포커스 포커스 무인항공기 사이버 보안 사고사례와 보안 취약성 박태규* 김영준** 김소연*** 이승엽*** 이지환*** 드론은 항시 개방된 상태의 센서, 무선 네트워크 구성, 직렬적 안전성 구조라는 독특한 특 성 때문에 사이버 보안 공격에 취약하다. 일부 구성 요소만이라도 침해를 받게 되면, 전체의 안전과 보안이 위험에 처할 수 있다. 최근 GPS 스푸핑, 신호 재밍, 데이터와 영상 해킹, 기체 탈취, 바이러스 감염 등의 사이버 보안 사고들이 발생되고 있으나, 이에 대한 우리의 인식과 대비는 거의 전무하다. 본 고에서는 드론의 사이버 보안 사고사례를 살펴보고, 드론의 구성 요소에 따른 보안 취약성을 분석한다. Ⅰ. 서 론 Ⅱ. 무인항공기 보안 사고사례 Ⅲ. 무인항공기 보안 취약성 분석 Ⅳ. 결 론 목 차 * 한서대학교 항공소프트웨어공학과/교수 ** (주)위메이크드론(WEMAKEDRONE)/사원 *** 한서대학교 항공정보보호연구실/연구생 I. 서 론 무인항공기란 사람이 타지 않는 항공기 (Unmanned Aerial Vehicle, UAV)를 의미 한다. 즉, 조종사가 탑승하지 않으며, 자동 으로 비행이 가능하고, 원격으로 비행이 조 정되는 기기를 의미하며, 별칭 드론(drone) 이라고 한다. 미국은 적진 깊숙이 침투해 공격하는 항공기 가운데 25%(2013 년 9 월 현재)를 무인화하였으며, 2035 년까지 70% 로 높인다는 계획이다[2]. 그에 따라 현재 유인 전투기 대신 전쟁을 치르는 로봇 전 투기가 등장하고 있다. 최근에는 F-35 JSF 가 사실상 마지막 유인기 라고 말할 정도 로 무인기의 영역이 급속히 확대되고 있다 [17]. 2013 년 7 월 현재 약 1 만 1,000 여 정보통신기술진흥센터 1
주간기술동향 2015. 10. 7. 대의 무인기를 운용하고 있는 미 국방부는 향후에도 더 많은 수와 소형이면서도 고성능을 갖는 군용무인기를 개발하여 사용할 것으로 전망하고 있다. 그 이유는 유인기에 비해 무인 기가 3D(dull, dirty, dangerous) 임무에 더 적합하기 때문이다. 세계적으로 군사 목적의 감시, 정찰, 공격 등의 임무 외에도 민간 분야의 교통, 촬영, 농업, 재난구조, 배송, 통신, 환경, 각종 이벤트, 개인 취미용 등 여러 분야에서 점점 그 활용 분야를 넓히고 있다. 무인 기 시장은 현재 군 시장이 90% 정도 차지하고, 당분간은 전통적인 군용을 중심으로 성장 할 것으로 예상되며, 현재로서는 높은 성장 잠재력을 가진 분야임은 확실하다[4]. 그러나, 드론이 순기능만 지니고 있는 것은 아니다. 가장 큰 문제점으로 안전과 사생활 침해를 주로 꼽지만, 사이버 보안 문제는 인식과 대책 마련의 노력이 거의 전무하다. 최근 군용 드론에서 발생되는 악의적 해킹 사례, 민항기에서 발생되었거나 발생될 수 있는 잠 재적 보안 위협이 거론되면서 항공기의 사이버 보안은 중대한 역기능적 도전 과제로 급부 상하고 있다. 특히, 군사용 드론은 민감한 정보들을 포함하고 있는 경우가 많아 극도로 관 심의 대상물로 만들기 때문에 물리적 또는 사이버 공격에 취약하다. II. 무인항공기 보안 사고사례 1. 이란의 미국 RQ-170 무인정찰기 포획 최근 가장 주목을 끄는 사이버 보안사고이다. 2011 년 12 월 4 일 미국 로키드마틴에서 이스라엘과 공동으로 제작한 스텔스 RQ-170 Sentinel 무인정찰기가 이란군에 의해 포획 되었다. 이란은 이 극비의 무인기를 바로 12 월 4 일 일요일에 전시ㆍ공개하였다. 미국 정 부는 이 사실을 처음에는 부인하였으나 이틀 뒤에는 인정하였다. 이란군은 8 일 아프가니 스탄에서 255km 떨어진 이란의 카시미르 상공에서 포획했다는 주장과 함께 공개한 2 분 분량의 영상에 군 관리들이 무인기를 조사하는 장면도 공개하였다. 드론은 거의 온전한 모습을 하고, 사건 직후 당연히 미국은 원격 명령으로 데이터의 비밀성을 위해서 무인기 데이터를 파괴하도록 시도한 것으로 보인다. 또한, 특수작전팀을 이란에 보내 무인기를 회 수하거나, 공습으로 이 드론을 파괴하는 방안 등을 오바마 대통령에 건의했지만, 전쟁 행 위로 간주될 위험이 있어 채택하지 않았다[18]. 이 사건으로 이란은 미국의 첨단 군사기 술이 집약된 드론을 거의 온전한 형태로 손에 넣은 이후 정밀 분석하는 역기술을 개발한 2 www.iitp.kr
