제8부 안전·보안·시스템공학
8.11 사이버보안 I: 감항 보안 — DO-326A/356A·ED-202A/203A
8.11.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
8.10은 물리적 전자기 환경에서 기능이 유지된다는 증거를 다루었다. 이 장은 의도적인 공격에서 감항성이 유지된다는 증거를 다룬다. 우연 고장은 확률 모형으로 다루지만 공격은 공격자의 선택에 따라 일어나므로 확률 모형이 성립하지 않는다. 그래서 항공 인증은 보안을 안전과 별개의 절차(위협 평가·보안 조치·보안 검증)로 요구하고, 그 결과를 안전성 평가가 입력으로 받게 한다. 이 장은 그 절차와 규정이 UAS·eVTOL에 어떻게 적용되는지 정리한다. 조직·지상·UTM 보안(8.12), 제품·펌웨어 보안(8.13), 기단 보안 운영(8.15), 하이재킹 대응(8.16)은 뒤의 장이 다룬다.
배우는 것:
- IUEI와 감항 보안의 범위 — 무엇이 감항 보안이고 무엇이 아닌가, 안전 사건과 보안 사건은 무엇이 다른가.
- 규정의 지형 — CS 25.1319, FAA의 2024년 NPRM(14 CFR 25.1319 등), CS-23·SC-VTOL·Light-UAS, SORA 2.5 사이버 확장, 운영자의 항공기 네트워크 보안 프로그램.
- 프로세스 — AMC 20-42의 제품 정보 보안 위험 평가(PISRA), DO-326A의 증거 자료, 위협 수준과 위험 수용성 표.
- 세 가지 계산 — 평평한 구조와 분리 구조의 공격 경로·방어 깊이, C2 명령 인증 태그 길이와 위조 수락 확률, 이중화 채널의 독립성 가정이 공통 취약점에서 성립하지 않게 되는 정도.
- 보증과 지속 감항 — 보안 검증의 방법, ICA와 운영자 보안 프로그램, 사건 보고.
선수 지식: 8.2(고장 조건 등급과 개발 보증), 8.4(안전성 평가·공통 원인 분석), 8.8(DO-178C·현장 적재 소프트웨어), 2.10(보안 부팅·갱신 채널), 3.11(C2 링크)을 읽었다고 가정한다. 암호 규격과 키 관리의 상세는 9.19가 다룬다.
특히 중요한 독자: 엔지니어는 8.11.6~8.11.8의 계산을, 인증 담당자는 8.11.3~8.11.5와 8.11.12를, 정책·법무 담당자는 8.11.3과 8.11.11을, 사업 담당자는 8.11.12(어느 입증 경로를 택할 것인가)를 먼저 읽는다.
기준 시점과 정직성. 2026년 11월 기준이다. 원문을 읽은 것: EASA AMC 20-42(AMC-20 개정 18, ED 결정 2020/006/R)와 CS 25.1319·부록 H25.6(CS-25 개정 25 변경 정보), EASA NPA 2019-01, FAA의 2024-08-21 NPRM(89 FR 67564), ARAC ASISP 최종 보고서(2016-08-22), EASA의 소형 범주 VTOL 쉬운 접근 규칙(SC-VTOL, Revision 0)에서 MOC 3 VTOL.2500(b)와 MOC VTOL.2510, EASA SC Light-UAS 고위험 01과 MOC Light-UAS.2510(-01)의 안내 문장, JARUS SORA 2.5 사이버 안전 확장(JAR_doc_31, 2024-05-13), 영국 CAA CAP 3098(2025-04, 서론·목차·OSO 5의 SAIL 구분), FAA AC 119-1A(2023-09-28). 읽지 못한 것: RTCA DO-326A·DO-356A·DO-355와 EUROCAE ED-202A·ED-203A·ED-204(유료), 후속판 ED-202B·DO-326B(발행 사실만 EASA 공개 게시물로 확인), ED-201, ASTM F3532, RTCA DO-377A, FAA의 제안 AC 20-XXX, 동력양력 감항기준의 사이버 조항. 이 표준들은 위 공개 문서가 인용하거나 소개한 범위에서만 적었고, 본문을 읽지 못한 부분은
(확인 필요), 2차 출처의 설명은(2차 출처)로 표시했다. 실제 인증 프로젝트에서는 당국이 인정한 판과 인증 계획에 합의한 내용이 우선한다.
8.11.2 개념 — 안전과 보안, 그리고 IUEI
감항 보안은 항공기의 감항성을 의도적인 비인가 전자적 상호작용(IUEI) 에서 보호하는 일이다. ARAC ASISP 보고서와 FAA NPRM은 IUEI를 RTCA 용어집에서 인용해 정의한다. 비인가 접근·사용·공개·거부·교란·변경·파괴에서 비롯되는, 정보나 항공기 시스템 인터페이스에 대한 사람의 행위로 항공기에 영향을 줄 수 있는 상황이나 사건이다. 악성 코드와 외부 시스템의 영향은 포함하고, 전자기 재밍 같은 물리적 공격은 제외한다. 보고서는 세 단어의 뜻을 각각 설명한다.
- 의도적. 악성 코드를 만든 사람의 의도를 뜻한다. 감염된 USB를 의도 없이 꽂은 사람의 행위는 해당하지 않는다.
- 비인가. 시스템 정의가 허용하지 않은 활동이다.
- 전자적. 디지털을 뜻한다. 아날로그 신호로 디지털 하드웨어를 공격하는 것은 전자적 상호작용이 아니고, 아날로그 연결을 통한 디지털 공격은 전자적 상호작용이다.
같은 용어도 문서마다 범위가 조금 다르다. SC-VTOL의 MOC 3은 "의도적이든 아니든 사람의 행위"라고 적고 물리적 공격과 전자기 교란은 제외한다. JARUS 사이버 확장은 전자기 재밍을 서비스 거부(DoS)의 한 형태로 위협 목록(1.3.1)에 넣는다. 이 장은 감항 보안 규정(FAA·EASA·SC-VTOL)의 범위를 따라 재밍을 IUEI에서 제외하고, 재밍과 GNSS 교란은 3.18·4.5·4.6에서 다룬다.
