오픈소스 드론 펌웨어 보안을 위한 SBOM 기반 검증 프레임워크 연구 = A SBOM-Based Verification Framework for Open-Source Drone Firmware Security

국문 초록 (Abstract)

Pixhawk 등의 오픈소스 기반 드론 플랫폼은 높은 유연성과 확장성을 바탕으로 다양한 산업에서 연구 목적으로 널리 활용되고 있다. 그러나, 오픈소스 프로젝트는 태생적으로 알려진 보안 취약점이 존재 할 가능성이 높으므로 이러한 취약점을 악용한 공격을 완전히 벗어나기 어렵고 최종적으로는 사용자의 안전과 드론에 대한 신뢰성을 위협할 수 있다. 특히, 일반적인 소스코드 및 SBOM(Software Bill of Materials) 기반 취약점 검증 방식을 적용하기에는 드론 펌웨어의 모놀리식 구조와 오픈소스 드론 프로 젝트의 라이선스 정책상 소스코드 공개가 의무가 아니라는 점이 더해져 효율적인 검증이 불가능하다는 한계가 존재한다. 본 논문은 NIST 데이터베이스에 등재된 PX4-Autopilot 프로젝트의 CVE-2024-40427 취약점을 대상으로 SITL 환경에서 DoS(Denial of Service) 공격을 실증 시험하였으며, 소스코드가 아닌 펌웨어 빌드 과정에서 생성되는 부가적인 자료들로부터 SBOM 데이터를 추출, 검증기관이나 구매기관이 신뢰성 있게 오픈소스 드론 펌웨어의 취약점을 체계적으로 검증할 수 있는 프레임워크를 제안한다.

다국어 초록 (Multilingual Abstract)

Open-source drone platforms, such as Pixhawk, are widely utilized for various industrial and research purposes due to their high flexibility and scalability. However, the nature of open-source projects often entails the presence of known security vulnerabilities, which, if exploited, can compromise user safety and undermine trust in the drone systems. In particular, applying conventional source code and SBOM(Software Bill of Materials)-based vulnerability verification approaches is often ineffective due to the monolithic structure of drone firmware and the fact that open-source drone project licenses do not mandate source code disclosure. This paper conducts a practical demonstration of a Denial of Service (DoS) attack in a SITL (Software-in-the-Loop) environment, targeting the CVE-2024-40427 vulnerability reported in the NIST database for the PX4-Autopilot project. Furthermore, it proposes a verification framework that allows certification and purchasing agencies to systematically and reliably assess vulnerabilities in open-source drone firmware by extracting SBOM data not from source code, but from auxiliary artifacts generated during the firmware build process.

목차 (Table of Contents)

• 제1장 서론 1
• 제2장 배경지식 2
• 2.1. 드론 시스템 2
• 2.1.1 드론 비행체 3
• 2.1.2 무선통신 기술 6
• 2.1.3 무선통신 환경 8
• 2.1.4 지상관제 시스템 9
• 2.2. Pixhawk 11
• 2.2.1 하드웨어 플랫폼 11
• 2.2.2 소프트웨어 스택 14
• 2.2.3 활용 분야 16
• 2.3. 드론 시장 동향 21
• 2.3.1 글로벌 시장 22
• 2.3.2 국내시장 23
• 2.3.3 오픈소스 플랫폼의 위치 24
• 2.4. SBOM 25
• 2.4.1 SBOM의 역할과 필요성 27
• 2.4.2 SBOM의 구성요소 및 최소 요건 29
• 2.4.3 SBOM의 활용 방안 33
• 제3장 관련 연구 36
• 3.1 상용 드론의 취약점 36
• 3.1.1 통신 취약점 36
• 3.1.2 펌웨어 및 소프트웨어 취약점 37
• 3.1.3 물리적 취약점 37
• 3.1.4 프라이버시 및 데이터 보안 37
• 3.1.5 운영 환경 취약점 38
• 3.1.6 대응 및 보안 강화 방안 39
• 3.1.7 상용 드론의 취약점에 관한 연구 39
• 3.2. 오픈소스 드론의 보안 취약점에 대한 연구 40
• 3.3. 드론 보안 위협에 대한 체계적 연구 42
• 3.4. Pixhawk 보안 취약점 43
• 3.5 기존 연구의 한계 및 본 논문의 필요성 45
• 제4장 본론 47
• 4.1. 취약점 실증 49
• 4.2. 오픈소스 드론에 대한 SBOM 기반의 체계화된 검증 기법 제안 51
• 4.2.1 소스코드 제공의 어려움 52
• 4.2.2 드론 펌웨어의 모놀리식 구조 53
• 4.2.3 효율적인 검증의 필요성 55
• 4.2.4 오픈소스 드론 취약점 데이터베이스 57
• 4.2.5 개발사에서 제출하는 SBOM 정보가 포함된 펌웨어 관련 파일 58
• 4.2.6 자동화된 SBOM 기반 취약점 검색 엔진 65
• 제5장 결론 67
• 5.1 본 연구의 주요 기여 67
• 5.2 본 연구의 한계 및 위협 요인 68
• 5.3 향후 연구 과제 68
• 참고문헌 69