자동차, 의료기기, 상수도, 전력망까지 생명과 직결된 시스템의 디지털 구성요소가 잇달아 사이버 공격에 노출되는 동안, 항공기의 컴퓨터 시스템만큼은 해커의 손이 닿기 어려운 영역으로 여겨져 왔다. 그러나 UC 샌디에이고와 오벌린 칼리지 연구진은 이 통념을 정면으로 흔드는 접근법을 10년 넘게 파고들었다. 인터넷을 통한 원격 침투가 어렵다면, 스파이나 사보타주 공작이 오프라인 고가치 컴퓨터를 노릴 때 쓰던 방식—몰래 물리적으로 접근해 악성 코드를 실행하는 장치를 꽂는 방식—을 항공기에도 적용할 수 있지 않겠느냐는 발상이다.
연구진이 유즈닉스(Usenix) 보안 콘퍼런스에서 공개하는 기법의 핵심은 60초도 안 되는 시간에 보잉 737 외부의 해치를 열고, 동전 크기의 와이파이 내장 장치를 포트에 꽂는 것이다. 제작 비용은 100달러 미만이다. 이 장치는 737 내부 네트워크에 정상 신호보다 높은 전류의 전기 신호를 흘려보내 자동조종장치에 명령을 위조하거나, 이륙과 연료 계산에 쓰이는 핵심 값을 조작하면서 조종사 화면에는 정상값을 그대로 보여줄 수 있다. 연구진에 따르면 이런 미세한 조작은 활주로 이탈, 다른 나라 영공으로의 항로 변경, 최악의 경우 추락까지 유발할 수 있다.
15초의 포트, Bus Driver 기법
이 연구는 오래전 인터넷을 통해 자동차의 조향과 제동 장치를 해킹해 자동차 보안 관행을 바꿔놓은 팀에서 출발했다. 다음 목표를 항공기로 삼자는 제안이 나왔지만, 보잉 737은 주차장에 세워 두고 실험할 수 있는 대상이 아니었다. 연구진은 수년에 걸쳐 중고 시장에서 737 컴퓨터 부품을 수만 달러어치 사들여 'Triton'이라 이름 붙인 항공전자 테스트베드를 조립했다. 주유소 결제 단말기에 심는 카드 스키머 연구가 계기가 되어, 내부 버스(bus)에 장치를 꽂아 데이터를 읽고 나아가 제어까지 노리는 위협이 항공기에도 성립할 수 있다는 가설이 세워졌다.
연구원 샘 크로는 수백 페이지의 보잉 배선도를 뒤져, 잠금장치 없이 해치만으로 덮인 한 포트가 비행관리컴퓨터(FMC)와 다목적제어표시장치(MCDU)의 데이터를 나르는 버스에 연결된다는 사실을 찾아냈다. 이 버스에 정상보다 높은 전류의 신호를 보내면 기존 명령을 자신의 명령으로 덮어쓸 수 있었고, 연구진은 이 기법을 'Bus Driver'라 명명했다. 장치는 먼지 덮개 아래에 완전히 숨을 만큼 작아졌고, 이론상 기내 와이파이망을 통해 인터넷에 접속해 공격자가 원격으로 조작하는 시나리오까지 상정됐다.
조종사가 복구할 수 있다는 반론과 그 한계
연구진은 FMC에 접속해 자동조종에 입력된 경유지를 바꾸거나 기체 중량·외기온 같은 변수를 조작하고, MCDU를 건드려 그 변경이 조종사 화면에 뜨지 않도록 막을 수 있음을 실험으로 확인했다. 외기가 실제보다 차갑다고, 또는 탑재 하중이 실제보다 가볍다고 조종사를 속이면 737은 활주로가 끝나기 전에 이륙 속도에 도달하지 못할 수 있다. 항로를 조작하면 다른 나라 영공으로 유도하거나, 태평양 상공에서 3도만 침로를 틀어 항공기를 엉뚱한 곳으로 보낼 수도 있다.
다만 연구진 스스로도 신중한 조종사라면 거의 모든 공격에서 회복이 가능하다고 인정한다. 수동 조종으로 전환하면 자동조종이 무력화되고, MCDU가 해킹돼도 조종석의 다른 화면에는 올바른 값이 표시된다. 문제는 조종사가 '무언가 맞지 않는다'는 사실은 알아채도 그 원인을 알 수 없어 혼란에 빠질 수 있다는 점, 그리고 조작이 충분히 미세하면 너무 늦게까지 눈치채지 못할 수 있다는 점이다. 논문 저자들은 이 연구가 공황이나 항공기 운항 중단의 근거가 아니라고 못 박으며, 자신들도 보잉 737을 일상적으로 타고 앞으로도 그럴 것이라고 밝혔다.
보잉의 반박과 실무적 시사점
연구진은 6년 전부터 보잉과 발견 내용을 공유했고 보잉 시설의 시험실에서 공격을 시연하기도 했다. 보잉은 자체 검토를 수행했다면서도 실질적 위험은 낮다고 선을 그었다. 시스템 설계와 운용 환경에 이미 여러 겹의 보호가 있어 실제 공격의 실현 가능성과 위험을 상당히 제한한다는 입장이다. 반면 연구진은 보잉으로부터 구체적인 기술적 수정 방안을 통보받지 못했으며, 상용기의 재설계가 드물게 이뤄지는 특성상 실제 반영에는 수년이 걸릴 수 있다고 본다.
한국 항공·보안 실무자 관점에서 이 연구가 던지는 핵심은 취약점의 상당 부분이 소프트웨어가 아니라 '지상에서 누가 기체에 접근할 수 있는가'라는 운영 보안의 문제라는 점이다. 연구진이 제시한 가장 단순한 대책은 문제의 포트를 에폭시로 막거나 커넥터를 아예 제거하는 것이고, 장기적으로는 Bus Driver 기법을 탐지하는 소프트웨어 방어, 군용기처럼 강화된 전기적 격리, 신호 위조를 막는 암호 인증 도입이 거론된다. 정비·지상 인력의 접근 통제와 물리 보안이 사이버 방어의 최전선이 될 수 있다는 신호이며, 당장의 패치가 없는 만큼 항공업계가 중장기 대비책으로 다뤄야 할 사안이라는 것이 연구를 이끈 스테판 새비지 교수의 경고다.