포커스 것으로 보이며, 중국에서는 이와 유사한 무인정찰기가 비밀리에 시험 활주 중인 중국판 RQ-170 이 발각된 바 있다. 사고 직후 12월 12일 이란은 이 정찰 기를 분해해 모방할 것이라 밝히며, 머지 않아 대량 생산할 수 있고, 미국보다 우수 한 정찰기를 만들 것이라고 정찰기의 암 호를 푸는 마지막 단계에 와 있다고 주장 (그림 1) 미국 RQ-170 의복제본을 전시한 모습 하기도 했다. 그리고 2014 년 5 월 이란은 이 드론을 복제한 영상을 보도하였으며, 같은 해 11 월에는 원래의 무인정찰기에 무장을 추가한 이란판 RQ-170 의 성공적인 시험 비행을 끝냈다고 보도했다. (그림 1)은 포획한 드론을 이슬람교 모스크(사원) 앞에 전시한 사진이다[19]. 한편, RQ-170 은 미국 네바다 주 공군기지에서 항공정찰부대가 운용하고 있다. 대당 가격은 600 만 달러정도이며, 날개 길이 20~27m, 높이 1.3~1.8m 로 적의 레이더에 잡히지 않도록 특수 코팅된 최첨단 정 찰기이다. 2009 년부터 아프간에 배치되어 당시 무인기는 이란의 핵 프로그램 관련하여 중앙정보국(CIA)과 군에서 극비의 합동 정찰임무를 수행중이었다고 한다. 또한, 뉴욕타임 즈에 따르면 2005~2007 년까지 빈 라덴의 은거지를 감시하는 데 쓰였으며, 북한의 핵관 련 정찰임무도 수행한 것으로 알려졌다[14]. 그러나 이 무인기가 어떻게 이란군의 수중에 들어갈 수 있었는지에 대한 당시 상황은 논쟁거리이며, 두 가지 이론이 존재한다[9],[21]. 첫 번째는 무인기의 항법시스템에 영향을 주는 GPS 시스템이 공격을 당했다는 가정이다. 이는 GPS 스푸핑(Spoofing) 공격[1]으로 GPS-위성의 원래 신호가 무인기 근처에서 공 격자에 의해 발생되는 강한 신호의 위조된 GPS 신호로 대체되어 무인기 GPS 수신기에 입력되도록 하는 공격이다. 위조된 신호는 결국 무인기로 하여금 현재 위치한 곳을 잘못 된 지점으로 추정하도록 한다. 이 이론의 지지자들은 이란군이 드론의 위성통신을 전파 교란(jamming)[11]을 통해 GPS 신호를 위조하여 이란 공군기지로 안전하게 착륙하도록 했다고 생각하고 있으며, 이란도 이와 동일한 주장을 하고 있다. 두 번째는 기술적 오작동 (mal-function)으로 이란군에 의해서 원격으로 조종되어 이란 지역에 착륙시켰다고 설명 한다. 운용기관인 CIA 는 이를 반박하고 있다. 만약 오작동을 일으켰다면, 이 무인기는 추 정보통신기술진흥센터 3
주간기술동향 2015. 10. 7. 락하였을 것이고, 파괴되었을 것이라는 주장이다. 아무튼, 이 두 이론 모두 사이버 보안의 문제이다. 스푸핑 이론은 위험 측면에서 기존의 센서나 입력 채널과 같은 장비의 취약성 과 개선의 필요성을 시사한다. 이 무인기와 같은 자율조종시스템은 올바로 작동하기 위해 서 센서시스템에 의존할 수 밖에 없다. 더욱이 센서시스템은 중지 없이 개방된 상태의 입 력 채널이기 때문에 사이버 공격에 취약하다. 그리고 기술적 오작동 이론은 이 드론이 소 위 자폭하기(self-destruction)가 불가능했을 것이라고 주장한다. 이로 인해 미국과 이스 라엘 정보기관은 큰 충격을 받았으며, 무인기 명령제어(C2) 등의 사이버 보안 대책에 관 심을 갖기 시작하였다[19]. 우연히도 이 포획 사건이 발생하기 한 달 전에 한 논문[1]이 쮸리히 대학과 미국 학자들에 의해 발표되었다. 연구자들은 현재의 표준 GPS 수신기에 효과적인 수신기 기반의 대응책이 구현되어 있지 않음을 지적한 것이다. 2. 미국 무인기의 컴퓨터 바이러스 감염 미군 드론인 Predator 와 Reaper 가 2011 년 10 월 정체불명의 컴퓨터 바이러스에 감 염된 것으로 알려졌다[27],[11]. 문제의 바이러스는 무인기를 원격 조정하는 조종사의 키 보드 입력 기록을 그대로 저장하는 Keylogger 의 일종으로 알려졌다. 