미국 해커 컨퍼런스 'DEF CON 34-자동차 해킹 빌리지'서 발표
컴파일러 검증 공백 지적...소프트웨어 공급망 안전성 문제 제기
한국공학대학교는 이강원 기계공학과 교수가 지난 8일(현지 시각) 미국 네바다주 라스베이거스에서 열린 해커 컨퍼런스 'DEF CON 34'의 '자동차 해킹 빌리지'(Car Hacking Village)에서 전기차(EV) 충전 인프라의 소프트웨어 안전성에 관한 연구를 발표했다고 14일 밝혔다.
이 교수는 '누구도 충분히 검증하지 않은 컴파일러: 전기차 충전 펌웨어의 공급망 공백'(The Compiler Nobody Satisfactorily Tested: Supply-Chain Gaps in EV Charging Firmware)이라는 주제로 단독 발표했다.
그는 자동차와 EV 충전 인프라의 안전성을 확보하기 위해서는 소프트웨어 코드뿐만 아니라 이를 기계어로 변환하는 컴파일러의 신뢰성까지 검증해야 한다는 점에 주목했다. 개발자가 작성한 소스 코드를 컴퓨터가 실행할 수 있는 기계어로 변환하는 도구인 컴파일러는 이 과정에서 핵심적인 역할을 한다.
이 교수는 자동차와 EV 충전 인프라의 펌웨어 개발에 사용되는 컴파일러 가운데 상당수가 안전 표준에 따른 독립적인 적격성 확인을 거치지 않았다는 점을 짚었다. 소스 코드를 안전하게 작성하더라도 이를 기계어로 변환하는 도구가 충분히 검증되지 않았다면 소프트웨어 전체의 안전성에도 공백이 생길 수 있다는 설명이다.
아울러 이를 구체적으로 보여주기 위해 자동차 기능안전 국제표준인 'ISO 26262' 기준으로 적격성이 확인된 러스트(Rust) 컴파일러가 실제 어떤 칩과 운영 환경에 존재하는지 정리해 제시했다.
이 교수는 "안전한 코드를 작성하는 데에는 모두가 공을 들인다. 그러나 정작 그 코드를 이진기계어로 옮기는 도구는 충분히 들여다보지 않는다"며 "어떤 공개 자료에도 '이 장비에 어떤 컴파일러를 사용했는가'를 적는 칸이 없다. 빈칸으로 남아 있는 게 아니라, 칸 자체가 아예 없다"고 지적했다.
이 교수는 공개된 자료를 토대로 자동차·EV 충전 분야의 소프트웨어 공급망에서 다뤄지지 않았던 컴파일러 검증 체계를 살펴보는 데 초점을 맞췄다. 이를 통해 컴파일러를 포함한 개발도구까지 검증 범위를 확대할 필요성을 제시했다.
한편 DEF CON은 1993년 시작돼 매년 라스베이거스에서 열리는 해커 컨퍼런스다. '자동차 해킹 빌리지'는 자동차와 관련 인프라의 사이버보안 기술·연구 사례를 논의하는 커뮤니티다.
