AUTO-25: XCP 계측 프로토콜 양산 잔존

💡 쉽게 말하면
XCP 잔존은 공사 끝난 건물에 인부용 자재 승강기를 그대로 두는 일입니다. 원래 임시 설비인데 잠금장치가 없어서, 누구든 타고 어느 층이든 갈 수 있습니다.

🎯 직접 해보기 — 공격을 실행해 보세요

아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.

# 양산 ECU에 남은 계측 프로토콜로 메모리를 읽어 본다 # [공격 실행] 버튼을 누르면 시작합니다.

📋 설정 비교 (왜 막혔나?)

✗ 취약한 설정

# XCP 슬레이브 탐색 후 접속 attacker$ xcp connect ; upload 0x08000000 len=256 >> ECU 플래시 영역 읽기 성공 → 다운로드 명령으로 런타임 변수 덮어쓰기 가능

✓ 안전한 설정

# 양산 빌드에서 계측 프로토콜 제거 build$ FEATURE_XCP=off ; verify no dispatch table >> 접속 무응답 — 서비스 자체가 없음 → 계측 경로는 개발 빌드에만 존재

🔧 조치 방법

양산 펌웨어에서 XCP·CCP·KWP2000 등 개발용 프로토콜을 빌드 단계에서 제외합니다.
불가피하게 남긴다면 인증서 기반 강한 인증과 접근 가능한 메모리 범위 제한을 겁니다.
양산 검사 항목에 계측 프로토콜 핸들러 부재 확인을 포함합니다.

✅ 점검 체크리스트

양산 이미지에 XCP 핸들러 부재
계측 프로토콜 인증·범위 제한
양산 검사 항목 포함

점검기준: ASAM XCP · 양산 공격면 축소

🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응

아키텍처 ECU (개발용 계측)접근 경로 물리 접근R155 위협 분류 하드닝 미흡 (4.3.7)ISO 21434 생산

SDV·전동화 전환에서 달라지는 점

개발 편의 기능이 양산에 남는 문제는 기능이 복잡해질수록 늘어납니다. XCP 는 ECU 메모리를 실시간으로 읽고 쓰는 합법적인 백도어라, 남아 있으면 보안접근 인증을 통째로 우회합니다. 양산 이미지와 개발 이미지의 분리가 형식적으로만 되어 있는지 확인해야 합니다.

인증·심사에서 요구되는 증적
양산 빌드에서 계측 프로토콜이 제거·비활성화되었음을 보인 빌드 구성과 표본 검증 기록.