지 속성으로 위협을 분류한다. 식별된 위협을 상세화에 대한 기존 연구 결과를 분석 정리한 Attack Library를 작성하고 자율 주행 환경의 모든 구성 요소를 점검하기 위한 체크리스트를 도출한다.

4.1 DFD(Data Flow Diagram) 작성

DFD는 위협 모델링의 첫 번째 단계로 분석 대상의 데이터 흐름을 추상적으로 나타내기 위하여 사용된다. 표 2는 DFD의 5가지 구성 요소를 나타낸 것으로 DFD는 분석 대상을 가장 포괄적인 형태로 작성하는 Level 0으로 시작하여 구체화 정도에 따라 레벨의 숫자가 증가한다.

<표 2> DFD 구성 요소

그림 1은 Level 1 DFD로서 Level 0 DFD를 분할하여 보다 상세하게 기술한 것으로, 9개의 External Entity와 11개의 Process, 5개의 Data Storage, 44개의 Data Flow로 구성되어 있다. Trust Boundary는 데이터의 흐름에 따라 Vehicle Boundary, Infra Boundary, Center Boundary, Grid Boundary 4 총 가지 영역으로 분류한다. Vehicle Boundary는 차량에 관한 부분으로서 차량 내 구성 요소인 OBU(On-Board-Unit)와 ECU(Engine-Control-Unit)가 해당되며 인증서나 차량 및 주행 정보가 담겨 있다. Infra Boundary는 시설에 관한 부분으로서 RSU(Road-Side-Unit)가 해당되며 센서를 통해 정보를 수집하고 인증서나 센서, 통합 정보를 전송한다. Center Boundary는 자율 주행 자동차와 관련된 센터 시설이 해당되며 교통 정보가 오고 가는 C-ITS 센터와 차량에 관한 빅데이터가 저장되는 Data Center로 로 구성된다. Grid Boundary는 차량 충전소가 해당되며 충전 알림 정보와 같은 충전에 관한 정보가 담겨 있다[13].

(그림 1) Level 1 DFD

표 3, 표 4는 DFD의 구조 및 용어, 데이터 흐름을 정의한 것이다. 표 4는 Boundary 간에 데이터가 이동하는 구간과 송수신되는 데이터 유형을 나타낸다.

<표 3> DFD 구조 및 용어 정의[14]

<표 4> DFD 데이터 흐름 정의

4.2 STRIDE 분석

STRIDE를 활용하면 분석하는 사람의 역량이 위협을 식별하는 데 미치는 영향을 최소화할 수 있고, 분석 대상의 전 범위를 빠뜨리지 않고 분석할 수 있다. 본고에서는 STRIDE-per-element를 통해 각 DFD 요소의 위협을 식별하였다. DFD의 구성 요소에 대응되는 STRIDE 항목은 일반적으로 표 5와 같다.

<표 5> DFD 구성 요소에 대응하는 STRIDE 항목

표 6은 Trust Boundary은 내부의 DFD 요소와 Trust Boundary 간의 Data Flow에 대해 STRIDE 분석을 수행한 결과로 총 73개의 위협이 식별되었다. 각각의 위협은 Threat T 의 머리글자를 딴 와 숫자의 조합으로 표기하였다.

<표 6> STRIDE 분석에 기반한 위협 시나리오 식별

4.3 Attack Library

표 7은 자율 주행 차량의 위협을 식별하기 위하여 기존 제안 방법을 정리한 표이다. Attack Library Conference, Journal, Project(OWASP, CWE), Standard, CVE로 크게 5가지 분야에서 수집하였다. Symposium의 경우 특정 문제에 대해 의견을 공유하는 공통점으로 Conference와 같이 분류한다. 표 7의 Type 항목에는 수집한 항목이 적용 가능한 부분을 Application, Hardware, Interface, Network, System으로 작성하였으며, 전 범위에 적용이 가능한 것은 All로 표기하였다. 이에 따라 논문을 비롯하여 총 20개의 연구 자료를 수집하였다. Attack Library의 분석을 통해 다음과 같은 사실을 확인할 수 있었다.