미군 소식통은 바 이러스를 지속적으로 제거했지만 계속 생겼고, 시스템에 해를 끼치지는 않는 것 같으나 정체가 뭔지를 모르겠다고 전했다. 당시, 이 드론은 예멘 내의 알카에다 요인 제거에 투입 되는 등 전장의 최전선과 위험지역에서 중요한 역할을 수행하고 있었다. 미군은 이와 관 련하여 평범한 컴퓨터 바이러스가 우발적으로 무인기 시스템에 흘러든 것 같다며, 이 감 염으로 인한 사고 등 피해 사례는 없다고 해명했다. 이 드론들은 여전히 작전에 투입되고 있지만, 일각에서는 바이러스가 기록한 키보드 입력 정보가 제 3 자에게 유출될 가능성을 배제할 수 없으며, 적의 사이버 전에 의한 것으로 추측하고 있다. 3. 이라크의 미국 무인기 영상 다운로드 해킹 미국 Predator 드론의 비디오 영상이 이라크에 의해서 가로채졌던 사실을 2008 년에 이라크 시아파의 노트북 컴퓨터를 통해 알게 되었다[11],[13]. 이라크의 Shiite 라는 무 장단체들이 이 드론으로부터 암호화되지 않은 실시간 비디오 영상을 다운받았음이 밝혀진 것이다. 이 드론은 아프카니스탄 전쟁에서 사용되는 핵심 무기로서 수 시간 동안 체공할 4 www.iitp.kr
포커스 수 있고, 수천마일의 원격지에서 조종할 수 있다. 한 매체는 적어도 2012 년까지 미군 무 인기의 영상 정보가 암호화되지 않았기 때문에 이러한 방법으로 미군 무인기 영상을 가로 채 다운로드 한 것으로 분석했다. 이 비디오 영상은 드론에 대해 SW에 의한 사이버 공격 을 통해 획득되었으며, 이 때 사용된 러시아의 SkyGrabber SW[24]는 26 달러로 쉽게 구입할 수 있고, 위성 네트워크를 통해 음악과 비디오 영상을 다운로드 받을 수 있는 상용 제품이다. 전문가들은 무인기의 통신 링크를 통해 전송되는 전 방향 영상 정보는 도청이 용이하며, 침해를 받을 수 있다고 말한다. 4. 전파 재밍에 의한 한국 해군 무인기 추락 오스트리아 Schiebel 사에서 제작한 한국 해군의 정찰 및 통신 중계용 S-100 회전익 무인기가 추락하여 외국인 원격조종사 1 명이 사망하고 한국인 2 명이 부상당하는 사고가 발생하였다. 2012 년 5 월 10 일 인천 송도에서 시험 비행하던 중 북한으로 추정되는 GPS 재밍에 의해 무인기의 GPS 가 수신 불능으로 추락한 것이다. [7]에 따르면, 북한군으로부 터 16 일 간의 재밍으로 1,000 대 이상의 항공기와 250 여척의 배가 GPS 방해를 경험했 다고 한다. 이로써 해당 기종의 항법장치가 상용 GPS 로 기만 교란 등의 전자전에 사실상 무방비 상태인 것으로 분석되었다. 관성항법장치(INS)인 대체시스템이 장착되어 있기는 했지만 INS 는 GPS 재밍이 길어지면, 무기 운용 성능이 저하되고 최악의 경우에는 기능 이 정지될 위험이 있어 정확도가 떨어지는 것으로 알려져 있다. 이를 조사한 한국감사원 은 이미 무기체계 항법장치에 대해 상용 GPS 인 무기체계 50 여종을 군용 GPS 로 교체할 것을 권고한 바 있고, 이에 합참은 공군 전투기 등 주요 무기에 대해 군용 GPS 교체를 완 료하였거나 계획하고 있는 것으로 알려졌다[3]. S-100 은 2003 년 개발을 시작하여 2004 년에 초도비행을 수행한 이후 UAE 공군과 공동 개발에 착수하여 80 여대를 생산하였고, 스페인, 파키스탄, 프랑스, 이탈리아 해군에 서 함상 시험비행 수행, 독일 해군 및 육군으로부터 주문을 받았으며, 2007 년에 EASA 로 부터 비행 허가를 받은 최초의 무인헬기이다. 이 기종은 이륙 중량 200kg 으로 50kg 의 임무장비 탑재가 가능하며, 180km 운용반경과 6 시간 동안 운용이 가능하여 가장 성공적 인 수직이착륙 드론으로 3 개 국가에 100 대 이상 판매되었다[7],[10]. 정보통신기술진흥센터 5