보안 사건을 안전 사건과 구분해야 하는 이유는 안전성 평가의 가정이 보안에서는 성립하지 않기 때문이다.
| 항목 | 우연 고장 | 의도적 공격 |
|---|---|---|
| 원인 | 물리 현상·설계 오류(확률 분포가 있다) | 공격자의 선택(목표·시기·수단) |
| 독립성 | 채널 사이의 독립을 가정하고 공통 원인을 따로 분석한다 | 같은 취약점이 있는 채널은 한 번에 영향을 받는다 |
| 확률 | 고장률 × 노출 시간 | 정량 확률을 정할 수 없어 정성적인 위협 수준을 사용한다 |
| 시간에 따른 변화 | 고장률이 대체로 일정하거나 모형이 있다 | 취약점이 발견·공개되면 위협 수준이 급변한다 |
| 완화의 유효성 | 시험과 통계로 확인한다 | 공격자는 시험의 가정 밖에서 시도한다 |
| 유지 | 점검·정비 | 취약점 감시와 갱신(ICA) |
증상은 고장과 같은데 원인이 다르다. JARUS 사이버 확장(OSO #5)은 GPS 스푸핑이 GPS 장비의 고장으로 보이고 이탈 비행(fly-away)을 일으킬 수 있으며, C2 링크 재밍은 링크 상실로 나타난다고 적는다. 그래서 보안 분석은 고장의 원인으로 보안 사건을 고려하고, 안전 분석과 조정해서 수행해야 한다.
보안 속성은 기밀성·무결성·가용성(CIA)과 진본성, 인증·인가·계정(AAA)이다(JARUS 확장 1.1). 이 책의 정리: 감항에 영향을 주는 위협 조건은 대부분 무결성(변조된 명령·자료·소프트웨어)과 가용성(서비스 거부)에서 나온다. 기밀성은 감항에 직접 영향이 작지만, 키와 구성 정보의 기밀성이 보호 조치의 전제가 되므로 AMC 20-42 9절은 키 관리 절차를 ICA의 대상으로 든다.
8.11.3 규정의 지형 — 누가 무엇을 요구하는가
규정은 무엇을 해야 하는가(보호·평가·완화·ICA)만 정하고 어떻게 하는가는 AMC와 표준에 둔다. 아래 표는 원문을 읽은 범위의 정리이다.
| 대상 | 요구 | 입증 방법 | 확인 상태 |
|---|---|---|---|
| EASA 대형 비행기(CS-25) | CS 25.1319(a) 보호, (b) 절차·ICA, 부록 H25.6 | AMC 20-42 | ED 결정 2020/006/R(2020-07-01)의 변경 정보 원문 |
| FAA 운송류 비행기·엔진·프로펠러 | 787 이후 모든 신규 프로젝트와 관련 설계 변경에 특별조건을 발행해 왔다. 2024-08-21 NPRM이 25.1319·33.28(n)·35.23(f)와 부록 문항 신설을 제안 | 특별조건의 입증 방법(이슈 페이퍼), 업계는 DO-326·DO-355·DO-356을 입증 방법으로 사용하기를 원했다. 제안 AC 20-XXX | NPRM 원문. 최종 규칙 발행은 확인하지 못했다 (확인 필요) |
| FAA 23·27·29 | NPRM은 기존 규칙(23.2500·2505·2510, 27.1301·1309, 29.1301·1309)으로 충분하다고 보고 제외 | — | NPRM 각주 8 |
| EASA 소형 비행기(CS-23) | CS 23.2500(b)의 "부적절한 기능"에 IUEI를 포함(NPA 안의 GM). 2026-06 갱신 | 평가 수준 IV는 AMC 20-42, I~III는 ASTM F3532-25 | NPA 원문. 2026 갱신은 EASA 공개 게시물로만 확인 |
| EASA 소형 범주 VTOL(SC-VTOL) | MOC 3 VTOL.2500(b): 범주 상향(Enhanced) 항공기의 보호와 ICA | AMC 20-42 | 쉬운 접근 규칙 원문. 범주 기본(Basic)의 보안 MOC는 읽은 범위에서 확인하지 못했다 |
| EASA Light-UAS(SAIL III~VI) | MOC Light-UAS.2510은 사이버보안을 다루지 않는다. 같은 문서가 보안 평가의 결과로 추가한 기능·장비는 안전성 평가를 받아야 한다고 적는다 | EASA의 MoC 정리 표는 Light-UAS.2500/2505의 사이버 측면 MoC를 "진행 중"으로 표시 | 원문. 표의 기준일은 확인하지 못했다 |
| 운항 승인(SORA 2.5) | 사이버 안전 확장: OSO #1·#3·#5·#6·#13 등 | 운영자의 선언·문서·제3자 검증(SAIL별) | JARUS 원문 |
| 영국 UK SORA | CAP 3098: 같은 OSO를 영국 SAIL 구분으로 안내하는 임시 지침 | — | 원문(2025-04). 현재 효력은 확인 필요(8.11.11) |
| 운영자(14 CFR 121 등) | AC 119-1A: 항공기 네트워크 보안 프로그램(ANSP)과 운영 사양 D301 | DAH의 보안 지침 또는 DO-355 | 원문 |
표준 판의 문제. AMC 20-42 1(b)는 ED-202A(2014-06)/DO-326A(2014-08), ED-203A(2018-06), ED-204(2014-06)/DO-355(2014-06)를 인정한다. 같은 문단은 ED-203A와 대응하는 RTCA 문서를 "DO-356"으로, 9절은 "DO-356A"로 적어 표기가 일치하지 않는다. 앞선 판으로 개발한 제품의 인정은 EASA와 논의할 수 있다(1(d)). EUROCAE는 2024-10-17에 ED-202B를 발행했고(EASA 공개 게시물), 2026-07-30 게시물은 ED-202B/DO-326B와 ED-203A/DO-356A의 적용 질의응답 문서(ER-042 = RTCA RR-003)를 소개하면서 인정 표준으로는 A판(ED-202A·ED-203A·ED-204)을 나열한다. ED-202B를 AMC 20-42가 인정하는지는 읽은 자료에서 확인하지 못했다 (확인 필요).
세 가지 관찰. 첫째, 규정의 범위는 안전에 대한 악영향으로 한정된다. AMC to CS 25.1319는 승객 신용카드 정보를 처리하는 장치의 보호는 사업자가 별도로 다룰 일이며 이 조항의 심사 대상이 아니라고 적는다. 둘째, "필요한 만큼 완화한다(mitigated as necessary)"는 문구는 완화 수단의 선택을 신청자에게 맡긴다. 셋째, 보호 대상의 심각도 하한이 규정마다 다르다. SC-VTOL은 범주 상향에서 치명적·위험 영향, NPA 안의 CS-23 지침은 중대보다 심각한 고장 조건, ASISP 보고서는 중대 이상의 자산을 보호해야 한다는 작업반의 합의를 적고 회전익에는 치명적·위험 영향에 한정해 고려하도록 권고했다. 이 차이는 비례성의 표현이다.
