플러그 앤 플레이부터 영구 루트까지: Herilary CarPlay 해킹

플러그 앤 플레이부터 무선 장악까지: Herilary C-4 CarPlay 해킹이 EU 사이버 복원력 법안에 경종을 울리는 이유

사이버 보안 인사이트 보고서

무선 Apple CarPlay는 현대 운전자들에게 탐나는 기능이 되었으며, 구형 인포테인먼트 시스템의 간극을 메우는 애프터마켓 USB 동글 시장이 급성장하고 있습니다. 그러나 무선 연결의 편리함은 종종 놀라운 보안 허점을 가리고 있습니다.

보안 연구원 Louis Erbkamm이 50달러짜리 “Herilary C-4” CarPlay 동글을 최근 분석한 결과—IT4Sec 사이버 보안 뉴스레터에서 강조된 바와 같이—치명적인 취약점의 연쇄를 드러냈습니다. Erbkamm은 몇 시간 만에 로컬 공격자가 어떻게 제로 클릭, 무선 침해를 달성하여 1분도 안 되는 시간에 영구 루트 셸을 확보할 수 있는지 시연했습니다.

이 연구는 흥미로운 기술 사례 연구를 넘어, 유럽 연합의 임박한 사이버 복원력 법안(CRA)이 단순한 관료적 형식주의가 아니라 소비자 안전을 위한 절대적인 필수 요소인 이유를 명확하게 보여주는 예시입니다. 여기서는 공격의 해부학적 구조와 이러한 장치들이 유럽 시장에서 곧 가혹한 입법적 심판에 직면하게 될 이유를 심층적으로 다룹니다.

공격의 해부학: 무선 펌웨어 하이재킹

Herilary C-4는 Allwinner V831 SoC에서 실행되는 표준 임베디드 Linux 시스템으로 작동합니다. iPhone과 통신하기 위해 동글은 자체 Wi-Fi 액세스 포인트를 브로드캐스트합니다. 보안은 거기서부터 거의 즉시 무너집니다.

1. 정문이 활짝 열려 있습니다

초기 공격 벡터는 정교한 크래킹을 필요로 하지 않습니다. 이 장치는 전역적으로 하드코딩된 변경 불가능한 비밀번호로 보호되는 Wi-Fi 네트워크를 브로드캐스트합니다. 차량에 물리적으로 가까운 사람은 누구나 온라인에서 기본 자격 증명을 찾아 동글의 네트워크에 연결할 수 있습니다.

2. 인증되지 않은 웹 인터페이스

네트워크에 연결되면 공격자는 동글의 로컬 웹 인터페이스에 액세스할 수 있으며, 이는 무선(OTA) 업데이트 및 로그 관리에 사용됩니다. Erbkamm은 이 인터페이스에 인증 기능이 전혀 없다는 것을 발견했습니다. 네트워크의 모든 클라이언트는 Common Gateway Interface(CGI) 엔드포인트와 상호 작용할 수 있습니다.

3. 펌웨어 무결성의 환상

장치의 업데이트 메커니즘을 분석한 결과, 연구원은 펌웨어 패키지(SWUpdate 형식)가 완전히 암호화되지 않았다는 것을 발견했습니다. 더 중요한 것은, 장치가 암호화 서명 검증(예: 보안 부팅 또는 서명된 OTA 업데이트)을 강제하지 않는다는 것입니다. 유일한 무결성 검사는 공격자가 쉽게 재계산할 수 있는 해싱 알고리즘인 기본적인 MD5 체크섬입니다.

4. 루트 권한 획득

펌웨어가 인증되지 않았기 때문에 Erbkamm은 펌웨어를 추출하고 내부 Linux 파일 시스템을 수정하며 사용자 지정 CGI 웹 셸을 시작 스크립트에 주입할 수 있었습니다. 펌웨어를 다시 패키징하고 MD5 해시를 재계산한 후, 단 하나의 `curl` 명령만으로 악성 업데이트를 동글에 푸시할 수 있었습니다.

장치는 파일을 기꺼이 수락하고 자체 플래시한 후 재부팅했습니다. 동글은 권한 분리가 부족하고 모든 서비스를 `root`(UID 0)로 실행하기 때문에 주입된 웹 셸은 공격자에게 장치에 대한 즉각적이고 영구적이며 인증되지 않은 관리 제어 권한을 부여했습니다.

IoT 공포의 방

루트 셸은 빙산의 일각에 불과했습니다. 해체 결과 다음과 같은 부주의한 엔지니어링 관행이 드러났습니다.

