[논문 리뷰] Who Killed My Parked Car?

Kyong-Tak Cho, Yuseung Kim외 1명|arXiv (Cornell University)|2018. 01. 23.

Vehicular Ad Hoc Networks (VANETs)참고 문헌 10인용 수 7

한 줄 요약

이 논문은 표준화된 차량 내 웨이크업 기능을 악용하여 시동이 꺼진 상태의 주차된 차량을 정지시킬 수 있는 두 가지 새로운 사이버 공격—배터리 방전 및 봉쇄-신체 제어(Denial-of-Body-control, DoB)—를 규명한다. 악성 공격자는 웨이크업 메시지를 주입하여 ECU를 활성화하고, 이를 통해 배터리 방전 또는 복구 불가능한 버스오프 상태로 유도함으로써 차량을 기능 불능 상태로 만들 수 있다. 이는 물리적 접근 없이도 가능하다.

ABSTRACT

We find that the conventional belief of vehicle cyber attacks and their defenses---attacks are feasible and thus defenses are required only when the vehicle's ignition is turned on---does not hold. We verify this fact by discovering and applying two new practical and important attacks: battery-drain and Denial-of-Body-control (DoB). The former can drain the vehicle battery while the latter can prevent the owner from starting or even opening/entering his car, when either or both attacks are mounted with the ignition off. We first analyze how operation (e.g., normal, sleep, listen) modes of ECUs are defined in various in-vehicle network standards and how they are implemented in the real world. From this analysis, we discover that an adversary can exploit the wakeup function of in-vehicle networks---which was originally designed for enhanced user experience/convenience (e.g., remote diagnosis, remote temperature control)---as an attack vector. Ironically, a core battery-saving feature in in-vehicle networks makes it easier for an attacker to wake up ECUs and, therefore, mount and succeed in battery-drain and/or DoB attacks. Via extensive experimental evaluations on various real vehicles, we show that by mounting the battery-drain attack, the adversary can increase the average battery consumption by at least 12.57x, drain the car battery within a few hours or days, and therefore immobilize/cripple the vehicle. We also demonstrate the proposed DoB attack on a real vehicle, showing that the attacker can cut off communications between the vehicle and the driver's key fob by indefinitely shutting down an ECU, thus making the driver unable to start and/or even enter the car.

연구 동기 및 목표

• 시동이 켜져 있을 때에만 차량 사이버공격이 가능하다는 기존의 믿음에 도전하기 위해
• 사용자 편의를 위해 설계된 차량 내 네트워크 웨이크업 기능이 공격 벡터로 악용될 수 있는지 조사하기 위해
• 시동이 꺼지고 전원이 꺼진 상태에서도 차량 가용성을 손상시킬 수 있는 실질적 공격을 시연하기 위해
• 실제 차량에서의 배터리 방전 및 DoB 공격의 실현 가능성과 영향을 평가하기 위해
• 대응 조치를 제안하고, 표준 ECU 동작 방식과 복구 정책을 재고할 필요성을 강조하기 위해

제안 방법

• ISO 11898-1 등 차량 내 네트워크 표준과 실제 ECU 구현 사례를 분석하여 웨이크업 기능의 취약점을 규명하기 위해
• 역공학 및 패치 테스트(fuzzing)를 활용해 ECU 웨이크업 및 제어 기능을 유도하는 메시지 ID를 탐색하기 위해
• 배터리 방전 공격에 사용할 제어 메시지를 식별하는 데 필요한 작업량을 줄이기 위해 드라이버 컨텍스트 기반 기법을 개발하기 위해
• 시동이 꺼진 상태에서 웨이크업 메시지를 주입해 ECU를 활성화한 후, 배터리 방전 또는 버스오프 상태를 유도하는 제어 메시지를 전송하기 위해
• ISO 11898-1에 따라 일부 ECU가 버스오프 상태에서 복구되지 않음을 악용하여 영구적인 DoB 효과를 유도하기 위해
• 2017년형 실제 차량을 대상으로 공격를 평가하여 배터리 소모 증가량과 정지 성공률을 측정하기 위해

실험 결과

연구 질문

• RQ1 기존의 믿음과는 달리, 시동이 꺼진 상태에서도 차량 사이버공격이 성공적으로 수행될 수 있는가?
• RQ2 표준화된 웨이크업 기능이 얼마나 심각하게 차량 가용성에 영향을 줄 수 있는가?
• RQ3 배터리 방전 및 DoB 공격가 배터리 방전이나 핵심 ECU 비활성화에 얼마나 효과적인가?
• RQ4 ECU 설정, 특히 버스오프 복구 행동이 DoB 공격 성공에 어떤 역할을 하는가?
• RQ5 IDS와 같은 기존 보안 메커니즘은 배터리 소모를 증가시키지 않고 이러한 공격을 탐지할 수 있는가?

주요 결과

• 배터리 방전 공격로 평균 배터리 소모가 최소 12.57배 증가했으며, 수 시간 내지 수일 내에 배터리가 방전되었다.
• DoB 공격는 버스오프 상태 이후 라이브러리 제어 모듈(Remote Control Module, RCM)이 복구되지 않게 하여 키포드 통신을 차단하는 데 성공했다.
• 더 많은 스탠바이 기능을 갖춘 신형 차량은 더 취약했으며, 더 많은 ECU가 웨이크업되고 제어될 수 있었다.
• 에너지 효율성과 사용자 편의를 위해 의도된 웨이크업 기능이 공격의 주요 벡터로 악용되었다.
• DoB 공격의 성공 여부는 OEM 별로 다름을 보이며, 일반적으로 구현되지 않거나 복구 불가능한 버스오프 복구 정책에 크게 의존한다.
• 패턴 기반 IDS 웨이크업 및 주기적인 배터리 SoC 점검과 같은 대응 조치는 지속적인 작동 없이도 비정상 활동을 탐지할 수 있다.