케이사인, OCA Plugfest서 EV 충전기 해킹 시연...국제 보안 표준 협력 논의

-  충전 진행 중에만 발현되는 취약점, 실제 충전기 원격 연결로 실시간 재현

▶ 케이사인, OCA Plugfest서 EV 충전기 해킹 시연(사진 제공-케이사인)

케이사인이 전기차 충전 국제표준을 관장하는 OCA 실무진과 만나 전기차 충전기 보안 기술을 시연하고 국제 표준 연계 방안을 논의했다.

케이사인은 2일 국내에서 열린 OCA Plugfest 행사에서 국가 연구개발 과제로 개발 중인 EV 충전 프로토콜 보안 퍼저를 공개했다. 이번 기술은 과기정통부와 IITP의 정보보호 핵심원천기술개발사업을 통해 진행된 성과물이다. 행사에는 OCA 실무 책임자들과 케이사인 보안연구소 연구진이 참석해 기술 의견을 나눴다.

케이사인은 충전기 제어 프로토콜인 OCPP 1.6의 DataTransfer 메시지를 활용해 소프트웨어의 스택 버퍼 오버플로 취약점과 원격 코드 실행 연결 과정을 시연했다. 같은 메시지를 대기 상태일 때 보내면 정상 거부되지만, 충전이 진행 중인 상태에서는 취약점이 발현되어 제어 흐름이 탈취되는 과정을 실시간으로 입증했다. 해당 구조는 2024년 국제 해킹대회 Pwn2Own Automotive에서 공개된 실제 취약점 사례를 재현한 것이다.

OCA 측은 이번 시연을 접한 뒤 보안 가이드의 요구사항 항목과 퍼저의 검증 항목을 매핑해 달라고 요청했다. 양측은 충전 업계 대상 보안 시험 전용 행사 공동 개최, 국내 시험인증기관 연계, Pwn2Own Automotive 참가 등을 후속 과제로 정리했다.

충전 인프라 보안은 아직 산업계 인식이 낮은 분야다. 네덜란드 시험기관 ElaadNL의 조사에 따르면 시험한 충전기 중 상당수에서 버퍼 관련 취약점이 발견된 바 있다. OCA 측은 적합성 인증을 받았다고 해서 충전기가 안전하다는 뜻은 아니며 별개의 보안 시험 체계가 필요하다고 강조했다.

김석휘 케이사인 선임은 "충전기가 전력망을 잇는 접점인 만큼 다수가 장악되면 대규모 정전 같은 물리적 피해로 이어질 수 있다"며 "이번 시연은 실제 취약점 구조를 재현해 검증한 결과이며 국제 표준화 논의에 국내 기술을 반영하는 계기가 될 것"이라고 말했다.

* 출처 : 데일리시큐(https://www.dailysecu.com)