2021년형 혼다 시빅(Honda Civic) 차량의 헤드유닛(Head Unit)에서 심각한 보안 취약점이 발견되었습니다. 이 취약점은 USB 업데이트 경로를 통해 공개된 안드로이드 오픈소스 프로젝트(AOSP) 테스트 키로 서명된 업데이트를 받아들여, 물리적 접근만으로 임의 코드를 실행할 수 있게 합니다. 이는 '이블 발레(EvilValet)'라는 이름의 공격 시나리오로 설명되며, 차량 인포테인먼트 시스템의 보안이 얼마나 허술할 수 있는지 보여주는 사례입니다.
이번 취약점은 혼다의 헤드유닛 업데이트가 안드로이드 리커버리(Android recovery)를 통해 적용되며, 리커버리 바이너리가 수정되었음에도 서명 검증 로직이 기본 AOSP와 일치한다는 점에서 비롯됩니다. 공격자는 적절히 포맷된 USB 드라이브에 공개 AOSP 테스트 키로 서명된 업데이트 파일을 담아 차량의 USB 포트에 연결하기만 하면, 루트(root) 권한 없이도 헤드유닛에 원하는 코드를 설치할 수 있습니다. 연구진은 업데이트 파일 준비를 돕는 'ota-builder'와 역공학을 위한 'apk-rebuilder' 같은 도구를 개발해 이 과정을 시연했습니다. 예를 들어, 발레파킹 담당자가 차량에 물리적으로 접근하여 USB를 통해 악성 업데이트를 설치하면, 운전자는 차량 반환 후에도 헤드유닛이 변경되었음을 인지하지 못할 수 있습니다.
이러한 취약점은 단순히 차량 인포테인먼트 시스템의 기능 변경을 넘어, 운전자의 사생활 침해와 데이터 보안에 심각한 위협이 될 수 있습니다. 헤드유닛에는 연락처, 위치 기록, 원격 측정 데이터 등 민감한 개인 정보가 저장될 수 있으며, 해킹된 시스템은 차량 내부 버스(in-vehicle bus)에 접근하여 더 광범위한 차량 제어 시스템에 영향을 미칠 가능성도 있습니다. 이번 사례는 자동차 제조사들이 인포테인먼트 시스템의 편의성뿐만 아니라 보안에도 더욱 철저한 접근이 필요함을 강조하며, 사용자는 차량 내 연결 기기 사용에 주의를 기울여야 할 것입니다.