주간기술동향 2015. 10. 7. 5. 이란의 미국 스캔이글 무인기 생포 2012 년 12 월 이란은 미국 보잉사에서 제작한 ScanEagle 정찰 무인기를 포획했다고 밝혔으나, 어떻게 사로잡았는지는 밝히지 않았다. 미국이 이를 부인하자, 이란 이슬람혁명 근위대는 자신의 무인기를 다시 한 번 세어 볼 것을 미국에 권고했다. 또한, 생포된 무인 기가 몇 시간 동안 이란 영공에서 정보수집 활동을 벌였다고 주장했다. 이란의 발표에 따 르면, 페르시아만의 자국령해 상공에 들어온 이 미국 무인기를 생포했으며, 이란 전문가들 이 첩보 활동을 벌이던 스캔이글무인기의 원거리 조종체계에 대한 통제를 장악하는데 성 공했다고 한다. 미국 무인기가 이란 영공을 침범한 사건은 같은 해 11 월에도 있었으며, 당시 미국 무인기 MQ-1 Predator 가 하르크시 상공에서 첩보 활동을 벌이다가 2 대의 이 란 비행기로부터 공격을 받았다고 한다. 한편, 미국 측은 무인기가 국제 영공에 있었다고 주장했다. 2012 년 12 월 17 일 이슬람혁명근위대는 ScanEagle 의 대량 복제를 시작했다 고도 밝혔다[5],[6]. 이란은 당시 몇 년 사이에 보잉사의 ScanEagle 을 포함하여 다수의 미군 무인기를 확보하고 있으며, 역설계를 진행하고 이란 모델의 시험이 계획되어 있다고 밝힌바 있다. Ill. 무인항공기 보안 취약성 분석 1. UAS의 구성 요소와 특이점 무인항공시스템(Unmanned Aerial System: UAS)은 여러 요소들이 함께 연결된 구조 로서 노출이 심한 기술적인 시스템이다. 최 근의 UAS 는 ICT 의 발전으로 크게 비행 체 플랫폼(UAV), 통신 링크, 지상 제어 스 테이션(GCS)을 구성 요소로 무선통신 네트 워크를 형성한다. UAS 는 (그림 2)와 같이 여러 구성 요소들 간에 정보의 흐름이 있고, 센서, 조종, 항공전자와 통신시스템을 제어 하며, 이런 요소들이 상호 결합되어 무인기 를 운영하는 시스템이 된다. 통상 군용 드 UAV Base System Communication Links Sensors Avionics Ground Control Station Operators Communication Links (그림 2) 기본 UAS 의 구성요소와 정보흐름 6 www.iitp.kr
포커스 론이 이와 같은 기반 네트워크를 채택하 고 있으며, 기본 시스템에 특수한 센서나 무기체계 등이 추가로 확장될 수 있다 [9]. 공격자에게 유리하게도 무인기는 외 부 입력에 대해 매우 의존적이며, 통상 여러 입력 채널을 제공한다. 무인기의 특 성상 이 여러 채널들은 무선방식이고 사 이버 보안에 취약하다. UAV 와 환경 요소 (지형, 위치, 기상 등) 간의 정보의 흐름 은 (그림 3)과 같다. 여기에서 가장 중요 한 운용상의 연결점(동시에 공격 포인트 가 될 수 있음)으로는 1 UAV 통신링크 와 GCS 통신링크 간의 양방향 정보 흐름 지점, 2 환경 요소에서 센서로의 단방향 정보 흐름 지점이다. 아울러, 환경 요소와 UAV 의 기타 구성 요소 간의 추가적 영향도 간과해 서는 안 된다. 이 영향은 1 항공전자, 2 환경에 따른 무기의 영향, 3 통신링크 상에서 환경의 영향에 의해 유도되는 UAV 태도의 변화를 말한다. 이러한 링크들은 다양한 방법 으로 조작될 수 있기 때문에 신뢰성이 매우 중요하다[4],[9]. 군용은 복잡한 네트워크 중 심의 기반구조에 민간용 응용 SW(COTS)가 추가되기 때문에 위협이 더 커질 수 있다. Environment 일반적으로 자율비행 UAS 의 구성은 다음과 같은 공통적 요소들을 갖는다. 1 주 프 로세서와 프로그램: 센서 데이터를 처리하고, 드론을 제어, 2 자기계(Magnetometer): 방 향을 측정, 3 GPS: 드론의 눈의 역할로서 글로벌 위치를 결정하는데 사용, 4 비행속도 계/고도계: 비행속도와 고도를 측정, 5 드론 무선통신: 지상스테이션과의 통신을 담당, 6 전원시스템: 전체 드론에 전원을 공급, 7 관성측정장치(IMU): 드론의 움직임을 측정, 8 부트 로더리셋 스위치: 메인 보드에 프로그램을 적재, 9 구동기(actuator): 메인 보드로부 터 명령을 받아 조종면을 움직임, 10 수동비행제어: 자율비행을 중지시키고 드론 조종면의 제어를 GCS 에 넘겨 주고, 무인기 센서 시스템은 기본적으로 다기능 카메라를 장착하고 있으며, 추가적으로 INS, 레이더와 같은 센서가 장착된다. 무인기 항공전자시스템은 수신 한 제어 명령을 엔진, 플랩, 러더, 안정기, 스포일러와 같은 조종면의 명령으로 변환한다 [8]. 무인기의 비행 중 통신은 항상 무선으로 이루어지며, UAV(무인비행체와 탑재장비), UAV Base System Communication Links Sensors Avionics Weapons Autonomous Control Ground Control Station Operators Communication Links (그림 3) 확장된 UAS 와 정보흐름 정보통신기술진흥센터 7
