AUTO-58
🆔 텔레매틱스 API 차대번호 인가 우회·대량 열거
자동차 보안 · 백엔드·운영
위험도: 상💡 쉽게 말하면
차대번호 인가 우회는 택배 조회창에 남의 송장번호를 넣으면 그 집 주소가 그대로 나오는 것입니다. 번호를 아는 것과 그 물건의 주인인 것은 전혀 다른데도요.
차대번호 인가 우회는 택배 조회창에 남의 송장번호를 넣으면 그 집 주소가 그대로 나오는 것입니다. 번호를 아는 것과 그 물건의 주인인 것은 전혀 다른데도요.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 요청의 차량 식별자만 바꿔 남의 차 정보를 조회해 본다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 자신의 요청에서 차대번호만 교체
attacker$ GET /v1/vehicles/<타인 VIN>/status
>> 200 OK — 위치·주행 이력 반환
→ 속도 제한 없음, 열거로 대량 수집
✓ 안전한 설정
# 요청별 소유권 검증 + 속도 제한
api$ authorize(user, vin) every call ; rate limit
>> 403 — 소유 관계 없는 차량 거부
→ 열거 시도 탐지·차단
🔧 조치 방법
- 모든 요청에서 요청자와 대상 차량의 소유·권한 관계를 서버가 검증합니다.
- 차대번호를 인증 수단으로 쓰지 않고 추측 가능한 식별자 노출을 줄입니다.
- 속도 제한과 열거 탐지를 적용하고 원격 제어 명령에는 추가 인증을 요구합니다.
✅ 점검 체크리스트
- 요청별 소유권 검증
- 차대번호 단독 인증 부재
- 속도 제한·열거 탐지
점검기준: OWASP API Security(BOLA) · 커넥티드카 백엔드
🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응
아키텍처 백엔드 클라우드 (API)접근 경로 원격 (인터넷)R155 위협 분류 백엔드 서버 (4.3.1)ISO 21434 제품개발 — 구현
SDV·전동화 전환에서 달라지는 점
차대번호는 차 유리에 적혀 있는 값이라 비밀이 아닙니다. 그런데 이 값만으로 차량을 특정하는 API 가 인가 검사를 빠뜨리면, 번호를 바꿔가며 남의 차를 조회·제어할 수 있습니다. 소유 관계 검증을 서버가 매 요청마다 해야 하는 이유입니다.
인증·심사에서 요구되는 증적
요청마다 소유·권한을 검증한다는 설계와, 대량 열거에 대한 속도 제한·탐지 기록.
요청마다 소유·권한을 검증한다는 설계와, 대량 열거에 대한 속도 제한·탐지 기록.
🚗 이 위협을 직접 공격·방어해 보기
백엔드·OTA·개인정보 실습 →
모의 침투 콘솔에서 실제로 공격을 실행하고, 방어를 적용해 다시 확인합니다.