붙임 2		’21년도 사이버보안 챌린지 대회 문제정의서

2021년도 사이버보안 챌린지 대회 문제정의서

- 차량용 인포테인먼트 시스템의 보안 취약점을 찾아내고,
이를 이용한 공격과 이에 대응하는 방어기술을 제시하라 -

□ 대회 개요

ㅇ 대회명 : 2021년도 사이버보안 챌린지 대회

ㅇ 선발시기 / 규모 : [예선] ’21. 8. 2.(월) ~ 9. 15.(수) / 8개팀 선발
[본선] ’21. 11. 24.(수) / 최우수팀 1개팀 선발

※ 본선대회 일정은 주최측의 상황에 따라 변동가능

ㅇ 주최 / 주관 : 과학기술정보통신부 / 정보통신기획평가원

※ 총괄운영기관 : ㈜컬처메이커스, 고려대학교 정보보호 대학원, 한국인터넷진흥원

□ 추진배경

ㅇ 최근 폭스바겐, 도요타 등 자동차 업계는 차량 내에서의 소프트웨어의 역할이 확대되며 차량용 운영체제 개발에 노력을 경주 중

※ (폭스바겐) ’20년 5,000명 규모의 ‘카 소프트웨어’ 조직 신설, (도요타) ’22년까지 ‘소프트웨어 퍼스트’ 체제로 전환 목표, (벤츠) ’24년까지 엔비디아와 차세대 자동차 컴퓨팅 플랫폼 공동개발 목표

ㅇ 차량용 소프트웨어는 크게 ❶전장부품 통합제어용 운영체제(OS), ❷인포테인먼트SW, ❸외부연계 통신, 서비스SW로 분류되며,

- 특히, 인포테인먼트 분야는 블랙베리의 QNX와 리눅스 Ubuntu기반의 AGL(Automotive Grade Linux)이 대표적인 운영체제로 발전

※ 인포테인먼트 OS 시장점유율 추이 : (’18) QNX 47.5% / AGL(28%), (’19) QNX 46.4% / 34.4%, (’20E) QNX 45.9% / 39.8%, (’21E) 45.4% / 45.2% [출처 : Statista]

ㅇ 한편, 자율주행차·차세대 전기차 등 차량이 점차 지능화되고 소프트웨어 기반으로 가속화됨에 따라 이에 따른 보안기술 확보가 시급한 상황

- 미래 자동차 환경은 운전자의 다양한 생체정보 등 개인정보 유출뿐 아니라, 의도하지 않은 주행상황 야기 등 안전과 직결될 수 있어 관련 보안기술의 확보는 무엇보다 중요

ㅇ 정부에서는 4차 산업혁명의 핵심 산업분야인 미래 자동차 환경의 보안기술 확보, 취약한 연구생태계의 활성화를 위해 금년도 대회의 도전문제를 ‘차량용 인포테인먼트 시스템*의 공격 및 방어’로 선정

* IVI, In-Vehicle Infortainment system

□ 도전문제

◈ 차량용 인포테인먼트 시스템의 보안 취약점을 찾아내고, 이를 이용한 공격과 이에 대응하는 방어기술을 제시하라!

ㅇ 본 대회에서는 주어진 AGL 기반의 차량용 인포테인먼트 시스템 이미지 환경 내 보안 취약점을 찾고, 이를 활용한 공격기술과 방어기술에 대한 연구를 도전문제로 선정

□ 예선대회 시나리오

ㅇ (개요) 주최측은 가상의 차량 인포테인먼트 시스템 이미지를 온라인을 통해 배포하고, 참가팀은 이를 분석하여 최대 5개의 취약점을 찾아내어 이를 이용한 공격 소스코드를 온라인으로 제출

※ 예선 제출기간 / 방법 : ’21. 8. 2.(월) 10:00 ～ 9. 15.(수) 18:00 / 대회 홈페이지(https://sec-challenge.kr)를 통해 제출

- 본선진출팀은 10. 6(수) 홈페이지를 통해 발표예정이며, 총 8개 내외의 팀을 선발하여 본선 진출기회 부여

ㅇ (대회환경) 참가팀은 라즈베리 파이 기반의 하드웨어에 주최측이 배포하는 AGL 이미지를 설치하여 가상의 인포테인먼트 시스템을 구축한 뒤, 주최측이 제시하는 공격표면을 통해 공격 실시

