자동차 창문에 붙이는 스티커는 억제 효과를 내기 위한 것이다. “이 차량은 경보 장치로 보호되고 있습니다”라는 문구는 도둑이 몇 블록 떨어진 곳의 더 쉬운 표적을 찾게 하려는 의도다. 그러니 UC 샌디에이고의 보안 연구자들이 특정 스티커 하나에 관해 방금 공개한 내용에는 씁쓸한 아이러니가 있다. 운전석 쪽 창문에 “KARR”라고 적힌 데칼은 미국 내 200만 대가 넘는 차량에 설치된 것으로 연구자들이 추정하는 인기 애프터마켓 경보 시스템을 표시한다.
연구 결과에 따르면, KARR가 장착된 차량의 블루투스 통신 범위 안에 있는 사람이라면 누구나 아무런 인증 정보 없이 차량에 명령을 보낼 수 있다. 조용히 문을 잠금 해제하고, 경보를 끄고, 경적을 울리고, 불빛을 깜빡이게 하거나, 심지어 시동을 막아 운전자를 발이 묶인 상태로 만들 수도 있다. 차량을 보호하기 위한 기능들이 이 연구에 따르면 주차장에 있는 낯선 사람이 차량에 할 수 있는 작업 목록이기도 한 셈이다.
실제로 이 결함이 의미하는 것
이 문제가 흔히 말하는 “내 비밀번호가 유출됐다”는 이야기와 어떻게 다른지에서 몇 가지 눈에 띄는 점이 있다.
- 훔칠 비밀번호가 없다. 약한 인증 정보나 재사용된 로그인 정보가 문제인 사례가 아니다. 연구자들은 경보 장치에 블루투스로 직접 명령을 보낼 수 있었다고 설명한다. 제대로 설계된 시스템이라면 우선 페어링과 인증이 필요해야 하는 종류의 작업이다.
- 필요한 것은 근처에 있는 것뿐이다. 블루투스의 통신 거리는 짧다. 현실적으로 수십 미터 수준이지 수 마일은 아니다. 하지만 이는 지구 반대편의 원격 해커가 아니라 “주차장, 진입로 또는 길가에서 차 근처에 서 있는 누구나”를 뜻한다. 대규모 원격 악용의 가능성은 낮아지지만, 즉흥적인 장난의 문턱은 낮아진다.
- “문 잠금 해제”를 넘어선다. 시동을 막을 수 있다는 점은 곱씹어 볼 가치가 있다. 인증되지 않은 낯선 사람이 차량에 시동이 걸리지 않도록 명령할 수 있는 경보 시스템은 보안 제품의 탈을 쓴 서비스 거부 장치다.
현재 우리 앞에 프로토콜 수준의 버그에 관한 전체 기술 보고서가 있는 것은 아니며, 연구자들의 공식 논문도 아직 공개적으로 게시되지 않은 것으로 보인다. 따라서 정확히 어떤 블루투스 페어링 단계가 생략되는지와 같은 세부 사항은 우리가 직접 확인할 수 없다. 이 글은 향후 전체 공개를 대신하는 것이 아니라, 자신의 노출 여부를 확인하고 해결책을 찾기 위한 안내서로 봐 달라.
이 문제가 내 차량에 해당하는지 확인하는 방법
KARR는 애프터마켓 제품이다. 즉 차량이 공장에서 출고된 뒤 설치된다. 보통 딜러의 추가 옵션 패키지, 자동차 정비소 또는 이전 소유자가 설치한다. 따라서 “영향받는 모델”의 단일 목록은 없다. 어떤 제조사의 차량인지와 관계없이, 어느 차량에 어떤 경보 장치 박스가 장착되었는지가 관건이다. 확인 방법은 몇 가지가 있다.
- 운전석 쪽 창문을 살펴본다. 연구자들은 눈에 잘 띄는 “KARR” 데칼이 시스템 설치 여부를 보여 주는 흔한 표시라고 말한다. 설치업체가 보통 경보 및 보안 스티커를 붙이는 운전석과 조수석 앞창의 아래쪽 모서리를 확인한다.
- 대시보드 아래를 확인한다. 중고차를 샀거나 물려받았고 경보 장치가 설치된 기억이 없다면, 스티어링 칼럼이나 대시보드 근처에서 깜빡이는 LED(표준 경보 장치의 “작동 중” 표시)와 딜러에게서 받지 않은 리모컨이 함께 있는지 확인한다. 애프터마켓 시스템이 설치되어 있다는 단서다.