UAS는 이 규정들의 직접 대상이 아니다. ASISP 작업반은 FAA의 과업 지시로 무인기 보안 문제를 다루지 않았다(보고서 1.3절). 대형 비행기용 규정을 소형 기체에 그대로 옮기지 않고, UAS와 eVTOL은 SC-VTOL·Light-UAS·SORA의 개별 경로를 거친다. 이 경로들은 8.11.11과 8.11.12가 다룬다.
8.11.4 프로세스 — 제품 정보 보안 위험 평가(PISRA)
AMC 20-42는 형식증명(항공기·엔진·프로펠러), 부가형식증명, 제품의 변경, ETSO 장비, 항공 서비스 정보를 제공하는 시스템에 적용한다(2절). ETSO 장비의 보안 조치에는 보안 보증 수준(SAL) 을 할당할 수 있고, 설계 조직은 제품의 정보 시스템 보안 위험 평가에 따라 이를 인정할 수 있다. 제품의 정보 시스템은 IUEI의 위협과 취약점에 대해 평가해야 하며(4(a)) 이 평가가 PISRA이다.
결과의 기준. 평가 결과는 둘 중 하나여야 한다. 식별 가능한 취약점이 없거나, 취약점이 있어도 그것을 악용해 해당 인증기준에서 수용할 수 없는 영향의 위해나 고장을 만들 수 없어야 한다(4(b)). 완화가 필요하면 잔여 위험이 수용 가능하다고 볼 근거를 제시해야 하고, 완화 수단은 운영자에게 적시에 제공해야 한다(4(c)).
위험 수용성은 맥락에 따른다. AMC 20-42 6절은 같은 위험이 어떤 제품에서는 수용되고 다른 제품에서는 수용되지 않을 수 있다고 적는다. 예로 중대 영향의 위협 조건은 위협 수준과 시나리오에 따라 CS-25 제품에서는 수용할 수 없을 수 있지만 CS-29 제품에서는 같은 위험이 수용될 수 있다.
검증. 완화가 필요하면 보안 검증으로 효과를 평가한다. 방법은 분석·보안 지향 강건성 시험·검사·검토의 조합이고, 필요하면 잠재적 공격자의 관점에서 정보 보안을 시험하는 보안 시험을 더한다(8절).
증거 자료. DO-326A는 인증 증거의 내용을 정하지만 문서의 구조는 정하지 않는다. ASISP 보고서(표 2.2-5)는 FAA와 EASA가 이전 인증 프로젝트에서 인정한 묶음으로 DO-326A 표 4-1의 여덟 자료를 든다(그림 1 아래). 그 밖에 한 신청자가 운영자 보안 지침(ASOG)과 보안 검증(ASV) 자료를 자발적으로 제안했다. 보고서는 이를 5~6개 문서(예비 분석, 최종 분석, 시험 계획과 사례, 시험 보고, 인증 요약, 운영자 지침)로 묶을 수 있다고 적는다. DO-326A를 7단계(계획·범위 정의·위험 평가·위험 수용성·보안 개발·보안 효과성 보증·증거 전달)로 요약하는 설명은 벤더 자료에서만 확인했으므로 (2차 출처) 이고 본문 대조는 하지 못했다 (확인 필요).
변경과 부가 장착. ASISP 보고서(2.2.4.2.1)는 STC 신청자의 경우를 셋으로 나눈다. ① 기능이 항공기 시스템과 완전히 분리되었거나 받기만 하는 단방향이면 영향을 정당화하면 된다. ② 변경이 TC 보유자가 인증한 보안 경계 밖에 머물고 논리·물리 인터페이스가 그대로이면 정당화한다. ③ 그 밖에(항공기 시스템으로 자료를 보내거나, 인터페이스를 바꾸거나, 연결·현장 적재 소프트웨어 반입 같은 새 접근점을 만들면) OEM의 자료 패키지나 참여를 받아 인정된 프로세스로 보안 수준이 유지됨을 보이거나, OEM의 자료가 없으면 승인된 보안 위험 평가로 항공기 시스템이 보호됨(위협의 전파 포함)을 보인다. 보안 경계는 외부 시스템·사용자와 접촉하는 부분(물리·논리 링크, 프로토콜, 서비스, 보안 통제)을 목록으로 만든 것이다. 이 구분은 제3자 탑재체와 통신 장비를 기체에 추가하는 사업(8.3)의 책임 경계에 직접 적용된다.
8.11.5 위협 수준과 위험 수용성
심각도(안전 영향)와 위협 수준을 짝지어 수용 여부를 정하는 것이 위험 수용성의 핵심이다. ASISP 보고서는 심각도를 안전 평가와 같은 등급(치명적·위험·중대·경미·영향 없음)으로 측정하고, 위협 수준의 척도는 심각도와 호환되도록 신청자가 당국과 협상하라고 적는다(2.2.4.4.4~5). 표 2.2-3은 두 가지 예를 든다. 아래는 보고서의 예이며 DO-356A·ED-203A 본문의 값이 아니다 (확인 필요).
| 영향 심각도 | 예 A: DO-356의 위협 가능성 척도 | 예 B: ED-203의 보안 효과성 수준 |
|---|---|---|
| 치명적 | 극히 희박한 가능성 이상(Extremely Remote +) | 매우 높음 이상(Very High +) |
| 위험 | 극히 희박(Extremely Remote) | 높음(High) |
| 중대 | 희박(Remote) | 보통(Moderate) |
| 경미 | 가능(Likely) | 기본(Basic) |
| 영향 없음 | 빈번(Frequent) | 없음(None) |
같은 보고서의 표 2.2-2는 우연 고장의 목표를 치명적 $<10^{-9}$, 위험 $<10^{-7}$, 중대 $<10^{-5}$, 경미 $<10^{-3}$ /비행 시간과 소프트웨어 개발 보증 A·B·C·D·E를 제시한다. 위협 수준의 단계는 이 확률과 같은 값이 아니다. 위협 수준은 아래의 두 관점으로 정성적으로 평가한다.