<표 7> Attack Library

1. 과거의 자율 주행 차량의 연구는 차량, 통신, 데이터와 같은 개별적인 위협에 집중하였다[16, 17, 19, 21, 23, 25, 31, 32, 33, 34, 35].

2. 그러나 최근 융합적인 자율 주행 사이버 공격으로의 공격 양상 변화로 인해 기밀성, 가용성, 무결성을 통합하는 연구가 시도되고 있다[18, 24, 26, 27, 28, 29].

3. 서비스 거부 공격에 대한 연구는 서비스 공격에 자체에 대한 분석에 그치고 있다[22].

4. 데이터 유출 및 변조에 대한 대응책 제시가 미비하다[30].

4.4 Attack Tree

Attack Tree는 시스템에서 발생 가능한 위협을 구조화한 것으로 식별된 위협과 공격 목표 간의 연관성을 파악하려는 목적으로 사용된다. 그림 2는 STRIDE를 통해 식별된 위협에 대한 공격을 정리한 Attack Tree이다. 공격의 최종 목표인 루트 노드를 Vehicle, Infra, Center, Grid로 두고 목표를 달성하기 위한 공격 기법을 루트 노드에 따라 분류하였다. 각각의 노드들은 도출된 위협과 연계되어 공격 목표를 달성하기 위한 여러 방법을 식별한 것이므로 일관성과 완전성을 보장할 수 있다.

(그림 2) 식별 위협 Attack Tree

4.5 Checklist

표 8은 DFD, STRIDE, Attack Library, Attack Tree를 바탕으로 작성한 체크리스트이다. 체크리스트는 앞단에서 도출된 위협에 대해 대응하기 위해서 보안적 측면에서 검토하여야 하는 부분을 나타낸다. Boundary는 그림 2인 Attack Tree에서 도출한 공격 목표인 Vehicle, Infra, Center, Grid와 통신으로 분류되는 Infra to Center, V2X(Vehicle-to-X)로 분류하였다. 각 Type은 System, Interface, Hardware, Network로 체크리스트 내 중분류 역할을 수행한다. 위협별 세부 점검 항목들의 최소 공통 사항을 surface로 나타내었다. Surface에 따라서, Attack Library를 기반으로 현존하는 취약점들과 실제 발생할 수 있는 공격에 대한 점검 항목을 도출하였다. 이를 통해 자율 주행 자동차와 Infra, Center, Grid, 전체 V2X 등의 주변 요소 모두를 체계적으로 점검할 수 있다. 뿐만 아니라 STRIDE 위협 모델링 과정을 통하여 도출된 위협 사항들과 체크리스트에 대응되는 위협 번호를 함께 기재하였기 때문에 사전 점검 요구 사항을 효과적으로 확인할 수 있다.

<표 8> DFD, STRIDE, Attack Library, Attack Tree 기반의 Checklist

5. 연구 결과에 관한 고찰

STRIDE에 기반한 위협 분석표 표 6과 Attack Library 표 7을 비교 분석한다. 이를 통해 자율 주행 보안의 기존 연구에서 놓치고 있는 시사점을 정리하고 앞으로 자율 주행 보안 연구의 방향성을 제시한다. 본 장에서 언급하는 T no는 표 6의 위협 식별 번호를 의미한다.

1) 바이러스 및 악성코드로 인한 위협에 대응할 수 있어야 한다. 악의적인 프로그램은 표 6의T12, T16, T21, T23, T29, T31과 같은 다양한 위협이 발생시킬 수 있다. 이러한 위협에 대응하기 위한 구체적이고 실용적인 방안을 대비해야 한다.

2) 데이터 노출 및 변조에 대한 다양한 유출 경로를 고려한 대응책을 개발하기 위한 연구가 필요하다. Attack Library에 조사된 데이터 위협에 관한 연구 대다수는 단일 소스의 데이터 유출에 대응하고 있었다. 하지만 자율 주행 자동차의 경우, 표6에서 보인 바 (데이터 노출 위협은 T2, T26, T32, T33, T34, T40, T67, T71, 데이터 변조 위협은 T39, T40로 각각 다양한 구성요소에서 발생하고 있음)와 같이 여러 가지 자율 주행 환경 구성 요소에 저장된 데이터의 노출 및 변조에 대한 연구가 이루어져야 한다.

