美 교통제어 시스템, 해킹에 무방비 노출

교통 제어 시스템으로 데이터 전달하는 센서 해킹 가능

[보안뉴스 김경애] 미국 주요 도시에 설치된 일부 교통제어 시스템이 해킹에 무방비로 노출돼 있다는 지적이 제기돼 관심이 모아지고 있다.

이와 관련 아르헨티나의 보안전문가 세자르 세루도는 “해커가 신호등을 직접 해킹하지 않고, 교통제어 시스템으로 데이터를 전달하는 거리에 내장된 센서를 해킹할 수 있다”고 설명했다.

이는 해커가 센서를 통해 교통신호를 직접 제어할 수는 없지만, 혼잡한 도로를 한적하다고 하거나 한적한 도로를 교통체증이 있다고 센서에 거짓신호를 전달해 제어 시스템을 속일 수 있다는 것이다.

보안이 취약한 컨트롤러는 ‘Sensys Networks VDS240 무선 차량 탐지 시스템’으로 뉴욕, 샌프란시스코, 로스엔젤레스, 워싱턴 DC 뿐만 아니라 다른 9개 국가(영국, 중국, 캐나다, 호주, 프랑스 등)를 포함해 미국 40개 도시에 설치돼 있다.

시스템은 마그네틱 센서로 구성돼 있으며 도로에 매설되어 있는 것으로 알려져 있다. 교통 흐름에 대한 정보는 근처 액세스 포인트와 리피터 장비로 무선으로 전달되며 교통정보기로 차례대로 전달된다.

센서는 벤더에서 자체 개발한 ‘Sensys NanoPower’ 프로토콜을 사용하며, 지그비(Zigbee)와 유사하게 작동한다는 것.

지그비는 근거리 통신을 지원하는 IEEE 802.15.4 표준 중 하나로 가정, 사무실 등의 무선 네트워킹 분야에서 10∼20m 내외의 근거리 통신과 유비쿼터스 컴퓨팅을 위한 기술이다.

이로 인해 시스템은 데이터 암호화, 인증과 같은 기본적인 보안 기능이 미흡해 데이터 변조 및 감청 등의 피해가 발생할 수 있다는 얘기다.

세루도는 지난해 Sensys Networks 장비에서 사용되는 채널 802.15.4 무선 트래픽에 대한 스니핑을 통해 모든 통신이 전혀 암호화되지 않은 평문으로 전송되며, 심지어 보안 메커니즘도 없다고 국토안보부의 ICS-CERT에 통보했다.

이로 인해 해커는 센서의 식별 정보(sensorid), 명령어 등과 같이 평문으로 전송되는 정보를 감청할 수 있으며, 임의 명령어와 데이터를 전송하거나 장비를 조정할 수 있다는 것이다.

이에 대해 Sensys Networks의 부사장인 브라이언 플러(Brian Fuller)는 “미국 잡지 ‘Wired’에서 국토안보부로부터 ‘시스템에 문제가 없었다’는 답변을 받았다며, 해당 문제에 대해 더 이상 거론할 것이 없다”고 말했다.

하지만 세루도는 시애틀, 뉴욕, 워싱던 DC에서 Sensys 센서에 대한 필드 테스트를 통해 암호화되지 않은 데이터를 쉽게 가로챌 수 있었다며, 누군가 Sensys NanoPower 프로토콜을 역분석하는 것은 어렵지 않을 것이라고 설명했다.

이와 같은 이유는 센서의 펌웨어에 디지털 서명이 되어 있지 않고, 인가된 장비에 대한 접근제한이 없기 때문에 해커는 센서의 설정을 수정하거나 펌웨어를 변경할 수 있다.

또한 세루도는 Sensys 시스템이 이러한 문제를 완화하는데 사용되는 보조 컨트롤러와 수동 조작을 가지고 있다는 것을 인정하지만 그럼에도 불구하고 공격자는 교통 체증과 또 다른 문제(차량 충돌, 구급차나 경찰차나소방차 등에 대한 차단 등)를 발생시킬 수 있다고 주장했다.

이러한 문제는 전송 데이터를 암호화하고 인가되지 않은 사용자가 펌웨어나 설정을 변경할 수 없도록 제한함으로써 쉽게 해결이 가능지만, 세루도는 회사가 묵묵부답으로 일관하고 있다고 설명했다.

이 부분에 대해 회사는 센서에 AES 암호화를 적용했다고 설명, 하지만 세루도는 해당 암호화가 신형 제품에만 적용되어 있고 수많은 구형 제품은 암호화된 펌웨어를 적용할 수 없으므로 암호화가 적용된다며 신형 제품으로 교체해야 한다고 주장했다.

국토안보부의 ICS-CERT는 세루도에게 이 문제에 더 이상 조사하지는 않을 것이라고 설명하고, 관련 제품에서 악용될 수 있는 취약점에 대한 세부 내용을 제공하면 다시 논의해 보겠다고 입장을 밝혔다.

Sensys Networks 회사도 인터넷을 통한 시스템 접근이 불가능하고, 액세스 포인트와 센서 이외 다른 방법으로는 신호등을 제어할 수 없으므로 보안상에 문제가 없다고 ICS-CERT에 설명했다.

이와 관련 좀더 자세한 사항은 KISA 인터넷침해대응센터 홈페이지(www.krcert.or.kr)를 참고하면 된다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)