Proven by Intelligence

⑴편의 내용과 이어집니다.

4. 보이지 않는 위협: 공급망 사각지대와 위장 명령

 무기체계에 대한 사이버 위협을 논할 때 흔히 해킹, 즉 외부 침입 자체를 먼저 떠올리기 쉽습니다. 그러나 실제 위협의 상당 부분은 공급망의 사각지대에서 발생합니다. 개발 서버에 방치된 암호 키, 다단계로 이어지는 협력업체 어딘가에 심어진 악성 코드, 유통 과정에서 이루어지는 펌웨어 변조가 대표적입니다. 이런 위협은 눈에 잘 띄지 않는다는 점에서 오히려 더 위험합니다. 미국 회계감사원(GAO)이 2018년 발표한 무기체계 사이버보안 보고서(GAO-19-128)는 이를 잘 보여줍니다. 이 보고서는 국방부(DOD)의 주요 무기체계를 대상으로 한 침투 테스트에서, 테스터들이 기본적인 툴만으로 비교적 쉽게 시스템을 장악하고 대부분 탐지되지 않은 채 운용할 수 있었다고 밝혔습니다. 보고서는 “자동화와 연결성은 국방부의 현대적 군사 능력의 근본적 기반이지만, 동시에 무기체계를 사이버 공격에 더욱 취약하게 만든다”고 지적합니다.

 무기체계 OTA 환경에서 가장 본질적인 위협 시나리오는 결국 하나의 질문으로 수렴합니다. 수백 대의 드론이 동시에 수신한 작전 명령이 아군의 것임을 어떻게 증명할 것인가. 지휘관(Commander)이 내린 명령과 해커(Hacker)가 위장해 보낸 명령을 기체 스스로 구분하지 못한다면, 그 무인기는 더 이상 아군의 자산이 아닙니다. 암호학적 검증이 부재한 상태에서는, 기체가 위장 명령을 정당한 지휘로 오인해 적의 자산이 되어버리는 최악의 시나리오가 현실이 될 수 있습니다.

5. 인적 통제의 한계와 보안 패러다임의 전환

 군 조직은 일정한 주기로 보직이 순환되는 특성을 가집니다. 이 특성은 조직 운영 측면에서는 합리적이지만, 보안의 관점에서는 구조적인 취약점을 만듭니다. 담당자가 바뀔 때마다 비밀번호가 구두로, 혹은 수기로 인계되는 관행이 반복되면, 시간이 지날수록 ‘사람이 기억하는 보안’은 필연적으로 붕괴합니다. 누가 어떤 키에 접근할 수 있는지에 대한 기록이 사람의 기억과 수기 문서에 의존하는 순간, 그 체계는 이미 감사 가능성과 재현성을 잃습니다.

 이 문제에 대한 해법은 보안의 무게중심을 ‘사람’에서 ‘암호’로 옮기는 것입니다. 보안의 핵심은 어떤 암호화 알고리즘을 쓰느냐가 아니라, 키(Key)를 어떻게 통제하는가에 있습니다. 무기 OTA 보안은 사람이 승인하는 체계가 아니라, 암호(Key)가 승인하는 디지털 지휘 체계로 전환되어야 합니다. 전 생애주기에 걸친 유출 위험을 원천적으로 차단하려면, 사람의 기억이나 개별 조직의 재량이 아니라 중앙 집중형 키관리 시스템(KMS)이 그 역할을 대신해야 합니다.

​

6. 제도적 근거: 자동차 CSMS를 벤치마킹한 국방 사이버 보안 통제

6.1 자동차 CSMS 보안 모델의 4대 기술 요소

 자동차 산업이 대량 양산, 다단계 부품 공급망, 원격 OTA라는 조건 속에서 정립한 CSMS 보안 모델은 크게 네 가지 기술 요소로 구성됩니다. 이 네 요소는 무기체계 양산 체계를 설계할 때 그대로 참조할 수 있는 최적의 벤치마킹 대상입니다.

