AUTO-01: CAN 메시지 스푸핑 (제어 명령 위조)

💡 쉽게 말하면
CAN 스푸핑은 아파트 우편함에 남의 이름으로 편지를 넣는 공격입니다. CAN 버스는 보낸 사람을 확인하지 않아서, 내용만 그럴듯하면 ECU가 편지를 진짜로 믿습니다.

🎯 직접 해보기 — 공격을 실행해 보세요

아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.

# 위조 CAN 프레임으로 계기판 속도를 바꿔 본다 # [공격 실행] 버튼을 누르면 시작합니다.

📋 설정 비교 (왜 막혔나?)

✗ 취약한 설정

# 진단 포트 경유 CAN 버스 접근 attacker$ cansend can0 0x0D2#0100FF00 >> 계기판 속도 0km/h 표시 위조 → 실제 속도와 다른 표시 — 조작됨

✓ 안전한 설정

# SecOC(신선도+인증 MAC) 적용 gw$ verify fresh MAC per frame >> MAC 불일치 프레임 폐기 → 위조 프레임이 ECU에 도달하지 못함

🔧 조치 방법

제어 영향 CAN 메시지에 SecOC(인증 코드+카운터)를 적용합니다.
게이트웨이에서 도메인 간 전달 프레임의 인증·화이트리스트를 검사합니다.
이상 CAN 트래픽(미등록 ID·과도 프레임) 탐지와 차단을 적용합니다.

✅ 점검 체크리스트

제어 메시지에 인증(SecOC) 적용됨
게이트웨이 프레임 화이트리스트 존재
이상 CAN 트래픽 탐지 동작

점검기준: ISO/SAE 21434 · AUTOSAR SecOC

🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응

아키텍처 CAN 버스 · 중앙 게이트웨이접근 경로 물리 접근 (OBD-II)R155 위협 분류 통신 채널 (4.3.2)ISO 21434 제품개발 — 아키텍처

SDV·전동화 전환에서 달라지는 점

존 아키텍처에서도 액추에이터 말단은 여전히 CAN 입니다. 달라지는 것은 버스가 짧아지고 존 컨트롤러 뒤로 숨는다는 점인데, 이는 원격 침해가 존 컨트롤러를 거쳐 CAN 으로 내려오는 경로로 바뀐다는 뜻이지 위협이 사라진다는 뜻이 아닙니다. 오히려 OBD 포트에 물리적으로 붙어야 했던 공격이 원격에서 가능해집니다.

인증·심사에서 요구되는 증적
TARA 에서 이 위협을 식별한 기록과, SecOC 적용 범위(어떤 메시지에 적용하고 어떤 것은 왜 제외했는지)를 설명하는 아키텍처 문서.