주간기술동향 2015. 10. 7. 비행공역, 항공관제소, 지상장비, 지상지원, 통신장비 등의 구성 요소가 관계된다[12]. 통 신장비는 지상장비와 비행체 사이를 무선통신 방식으로 연결하고, 직접 연결하는 가시선 통신(Line-of-Sight: LOS)과 위성을 이용한 비가시선 통신(SATCOM)으로 구분된다. 또 한, 무인기는 유인기가 운항하는 공역 내에서 함께 운용되기 위해서는 항공관제소와 음성 통신의 기능도 갖추어야 한다. 2. UAS 사이버 보안 취약성 분석 Q1.드론은 해킹에 취약한가? 결론은 그렇다. 가장 큰 이유는 군용이나 민간용 모두 넓 은 주파수 대역의 전파와 무선 제어라는 독특한 공통적 약점을 공유하고 있기 때문이다. 이 사실은 앞의 보안사고 사례에서와 같이 2011 년 RQ-170 드론의 해킹사건은 미국 정 부와 군에 큰 충격을 주었고, 최강대국의 자존심에 큰 상처와 드론 관계자에게 큰 과제를 안겨주었다. 첨단 군용 드론도 이렇게 해킹이 가능하다면, 민간용은 어떠하겠는가? Q2. 드론에는 어떠한 공격 포인트들이 존재하는가? 미국 FAA 에서는 (그림 4)와 같이 UAS 에 대해 가능한 공격 지점을 1 구동기 신호, 2 센서 신호(자기계, GPS, 자이로스코프, ADS-B, 적외선 카메라), 3 제어기(조종면, 쓰로틀), 4 제어 네트워크 5 C3(command, control, communication)와 GCS 등 5 가지로 제시하고 있으며, 공격에 취약한 구성 요소 6 가지를 GPS, ADS-B, Throttle, Elevator, 비행체 Controller, C3 링크로 꼽고 있다. FAA 에서는 이러한 드론의 사이버 보안의 중요성을 인식하여 우선 2013 년 12 월에 RTCA 를 통해 C3 링크 보호에 대한 최소한의 운용 상 표준을 마련하기 위해 TF 를 꾸렸으며, 현재 항공기시스템 정보보안보호(ASISP)를 위해 표준화 작업을 진행하고 있다. 2016 년에 1 단계 표준이 나올 것으로 예정하고 있다[12]. Q3. 드론이 갖는 독특한 취약성은 무엇 인가? ICT 측면에서 보면, 드론은 인터넷 에 연결된 일종의 서버나 PC 로 생각할 수 있다. 이들은 서로 많은 공통점이 존재하지 (그림 4) UAS 공격 지점과 취약요소 8 www.iitp.kr
포커스 만, 분명히 다른 특이점이 존재한다. 첫째, 드론은 광대역 컴퓨터 네트워크를 무선으로 구성하는 하나의 노드로서 연결되는 즉, 날아다니는 컴퓨터로 볼 수 있다. 이는 넓은 영역에서 무선으로 접근이 가능하다는 취 약점을 내포하며, 이는 드론의 사이버 보안 대책을 위한 중요한 출발 명제가 되어야 한다. 드론은 사고 사례에서 본 것처럼 무선 공격에 특히 취약하다[7,[16]. 전파의 스푸핑과 재 밍 기술은 이미 새로운 것이 아니며, 신호의 일정한 대역폭을 초과하지 않도록 확인하는 것과 같은 스푸핑 방어기술은 더 이상 신뢰할 수가 없게 되었다. GPS 센서는 이러한 방법 으로 공격받을 수 있을 뿐만 아니라, 영상, 레이더, 적외선 센서도 같은 방법으로 스푸핑 과 재밍 공격을 당할 수 있다. 결과적으로, 드론의 비행경로에 영향을 미쳐 심각한 문제가 발생될 수 있다. 둘째, 드론에서 제어와 임무의 목적상 각종 센서, 비디오 장치, 통신 채널은 거의 모든 드론의 필수적 구성 요소이다. 이들은 실시간으로 송수신해야 하기 때문에 항상 열린 상 태이어야 한다. 특히, 이들은 전자기 신호에 민감한 반응은 취약하며, 하이재킹, 재밍, 스 푸핑 공격에 언제나 노출될 수 있다. 군사용이나 민간용 드론에 있어 가장 큰 취약점은 GPS 에 있다. 