AUTO-48
🧹 불필요 서비스·기본 자격증명 잔존
자동차 보안 · 고성능 컴퓨트(HPC)
위험도: 상💡 쉽게 말하면
불필요 서비스 잔존은 안 쓰는 창문을 잠그지도 않고 열어 둔 것입니다. 게다가 창문 열쇠가 전 제품 공통이면 이야기는 더 간단해집니다.
불필요 서비스 잔존은 안 쓰는 창문을 잠그지도 않고 열어 둔 것입니다. 게다가 창문 열쇠가 전 제품 공통이면 이야기는 더 간단해집니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 텔레매틱스 유닛의 열린 포트와 기본 계정을 확인한다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 텔레매틱스 유닛 포트 스캔
attacker$ nmap -sV <tcu>
>> 텔넷·데모 웹·디버그 데몬 포트 열림
→ 공급업체 기본 계정으로 로그인 성공
✓ 안전한 설정
# 공격면 최소화 + 기기별 자격증명
tcu$ disable unused svc ; unique creds per device
>> 필요한 포트 외 전부 닫힘
→ 기본 자격증명 부재
🔧 조치 방법
- 기능에 필요 없는 서비스·데몬·샘플 앱을 양산 이미지에서 제거합니다.
- 기본·공용 자격증명을 금지하고 기기별 고유 자격증명을 프로비저닝합니다.
- 양산 전 포트·서비스 인벤토리 검사를 고정 항목으로 둡니다.
✅ 점검 체크리스트
- 불필요 서비스 제거
- 기기별 고유 자격증명
- 포트 인벤토리 검사
점검기준: 공격면 최소화 · 자격증명 관리
🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응
아키텍처 HPC · T-Box접근 경로 원격 (인터넷) · 근거리 무선R155 위협 분류 하드닝 미흡 (4.3.7)ISO 21434 생산
SDV·전동화 전환에서 달라지는 점
기본 자격증명과 불필요 서비스는 가장 단순하면서 가장 자주 발견되는 문제입니다. 차량이 상시 연결되면서, 예전에는 "차 안에서만 보이던" 서비스가 인터넷에서 스캔되는 대상이 되었습니다.
인증·심사에서 요구되는 증적
양산 이미지의 열린 포트·계정 목록과, 기본 자격증명이 존재하지 않음을 보인 점검 기록.
양산 이미지의 열린 포트·계정 목록과, 기본 자격증명이 존재하지 않음을 보인 점검 기록.
🚗 이 위협을 직접 공격·방어해 보기
무선·원격 공격 실습 →
모의 침투 콘솔에서 실제로 공격을 실행하고, 방어를 적용해 다시 확인합니다.