- 위협 가능성(공격 중심). DO-356은 기단이 운용되는 동안 일어날 수 있는 사건 수로 표현한다. 하루에 한 번 일어날 것으로 기대되는 위협과 1년에 많아야 한 번 일어날 위협, 기종 수명에 한 번 일어날 위협을 구분하고, 척도는 두 자릿수(예: 10과 1,000)의 차이만 구분하며 주간과 월간은 구분하지 않는다. 예측치가 아니라 현재 알려진 요인과 추세에 따른 값이며, 미래의 예측하지 못한 사건은 감시와 변경으로 다룬다.
- 보안 효과성(방어 중심). ED-203은 방어가 얼마나 잘 막는가로 척도를 정한다. ED-202A는 효과성을 "식별된 위협 시나리오에 대해 보안 조치가 자산을 보호하는 능력"으로 정의한다.
가능성의 주요 결정 요인은 외부 접근(외부 접근점마다 접근을 통제하는 보안 통제, 특히 조직적 통제. DO-356은 접근점의 보안이 적절하다는 보증의 수준을 신뢰성(trustworthiness)으로 정의한다), 보안 통제의 현재 상태(알려진 취약점과 결함을 포함한 설계·구현 그대로), 운용(정비를 포함한 모든 운용 단계)이다. 가능성을 낮추는 주장은 보수적이어야 한다. 보고서의 예를 보면, 승객이 GPS 의사 위성을 반입하지 않는다고 기대하는 것은 반입을 감시하지 않으면 보수적이지 않다. 다중화한 항법 시스템의 교차 확인이 GPS 오류를 탐지하므로 스푸핑 가능성을 낮추는 것은 교차 확인이 형식증명 설계 기준의 일부이므로 타당하다. 공격자가 모르는 소프트웨어 기능에 의존해 가능성을 낮추려면 그 기능과 설계의 기밀성을 보장하는 조치가 있어야 한다.
보호 대상의 범위. ASISP 작업반은 안전 위험 분류가 중대 이상인 자산을 보호해야 한다고 합의했다. 경미하거나 영향이 없는 자산은 그 자체의 보호는 불필요하더라도 초기 평가로 보안 사건이 위험 분류에 주는 영향, 주변 시스템에 대한 영향, 완화 수단과 개발 보증 수준을 확인해야 한다고 적는다.
8.11.6 워크스루 I — 평평한 구조와 분리 구조의 공격 경로
문제. 탑승자가 있는 가상의 AAM(범주 상향 가정)이 외부와 접하는 진입점이 네 개이다. C2 링크, 위성 항법 신호, 정비 데이터 로더, 지상 연결(와이파이·셀룰러로 건전성 자료를 주고받는다). 보호 대상은 비행 제어 컴퓨터(FCC)이다. 장비를 하나의 공용 버스에 모두 연결한 구조와, 관문으로 분리한 구조를 비교한다. 지표는 둘이다. 방어 깊이는 한 진입점에서 FCC까지 가장 약한 경로가 거쳐야 하는 관문의 수이다. 공통 경유점은 경로가 있는 모든 진입점의 경로가 공통으로 거치는 중간 장비이며, 하나가 침해되면 모든 진입점이 FCC에 이른다.
결과(8.11-calc.py의 데이터 흐름 그래프).
| 진입점 | 평평한 구조: 경로 수 / 관문 수 | 분리 구조: 경로 수 / 관문 수 |
|---|---|---|
| C2 링크 | 1 / 0 | 1 / 1(인증·필터) |
| 위성 신호 | 1 / 0 | 1 / 0 |
| 정비 로더 | 1 / 0 | 1 / 1(서명 검증) |
| 지상 연결 | 1 / 0 | 0(경로 없음) |
| 공통 경유점 | 공용 버스 | 없음 |
해석. 평평한 구조에서는 네 진입점 중 어느 것이든 침해되면 FCC가 위험하고, 모든 경로가 공용 버스를 지나므로 버스 하나가 단일 고장점과 같은 역할을 한다. 분리 구조에서는 C2와 정비 경로가 각각 관문 하나를 넘어야 하고, 연결 컴퓨터는 FCC로 가는 경로가 없어서(FCC에서 나가는 방향의 단방향 관문만 있다) 연결 컴퓨터를 완전히 침해해도 FCC에 명령을 보낼 수 없다. 이것이 JARUS 사이버 확장(1.2.4~1.2.5)의 심층 방어와 최소 권한 접근이 구조로 나타난 모습이다. ASISP 보고서가 인용하는 ARINC 811의 항공기 제어 영역(ACD)과 항공사 정보 서비스 영역(AISD)의 구분과 같은 발상이며, 그림 2의 연결 컴퓨터는 AISD에 해당하는 위치에 있다 (ARINC 811은 읽지 못했다).
한계 넷.
- 경로 수는 위험이 아니다. 위협 수준에 들어가는 입력일 뿐이다. 관문의 필터 규칙, 인증 방식, 소프트웨어의 품질이 관문의 유효성을 정하고, 그 유효성이 보안 보증의 대상이다.
- 위성 신호는 관문 0개이다. 개방 신호는 일반적으로 인증되지 않으므로(Galileo 신호 인증은 4.12) 관문을 둘 수 없다고 가정했다. 이 경로는 수신기 방호(4.6)와 센서 교차 확인(4.4)으로 다루어야 하며, 이 장의 위험 평가에서는 신호가 틀릴 수 있다는 위협 조건을 항법 입력의 안전 영향으로 평가한다.
- 정적 그래프이다. 정비 중에 연결이 바뀌거나 임시 장비가 붙는 상태, 사람의 행위, 공급망을 통한 침투는 그래프에 없다.
- 가정 구조이다. 특정 기체가 아니며, 모든 장비가 취약점이 없다고 가정한 연결 구조만 비교했다.
8.11.7 워크스루 II — C2 명령 인증의 태그 길이
문제. C2 링크의 명령에 메시지 인증 코드(MAC)를 붙여 변조와 위조를 막는다. 태그가 $t$비트이면 공격자가 키를 모른 채 무작위로 만든 태그가 수락될 확률은 한 번에 $2^{-t}$이다. 시도가 $n$번이면 한 번이라도 수락될 확률은
$$P = 1-\left(1-2^{-t}\right)^{n} \approx n\,2^{-t}$$
이고, 목표 $P\le P_{\text{목표}}$를 만족하는 최소 태그 길이는 $t\ge\log_2\!\left(n/P_{\text{목표}}\right)$이다. 공격자의 시도율은 링크 용량이 정한다. 링크 전체를 위조 프레임으로 채운다고 가정하고(최악), 비행 시간은 1시간이다. 설계 목표 $10^{-9}$은 DO-356A의 위협 수준이 아니라 설명을 위한 가정이다.