현재 민간용 GPS 신호는 군용과 다르게 전혀 암호화되지 않으며, GPS 공격 방법에 관한 기술 문서들이 널리 공개되어 있기 때문이다. GPS 스푸핑 공격을 통해서 해 커는 드론이 수신하는 GPS 입력 신호의 제어권을 쥐게 되어 해커가 원하는 방법으로 드 론을 제어할 수 있다. 이는 GCS 에 있는 조종사도 모르게 일어날 수도 있다. 어떻든 조종 사가 제어권을 빼앗기게 되면, 다시 제어권을 가져오는 것은 불가능할 것이다. 드론을 스 푸핑하고자 한다면, 장비는 다소 비싸지만 쉽게 구입이 가능하여 실질적인 위협이 될 수 있다. 그리고 자율비행은 상호 의존적인 많은 요소를 갖고 있기 때문에 어떠한 요소에서 공 격을 받게 되면 비행경로와 제어에 사고가 발생할 수 있다. GCS 에서 수동으로 드론을 제어 하는 경우, 비디오 영상은 드론이 향하는 곳에 대해 알 수 있는 유일한 방법이다. 따라서 비 디오 신호가 공격을 받게 되면, GCS 는 드론이 어디로 향하는지를 알 수가 없게 된다. 셋째, 드론은 불가피하게 외부로부터 중요한 데이터를 수신해야만 한다. 앞서 본 바와 같이 자율 비행에 관련된 요소들(GPS, 자기계, 관성항법장치(IMU), 구동기, GCS 등)은 모두 외부의 입력원에 의존하게 되어 있어 외부 신호가 드론에 많은 영향을 줄 수 있다. 드론의 GPS 수신기는 물론이고, 방향 측정에 사용되는 자기계나 자이로스코프는 드론 내 정보통신기술진흥센터 9
주간기술동향 2015. 10. 7. 부의 다른 센서로부터 정보를 받지만 만일 잘못된 정보를 받게 되면, 비행경로를 바꾸게 되어 엉뚱한 곳으로 가거나, 고도나 방향을 변경하게 된다. 자이로센서를 해킹해서 드론을 떨어뜨리는 연구가 국내 KAIST 에서 수행되었다[25]. 탑재된 자이로센서(Micro-Electro- Mechanical System)에 특정 주파수 소음(sound noise)을 보내서 작동을 방해하는 일종 의 재밍 기술이다. 자이로센서 활용시스템이 주파수 공격에 의해서 무력화될 수 있음을 증명한 것이다. 이 연구가 드론 공격을 개념적으로 입증한 수준이지만, 아이러니하게도 이 를 유용하게 활용하면 특정 시설에 드론 침입을 막을 수 있는 방어기술로 사용할 수 있다. 동일한 개념이 드론의 움직임을 측정하는 관성항법장치에도 적용될 수 있다. 그리고 구동 기는 메인 처리 보드에서 정보를 수신한다. 메인 보드는 모든 센서로부터 미리 설정된 명 령과 현재의 명령으로부터 입력을 받게 되고, 다음으로 항행할 경로를 주게 된다. 구동기 는 비행경로를 전달하는 마지막 단계이기 때문에 이 구동기를 공격 대상으로 만들 수 있 다. 즉, 구동기는 서비스거부(DOS) 공격이나 악성 데이터 삽입 공격에 의해서 드론의 행 동에 위험한 영향을 받을 수도 있다. 따라서 구동기도 안전하게 보호되어야 한다. 넷째, 드론은 여러 구성 요소들 간의 긴밀한 상호연결이며, 요소 간 상호 정보의 흐름 이 활발하다. 따라서 공격에 취약한 연결 지점이 많다. 또한, 드론의 안전성은 쇠사슬 체 인처럼 직렬적 형상을 하고 있다. 즉, 여러 요소들이 직렬 형태로 연결되기 때문에 정보의 흐름이 한 요소에서 다음 요소로 계속 이어지게 된다. 이는 정보흐름의 어떤 부분이라도 간섭이나 방해, 변조가 생기면, 전체의 안전성에 치명적이다. 비유하자면 쇠사슬 하나가 끊어지면 거기에 매달린 물체가 망가지는 것과 같다. Q4. 드론이 해킹에 치명적인 이유는? 드론의 구성 요소 중 어느 한 부분이라도 침해를 받게 되면, 드론 전체가 위험에 처할 수 있다. 센서, 제어기, 구동기, 제어 네트워크, 통신 링크, GCS 등 어느 하나만 공격을 받아도 위험에 노출될 수 있다. 따라서 드론은 적어도 사전에 할당된 비행경로와 이 드론이 무엇을 어떻게 수신하고 있는지에 대해 인증하고 무 결성을 보장할 수 있어야 한다. IV. 결 론 최근 드론은 ICT 의 발전에 따라 다기능화 되고 활용 분야도 다양해지고 있다. 그러나 순기능 이면에는 반드시 극복되어야 할 역기능으로 사이버 보안 문제는 GPS 스푸핑, 신 10 www.iitp.kr
