Category Archives: Security

제 3자 평가가 할 수 있는 것과 없는 것


다음의 논문을 읽다가 문득 든 생각이다.

Security Process Capability Model Based on ISO/IEC 15504 Conformant Enterprise SPICE

SPICE기반으로 보안 프로세스 역량 성숙모델을 개발한 논문이다.

다음과 같이 프로세스를 만들었다. 훌륭하다.

PRIM.RISK.1. Security Vulnerabilities

Purpose Outcomes
To identify, analyze and report information security vulnerabilities of an artifact to be protected 1) Information security vulnerability analysis strategy is developed and maintained;
2) Vulnerabilities are identified;
3) Vulnerabilities are analyzed;
4) Dependent vulnerabilities are derived;
5) Information security vulnerabilities are reported.
Base Practices
PRIM.RISK.1.BP.1: Develop and maintain information security vulnerability analysis strategy. [Outcome: 1]

PRIM.RISK.1.BP.2: Identify vulnerabilities. [Outcome: 2]

PRIM.RISK.1.BP.3: Analyze vulnerabilities. [Outcome: 3]

PRIM.RISK.1.BP.4: Derive vulnerabilities. [Outcome: 4]

PRIM.RISK.1.BP.5: Report information security vulnerabilities of an artifact. [Outcome: 5]

 

문제는 저렇게 한건 좋은데, 그래서 security를 달성했다는 것을 검증하는 입장에서는 어떻게 확인할 수 있을까? 저렇게 하라는 대로만 하면 되는건가?

 

사람은 누구나 옷을 입는다. 정상적이지 않은 일부의 사람들이 공원에서 홀랑 벗고 돌아다니다가 경찰에 붙잡히기도 하지만..

옷을 잘 입기 위한 프로세스를 만든다고 치자.. 목적은 멋쟁이가 되기 위한 것일 것이다. 그래도 그런 절차가 목적을 달성해주지는 못할 것이다. 그렇게 해도 패션 테러리스트들에게 있어서 달라지는 것은 없을 것이라 본다.

위의 논문에서도 만든건 좋고 훌륭하다. 그 자체에 대해 뭐라고 하고 싶은건 아니다. 다만 그 행위가 과연 충분히 달성되었는지를 어떻게 입증할 것인지에 대해서는 답을 줄 수가 없다.

제 3자 평가라고 하는 것이 그것이 safety가 되었건 security가 되었건 제 3자가 product에 대한 기본적인 지식이 별로 없는 사람들이 safety/security의 충분성을 평가하기가 쉬울까?

제 3자 평가자라고 하더라도 사람마다 평가 기준이 각기 다를 것이고, 그것을 specification하는 것은 굉장히 어려울 것이다. 그리고 그렇게 하는 순간, 그것을 비웃으면서 우회할 수 있는 수많은 방법들이 생겨나게 될 것이다.

여러모로 굉장히 어려운 일이다. 이런점에서 제3자가 security나 safety에 대해 평가한다는 것은 일정정도 한계를 가질 수 밖에 없고, 그들이 아무리 평가를 한다고 해도 완전하게 할 수는 없다.

하지만 관리적인 차원의 활동은 좀 얘기가 달라질 수 있다. management측면의 프로세스 활동에 대해서는 엄격한 기준과 잣대를 표준화시킬 수 있다.

 

패션 테러리스트들에게 패션 리더가 되기 위해서는 무엇이 필요할까? 프로세스가 필요하다고 생각하는가? 우스운 일일 것이다. 감각을 갖춘 best practice를 보면 될까? 조금은 나아질 것이다. 그렇다고 없던 감각이 생겨나진 않지 않을까? 여전히 어설프고 이상한 복장이 되지 않을까?

패션리더가 되었다는 것을 평가를 제 3자 평가자가 한다고 하면, 그런 sense에 대해 객관적이고 표준화시킬 수 있는 지표라는 것이 존재할 수 있을까? 제 3자 평가라는 것이 가능하기나 한건가? AI가 바둑도 정복하고 스타크래프트도 정복하려고 하는 마당에 언젠가는 정량화 시킬 수는 있을거라고 생각하는데, 현재로서의 ‘나’는 아직 답을 모르겠다.

safety나 security도 이와 유사하지 않을까 하는것이 개인적 생각이다. 최신 자료 계속 리서치하고, best practice를 계속 따라하는 수 밖에 없다. 그것이 패션 테러리스트들의 슬픈 숙명이다.

Advertisements

‘달리는 자동차 해킹’ 새롭고 다양한 IoT 보안이 필요한 이유


출처: CIO Korea

지난해 해커들이 원격으로 지프 체로키를 해킹해 제어한 사건이 있었다. 이 사건은 자동차 업계에 위험을 보내는 신호가 됐다.