결과(비행 1시간).
| 링크 | 시도율 [회/s] | 시도 수 $n$ | 32비트 | 48비트 | 64비트 | $10^{-9}$에 필요한 비트 |
|---|---|---|---|---|---|---|
| 50 kbps, 256비트 프레임 | 195 | $7.0\times10^{5}$ | $1.6\times10^{-4}$ | $2.5\times10^{-9}$ | $3.8\times10^{-14}$ | 50 |
| 1 Mbps, 256비트 프레임 | 3,906 | $1.4\times10^{7}$ | $3.3\times10^{-3}$ | $5.0\times10^{-8}$ | $7.6\times10^{-13}$ | 54 |
| 10 Mbps, 512비트 프레임 | 19,531 | $7.0\times10^{7}$ | $1.6\times10^{-2}$ | $2.5\times10^{-7}$ | $3.8\times10^{-12}$ | 56 |
| 잠금 정책: 10회 실패 시 60 s 차단 | 시간당 600회 | 600 | $1.4\times10^{-7}$ | $2.1\times10^{-12}$ | $3.3\times10^{-17}$ | 40 |
세 가지를 읽을 수 있다. 첫째, 32비트 태그는 이 가정에서 목표를 만족하지 못한다. 링크가 빠를수록 위조 시도가 많아져 확률이 커진다. 둘째, 수신 측의 잠금 정책이 필요한 태그 길이를 10~16비트 줄인다. 시도 횟수를 제한하면 같은 태그로 더 큰 여유를 얻는다. 단 잠금은 공격자가 일부러 실패를 일으켜 정상 사용자의 링크를 차단하는 서비스 거부의 수단이 될 수 있으므로 가용성과의 균형이 필요하다. 셋째, 64비트 이상은 어떤 시도율에서도 $10^{-11}$ 이하이다. 태그 길이는 한 번 정하면 바꾸기 어려운 프로토콜 설계의 선택이고, 비트가 늘어도 프레임당 부담은 몇 바이트이다.
재전송 방지. 위조가 아니라 이전에 수락된 유효한 메시지를 다시 보내는 공격은 태그 길이로 막을 수 없다. 순서 번호(카운터)를 메시지에 넣고 수신 측이 이미 수락한 번호보다 큰 번호만 수락해야 한다. 카운터가 같은 키 아래에서 반복되지 않아야 하므로 폭은 키의 사용 기간이 정한다. 50 Hz로 명령을 보내면 16비트는 약 21.8분(1,310.72 s), 24비트는 약 93 시간, 32비트는 약 994일(2.7년)에 한 바퀴를 돈다. 16비트는 한 번의 긴 비행에서도 반복할 수 있으므로 사용할 수 없고, 24비트는 비행마다 세션 키를 새로 만들 때만 충분하다.
한계. 위 식은 MAC 알고리즘이 안전하고 키가 유출되지 않았다는 전제 위에서 무작위 위조만 계산한다. 키 관리(생성·분배·교체·폐기)는 AMC 20-42 9절이 ICA의 대상으로 드는 항목이며 9.19와 8.13이 다룬다. 알고리즘 선택과 태그 최소 길이는 규격(JARUS 확장이 인용하는 DO-377A 등)에서 확인해야 하며 이 장에서는 읽지 못했다 (확인 필요). JARUS 확장의 OSO #6은 이 항목을 C2 링크의 인증과 자료 무결성·재전송 방지(기준 #2·#4)로 요구하고 SAIL IV부터 수준을 높인다(8.11.11).
8.11.8 워크스루 III — 공통 취약점과 독립성 가정
문제. 안전성 평가의 이중화 논거는 두 채널이 독립이라고 가정한다(8.4.5·8.4.8). 각 채널의 고장률이 $\lambda=10^{-5}$ /FH이면 1비행 시간에 두 채널이 모두 고장일 확률은 $\lambda^2=10^{-10}$이다. 공통 원인이 있으면 이 곱셈이 성립하지 않는다. 안전 분석은 이를 $\beta$ 인자 모형 $P\approx[(1-\beta)\lambda]^2+\beta\lambda$로 반영한다. 보안에서는 두 채널이 같은 소프트웨어를 사용하는 경우 한 취약점이 악용되면 둘 다 영향을 받으므로 $\beta$가 1에 가깝다.
| 가정 | 두 채널이 모두 영향을 받을 확률 [/FH] | 독립 가정 대비 |
|---|---|---|
| 독립(곱셈) | $1.0\times10^{-10}$ | 1 |
| 공통 원인 $\beta=1\,\%$ | $1.0\times10^{-7}$ | 약 $10^{3}$배 |
| 공통 원인 $\beta=10\,\%$ | $1.0\times10^{-6}$ | 약 $10^{4}$배 |
| 같은 소프트웨어의 취약점 악용, 시간당 확률 $q=10^{-6}$ (악용되면 둘 다) | $1.0\times10^{-6}$ | $10^{4}$배 |
$q=10^{-6}$은 가정이다. 요점은 값이 아니라 구조이다. AND 게이트가 사실상 OR 게이트로 바뀐다. 채널을 늘려도 확률의 하한이 내려가지 않는다(8.2.6의 결론과 같은 구조). 해법은 채널의 이질성(다른 구현, 다른 공급자)과 분리, 그리고 취약점이 악용되어도 영향이 한 채널에 머물게 하는 구조이다. CS 25.1319(a)의 "개별적으로 그리고 다른 시스템과의 관계에서(separately and in relation to other systems)" 평가하라는 문구가 이 점을 다룬다.
기단의 관점. 우연 고장은 기체마다 독립이어서 한 사건이 한 기체에 영향을 준다. 기체당 연 1,000 비행 시간, 치명적 고장 $10^{-9}$ /FH인 기단이 500대이면 연간 기대 사건은 $5\times10^{-4}$이고 사건당 영향 기체는 1대이다. 공중에 있는 기체의 평균은 $N\cdot u$, $u=1{,}000/8{,}760=0.114$이므로 500대 기단은 평균 57대가 공중에 있다. 같은 소프트웨어의 취약점이 원격으로 악용될 수 있다면 한 번의 악용이 공중의 57대에 동시에 영향을 줄 수 있고, $10^{-9}$ /FH 예산은 이 사건을 한정하지 못한다. 기단이 5,000대이면 공중의 평균은 571대이다. 그래서 감항 보안은 개별 기체의 확률 예산이 아니라 기단 수준의 취약점 감시와 신속한 완화(8.11.10, 8.15)를 요구한다.