3) 차량, 주행, 인증, 충전 정보의 가용성, 기밀성과 무결성을 침해하는 위협을 식별해야 한다. T24, T50, T54, T58, T62, T66, T69, T70과 같이 세션 하이재킹, 중간자 공격 등을 통한 자율 주행 정보를 탈취하고 변조하는 위협을 구체적으로 식별하고 대응하기 위한 방안을 개발해야 한다.

4) DoS 공격이 초래할 수 있는 피해 양상에 대한 예측 분석과 식별/대응을 위한 연구가 중요하다. 예를 들어 표6의 T47, T53, T60, T68, T72과 같이 자율 주행 통신 환경에서 버퍼 오버플로우 공격 진행으로 인한 DoS, DDoS 공격 피해와 같은 위협을 식별하고 대응할 수 있도록 해야 한다. 이와 더불어 자율 주행에서 활용되는 통신 채널을 이용한 서비스 거부 공격에 대한 연구 역시 필요성이 강조된다. 표6에서 해당 위협은 T19, T27, T41, T49, T61이며, 통신 채널 공격으로 DoS 공격, 블랙홀 공격이 가능하다.

5) 차량에 수신되는 악의적인 메시지(T57, T65)에 대응하거나 메시지 자체의 신뢰성(T25, T28)을 보장하기 위한 방안이 필요하다.

6) 자율 주행 구성 요소 중 충전소에서도 다양한 위협(T35, T37, T42)이 가능하므로 충전소의 관리적, 기술적, 물리적 보안성을 점검하는 연구가 필요하다.

이와 같이, 수집한 Attack Library를 통해 기존 자율 주행 보안에 관한 연구가 차량, 통신, 데이터와 같은 개별적인 위협에 대해 진행되었음을 확인하고, 보안 연구의 방향성을 제시했다. 보안 위협 시나리오를 식별하고 Attack와 Tree DFD 작성을 통해 자율 주행 환경의 보안이 개별적인 위협만이 아닌 차량, 센터, 인프라, 충전소, 통신환경과 유기적으로 연계되어 있다는 사실을 보였다. 특히 대부분의 기존 연구가 차량 단독의 위협에 집중되어 있었으나 VICG, V2X에 대한 위협을 식별하고 각각에 대한 대응이 필요함을 확인했다. 따라서 특정 구성 요소에 대한 집중화를 해소하고 종합적인 보안 대응책이 필요하다고 결론지을 수 있다.

6. 결론

자율 주행 자동차는 운전자 없이 스스로 운행이 가능한 자동차로 인프라, 센터, 전력 시스템 등과 연결되어 사용자에게 다양한 서비스를 제공하고 있다. 차량과 교통 인프라 간의 연결성이 증가함에 따라 자율 주행 환경의 구성 요소 중 하나라도 보안 위협에 노출된다면 자율 주행 환경 전반의 위협으로 확대될 수 있고 이는 심각한 인명 피해를 초래할 수 있다.

그러므로 본 논문에서는 위협 모델링을 수행하여 체계적으로 자율 주행 환경을 분석할 수 있는 체크리스트를 제시하였다. STRIDE를 통해 위협을 식별하였으며 Attack Library를 통해 식별된 위협을 상세화하였다. Attack Tree를 이용하여 구성 요소 별로 발생 가능한 공격을 도식화했으며 최종적으로 자율 주행 환경에 대해 보안 점검을 할 수 있는 체크리스트를 도출하였다. 체크리스트는 도출된 위협과 이에 대응되는 점검 항목을 모두 포함하고 있으므로 본 연구 결과는 총체적인 자율 주행 환경의 보안성을 분석하기 위한 하나의 방안으로 활용 가능할 것이다. 기후 위기로 인해 세계 각국은 탄소 중립을 목표로 삼고[36], 자율 주행차의 보급과 교통 시스템의 효율화를 통해 에너지 소비를 줄이고자 노력하고 있다. 그러므로 자율 주행차를 비롯하여 교통 시스템 내 구성 요소를 포괄하는 보안 대책을 마련하기 위한 추가 연구가 필요할 것으로 사료된다.