케이사인, OCA에 EV 충전기 해킹 탐지 기술 시연

정보보안 전문기업 케이사인이 전기차 충전 국제표준기구 OCA 실무진에게 EV 충전 프로토콜 보안 퍼저를 시연했다. 케이사인은 국내에서 열린 OCA 플러그페스트 기간 중 OCA 실무진과 만나 국가 연구개발 과제로 개발 중인 전기차 충전 프로토콜 보안 기술을 공개했다고 밝혔다.

이번에 시연한 기술은 과학기술정보통신부와 정보통신기획평가원의 ‘정보보호 핵심원천기술개발사업’ 가운데 ‘전기자동차 충전기 보안위협 대응 기술 개발’ 과제를 통해 개발된 결과물이다. 행사에는 OCA 실무 책임자 2명과 케이사인 보안연구소 연구진이 참석해 EV 충전 프로토콜 보안 시험과 국제 가이드 연계 방안을 논의했다.

케이사인은 이날 충전기 제어 프로토콜인 OCPP 1.6의 DataTransfer 메시지를 활용해 충전기 소프트웨어의 스택 버퍼 오버플로 취약점을 원격 코드 실행으로 연결하는 과정을 시연했다. 해당 취약점은 2024년 국제 해킹대회 ‘Pwn2Own Automotive’에서 실제 충전기 제품을 대상으로 공개된 사례를 재현한 것이다.

주목된 부분은 공격 조건이었다. 같은 메시지를 충전기가 대기 상태일 때 보내면 정상적으로 거부되지만, 충전이 진행 중인 상태에서는 취약점이 발현돼 충전기 소프트웨어의 제어 흐름이 탈취됐다. 시연에서는 공격 성공 여부를 시각적으로 확인할 수 있도록 원래 호출될 일이 없는 함수가 실행되고, 충전기 화면에 임의의 웹페이지가 열리도록 구성했다.

케이사인은 이 구조를 자체 검증 환경에 구현해 퍼저가 취약점을 탐지할 수 있는지 확인했다. OCA 측은 시연 직후 해당 연구에 대해 “매우 훌륭한 연구”라고 평가한 것으로 전해졌다.

OCA는 현재 개정 작업 중인 Security Operating Guide를 공유하고, 케이사인 퍼저가 검증할 수 있는 요구사항 항목을 매핑해 달라고 요청했다. 케이사인은 퍼저가 어떤 권고사항과 요구사항을 검증할 수 있는지 정리해 OCA에 전달할 계획이다.

양측은 후속 논의 과제도 정리했다. 충전 업계 대상 보안 시험 전용 행사 공동 개최, 국내 시험인증기관과의 연계, Pwn2Own Automotive 참가 등이 논의됐으며, OCA 측은 한국 시장에 대해 충전 산업 규모와 규제 집행 역량을 함께 갖춘 시장이라는 점에서 관심을 보인 것으로 알려졌다.

전기차 충전 인프라 보안은 아직 산업계 인식이 충분히 높지 않은 분야로 꼽힌다. 케이사인은 충전기가 차량과 전력망을 연결하는 접점인 만큼, 다수 충전기가 동시에 공격을 받을 경우 단순 정보 유출을 넘어 물리적 피해로 이어질 가능성도 있다고 설명했다.

OCA 측은 OCPP 인증을 받은 충전기가 곧 보안상 안전하다는 의미로 오해되는 상황을 우려하며, 적합성 인증과 별개로 보안 시험 체계가 필요하다는 점을 강조했다. 실제 충전 환경에서만 드러나는 취약점을 확인하려면 프로토콜 적합성뿐 아니라 운용 상태를 반영한 보안 검증이 중요하다는 의미다.

김석휘 케이사인 연구개발팀 선임은 “충전기는 지역별 전력망을 잇는 접점이어서 다수 충전기가 동시에 장악되면 단순한 정보 유출을 넘어 물리적 피해로 이어질 수 있다”며 “이번 시연은 실험실 수준의 가정이 아니라 실제 공개된 취약점 구조를 재현해 검증한 것으로, 국제 표준화 논의에 국내 기술을 반영하는 계기로 삼겠다”고 말했다.