하드코딩된 클라우드 자격 증명: 펌웨어에는 사용자 진단 로그(MAC 주소 및 시스템 데이터 포함)를 중국 서버에 업로드하는 데 사용되는 하드코딩된 Alibaba Cloud 액세스 키가 포함되어 있었습니다. 이는 개인 정보 보호 정책이나 사용자 동의 없이 이루어졌습니다.
네트워크 필터링 없음: 이 장치에는 iptables나 기본적인 방화벽이 없습니다. 모든 서비스는 0.0.0.0에서 수신 대기하며, Wi-Fi 네트워크의 모든 사람에게 수십 개의 TCP 포트를 노출합니다.
사소한 비밀번호: /etc/shadow 파일에는 크랙 가능한 DES 해시 기본 루트 비밀번호가 있었습니다.
위조 하드웨어: 이 장치는 위조 Apple MFi(Made for iPhone) 인증 칩을 사용하여 보안 및 법적 위험을 모두 초래했습니다.
공개 경로 없음: “Herilary” 브랜드는 연락 가능한 보안 담당자가 없는 화이트 라벨 업체로, 책임 있는 취약점 공개를 불가능하게 만듭니다.

EU 사이버 복원력 법안(CRA)의 등장

수년 동안 IoT 및 소비자 전자 제품 시장은 “출시하고 잊어버리는” 사고방식으로 운영되어 왔습니다. 2024년 말에 발효되어 2026년과 2027년에 엄격한 시행 기한이 다가오는 EU 사이버 복원력 법안(EU 2024/2847)은 바로 이러한 패러다임을 종식시키기 위해 고안되었습니다.

Herilary C-4가 다가오는 CRA 의무 사항에 따라 평가된다면, 여러 필수 요구 사항에서 엄청나게 실패할 것입니다.

1. 설계 및 기본값에 의한 보안

CRA는 보편적인 기본 비밀번호 사용을 금지합니다. 새로운 규정에 따라 장치는 초기화 시 사용자에게 고유한 비밀번호를 설정하도록 요구하거나, 장치별로 고유하고 무작위화된 자격 증명을 제공해야 합니다. C-4의 변경 불가능한 Wi-Fi 키는 이 의무 사항에 대한 직접적인 위반입니다. 또한 CRA는 장치가 공격 표면을 최소화하도록 설계되어야 한다고 규정합니다. 모든 임베디드 서비스를 `root`로 실행하고 로컬 방화벽이 없는 것은 최소 권한의 핵심 원칙을 위반하는 것입니다.

2. 보안되고 인증된 업데이트

CRA는 디지털 요소를 포함하는 제품이 소프트웨어 업데이트의 무결성과 진정성을 보장해야 한다고 명시적으로 요구합니다. 우회 가능한 MD5 체크섬에 의존하던 시대는 끝났습니다. 제조업체는 합법적이고 제조업체가 승인한 코드만 장치에 플래시될 수 있도록 암호화 서명(예: 비대칭 키 쌍)을 구현해야 할 법적 의무를 지게 될 것입니다.

3. 취약점 처리 및 공개

Erbkamm이 공급업체 연락처를 찾을 수 없었던 것은 거대한 시스템적 문제를 강조합니다. CRA에 따라 취약점 관리는 더 이상 선택 사항이 아닙니다. 2026년 9월부터 제조업체는 다음을 수행해야 합니다.

보안 연구원을 위한 명확하고 공개적인 연락 지점을 유지합니다.
공식적인 취약점 처리 프로세스를 문서화합니다.
활발하게 악용되는 취약점을 발견 후 24시간 이내에 유럽 연합 사이버 보안국(ENISA) 및 국가 CSIRT에 보고합니다.

화이트 라벨 유통업체는 더 이상 익명의 공급망 뒤에 숨을 수 없습니다. EU 시장에 제품을 출시하는 주체가 법적 책임을 집니다.

4. 데이터 보호 및 개인 정보 보호

사용자 동의 없이 하드코딩된 API 키를 통해 장치 로그를 클라우드 스토리지로 자동 유출하는 것은 저장 및 전송되는 데이터의 기밀성을 보호해야 하는 CRA의 요구 사항을 노골적으로 위반합니다. 장치는 기본적으로 데이터 보호가 활성화된 상태로 출시되어야 하며, 원격 측정 데이터가 안전하고 투명하며 옵트인 방식임을 보장해야 합니다.

결론

Herilary C-4는 소비자 IoT의 붕괴된 상태를 완벽하게 보여주는 축소판입니다. 운전자들이 값싼 동글을 자동차에 연결할 때, 그들은 자신도 모르게 개방적이고 취약한 Linux 서버를 차량의 로컬 네트워크로 초대하는 것입니다.

EU 사이버 복원력 법안은 책임의 엄청난 변화를 의미합니다. 미준수 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5%에 달하는 벌금이 부과되므로, 제조업체는 더 이상 보안을 나중에 생각할 문제로 취급할 여유가 없습니다. Erbkamm의 연구는 이러한 장치를 악용하는 장벽이 위험할 정도로 낮다는 것을 증명합니다. CRA 덕분에 이러한 장치를 판매하는 법적 장벽은 극복할 수 없게 될 것입니다.