- 서류를 확인하거나 판매자·설치업체에 문의한다. 어느 정비소에서 경보 장치를 설치했는지 알고 있거나 중고차 구매 시 함께 제공된 것이라면, 브랜드와 모델을 확인하는 가장 빠른 방법이다.
- 확실하지 않다면 스티커만 보고 추측하지 말고 정비사나 설치업체에 식별을 요청한다. 데칼은 이전에 설치했다가 제거한 시스템의 흔적일 수 있고, KARR가 장착된 모든 차량에 스티커가 남아 있는 것도 아니기 때문이다.
장착되어 있다면 해야 할 일
연구자들은 해결책을 마련하고 공개와 함께 패치 과정을 시연한 것으로 전해졌다. 이는 이 문제가 막다른 길에 이른, 패치할 수 없는 하드웨어 결함은 아니라는 고무적인 신호다. 다만 무엇이든 하기 전에 다음을 따른다.
- 먼저 제조업체나 최초 설치업체를 통해 진행한다. 시스템을 설치한 곳에 연락하거나 KARR의 제조업체·지원 채널에 직접 문의해, 이번 공개 내용과 자신의 장치에 펌웨어 업데이트가 제공되는지 구체적으로 물어본다. “내 경보 장치는 안전한가요?”라는 일반적인 질문에 의존하지 말고, 취약점의 이름을 언급해 이 문제를 아는 담당자에게 연결되도록 한다.
- 설치업체가 아닌 사람이 직접 차량 경보를 “고쳐 주겠다”고 제안하면 주의한다. 앱을 가진 선의의 낯선 사람도 포함된다. 의도가 좋더라도 모르는 사람이 차량 시스템에 연결해 “패치”하도록 하는 것은 바로 이 사건 전체가 피하려는 종류의 접근 권한을 부여하는 일이다. 시간이 더 걸리더라도 자격을 확인하고, 면허를 보유한 설치업체나 제조업체 같은 정식 경로를 이용한다.
- 패치를 받을 수 없다면 실제로 어느 정도 노출되어 있는지 파악한다. 현실 세계에서 이 결함이 악용될 가능성이 가장 높은 방식은 사소한 것이다. 누군가 불빛이나 경적을 건드리거나, 창문을 깨지 않고 문을 열 수 있는지 시험하는 정도다. 안전 측면에서 가장 중요한 것은 시동 차단 기능이다(교통 흐름에 진입하는 중 작동한다고 상상해 보라). 따라서 패치를 이용할 수 없다면 설치업체에 시동 차단 기능만이라도 일시적으로 비활성화하거나 재구성할 수 있는지 문의한다.
- 설치한 정비소가 더 이상 영업하지 않거나 제품군이 단종된 경우, 지원되지 않는 IoT 장치와 마찬가지로 취급한다. 계속 설치해 두었을 때의 보안상 이점이 위험보다 큰지 검토하고, 정비사에게 제거를 문의한다.
더 넓은 교훈: “블루투스가 있다”와 “안전하다”는 서로 다른 주장이다
이는 자동차 경보 장치를 넘어 유용한 사례 연구가 된다. 편리함을 내세우는 모든 애프터마켓 장치는 — 휴대전화로 작동시킬 수 있는 무선 경보 장치, 원격 시동 장치, 스마트 차고문 개폐기 등 — 정의상 공장 장비에는 없던 무선 인터페이스를 추가한다. 그 인터페이스의 신뢰성은 인증 수준에 달려 있으며, “보안 회사 제품이다”라는 사실은 인증이 제대로 구현되었다는 증거가 아니다. 무선 애드온 보안 제품을 설치하거나 계속 사용하기 전에 설치업체나 제조업체에 몇 가지 평범한 질문을 해 보는 것은 타당하다. 명령을 받기 전에 페어링·인증을 요구하는가? 공급업체가 펌웨어 업데이트를 받을 방법을 공개했는가? 누군가 독립적으로 테스트했는가? 아무도 답할 수 없다면 결함의 증거는 아니지만, 창문에 붙은 스티커가 실제로 무엇을 약속하는지에 대한 기대를 낮춰야 할 이유는 된다.
출처: KARR 블루투스 취약점에 관한 연구는 UC 샌디에이고 연구자들의 공개 내용을 인용한 Schneier on Security를 통해 처음 보도되었다.
