보안 교육

Security Basics

자동차가 단순한 이동 수단에서 연결성을 지닌 최첨단 ICT기기로 변모함에 따라 사이버 보안의 중요성이 강조되고 있으며, 세계 각 기관/완성차 제조사에서는 사이버 보안을 위한 가이드라인/요구사항을 배포하고 있습니다. 가이드라인/요구사항의 올바른 이해를 위해서는 사이버 보안의 용어/원칙/알고리즘에 대한 이론적 이해가 필수적입니다. 이 교육에서는 사이버보안에서 일반적으로 사용되는 용어, 알고리즘, 프로토콜에 대한 동작 방식과 제약 사항에 대한 기반 지식을 배울 수 있습니다. 이러한 기반 지식은 사이버 보안 가이드라인, 표준 및 보안 요구사항을 올바르게 분석할 수 있도록 하고, 나아가서는 더욱 안전한 제품 개발에 도움을 줍니다.

Security Product Design

Overview

사이버보안의 중요성이 대두됨에 따라 세계 각 기관에서는 사이버보안 가이드라인과 법규 그리고 원칙들을 배포하고 있습니다. 뿐만 아니라 자동차 사이버보안을 위한 ISO표준화도 진행 중입니다. 이러한 사이버보안 문서에 대한 올바른 이해를 통해 가이드라인을 준수하고 안전한 보안 제품을 개발하기 위해서는 보안 용어/원칙/기술에 대한 이론적 배경이 필요합니다. 또한 개발 라이프 사이클 전 영역에 걸쳐서 필요한 보안 활동을 식별해야 하고, 위협에 대응할 수 있는 보안 대책을 도출할 수 있는 능력이 요구됩니다. 이 교육에서는 사이버보안에서 일반적으로 사용되는 용어, 알고리즘, 프로토콜에 대한 동작 방식과 제약 사항, 보안 원칙 그리고 접근 제어에 대한 기반 지식을 배울 수 있습니다. 이러한 기반 지식은 보안 가이드라인, 표준 및 보안 요구사항을 올바르게 분석할 수 있도록 하고, 나아가서는 더욱 안전한 제품 개발에 도움을 줍니다.

Security Risk Analysis

사이버보안의 중요성이 대두됨에 따라 세계 각 기관에서는 사이버보안 가이드라인과 법규 그리고 원칙들을 배포하고 있습니다. 그 중 차량 관련 규제를 관장하는 UNECE WP.29에 의하면, 차량의 사이버 보안은 설계 단계에서부터 반영되어야 함을 언급하고 있는데, 이는 제품 설계 시 사이버 보안 위협을 받을 수 있는 자산이 무엇이며, 이 자산에 대해서 어떠한 위험이 존재 할 수 있는지 그리고 해당 위험이 얼마나 중요한가를 판단하여 이에 대한 대응책을 설계 단계에서 미리 고려해야 한다는 의미입니다. 이에 OEM과 Tier에서는 제품 설계 단계에서 제품에 대한 올바른 보안 위험 분석을 수행할 수 있는 능력이 필요시 됩니다. 이 교육은 요구사항 분석 단계에서부터 제품에 발생할 수 있는 위험을 핸들링 할 수 있는 체계적인 ESCRYPT만의 접근법을 설명합니다. 이 접근법은 IT보안 인증의 국제 표준인 C.C.(Common Criteria)로 부터 영감을 받고, ESCRYPT만의 노하우를 바탕으로 만들어졌습니다. 특히 본 교육에서는 보안 위험 분석 방법론에 대한 이론적 설명에 그치지 않고, 차량용 ECU 예제를 통해 교육 참석자들이 직접 위협을 식별하고, 객관적인 수치로 위험을 평가할 수 있도록 실습을 진행합니다.

Secure Connected Products

연결성(Connectivity)은 기술 혁신을 촉진하는 주요 원동력 중 하나입니다. IoT 제품뿐 만 아니라 공장과 차량에 이르기 까지 다양한 산업 분야에서 연결성이 확대되고 있습니다. 반면에 이러한 연결성의 증가는 공격 접점의 확대와 더불어 제품 내부 연결성에서 비롯된 보안상 취약점이 존재할 수 있습니다. 이에 우리는 연결성을 위해 사용되는 인터페이스, 표준화된 스택, 보안 프로토콜에 대한 이해가 필요하며, 이러한 이해를 기반으로 시스템을 설계, 개발, 운영할 수 있는 능력이 요구됩니다. 이 교육에서는 제품이 가지는 다양한 인터페이스에 대해서 이론적 지식과 실습을 통한 실무적 경험을 제공합니다. 먼저, 인터넷 프로토콜(IP)상에서 일반적으로 사용되는 TLS, SSH, IPSec과 같은 보안 프로토콜의 구성 및 취약점과 IoT환경에서 사용되는 Bluetooth, NFC, ZigBee같은 보안 프로토콜에 대해서 설명합니다. 또한 원격 인터페이스를 통한 실제 공격 사례를 살펴보고, 실제 시스템(Linux)을 대상으로 공격에 대한 데모(시스템 침투, 권한상승)를 수행합니다. 마지막으로 안전한 웹 서비스를 위한 완화 방안을 설명합니다.