AUTO-74: 서드파티 인앱 격리 실패 (공유 SoC)

💡 쉽게 말하면
SDV 는 계기판·내비·주행보조가 한 컴퓨터에 세들어 사는 구조입니다. 여기에 앱 스토어가 붙으면, 검증이 느슨한 세입자 한 명이 옆방 문을 두드릴 수 있게 됩니다.

🎯 직접 해보기 — 공격을 실행해 보세요

아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.

# 스토어 앱에서 차량 신호 서비스에 붙어 본다 # [공격 실행] 버튼을 누르면 시작합니다.

📋 설정 비교 (왜 막혔나?)

✗ 취약한 설정

# 스토어 앱이 시스템 IPC 에 접근 app$ bind vehicle-signal-service >> 권한 분리 미흡 — 차량 신호 구독 성공 → 주행 데이터 수집·일부 제어 요청 가능

✓ 안전한 설정

# 샌드박스 + 권한 모델 + 심사 os$ sandbox app; deny vehicle-api by default >> 차량 API 기본 차단 — 명시 승인만 → 앱 침해가 차량 도메인에 닿지 않음

🔧 조치 방법

서드파티 앱을 샌드박스에 격리하고 차량 API 접근을 기본 차단합니다.
권한을 기능 단위로 쪼개고 사용자 고지·승인 절차를 둡니다.
앱 심사 기준과 취소(원격 비활성화) 경로를 운영합니다.
안전 핵심 기능은 앱이 올라가는 파티션과 물리적으로 분리합니다.

✅ 점검 체크리스트

앱 샌드박스 격리 적용
차량 API 기본 차단·명시 승인
앱 심사·원격 취소 경로 존재

점검기준: SDV 애플리케이션 격리 · 최소권한 원칙

🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응

아키텍처 HPC — 공유 SoC접근 경로 원격 (앱 설치)R155 위협 분류 외부 연결·접속 (4.3.5)ISO 21434 제품개발 — 아키텍처

SDV·전동화 전환에서 달라지는 점

앱 생태계는 SDV 의 수익 모델이지만, 차량을 개방 플랫폼으로 만드는 일이기도 합니다. 심사를 통과한 앱도 기본은 차단이어야 하고, 문제가 발견되면 원격으로 회수할 수 있어야 합니다. 이 두 가지가 없으면 스토어를 여는 것은 위험을 외주화하는 것에 가깝습니다.

인증·심사에서 요구되는 증적
앱 샌드박스·권한 모델 설계, 심사 기준, 그리고 원격 비활성화 경로의 동작 확인 기록.