케이사인, OCA에 ‘EV 충전기 해킹’ 시연… 국제 보안 가이드 연계 논의

정보보안 전문기업 케이사인(대표 구자동, 최현철)이 전기차 충전 국제표준을 관장하는 OCA(Open Charge Alliance) 실무진과 만나 국가 연구개발 과제로 개발 중인 EV 충전 프로토콜 보안 퍼저(Fuzzer)를 시연했다고 2일 밝혔다.

이 기술은 과학기술정보통신부와 정보통신기획평가원(IITP)의 ‘정보보호 핵심원천기술개발사업’(과제명: 전기자동차 충전기 보안위협 대응 기술 개발)을 통해 개발된 결과물이다.

이번 만남은 국내에서 개최된 OCA Plugfest(플러그페스트, 상호운용성 시험행사) 기간 중 마련됐다. 행사에는 OCA 측 실무 책임자 2명과 케이사인 보안연구소 연구진이 참석해 EV 충전 프로토콜 보안 기술과 관련된 의견을 나눴다.

◇ 충전 중일 때만 열리는 문, 실시간으로 열어 보였다

케이사인은 이날 충전기 제어 프로토콜 OCPP 1.6의 DataTransfer 메시지를 이용해 충전기 소프트웨어의 스택 버퍼 오버플로 취약점(CWE-121)을 이용한 원격 코드 실행으로 연결하는 과정을 공개했다.

주목받은 대목은 공격 성공 조건이었다. 같은 메시지를 충전기가 대기 상태일 때 보내면 정상적으로 거부되지만, 충전이 진행 중인 상태에서 보내면 취약점이 발현돼 충전기 소프트웨어의 제어 흐름이 탈취됐다. 시연에서는 공격 성공을 시각적으로 확인할 수 있도록 원래 호출될 일이 없는 함수가 실행되며 충전기 화면에 임의의 웹페이지가 열리도록 원격 코드 실행(RCE) 취약점을 구성했다.

이는 2024년 국제 해킹대회 ‘Pwn2Own Automotive’에서 실제 충전기 제품을 대상으로 공개된 취약점 사례를 재현한 것으로, 케이사인은 해당 구조를 자체 검증 환경에 구현해 탐지 가능 여부를 확인했다.

OCA 측은 시연 직후 ‘매우 훌륭한 연구(really excellent work)’라고 평가했다.

◇ OCA ‘어떤 항목을 검증할 수 있는지 확인해 달라’

OCA는 현재 개정 작업 중인 Security Operating Guide를 공유하고, 케이사인 퍼저가 검증할 수 있는 요구사항 항목을 매핑해 달라고 요청했다. OCA 측은 우리 가이드의 권고사항 중 어떤 항목을 이 퍼저로 검증할 수 있는지 확인해 달라고 말했다. 케이사인은 매핑 결과를 정리해 OCA에 전달할 계획이다.

양측은 이와 함께 △충전 업계 대상 보안 시험 전용 행사 공동 개최 △국내 시험인증기관과의 연계 △Pwn2Own Automotive 참가 등을 후속 논의 과제로 정리했다. OCA 측은 특히 한국 개최에 관심을 보이며 ‘충전 산업 규모와 규제 집행 역량을 함께 갖춘 시장’이라고 평가했다.

◇ 충전기 보안, ‘있으면 좋은 것’에서 ‘없으면 안 되는 것’으로

충전 인프라 보안은 아직 산업계 인식이 낮은 분야다. 실제로 네덜란드 시험기관 ElaadNL이 40대 이상의 충전기를 시험한 결과, 약 24%에서 버퍼 관련 취약점이 발견된 것으로 OCA 가이드에 기록돼 있다.

OCA 측은 OCPP 인증을 받았다는 것이 충전기가 안전하다는 뜻으로 오해되는 상황을 우려한다며, 적합성 인증과 별개의 보안 시험 체계 필요성을 강조했다.

케이사인 연구개발팀 김석휘 선임은 “충전기는 지역별 전력망을 잇는 접점이어서 다수 충전기가 동시에 장악되면 단순한 정보 유출을 넘어 물리적 피해(대규모 정전)로 이어질 수 있다”며 “이번 시연은 실험실 수준의 가정이 아니라 실제 공개된 취약점 구조를 재현해 검증한 것으로, 국제 표준화 논의에 국내 기술을 반영하는 계기로 삼겠다”고 말했다.