• Secure Boot — 부팅 시점에 비인가 소프트웨어의 실행을 원천 차단합니다.
• Secure Flash — 전자서명 기반의 안전한 펌웨어 업데이트로 OTA 경로를 보호합니다.
• Secure Debug — 물리적 접근이나 탈취 상황에서 디버그 포트를 통한 기술 유출을 막는다.
• Secure Access(SecOC) — 제어기 내부 통신의 무결성을 통제합니다.​

6.2 K-RMF와의 1:1 매핑

 흥미로운 점은 이 네 가지 자동차 보안 요건이 국방 정보체계 위험관리제도인 K-RMF의 통제 항목과 거의 1:1로 대응된다는 사실입니다. K-RMF는 무기체계를 다 만든 뒤에 보안을 덧붙이는 것이 아니라, 기획부터 획득·운용·폐기에 이르는 전 수명주기에 걸쳐 사이버 위험을 관리하기 위해 미국 NIST의 위험관리프레임워크(RMF)를 한국형으로 설계한 제도입니다. 2019년 한미연합사령관이 한국에 미군과 동일한 수준의 제도를 요구한 것을 계기로 2020년부터 설계가 시작되었고, 2024년 제도화, 2025년 법적 근거 마련을 거쳐 현재 단계적으로 적용되고 있습니다. K-RMF는 시스템 보안분류, 보안통제항목 선정, 구현, 보안평가, 시스템 인가, 지속 모니터링이라는 6단계 통제 구조로 이루어져 있으며, ‘완벽한 보안’이 아니라 ‘관리해야 하는 보안’이라는 철학을 바탕에 둡니다.

6.3 움직이는 제도 환경

 이 흐름은 최근의 입법 움직임과도 맞닿아 있습니다. 2026년 2월 유용원 의원은 ‘소프트웨어 중심 무기체계 획득 절차 특별법안’을 대표 발의했습니다. 현행 방위사업법이 소프트웨어를 전투기나 전차 같은 하드웨어의 단순 부속품으로 규정하고 있어 별도의 획득 규정이 없다는 문제의식에서 출발한 이 법안은, 소프트웨어 중심 무기체계의 개념을 명확히 정의하고 연구·개발 주기를 단축하며, 개발 전 단계에 군 등 최종사용자 집단이 의무적으로 참여하도록 규정하는 것을 골자로 합니다. 전장 환경의 고도화로 소프트웨어가 전장의 승패를 가르는 시대가 되었다는 것이 발의 취지입니다. 이는 K-RMF와 함께, 국방 무기체계에 자동차 수준의 소프트웨어·보안 거버넌스를 이식할 제도적 토양이 이제 막 갖춰지고 있음을 보여줍니다.

7. 암호 키가 작동하는 방식: 4대 보안기술의 내부 구조

7.1 Secure Boot — 신뢰의 뿌리를 하드웨어에 박다

 Secure Boot는 하드웨어 기반의 신뢰 루트(Root of Trust)를 통해 부팅 시점부터 신뢰할 수 없는 소프트웨어의 실행을 원천 차단하는 기술입니다. 하드웨어(ROM)에서 시작해 부트로더, OS 커널, 애플리케이션으로 이어지는 각 단계는 이전 단계에 의해 서명이 검증되어야만 다음 단계로 넘어갈 수 있는 체인 오브 트러스트(Chain of Trust) 구조를 이룹니다. 이 과정에서 마스터 키, 부트 스테이지 값, 이미지 ID, 디바이스 ID 등을 키 기반 키유도함수(KBKDF)에 입력해 단계별 검증에 필요한 키를 파생시키고, 각 단계는 이 값을 이용한 서명 검증을 통과해야 실행됩니다. 적용 알고리즘으로는 RSA-3072 또는 ECDSA(P-256)가 쓰이며, 기기별 고유 ID를 기반으로 한 공개키 검증을 통해 변조가 탐지되면 부팅을 즉각 중단합니다. 이는 K-RMF의 SI-7(소프트웨어 및 정보 무결성) 통제 항목이 요구하는, 부팅 시 펌웨어 무결성 검사 및 변조 시 실행 차단 요건과 정확히 맞닿아 있습니다.

