AUTO-26
🧯 ISO-TP 재조립 버퍼 고갈·흐름제어 위조
자동차 보안 · 차내 네트워크 심화
위험도: 중💡 쉽게 말하면
재조립 버퍼 고갈은 택배 보관함마다 "큰 짐 갑니다"라고 예약만 걸어 두고 안 보내는 짓입니다. 보관함은 계속 비워지지 않고, 진짜 택배는 들어갈 자리가 없습니다.
재조립 버퍼 고갈은 택배 보관함마다 "큰 짐 갑니다"라고 예약만 걸어 두고 안 보내는 짓입니다. 보관함은 계속 비워지지 않고, 진짜 택배는 들어갈 자리가 없습니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 거대 길이만 선언한 첫 프레임을 반복해 메모리를 말려 본다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 거대 길이 선언 첫 프레임만 반복 전송
attacker$ isotp-ff len=4095 x200 (후속 프레임 없음)
>> 재조립 버퍼 200개 점유 — 메모리 고갈
→ 위조 흐름제어로 정상 세션 지연 유발
✓ 안전한 설정
# 동시 세션 상한 + 타임아웃 + 출처 검증
ecu$ isotp max_sessions=2, N_Cr timeout, fc-from-peer-only
>> 미완성 세션 타임아웃으로 회수
→ 세션 상대가 아닌 흐름제어 프레임 무시
🔧 조치 방법
- 재조립 세션 수와 버퍼 크기에 상한을 두고 미완성 세션 타임아웃을 강제합니다.
- 선언 길이와 실제 수신량을 검증하고 시퀀스 번호 이상 시 세션을 안전하게 종료합니다.
- 흐름제어 프레임은 현재 세션 상대에게서 온 것만 수용하고 전송 간격 값에 상한을 둡니다.
✅ 점검 체크리스트
- 동시 재조립 세션 상한 존재
- 미완성 세션 타임아웃 동작
- 흐름제어 프레임 출처 검증
점검기준: ISO 15765-2(ISO-TP) 구현 견고성
🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응
아키텍처 CAN (전송 계층)접근 경로 물리 접근R155 위협 분류 통신 채널 (4.3.2)ISO 21434 제품개발 — 구현
SDV·전동화 전환에서 달라지는 점
전송 계층의 자원 고갈은 암호로 막히지 않습니다. 인증을 하려면 먼저 메시지를 다 받아야 하는데, 그 재조립 과정에서 자원이 바닥나기 때문입니다. SecOC 를 붙였다고 이 항목이 해결되었다고 보는 것이 흔한 오해입니다.
인증·심사에서 요구되는 증적
재조립 버퍼의 상한·타임아웃 설계와, 자원 고갈 시험에서 안전 상태가 유지됨을 보인 결과.
재조립 버퍼의 상한·타임아웃 설계와, 자원 고갈 시험에서 안전 상태가 유지됨을 보인 결과.
🚗 이 위협을 직접 공격·방어해 보기
CAN 버스 공격 실습 →
모의 침투 콘솔에서 실제로 공격을 실행하고, 방어를 적용해 다시 확인합니다.