안전성 평가와의 접속. MOC Light-UAS.2510과 MOC VTOL.2510은 둘 다 보안을 다루지 않지만, 보안 평가의 결과로 기체에 구현한 기능이나 설치한 시스템·장비는 안전성 평가를 거쳐야 한다고 적는다. 보안 조치가 새로운 고장 원인(예: 관문의 소프트웨어 오류, 인증 서버의 장애로 인한 링크 상실)을 만들 수 있기 때문이다. 심각도는 안전성 평가가 보안 평가에 입력으로 주고, 보안 조치는 다시 안전성 평가를 받는 양방향 접속이다(8.4).
8.11.9 보안 보증과 검증
보안 보증은 개발 보증과 다르다. 개발 보증 수준(DAL)은 개발 오류가 남아 있지 않다는 신뢰를 단계별로 요구한다(8.2·8.8). 보안 보증은 보안 조치가 의도한 보호 목적을 달성한다는 신뢰이다. ED-203A/DO-356A는 보안 조치마다 보안 보증 수준(SAL)을 할당하고 0에서 3까지의 범위를 사용한다는 설명이 벤더 자료에 있으나 (2차 출처, 본문 확인 필요), SAL을 DAL과 같은 척도로 읽어서는 안 된다. DO-178C는 개발 오류를 대상으로 하며 악의적인 코드 삽입을 대상으로 하지 않는다(이 책의 정리). 따라서 소프트웨어 DAL을 만족해도 보안 요구를 만족한 것이 아니다.
검증 방법(AMC 20-42 8절). 분석, 보안 지향 강건성 시험, 검사, 검토를 조합한다. 필요하면 공격자의 관점에서 보안 시험(침투 시험)을 더한다. 강건성 시험은 비정상·악의적 입력(형식 위반 메시지, 범위를 벗어난 값, 순서가 뒤바뀐 프레임)에 시스템이 정의된 방식으로 반응하는지 확인하는 시험이다(예는 이 책의 설명). JARUS 확장의 OSO #5 기준 #5(시험·보안 검증)는 SAIL III~IV(중간)에서 인정된 산업 표준(예: CTIA 시험 계획 레벨 2 또는 3)으로 완화 효과를 평가하고, SAIL V~VI(높음)에서 인정된 항공 표준(예: DO-326A/ED-202A)으로 평가하도록 요구한다. 낮은 수준(SAIL I~II)에는 이 기준이 없다(N/A).
시험의 범위와 형식 설계. FAA AC 119-1A 8.2는 운영자의 ANSP가 인증된 시스템을 변조하는 독립적인 항공기 시험을 포함해서는 안 된다고 적는다. 형식 설계에 부적합해져 항공기가 감항하지 않게 될 수 있기 때문이다. 신청자의 침투 시험은 인증 계획에서 당국과 합의한 범위에서 수행하는 것이 통상이고(이 책의 정리), 운영자는 DAH가 제공한 절차와 지침으로 보안 상태를 유지한다.
현장 적재 소프트웨어와의 접점. AC 20-115D 8.b의 현장 적재 소프트웨어(FLS) 규정은 손상·부분 적재에 대한 보호, 적재된 부품 번호의 확인, 비행 중 의도하지 않은 활성화의 방지를 요구한다(8.8.5). 보안은 여기에 적재할 소프트웨어가 인가된 진본이고 변조되지 않았다는 증거(서명 검증과 키 관리, 2.10·8.13)를 더한다. JARUS 확장도 아비오닉스의 위협으로 진본성을 검증하지 않은 데이터 적재를 들고, 암호 방식의 적재와 아비오닉스 인터페이스의 제한, 정비 인원의 절차를 완화 수단으로 든다(2.4).
8.11.10 지속 감항 — ICA·운영자 보안 프로그램·사건 보고
감항 보안은 인증 시점에 끝나지 않는다. 취약점은 운용 중에 발견되고 위협 수준은 그때 바뀐다. 규정은 이를 지속 감항 요구로 받는다.
- CS 25.1319(b)와 부록 H25.6. 신청자는 보안 보호가 유지되도록 절차와 ICA를 제공해야 한다. AMC to CS 25.1319는 "절차와 ICA"라는 표현이 보안 보호가 전통적인 ICA를 넘어 운영자에게 제공하는 다른 절차까지 포함할 수 있음을 뜻한다고 설명한다.
- FAA NPRM. 부록 H25.3에 항공기 보안 보호를 유지하는 절차와 지침(h)을, 부록 A33.3·A35.3에 항공기·엔진·프로펠러와 지상 시스템 사이의 제어·감시 소프트웨어와 자료의 이전 절차(a)(10)를 추가하자고 제안한다. 이전과 소프트웨어 재프로그래밍이 운용 취약점을 만든다는 판단이다.
- AMC 20-42 9절. ICA가 다룰 보안 자산과 보호 수단(물리·운용 보안 절차, 보안 유효성의 감사·감시, 보안 보증의 가정이 되는 키 관리 절차)을 식별하고 절차를 마련한다. 운용 중 사건이 보고되면 IUEI에서 비롯했을 가능성을 고려하고, IUEI가 불안전 상태를 만들었으면 사건·조사 결과·복구 조치를 21.A.3A에 따라 EASA에 보고한다. 설계 시 예상하지 못한 새 위협의 영향을 평가하고, 수용할 수 없는 위협 조건이 확인되면 운영자와 당국에 완화 필요성과 수단을 적시에 통지한다.
- 보고(7절). 운영자는 정보 보안 사건을 설계자나 TC·STC 보유자에게 영향 분석이 가능하게 보고한다. 분석이 불안전 상태의 가능성을 밝히면 설계자가 당국에 적시에 보고한다.
