AUTO-11: OTA 업데이트 서명검증 부재

💡 쉽게 말하면
OTA 서명검증 부재는 택배로 온 프로그램을 보낸 사람도 확인하고 설치하는 것입니다. 조작된 업데이트 한 번이면 온 차량이 공격자의 소프트웨어로 바뀝니다.

🎯 직접 해보기 — 공격을 실행해 보세요

아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.

# 위조 OTA 패키지를 차량에 밀어 넣어 본다 # [공격 실행] 버튼을 누르면 시작합니다.

📋 설정 비교 (왜 막혔나?)

✗ 취약한 설정

# 위조 업데이트 패키지 전송 attacker$ push evil_firmware.bin via OTA >> 서명 검증 없음 — 설치 시작 → 악성 펌웨어 탑재 성공

✓ 안전한 설정

# 서명 검증 + 롤백 방지 ota$ verify sig(vendor) ; anti-rollback >> 서명 불일치 — 설치 거부 → 이전 버전 다운그레이드도 차단

🔧 조치 방법

OTA 패키지는 제조사 서명 검증 후에만 설치합니다(코드사이닝).
버전 카운터로 다운그레이드(롤백) 공격을 방지합니다.
설치 실패 시 이전 이미지로 복구(A/B)하는 구조를 갖춥니다.

✅ 점검 체크리스트

OTA 서명 검증 적용
롤백 방지 적용
실패 시 복구(A/B) 구조

점검기준: UN R156 · OTA 코드서명

🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응

아키텍처 OTA 파이프라인 · 백엔드접근 경로 원격 (인터넷) · 공급망R155 위협 분류 업데이트 절차 (4.3.3)ISO 21434 운영·유지보수

SDV·전동화 전환에서 달라지는 점

SDV 의 핵심 전제가 "차를 판 뒤에도 소프트웨어로 개선한다"는 것이라, OTA 는 선택이 아니라 제품 전략 그 자체가 되었습니다. 배포 빈도가 올라간 만큼 서명 검증 하나가 뚫렸을 때의 파급도 커집니다. UN R156 이 이 절차를 규제 요건으로 만든 이유입니다.

인증·심사에서 요구되는 증적
서명 검증·롤백 방지 설계, 배포 승인 절차, 실패 시 안전 상태 복귀를 보인 시험 결과.