7.2 Secure Flash 2.0 — 전자서명 기반 펌웨어 업데이트 보호

 Secure Flash는 단순 암호화를 넘어 하드웨어 보안 영역과 연동해, 외부 Flash 적출 공격을 방어하고 인가된 펌웨어만 업데이트되도록 하는 기술입니다. 개발자가 펌웨어를 생성하고 전자서명을 남기면, 이 서명은 기기 내부에 신뢰된 공개키로 검증됩니다. 검증을 통과하지 못한 펌웨어, 즉 악성 코드가 포함된 비인가 펌웨어는 게이트키퍼(Gatekeeper) 단계에서 걸러져 실행되지 않습니다. 여기에 세 가지 하위 기술이 결합합니다. 업데이트 패키지의 디지털 서명을 검증하는 Secure Update, Flash 데이터를 기기 고유 키로 암호화해 칩을 물리적으로 탈취당해도 데이터를 해석할 수 없게 만드는 HW Binding, 그리고 보안 저장소에 펌웨어 버전을 기록해 강제 다운그레이드 공격을 막는 Anti-Rollback입니다. 서명 검증에는 RSA-3072 또는 ECDSA(P-256/384)가, 데이터 암호화에는 AES-256(GCM/XTS)이 사용되며, K-RMF의 SI-7(무결성)과 SC-28(휴지 시 정보 보호) 항목에 대응합니다.

7.3 Secure Debug — 물리적 침투와 리버스 엔지니어링 차단

 무기체계가 적군에게 피탈되는 상황은 자동차 산업에서는 상정하지 않는 시나리오지만, 국방에서는 반드시 대비해야 하는 위협입니다. Secure Debug는 JTAG, UART 등 디버그 포트를 통한 시스템 제어권 탈취 및 리버스 엔지니어링을 방지하는 기술입니다. 디버그 포트가 활성화되면 고유 토큰 기반의 암호학적 인증을 요구하는 챌린지-리스폰스(Challenge-Response) 절차가 작동하고, PBKDF2를 이용해 제어기 시리얼번호별로 서로 다른 Debug Password를 주입함으로써 소프트웨어적인 Debug Lock을 구현합니다. 여기에 더해 하드웨어 퓨즈를 절단하거나 비정상적인 접근이 감지되면 물리적으로 영구 비활성화되는 Anti-Tamper 기능이 최후의 방어선을 이룹니다. 적용 알고리즘은 HMAC-SHA256 또는 AES-128이며, K-RMF의 AC-17/18(원격·무선 접속 통제) 항목과 대응합니다.

7.4 Secure Access(SecOC) — 제어기 간 통신의 무결성

 Secure Access는 내부 메모리·레지스터에 대한 접근 권한을 ARM TrustZone과 같은 기술로 물리적으로 분리하고(Hardware Isolation), 제어기 간(On-board) 통신 메시지의 위·변조를 방어하는 기술입니다. CAN이나 Ethernet 통신에서는 각 메시지에 페이로드(Payload), 프레시니스 값(Freshness Value), 메시지 인증 코드(MAC)를 추가하는 SecOC(Secure Onboard Communication) 방식이 적용됩니다. 보안 레벨, 세션 ID, ECU ID 등을 KBKDF에 입력해 접근 권한별로 서로 다른 키를 분리 생성하며, 알고리즘으로는 AES-128(CMAC)과 SHA-256이 쓰입니다. 이는 K-RMF의 AC-3(접속 권한 최소화)와 SC-8(전송 중 정보 보호·재전송 공격 방어) 항목에 대응합니다.

7.5 무기체계 OTA의 실제 흐름: 통신이 끊겨도 무결성을 지키는 이중 검증

 이 네 가지 기술이 실제 OTA 업데이트 과정에서 어떻게 맞물리는지를 살펴보면 그림이 더 명확해 집니다. 제조사(OEM)의 보안 구역(Secure Zone)에서는 제어기 펌웨어를 AES 대칭키로 암호화하는 동시에, 같은 펌웨어의 해시값(SHA-256)을 구해 이를 다시 RSA 개인키로 암호화(전자서명)합니다. 암호화된 펌웨어와 서명된 해시값은 각각 별도의 OTA 채널로 드론·제어기의 HSM(하드웨어 보안 모듈) 구역에 전달됩니다. 수신 측에서는 AES 대칭키로 펌웨어를 복호화한 뒤 자체적으로 해시값(Hash #1)을 계산하고, 동시에 RSA 공개키로 서명을 복호화해 얻은 원본 해시값(Hash #2)과 비교합니다. 두 해시가 일치할 때만 펌웨어 업데이트가 실행됩니다. 이 구조의 핵심은, 제조사의 전자서명을 드론 제어기 스스로 검증한다는 점에 있습니다. 즉 중앙 서버와의 통신이 단절된 상황에서도, 기체에 내장된 HSM만으로 100%에 가까운 무결성 검증이 가능합니다. 이는 통신 두절이 상시적으로 발생할 수 있는 실제 작전 환경에서 특히 중요한 설계 원칙입니다.

📧 nkm_biz@mdsit.co.kr     ✍️ 문의남기기