운영자의 항공기 네트워크 보안 프로그램(ANSP). 보안 특별조건으로 인증된 항공기를 운항하는 운영자는 운영 사양 D301로 ANSP를 승인받는다(AC 119-1A). 구성은 아래와 같고, ANSP 문서는 민감 보안 정보(SSI)로 취급한다.
| 항목 | 내용(AC 119-1A) |
|---|---|
| 적용 판단 | 형식증명 자료표(TCDS)에 보안 특별조건이 있고, 그 조건이 운영자에게 지침을 요구할 때 |
| 통지 | 항공기 인도 90일 전까지 감독 사무소에 의도를 통지하고 DAH 보안 지침의 모든 절을 다룬다 |
| 개정 | 승인 문서에 명시된 기한 안에(일반적으로 DAH 원문 개정일부터 30일) 검토·개정한다 |
| 책임 | 직위로 정한 데이터 보안 관리자가 전체를 관리하고, 변경은 서면으로(일반적으로 5 영업일 안에) 통지한다 |
| 범위 | 외부 비인가 장치·인원의 접근 방지, 운영자의 기단·노선·정비 방식에 특화된 위협의 식별·평가, 정비로 인한 변경까지 포함한 비인가·악의적 변경 방지, 기내 비인가 접근 방지 |
| 구성 요소(10.2) | 보안 환경 서술, 역할과 책임, 교육·자격, 휴대용 소프트웨어·데이터 적재 장치·지상 지원 장비의 통제, 공항 유무선 서비스망 접근 통제, 적재 소프트웨어 부품(LSAP) 서고 접근 통제, 부품 서명 절차와 개인 키 접근 통제, 형식 설계 적합성 통제, 부품 풀링·차용·교환 절차, 사건의 인식·대응·보고·복구, 사건 평가 |
UAS·AAM 운영자는 이 틀을 그대로 따르지 않더라도 같은 요소를 갖추어야 한다. JARUS 확장 OSO #1은 사이버 안전 문화(경영진 후원, 정책, 교육), 정보 기술·자료 보안, 업계 단체 참여, 위험 관리 프로그램, 감사 프로그램, 비행 기록을 요구한다. 비행 기록에는 보안 사건을 남겨 이상 징후를 나중에 분석하고(수준에 따라 전자적 보관·무결성 보호·변조 방지) 이상을 찾는 데 사용하게 한다(기준 #6, ARINC 852 인용). 기단 수준의 관제·사고 대응·침투 시험은 8.15가, 사고·사건 보고 제도는 8.24가 다룬다.
8.11.11 UAS에 적용 — SORA 2.5 사이버 안전 확장
JARUS SORA 2.5의 사이버 안전 확장(JAR-DEL-SRM-SORA-Cyb-2.5, 2024-05-13)은 Annex B·E를 사이버 위협까지 확장한 지침이며, 감항 인증을 받지 않는 특정 범주 운항의 운영자를 주 독자로 하며, OEM보다 운영자를 주로 다룬다고 밝힌다. 2.5판은 1.0판(2022-05-17)에 내용 변경이 없고 별도 의견 수렴도 하지 않았다. 구성은 세 부분이다. 속성·개념·위협(CIA, 심층 방어, 최소 권한, 기본 보안 설정, DoS·스푸핑·하이재킹·악성 코드, 공격자 유형), UAS 하위 계통별 위협과 완화, OSO별 사이버 고려사항이다.
하위 계통별 위협(확장 2절).
| 하위 계통 | 위협과 결과 | 완화 |
|---|---|---|
| 기반 시스템(버스·운영체제) | 공급망 관리 부실, 알려지지 않은 연결, 프로세서 취약점으로 제어 상실·제어권 침해 | 설계에 의한 보안, 공급망 보안 관리, 심층 방어, 가능하면 신뢰 실행 |
| 통신 링크 | 암호화하지 않은 링크의 도청·중간자 공격, 재밍으로 인한 서비스 거부 | 주파수 도약은 재밍 효과를 줄이나 저가의 재머가 널리 있어 방어가 어려움, 스푸핑은 암호 방식의 무결성·진본성 검사로 크게 줄임 |
| 센서(GNSS 등) | 약한 신호의 재밍, ADS-B·TCAS 스푸핑 | 다중 위성군·다중 주파수 |
| 아비오닉스 | 무결성 확인 없이 적재된 악성 소프트웨어 | 암호 방식의 데이터 적재, 인터페이스 제한, 정비 절차, 공급망 관리 |
| 유도 시스템 | 조작된 지형·경유점 데이터베이스 | 데이터의 무결성·진본성 검사(지상 장비 포함) |
| 자율 제어(ML) | 조작·불완전·편향된 학습 데이터 | 자료의 출처 통제·감사, 사용자가 바꿀 수 없는 고정 알고리즘. 완화 방법의 분석은 진행 중이라 구체 제안이 이르다고 적는다 |
| 비행 종료 시스템 | 인구 밀집 지역으로의 추락 같은 치명적 결과, 여러 하위 계통이 공격 표면 | 설계에 의한 보안, ML이 들어가면 같은 한계 |
OSO별 수준(통합 요약). 확장의 SAIL 구분은 OSO마다 다르다. 영국 CAP 3098은 같은 OSO를 영국 SAIL 구분으로 안내하며 OSO #5만 다르다. 영국은 SAIL 1~2에 OSO #5의 사이버 항목을 두지 않고, SAIL 3에 낮음 수준(JARUS는 중간)을 적용한다.
| OSO | JARUS 확장: 낮음 / 중간 / 높음 | 영국 CAP 3098 |
|---|---|---|
| #1 운영자의 역량 | SAIL II / III / IV~VI | SAIL 2 / 3 / 4~6 (같음) |
| #3 정비 | SAIL I~II / III~IV / V~VI | SAIL 1~2 / 3~4 / 5~6 (같음) |
| #5 시스템 안전·신뢰성 | SAIL I~II / III~IV / V~VI | SAIL 3 / 4 / 5~6 (SAIL 1~2 항목 없음, SAIL 3은 낮음) |
| #6 C3 링크 | SAIL II~III / IV / V~VI | SAIL 2~3 / 4 / 5~6 (같음) |
| #13 외부 서비스 | SAIL I~II / III / IV~VI | SAIL 1~2 / 3 / 4~6 (같음) |
OSO #5의 사이버 안전 위험 평가는 낮음에서 운용 개념서에 위협을 검토하고 방어 개념(심층 방어 등)을 구현한 UAS를 선택한다. 중간에서 인정된 산업 표준이나 당국이 인정한 입증 방법에 따른 사이버 안전 위험 평가를 수행한다(확장의 주석은 DO-326A/ED-202A를 인정 표준의 예로 든다). 높음에서는 평가를 제3자가 검증한다. 영국 CAP 3098은 중간(SAIL 4)에서 위험 평가 방법의 예로 ISO 27005, NIST 800-53, CRF GRM과 부록 A의 방법을 든다. 확장은 OSO #5의 기준을 위협 평가, GNSS 장비(낮음: 기본 완화, 중간: 수신 신호 세기·위성 수·시각 비교의 건전성 감시와 재밍 탐지, 다중 위성군), 사이버 공격에 대한 회복성(운용 구역 이탈 방지), 수명 주기 보안 재평가, 시험·보안 검증의 다섯으로 나눈다. OSO #6은 C3 링크의 암호화(중간: 암호 사용, 높음: DO-377A의 최소 운용 성능 기준 또는 유사), 인증(낮음: 기본 상호 인증, 중간: 고급, 높음: 항공 표준 방식), 접근 통제(낮음: 비밀번호 설정, 중간: 최소 권한, 높음: 다중 요소), 자료 무결성·재전송 방지(낮음: 해당 없음, 중간: 산업 표준 모범 사례, 높음: 항공 표준)를 요구한다.
