대표적인 전기차 제조사 테슬라의 최신 모델도 해커들의 손에서 벗어날 수 없었다. 이틀 연속 공격을 허용하고 말았으며, 공격자들은 어마어마한 상금에 모델 3 차량도 한 대 받아갔다. 그 외에도 많은 기업들의 내로라 하는 제품들이 속수무책으로 당했다.

[보안뉴스 문가용 기자] 밴쿠버에서 열린 폰투온(Pwn2Own) 해킹 대회에서 프랑스의 모의 해킹 전문 업체 시낵티브(Synacktiv)가 테슬라(Tesla)의 최신 전기차량 제품인 모델 3를 공략하는 데 성공했다. 그것도 두 가지 각기 다른 방법을 통해서였다. 각각의 공격을 통해 시낵티브의 연구원들은 차량의 안전 및 기타 다른 시스템 깊숙한 곳에까지 도달할 수 있었다고 한다.


[이미지 = utoimage]

두 가지 공격 방법 중 하나는 TOCTTOU라고 알려진 공격 기법을 동원하는 것이었다. TOCTTOU는 ‘time-of-check to time-of-use’의 준말로 객체나 데이터가 확인되는 시간과 사용되는 시간 사이의 간극을 악용하는 공격 기법이다. 이 취약점은 테슬라 게이트웨이(Tesla Gateway) 에너지 관리 시스템에서 나왔으며, 시낵티브 팀은 이 공격을 성공시킴으로써 이동 중에 있는 테슬라 모델 3의 트렁크나 문을 열 수 있었다. 공격 실행에 걸린 시간은 총 2분이었고, 스낵티브는 10만 달러의 상금과 모델 3 차량 한 대를 상금으로 획득했다.

테슬라 하위 시스템들 깊숙한 곳까지
그 다음 시낵티브 연구원들은 블루투스 칩셋에서 발견된 힙 오버플로우 취약점(heap overflow)과 아웃 오브 바운드 라이트(out-of-bound write) 취약점을 익스플로잇 해서 테슬라 내부 인포테인먼트 시스템으로 침투하는 데 성공했다. 그리고 이를 발판 삼아 다른 하위 시스템들에 대한 루트 권한을 얻어낼 수도 있었다. 이 발견으로 시낵티브는 25만 달러의 상금을 거머쥐었다. 또한 이 익스플로잇은 폰투온으로부터 ‘티어 2’라는 호칭을 얻기도 했다.

폰투온은 특별히 영향력이 막중한 취약점들과, 그 취약점들의 익스플로잇 방법을 ‘티어 2’로 분류하는데, 폰투온 역사상 단 한 번도 티어 2라는 타이틀이 주어진 사례가 없었다. “올해 발견된 취약점들 중 테슬라에서 발견된 취약점이 가장 중대한 것이었습니다.” 트렌드마이크로(Trend Micro)의 제로데이 이니셔티브(Zeroday Initiative) 소속 더스틴 차일즈(Dustin Childs)의 설명이다. “특히 외부 요소라고 볼 수 있는 블루투스 칩셋을 통해 차량 내부 깊숙한 곳까지 들어간 것이 큰 충격이었습니다.”

사실 모의 해킹과 시연은 실제 차량에서 진행되지 않았다. 안전 문제 때문에 따로 떼어낸 헤드 유닛을 통해 분석과 모의 해킹, 시연까지 전부 이뤄졌다. 테슬라의 헤드 유닛은 일종의 통제 시스템으로, 차량 내 인포테인먼트 시스템을 제어하며 내비게이션 및 기타 다른 기능과도 연결되어 있다.

끝도 없이 나온 제로데이 취약점들
테슬라 외에 다른 장비와 소프트웨어들에서도 중요한 제로데이 취약점들이 발견됐다. MS 셰어포인트에서는 두 개의 버그를 연쇄적으로 익스플로잇 하는 방법이 나왔는데, 발견자는 싱가포르의 스타랩스(Star Labs)라는 팀으로 10만 달러를 받았다. 오라클 버추얼박스의 세 가지 취약점을 연쇄적으로 익스플로잇 하는 방법이 시연되기도 했으며, 시연자는 시낵티브였다. 이것으로 8만 달러의 추가 상금을 받았다. MS 팀즈에서는 팀 비에트(Team Viette)의 2개 취약점 연쇄 익스플로잇 기법이 사람들을 놀래켰고, 팀은 7만 5천 달러를 획득했다.

2007년 첫 회로 시작된 폰투온은 원래 인터넷 브라우저들에서 취약점을 찾아내는 해킹 대회였다. 하지만 시간이 흐르면서 훨씬 많은 제품과 기술들이 하나 둘 대회에 포함됐으며, 자동차 산업과 모바일 기업들까지도 적극 관심을 보이는 대회로 성장했다. 작년과 올해에는 취약점이 얼마나 많이 발견됐는지 총 지출된 상금이 100만 달러를 넘어서기도 했다.

그리고 올해에는 VM웨어(VM웨어)와 오라클(Oracle)이 자사 가상화 관련 제품들을 해커들에게 내주기도 했다. 브라우저만 다루던 대회가 가상화 기술까지 아우르게 된 것이라고 할 수 있다. 그 외에도 폰투온에 참가한 해커들은 크롬 브라우저, 어도비 리더, MS 오피스 365 프로, 윈도 RDP/RDS, MS 익스체인지, MS DNS, MS 셰어포인트를 합법적으로 마음껏 뜯어볼 기회를 갖기도 했다.

하지만 그러면서 원래 폰투온의 주요 연구 대상이었던 브라우저에 대한 해커들의 관심은 차갑게 식었다. “매년 참가자의 규모는 비슷한 수준을 유지하거나 조금 더 늘어가는데, 브라우저 부문만큼은 예외입니다. 이번 해에는 아무도 브라우저 경쟁 부문에 등록하지 않았습니다. 한 명도 없었어요. 아직 그 이유를 정확히 알 수는 없습니다.” 차일즈의 설명이다.

폰투온은 16년 동안 진행되어 오면서 530개의 초고위험도 취약점들의 발견에 이바지했다. 폰투온에 참가한 보안 전문가들은 1120만 달러의 상금을 기업들로부터 받았다.

3줄 요약
1. 올해 폰투온 대회에서도 어김없이 대기업 기술들이 성공적으로 공략 당함.
2. 테슬라 최신 차량에서 발견된 제로데이 취약점은 대회 역사상 최초로 ‘티어 2’를 달성.
3. 브라우저 연구에서 출발한 대회인데 올해는 브라우저 부문 출전자가 한 명도 없었음.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>