※ 라즈베리 파이의 사양은 Raspberry Pi 4 Model B, RAM 8GB, Micro SD카드 32GB를 기준으로 하며, 주최측이 제공하지 않음

- 참가팀은 발견한 공격에 대한 ❶취약점 보고서*, ❷공격을 재현할 수 있는 소스코드**, ❸이를 설명하는 동영상***을 온라인으로 제출

* 취약점 보고서의 포맷은 반드시 PDF로 제출할 것

** Proof of Concept : 보안 취약점 공격을 재현하기 위한 시현 소스코드

*** 동영상은 FHD 품질의 3GB 용량 및 10분 분량 이내로 구성하여야 하며, 확장자는 AVI, MOV, WMV, MP4 등 4종으로 제한함

< 시스템 구성도 >

ㅇ (평가방법) 참가팀이 제출한 공격을 심각도에 따라 정량평가(취약점별 10점 만점, 최대 5개 취약점으로 50점 만점 기준)

< 취약점 별 위험도 등급점수 >

등급	점수
저위험군	0.1 ~ 3.9점
중위험군	4.0 ~ 6.9점
고위험군	7.0 ~ 8.9점
치명적 위험군	9.0 ~ 10.0점

ㅇ (채점방법) CVSS* v3.1을 기반으로 채점하되, 차량 내 인포테인먼트 환경임을 고려하여 CAN(Controller Area Network)에 영향을 줄 수 있는 취약점을 강조하도록 일부 지표 계산법을 수정**

* Common Vulnerability Scoring System, 공통 취약점 등급 시스템

** CVSS 표준에서 일부 생략된 가중치가 존재하며, 본 대회에서는 수정된 평가표로 채점예정

번호	지표명	채점방법	비고
1	ISS (Impact Sub Score)	1 - ((1 – C) × (1 – I) × (1 – A))	[0, 1)
2	Impact	S-U : 6.42 × ISS S-C : 7.52 × (ISS – 0.029) - 3.25 × (ISS – 0.02)15
3	Exploitability	8.22 × AV × AC × PR × UI
4	CVSS Score	S-U : Roundup (Minimum [(Impact + Exploitability), 10]) S-C : Roundup (Minimum [1.08 × (Impact + Exploitability), 10])	[0, 10]

※ CVSS 스코어의 소수점 자릿수는 둘째자리에서 올림하며, 각 지표의 상세설명은 대회참가 신청 후 제공되는 추가 기술문서를 참고

□ 본선대회 시나리오

ㅇ (개요) 기술경연은 기본적으로 오프라인 환경에서 예선과 동일하게 진행하나, 타 팀의 공격을 탐지하고 방어하는 알고리즘의 성능을 추가적으로 평가

※ 일시 / 장소 : 11. 24.(수) / [예정]대전 e-스포츠 경기장((舊)대전 한빛 과학관), 사회적 거리두기 단계에 따라 온라인으로 전환가능

- 발표경연은 참가팀 별로 공격 및 탐지기술의 규정위반 행위를 확인하기 위해 방법론의 설명위주로 진행하며, 점수는 미부여

ㅇ (대회환경) 참가팀이 기제출한 공격모델, 취약점 보고서, PoC 코드, 동영상과 주최측이 준비한 라즈베리 파이 및 AGL 이미지를 토대로 주최측이 대회환경을 구성(예선환경과 동일)

ㅇ (평가방법) 공격부문에서는 구성된 대회환경에서 공격을 재현하고, 탐지부문에서는 대회 당일 참가팀으로부터 침입탐지 모델을 도커이미지로 제출받아 탐지 정확도를 정량평가

※ 도커이미지는 최대 3회 대회홈페이지를 통해 제출하고 평가에는 가장 높은 점수를 달성한 1개 모델을 반영하며, 상세 진행내용은 추후 별도안내 예정

- 참가팀이 제출한 도커이미지는 주최측이 구성한 클라우드 컴퓨팅 환경에서 문제 데이터셋에 대한 추론(인퍼런스)을 실시, 해당 모델의 탐지 정확도를 산출하여 리더보드에 표출 예정

< 부문 별 평가진행 절차도 >

공격 부문
탐지 부문

ㅇ (채점방법) 참가팀의 공격재현에 따른 점수와 탐지점수를 합산하여 최종 점수를 도출하게 되며, 참가팀의 방법론을 논리적으로 검증하기 위해 발표평가를 진행하나, 발표평가는 적부여부만 판단하고 점수에는 미반영