AUTO-30
💥 CAN 버스오프 공격 (오류 카운터 조작)
자동차 보안 · 차내 네트워크 심화
위험도: 상💡 쉽게 말하면
버스오프 공격은 회의에서 특정 사람이 말할 때마다 기침을 해 말을 끊는 것과 같습니다. 계속 실패하면 그 사람은 스스로 발언을 포기하고, 회의는 겉보기엔 조용히 잘 굴러갑니다.
버스오프 공격은 회의에서 특정 사람이 말할 때마다 기침을 해 말을 끊는 것과 같습니다. 계속 실패하면 그 사람은 스스로 발언을 포기하고, 회의는 겉보기엔 조용히 잘 굴러갑니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 특정 ECU만 조용히 버스에서 떨어뜨려 본다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 대상 프레임 송신 타이밍에 비트 충돌 유발
attacker$ busoff --target 0x0C9 --sync
>> 대상 ECU 오류 카운터 증가 → 버스오프
→ 해당 ECU만 통신 중단, 나머지는 정상처럼 보임
✓ 안전한 설정
# 오류 카운터 감시 + 안전 상태 전환
ids$ watch TEC/REC slope ; isolate source
>> 비정상 오류 급증 감지 — 경보 발생
→ 안전 상태 전환 및 공격 경로 격리
🔧 조치 방법
- ECU 오류 카운터 추이를 감시해 비정상 급증을 경보합니다.
- 버스오프 발생 시 무한 자동 복구 대신 안전 상태 전환과 이벤트 기록을 수행합니다.
- 핵심 기능이 단일 CAN 세그먼트에만 의존하지 않도록 아키텍처를 검토합니다.
✅ 점검 체크리스트
- 오류 카운터 감시 존재
- 버스오프 시 안전 상태 정의
- 핵심 기능 경로 이중화 검토
점검기준: ISO 11898 오류 처리 · 가용성 위협
🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응
아키텍처 CAN 버스 (물리 계층)접근 경로 물리 접근R155 위협 분류 통신 채널 (4.3.2)ISO 21434 제품개발 — 아키텍처
SDV·전동화 전환에서 달라지는 점
CAN 의 오류 처리 규칙 자체를 악용하는 공격이라 상위 계층 보안으로는 막히지 않습니다. 대응은 버스 오프 발생을 이상 징후로 인식하고 안전 상태로 가는 것이며, 이는 보안이 아니라 기능안전(ISO 26262)과 함께 설계해야 하는 영역입니다.
인증·심사에서 요구되는 증적
버스 오프·오류 카운터 이상에 대한 감지·복구 설계와 기능안전 요구사항과의 연계 근거.
버스 오프·오류 카운터 이상에 대한 감지·복구 설계와 기능안전 요구사항과의 연계 근거.
🚗 이 위협을 직접 공격·방어해 보기
CAN 버스 공격 실습 →
모의 침투 콘솔에서 실제로 공격을 실행하고, 방어를 적용해 다시 확인합니다.