차량용 블루투스: 숨겨진 위험과 자신을 보호하는 방법

20세기 초, 자동차는 더 이상 이국적인 물건이 아니게 되었다. 물론 여전히 꽤 비싸기는 했지만 — 오늘날이라고 다르진 않다 — 대량 생산을 가능하게 한 조립 라인의 도입으로 전체 비용이 내려가고 시장에 빠르게 확산되었다.

오늘날 자동차는 정말 어디에나 있다. 미국과 같은 일부 사회는 자동차 없이는 상상하기 어렵다. 비교적 부담 가능한 제품이 되자마자 얼마 지나지 않아 자동차에는 엔터테인먼트 시스템이 탑재되기 시작했다. 최초의 장치는 자동차 라디오로, 1922년 쉐보레 모델에 장착되었고, 1930년에는 모토로라가 자동차 전용 서드파티 오디오 세트의 첫 제품인 5T71을 만들기 시작했다.

오늘날 자동차 인포테인먼트 시스템은 내비게이션 장치이자 아이들을 달래는 도구(만화!), 통신 장치, 보안 장치 역할까지 겸한다. 대부분의 경우 연결성은 블루투스로 제공되며, 블루투스는 수십 가지가 넘는 용도를 가진 기술이다. 이는 장점이다. 시스템 포트에서 주렁주렁 매달린 스파게티 같은 배선이 없고, 모든 것이 무선으로 처리되기 때문이다. 하지만 동전의 다른 면도 있다.

자동차 인포테인먼트 블루투스 연결: 취약성

올해 들어 지금까지, 자동차의 블루투스 연결이 얼마나 안전한지(혹은 안전하지 않은지)를 조사한 두 건의 주요 연구가 발표됐다. 두 연구의 결과는 상당히 우려스러웠지만, 당장 치명적인 위험을 가리키는 것은 아니었다. 적어도 지금으로서는.

PerfektBlue 자동차 블루투스 안전성 연구

이 연구는 PCA Cyber Security가 주도했다. 연구팀은 오늘날 자동차 시스템에서 가장 널리 사용되는 블루투스 구현 중 하나인 OpenSynergy의 BlueSDK 스택에 초점을 맞췄으며, 포드, 메르세데스-벤츠, 폭스바겐 그룹 전체 등 대형 완성차 업체가 채택하고 있다.

연구진은 중대한 취약점들(CVE-2024-45431부터 CVE-2024-45434까지)을 발견했는데, 각각의 취약점은 악성 행위자에게 차량과 그에 저장된 데이터를 가지고 놀 수 있을 정도의 접근 권한을 부여하며, 원격으로 코드를 실행하는 것까지 가능하게 한다. 보고서의 인용문:
“PCA 보안 평가팀은 경미함부터 심각함까지 다양한 심각도의 다수 취약점을 확인했으며, BlueSDK 블루투스 스택을 사용하는 장치의 운영체제에서 공격자가 1-클릭 원격 코드 실행(RCE)을 획득할 수 있게 한다. 이러한 수준의 접근 권한을 통해 공격자는 시스템을 조작하고 권한을 상승시키며 대상 제품의 다른 구성요소로 래터럴 무브먼트(수평 이동)를 수행할 수 있다.”

쉬운 말로 하면, 이 취약점들은 다음과 같은 일을 가능하게 한다:

연락처 목록과 통화 기록을 탈취;
차량 위치를 추적;
도청을 위해 마이크를 가로채기;
차량 내부 네트워크의 다른 부분에 접근(드문 경우지만 존재).

다행히 운전대와 페달은 이러한 구멍을 통해 조작할 수 없었다. 벤더들은 2024년 말과 2025년 초에 패치를 배포하기 시작했다; 메르세데스, 포드, 또는 Volkswagen Aktiengesellschaft 소속 차량을 운전한다면 업데이트를 꼭 확인하라.

BlueToolkit 조사

BlueToolkit은 ETH 취리히의 System Security Group이 Cyber Defence Campus와 협력해 만든 오픈 소스 블루투스 취약점 테스트 프레임워크다. 최근 프레임워크 개발팀은 이 도구를 사용해 르노, BMW, 혼다, 테슬라 등을 포함한 22개 서로 다른 자동차 모델에서 블루투스가 얼마나 안전한지 시험했다. 그 결과 총 64개의 취약점이 발견되었다.

테스트는 원격 코드 실행, 서비스 거부(DoS), 데이터 탈취를 가능하게 하는 약점을 찾아내는 것을 목표로 했다. 그 과정에서 연구진은 공격자가 연락처를 훔치고, 도청하고, 차량을 추적하며, 매우 드문 경우지만 차량 핵심 기능의 동작을 방해할 수도 있음을 보여주었다.

자동차 블루투스 연결을 공격으로부터 보호하기

차량에서 불쾌한 일을 피하기 위해 다음과 같은 조치를 취해보자:

사용하지 않을 때는 블루투스를 꺼 두자. 단순하지만 효과적이다: 연결이 없으면 탈취도 없다. 특히 공용 주차장에 주차할 때는 더욱 그렇다.
페어링된 기기 목록을 정리하자. 수상해 보이는 항목은 모두 삭제하라. 더 좋게는, 모두 삭제한 뒤 필요한 것만 다시 페어링하자.
연결이 비밀번호로 보호되는지 확인하자. 대부분 기본 설정이 그렇지만, 다시 확인해도 나쁠 것은 없다. 그리고 비밀번호는 1부터 8까지의 단순한 연속 숫자 같은 것은 피하자.
업데이트를 최신 상태로 유지하자. 앞서 언급했듯, 자동차 제조사들은 이번 조사에 대응해 패치를 배포했다. 차량 인포테인먼트 시스템의 펌웨어가 최신인지 확인하라.