이제 자동차도 무선 인터넷 보안의 위험 대상이 될 수 있다. 이미지 출처 : IDG

오늘날의 자동차는 내부에 수십 대의 컴퓨터와 수억 줄의 코드로 작성된 각종 소프트웨어를 내장하고 있다. 문제는 1,000줄당 약 15개의 버그가 존재해 해커 지망생들이 악용할 위험이 있다는 점이다.

내비건트 리서치(Navigant Research)는 자율주행 자동차가 점점 더 늘어나고, 인터넷, 다른 차량, 도로 인프라와 연결되면서 잠재적인 침투 지점 개수가 기하급수적으로 증가하고 있다고 보고했다.

2015년에 지프 체로키(Jeep Cherokee)가 해킹된 이후로 사이버 보안이 자동차 제조사의 최우선 순위가 되었다. 하지만 신규 차량을 개발하는 데에는 보통 3~5년이 걸리며, 수명이 20년인 대부분 차량은 최신 소비자 전자 기기와 비교할 때 크게 낙후된 시스템을 가지고 있다고 볼 수 있다.

이로 인해 연구원들은 엄청난 규모의 차량 백신 및 보안 하드웨어 시장이 생겨날 것으로 전망했다.

지난주 개최된 미국 최대 규모의 자동차 텔레매틱스 컨퍼런스인 TUAD(TU-Automotive Detroit)에서 전통적인 소프트웨어 기업과 신생벤처들이 새로운 차량 보안 제품을 발표했다. 대표적인 업체로는 시만텍, 사바리(Savari), 카람바 시큐리티(Karamba Security)가 있었다.

내비건트 리서치의 애널리스트 샘 아부엘사미드는 “요즘 나오는 모든 자동차는 자동화 기능이 어느 정도 있다”며 “도로 위의 모든 차량은 사이버 보안 기능을 기본으로 탑재해야 할 것이다”고 말했다.
다양한 사이버 보안 형태
최근 차량 사이버 보안 보고서를 공동 저술한 아부엘사미드는 이스라엘에서 ACS(Argus Cyber Security)와 타워섹(TowerSec) 등 여러 업체가 설립됐다고 밝혔다. 하지만 모든 업체가 차량 보안에 대해 같은 접근방식을 취하는 것은 아니다.

예를 들어, ACS는 차량의 다양한 ECU(Electronic Control Unit)나 컴퓨터를 연결하는 차량의 CAN(Controller Area Network)과 연결된 침입 감지 및 방지 모듈을 제공하는 업체다. 타워섹은 기존의 ECU에 내장된 소프트웨어를 제공하고 있다. 카람바의 소프트웨어는 차량의 기본 공정의 하나로 통합돼 있으며 ECU 제어 인포테인먼트, 텔레매틱스, OBD(On-Board Diagnostics) 간의 방화벽 구축을 목표로 하고 있다.

아부엘사미드에 따르면, 카람바의 소프트웨어를 제외한 나머지 기능은 바이러스 서명을 찾는 전통적인 백신 접근방식보다는 차량의 데이터 트래픽을 경험적으로 스캔하는 것이다.

경험적 패턴 소프트웨어는 완벽하지 않기 때문에 악성코드를 직접 차단하지 않으며, 차량의 컴퓨터 네트워크에서 이례적인 메시지나 존재해서는 안 되는 코드를 감시한다. 그러고 나서 그 확산이나 차량의 방향전환과 제동 등 중요 시스템 명령의 실행을 차단함으로써 감염을 완화한다.

“지속적인 업데이트에 의존하지 않기 때문에 전통적인 백신 서명을 찾는 것보다 더욱 탄탄한 접근방식이다. 감염되기 전에 악성코드와 유사한 활동을 발견하려 한다”고 아부엘사미드는 말했다.

자동차 백신 사업과 함께 시스템 보안은 상대적으로 초기 상태에 있으며 더 위험한 상태다. 왜냐하면 차량 엔지니어들은 일반적으로 대부분의 최신 하드웨어를 사용하지 않기 때문이다. 대신에 자동차 제조사들은 신뢰성과 내구성을 위해 1-2세대 전의 프로세서를 선택한다. 하지만 내비건트는 이러한 오래된 하드웨어는 최신 보안 시스템을 운용할 수 있기 때문에 하드웨어의 잠재적인 취약성을 노출시킬 수 있다고 밝혔다.
사이버 보안 소프트웨어의 필요성은 매우 중요하기 때문에 AAM(Alliance of Automobile Manufacturers)과 AGA(Association of Global Automakers)는 자체적으로 사이버 보안에 관한 데이터 공유를 가능하게 하는 ISAC(Information Sharing and Analysis Center)을 구축했다.

이런 정보 공유 그룹은 의료, 금융 서비스, 우주항공 등 대부분 주요 산업에 존재하지만 2014년까지만 해도 자동차 산업에서는 사이버 보안 네트워크가 필요 없었다.