포커스 호 재밍, 데이터와 영상 해킹, 기체 탈취, 바이러스 감염 사례 등이 그 심각성을 말해주고 있다. 미국은 특히 GPS 가 재밍과 스푸핑에 매우 취약함을 사고 경험을 통해서 알게 된 후, 많은 투자를 통해 DARPA 중심으로 업체들과 두 방향으로 대책을 연구하고 있다[26]. 하 나는 GPS 를 대체하는 기술로서, 외부로부터 위치 신호 없이도 항법을 수행할 수 있도록 하는 방법을 찾고 있다. 즉, 지형의 시각적 이미지, 별 추적(star-tracking), 양방향 시간 전송(2-way time transfer) 등을 활용하는 것이다. 또 하나는 기존의 GPS 를 개량하는 방 법으로서 GPS 의 약한 신호 때문에 발생되는 스푸핑과 재밍에 대비하기 위해서 거짓 신 호로부터 진짜 신호를 구별할 수 있는 암호화 기술을 개선하는 것이다. DARPA 는 이란에 서의 드론 해킹을 계기로 사이버 보안 대책에 적극 투자하고 있는 것이다. 아울러 이러한 이슈 속에서 미국은 물론, 유럽(EU)도 최근에 항공기 사이버 보안의 중요성을 심각하게 인식하여 비밀 수준의 보안성과 안전성을 갖는 Secure 드론 의 개발을 위해서 DARPA 는 HACMS[22], 군과 업체들은 MILS[14],[15] 개발, 유럽은 Euro MILS 프로젝트[23])에 관심을 갖고 군 중심으로 업체와 연구 개발을 이미 시작한 상황이다. 그러나 불행하게도 우리나라는 드론의 사이버 보안의 심각성과 연구의 필요성에 대한 인식조차 전무한 상황이다. 드론 분야도 일반적 ICT 와 다르지 않게 SW 중심의 보안성이 드론의 개발 계획과 설계 과정에서부터 고려되어야만 한다. 다시 말해 개발 후에 보안성 을 추가하는 방식은 사후약방문이 될 것이며, 그 비용과 효과에 한계가 있을 것이다. 따라 서 현시점에서 군ㆍ민용 항공기에 적용하고 있는 안전 기준인 DO-254(HW)와 DO- 178B(SW)를 단계적으로 준수함과 동시에 정보보안의 보안성평가ㆍ보증기준인 국제공통 평가기준(Common Criteria)이 병행 준수되어야만 소기의 드론의 안전성과 보안성이 확보 될 수 있을 것이다. 드론 산업의 미래는 무한하지만 역기능적 문제에 대한 법적, 제도적, 물리적, 기술적 대책에 따라 안전성과 보안성이 확보되지 않으면, 그 순기능도 의미가 없 을 것이다. 드론에 대한 장기적인 안목으로 실질적인 육성 계획에 사이버 보안에 대한 대 응책도 반드시 포함되어야 할 것이다. <참 고 문 헌> [1] Nils Ole Tippenhauer et al, On the Requirements for Successful GPS Spoofing Attacks, Proc. of the 18th ACM conference on Computer and communications security, 2011, pp.75-86. 정보통신기술진흥센터 11
주간기술동향 2015. 10. 7. [2] U.S. Department of Transportation, Unmanned Aircraft System Service Demand 2015-2035, Sep. 2013. [3] 유용원의 군사세계, <2013 국정감사> 해군, 무인항공기(UAV) 전파교란에 무방비, 2013. 10. [4] 군용 무인항공기 비행안전성 증진을 위한 발전방안 연구, 연세대학교 항공전략연구원, 2014. 9. [5] 이란 자기 무인기들을 다시 한번 세어볼 것을 미국에 권고, 러시아의 소리, 2012. 12. [6] 이란 미국정찰무인기 ScanEagle 을 생포, 러시아의 소리, 2012. 12. [7] Alexander RÜGAMER and Dirk KOWALEWSKI, Jamming and Spoofing of GNSS Signals An Underestimated Risk?!, FIG Working Week 2015, From the Wisdom of the Ages to the Challenges of the Modern World, Sofia, Bulgaria, May 2015. [8] Alan Kim, Brandon Wampler, James Goppert, and Inseok Hwang, Proc. of AIAA2012, Cyber Attack Vulnerabilities Analysis for Unmanned Aerial Vehicles, June 2012. [9] Kim Hartmann and Christoph Steup, The Vulnerability of UAVs to Cyber Attacks-An Approach to the Risk Assessment, Proc. of 5th International Conference on Cyber Conflict, 2013. [10] 상상 이상 재앙 GPS 교란, 콘트롤타워가 없다, 투코리아, 2011. 