[🚗 구글 검색으로 자동차를 해킹한 이야기] 조금 충격적으로 본 글입니다. 보안에 대해서 다양한 생각을 갖게 하네요. 미네소타주의 Daniel Feldman은 2021년 차량용 인포테인먼트 시

[🚗 구글 검색으로 자동차를 해킹한 이야기] 조금 충격적으로 본 글입니다. 보안에 대해서 다양한 생각을 갖게 하네요. 미네소타주의 Daniel Feldman은 2021년 차량용 인포테인먼트 시스템을 수정하고 싶어했었습니다. 그래서, 다음과 같은 작업을 합니다. 1. 인포테인먼트 시스템은 암호로 보호된 ZIP을 펌웨어 업데이트를 진행하는걸 발견합니다. 이 암호를 알기 위해 시스템의 shell파일을 검색했고 압축 해제에 사용되는 쉘 스크립트를 찾습니다. 거기에 암호는 plain text로 적혀 있었습니다. 2. 이제 펌웨어 이미지를 만들고, 코드에서 하드웨어를 제어할 수있게 해야 합니다. Mobis 웹사이트에서 우연히 시스템 업데이트를 수행하는 데 Zip파일을 생성하는 Linux 설정 스크립트를 찾았습니다. 스크립트에는 AES 및 업데이트에 필요한 암호들이 적혀있었습니다. 3. 거의 다 왔지만, 데이터의 일부가 RSA 개인키를 사용하여 서명해야 했고, 이를 갖고 있진 않았습니다. 그래서, RSA 개인키를 찾아야 했고, public 키를 통해 이 키가 AES CBC를 사용했음을 알아냅니다. (AES CBC는 최근에 더이상 안전하지 않다고 알려진 암호키 중 하나입니다.) 4. 놀라운건, 내부에 공개 되어 있는 Public Key를 구글 검색했더니, github에 해당 Public Key를 사용한 예시와 Private Key가 나왔습니다. "RSA Encrytion & Decryption Example"에 나온 키로, 매우 흔히 사용되는 키로 보입니다. 5. 이를 이용해 펌웨어를 만들고, 펌웨어 업데이터를 속여 자신의 맞춤형 펌웨어를 만들고, 차의 인포테인먼트 시스템을 바꾸게 되었습니다. 최근에 보안 관련 이슈들이 많이 발생하고 있습니다. 특히 Github으로 아마존 키 유출이나 개인키 유출은 너무 자주 있어서 이제 놀랍지 않은 정도죠. 이 내용도 비슷합니다. 물론 Feldman의 순수한 마음에서 시작했고, 다양한 행운이 그를 따랐습니다. 그렇게 보안이 뚫렸고, 자세한 내용을 기입했지만 대응이 없는 후속 조치는 조금 아쉽습니다. 소프트웨어 개발자라면 사실상 완벽한 보안은 없지 않나 싶습니다. 누구든 어디든 얼마든지 해킹 될 수 있습니다. 그러기에 후속 조치가 더 중요하지 않나 싶습니다. (개인적으로는요!)