케이사인, OCA에 ‘EV 충전기 해킹’ 시연...국내외 보안 시험 체계 협력 확대
- 과기정통부·IITP 국책과제 결과물…국내 OCA 플러그페스트 현장서 기술력 입증
- OCA, 차기 보안 운영 가이드 검증 매핑 요청…국내외 보안 시험 체계 협력 확대
정보보안 전문기업 케이사인(대표 구자동·최현철)이 전기차 충전 국제표준을 총괄하는 OCA(Open Charge Alliance) 실무진과 만나 국가 연구개발 과제로 개발 중인 전기차 충전 프로토콜 보안 퍼저(Fuzzer)를 성공적으로 시연했다고 2일 밝혔다.
해당 기술은 과학기술정보통신부와 정보통신기획평가원(IITP)의 ‘정보보호 핵심원천기술개발사업’의 일환으로 수행 중인 ‘전기자동차 충전기 보안위협 대응 기술 개발’ 과제를 통해 도출된 핵심 성과다.
이번 시연은 국내에서 열린 충전 상호운용성 시험행사 ‘OCA 플러그페스트(Plugfest)’ 기간 중 성사됐다. 현장에는 OCA 실무 책임자들과 케이사인 보안연구소 연구진이 참석해 글로벌 충전 프로토콜 보안 기술 동향과 검증 방안에 대해 심도 있는 의견을 교환했다.
시연 현장에서 케이사인은 충전기 제어 프로토콜인 OCPP 1.6의 ‘DataTransfer’ 메시지를 활용해 충전기 소프트웨어의 스택 버퍼 오버플로 취약점(CWE-121)을 파고들어 원격 코드 실행(RCE)으로 연결되는 과정을 공개했다. 특히 충전기가 대기 중일 때는 정상적으로 차단되던 메시지가 실제 차량 충전이 이뤄지는 특정 상태에서만 취약점이 발현되어 제어 흐름이 탈취되는 공격 구조를 정확히 짚어냈다. 시연 중에는 충전기 화면에 임의의 웹페이지를 강제 구동하는 방식을 통해 원격 제어 성공 여부를 시각적으로 입증했다. 이는 지난 2024년 글로벌 해킹대회 ‘폰투오운 오토모티브(Pwn2Own Automotive)’에서 발표된 실제 취약점 구조를 자체 환경에 재현해 탐지 역량을 확인한 것으로, OCA 측으로부터 완성도 높은 연구라는 호평을 받았다.
시연 직후 OCA는 현재 개정 작업을 진행 중인 ‘보안 운영 가이드(Security Operating Guide)’의 초안을 공유하며, 케이사인의 퍼저 기술로 검증 가능한 권고 요구사항 항목들을 매핑해 달라고 요청했다. 케이사인은 분석 결과를 정리해 OCA에 공식 전달할 예정이며, 양측은 향후 충전 업계 대상의 보안 시험 전용 행사 공동 개최, 국내 시험인증기관과의 협력 연계, Pwn2Own Automotive 공동 대응 등 후속 과제를 지속해서 논의하기로 합의했다. 특히 OCA 측은 한국이 충전 인프라 규모와 규제 집행력을 고루 갖춘 전략적 테스트베드 시장이라는 점에 주목했다.
네덜란드 스마트 충전 시험기관 ElaadNL의 조사에 따르면 40대 이상의 충전기 중 약 24%에서 버퍼 관련 취약점이 발견될 만큼 충전 인프라 보안은 시급한 현안으로 꼽힌다. 그러나 업계 일각에서는 여전히 OCPP 상호운용성 인증을 보안성 검증과 혼동하는 사례가 적지 않아 독자적인 보안 검증 프레임워크 구축이 절실한 실정이다.
김석휘 케이사인 연구개발팀 선임은 “전기차 충전기는 분산 전력망과 직결되는 국가 핵심 접점이기 때문에 다수의 기기가 해킹으로 동시 장악될 경우 단순 정보 유출을 넘어 대규모 정전(블랙아웃) 같은 물리적 재난으로 번질 수 있다”며 “이번 시연은 이론적 가설에 머물지 않고 실제 취약점 구조를 정확히 재현해 탐지력을 입증한 성과인 만큼, 국제 표준 보안 가이드라인에 국내 보안 기술이 적극 반영될 수 있도록 협력을 강화해 나가겠다”고 말했다.
Welaunch 강한나 기자
스타트업∙딥테크 뉴스 전문 미디어-위런치
Copyright ⓒ Welaunch. All rights reserved.
보도자료/기고 : editor@welaunch.kr
광고/제휴 문의 : we@welaunch.kr