가트너는 5년 이내에 새로 출시된 자동차 대부분이 인터넷에 연결될 것으로 예상했다. 또 조사기업 IHS 오토모티브(IHS Automotive)는 2035년까지 2,100만 대의 자율주행 자동차가 도로 위를 달릴 것으로 전망했다.

중요한 변화의 순간
IHS 오토모티브의 조사 책임자 에질 줄리우센은 지난해 2명의 보안 전문가가 지프 체로키를 원격으로 제어할 수 있었던 해킹이 발생하기 전에는 자동차 산업에서 직접적인 위협을 느끼지 못했다고 말했다.

세계에서 7번째로 큰 자동차 제조사 FCA(Fiat Chrysler Automobiles)는 해커들이 무선으로 지프 체로키에 침입해 전자적으로 필수 기능을 제어할 수 있는 소프트웨어 구멍을 낸 데 대해 이를 해결하고자 140만 대의 차량을 리콜 조치했다.

줄리우센은 “지난해 이 업체들은 모두 충격받았다”며 “그 일이 있고 난 뒤, 이 문제를 해결하기 위해 얼마의 비용이 발생하는지에 대한 데이터 포인트를 확보했으며, 140만 대의 차량에 대당 100달러의 비용이 발생했기 때문에 그 문제를 해결하려면 1억4,000만 달러가 필요했다. 그래서 이 문제에 대한 시각이 바뀌었다”고 전했다.

그는 “우선 그들은 기존의 시스템을 살펴본 후 2019년이나 2018년에 출시될 새 시스템을 계획하기 시작했다”고 덧붙였다.

인터넷 연결 차량은 공격 방안을 제공하면서도 OTA(Over The Air) 소프트웨어 업데이트를 통해 사이버 보안에 대한 잠재적인 솔루션을 제공한다. 하지만 극히 일부 자동차 제조사들만이 이런 업데이트를 제공할 뿐이다.

하지만 곧 바뀔 것이다.

ABI 리서치(ABI Research)는 보고서에서 2022년까지 도로 위의 차량 약 2억300만 대가 OTA 소프트웨어 업그레이드를 받을 수 있게 될 것이며, 이 차량 중 최소 2,200만 대는 펌웨어(Firmware) 업그레이드도 받을 수 있다고 언급했다.

내비건트에 따르면, 2025년까지 세계 전체의 승용차 중 약 절반이 사이버 보안 기능, 규제 준수성 문제를 해결하기 위해 OTA 소프트웨어 업데이트를 가능하게 하는 텔레매틱스 기능을 포함할 것이다.

휴대용 기기와 마찬가지로 소프트웨어를 업데이트할 수 있게 되면 새 위협을 실시간에 가깝게 해결할 수 있다.

위협
금융이나 의료업계와 달리 자동차 산업은 아직 해커들에게 큰돈을 벌게 해주지는 않을 것이다. 언젠가는 차량 인포테인먼트 시스템을 통해 운전자들이 재화와 서비스를 구매할 수 있겠지만 널리 확산된 기능은 아니며 곧 그렇게 되지도 않을 것이다.

해커들로 인한 더욱 큰 위협은 랜섬웨어와 테러리즘이라고 아부엘사미드와 줄리우센은 의견을 같이했다.

예를 들어, 해커는 차량의 인포테인먼트 시스템을 암호화하고 접속을 거부한 후 차량 소유자나 제조사로부터 돈을 뜯어낼 수 있다.

테러리스트들은 여러 차량이나 운행 시스템을 멈추게 할 잠재력을 손쉬운 목표로 여길 수도 있다.

줄리우센은 “아마도 이 운행 시스템 마비는 자동차 업계가 가장 두려워하는 부분일 것이다”고 말했다. 이어서 “여기에 엄청난 돈과 시간을 쏟아부을 것이다. 뉴욕 등에서 1만 대의 차량만 불능 상태로 만든다면 도시 전체가 엉망이 될 것이다”고 덧붙였다. ciokr@idg.co.kr

Read more: http://www.ciokorea.com/news/30058?page=0,1#csidx03d338606020b5c89bda71bff4e5df7
Copyright © LinkBack

Jeep Hacking 101


자동차의 멀티미디어 유닛을 해킹해서 내부 CAN에 full로 접근하고 내부적인 정보를 추출하거나 데이터를 가져오거나 할 수 있다? 와이파이 비밀번호 빼오고,

그런데, 그게 참 쉽게 해킹이 된다더라..

IoT시대에 자동차가 연결의 중심을 차지할 수도 있는 상황에서, 이렇게 보안에 취약하다면…

http://spectrum.ieee.org/cars-that-think/transportation/systems/jeep-hacking-101?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+IeeeSpectrum+%28IEEE+Spectrum%29