12. 29. [11] Donna A. Dulo, Unmanned Aerial Insecurity, CyberWest 2015, Mar. 26, 2015. [12] FAA Unmanned Aircraft Systems(UAS)-Cyber Security Initiatives, FAA, Feb. 11, 2015. [13] Emy Rivera, Robert Baykov, and GuofeiGu, A Study On Unmanned Vehicles and Cyber Security, 2014. [14] Carolyn Boettcher et al, The MILS Component Integration Approach to Secure Information Sharing, the 27th IEEE/AIAA Digital Avionics Systems Conference(DASC), Oct. 2008. [15] Paul Parkinson and Arlen Baker, High Assurance Systems Development Using the MILS Architecture, Wind River, 2015. [16] Andrew J. Kerns, Daniel P. Shepard, Jahshan A. Bhatti, and Todd E. Humphreys, Unmanned Aircraft Capture and Control via GPS Spoofing, 2013. [17] Mabus: F-35 Will Be Last Manned Strike Fighter, the Navy, U.S. Naval Institute News, Apr. 15, 2015. [18] U.S. Military Sources: Iran Has Missing U.S. Drone, Fox News, Published Dec. 5, 2011. [19] Iran says it built copy of captured U.S. drone, CNN, May 12, 2014. [20] Lockheed Martin RQ-170 Sentinel, Wikipedia, 20 Aug. 2015. [21] The Christian Science Monitor, Iran hijacked US drone, says Iranian engineer(video), Dec. 15, 2011. [22] INFOSEC Institute, Hack-Proof Drones Possible with HACMS Technology, Posted in General Security on Jun. 3, 2014. [23] The EURO-MILS project, http://www.euromils.eu/ [24] SkySoftware, SkyGrabber, www.skygrabber.com [25] Yunmok Son et al, Rocking Drones with Intentional Sound Noise on Gyroscopic Sensors, Proc. of the 24th USENIX Security Symposium, pp.881-896, Aug. 12 14 2015. [26] Military Avionics R&D: Spending Dips But Opportunities Soar, Avionics Today, Oct. 1, 2014. [27] Exclusive: Computer Virus Hits U.S. Drone Fleet, Wired.com, 2011.10. 7. * 본 내용은 필자의 주관적인 의견이며 IITP 의 공식적인 입장이 아님을 밝힙니다. 12 www.iitp.kr