CAP 3098의 지위. 영국 CAA는 이를 UK SORA의 임시 지침으로 발행했다(2025-04). 검색 결과 요약은 CAA 웹의 해당 PDF에 "일시 철회" 표시가 있다고 전했으나, 내가 내려받은 PDF의 본문에는 그 표시가 없었다. 현재의 효력과 개정판은 확인하지 못했다 (확인 필요).
8.11.12 설계 트레이드오프 — 어떤 입증 경로를 택할 것인가
- ① AMC 20-42 + ED-202A/203A(+ED-204). SC-VTOL MOC 3이 범주 상향(Enhanced) eVTOL에 인정된 입증 방법으로 명시하는 경로이다. 장점은 FAA·EASA의 인증 프로젝트에서 사용되어 온 절차이고 증거 자료와 ICA가 정해져 있다는 점이다. 단점은 표준이 유료이고, 대형 비행기를 가정해 작성되었으며(ASISP 작업반은 회전익에 맞는 조정을 별도로 권고했다), 소형 UAS에는 비용·기간이 크다는 점이다.
- ② 소형 항공기용 비례 표준(ASTM F3532). EASA는 CS-23의 평가 수준 I~III에 ASTM F3532-25를 인정한다(2026-06 공개 게시물). 장점은 항공기 복잡도와 운용 노출에 맞춘 비례적 경로라는 점이다. 단점은 이 장에서 표준 본문을 읽지 못했고, SC-VTOL이나 Light-UAS가 이 표준을 인정하는지 확인하지 못했다는 점이다
(확인 필요). - ③ SORA 사이버 확장. 감항 인증을 받지 않는 특정 범주 UAS의 운항 승인에 맞다. 장점은 SAIL에 따라 낮은 수준에서 운영자의 선언만으로 시작할 수 있어 비용이 낮다는 점이다. 단점은 증거가 제품 설계 보증이 아니라 운영자의 선언·문서이고, 제3자 검증이 SAIL V~VI에서만 요구된다는 점이다. 운영자가 OEM의 증거를 얻을 수 없으면 입증이 약해진다.
견해: 탑승자를 태우는 eVTOL은 ①을 전제로 설계한다. SC-VTOL MOC 3이 AMC 20-42를 명시하고, 치명적·위험 영향의 판정과 증거 자료·ICA가 이 틀에서 정해지기 때문이다. 소형 UAS 제조사는 ③의 OSO #5·#6 기준을 제품의 보안 요구로 옮기고 ①의 PISRA 흐름(자산·공격 경로·위협 수준·수용성)을 최소 증거로 만들어 두는 편이 낫다. 근거는 두 가지이다. JARUS 확장 자체가 OEM 증거를 운영자 문서의 근거로 요구하고, 같은 증거가 나중에 SAIL이 올라가거나 형식증명으로 옮겨 갈 때 재사용되기 때문이다. 이것은 이 책의 견해이며 인증 당국의 입장이 아니다.
8.11.13 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM(eVTOL) |
|---|---|---|---|
| 주된 기준 | 군 체계의 보안 인가·감항 제도(제19부, 이 장의 범위 밖) | SORA 2.5 사이버 확장(OSO #1·3·5·6·13), UK CAP 3098 | SC-VTOL MOC 3(범주 상향), AMC 20-42, ED-202A/203A, ED-204 |
| 보호 대상 | 체계 요구에 따름 | 안전에 영향을 주는 UA·지상국·C3 링크·외부 서비스 | 장비·시스템·네트워크(치명적·위험 영향) |
| 증거 | 계약·인가 절차 | 선언(낮음)·문서(중간)·제3자 검증(높음) | PISRA, 증거 자료 8종, 보안 검증, ICA |
| 지속 | 체계 운영 절차 | 운영자 보안 문화·정비 위생·비행 기록 | ICA·운영자 보안 프로그램·사건 보고 |
| 두드러진 위협 | 별도 | 링크·GNSS 교란, 오픈소스 소프트웨어의 공급망 | 연결성(정비·데이터 로더·무선 갱신), 공통 소프트웨어의 기단 단위 취약점 |
8.11.14 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| EASA AMC 20-42(AMC-20 개정 18, ED 결정 2020/006/R) | EASA | 제품 정보 보안 위험 평가, 인정 표준, ICA(원문 확인) | 이 장 |
| CS 25.1319·부록 H25.6(CS-25 개정 25) | EASA | 장비·시스템·네트워크의 정보 보호와 ICA(원문 확인) | 이 장 |
| EASA NPA 2019-01 | EASA | CS-23·25·27·29·E·ETSO·P의 사이버 조항 제안(원문 확인) | 이 장 |
| 14 CFR 25.1319·33.28(n)·35.23(f) 제안(89 FR 67564, 2024-08-21) | FAA | 보호·완화·ICA 제안. 최종 규칙은 확인 필요(원문 확인) | 이 장 |
| FAA AC 119-1A(2023-09-28) | FAA | 항공기 네트워크 보안 프로그램의 운영 승인(원문 확인) | 이 장 |
| ARAC ASISP 최종 보고서(2016-08-22) | FAA·ARAC | IUEI 정의, 증거 자료, 위협 수준 예, 변경 시 책임(원문 확인) | 이 장 |
| SC-VTOL MOC 3 VTOL.2500(b) | EASA | 범주 상향 eVTOL의 항공기 보안(원문 확인) | 이 장, 17.14 |
| JARUS SORA 2.5 사이버 안전 확장(JAR_doc_31) | JARUS | OSO #1·3·5·6·13의 사이버 고려사항(원문 확인) | 이 장 |
| UK CAA CAP 3098(2025-04) | 영국 CAA | UK SORA의 사이버 안전 지침(일부 확인, 현재 효력 확인 필요) | 이 장 |
| RTCA DO-326A·EUROCAE ED-202A(2014) | RTCA·EUROCAE | 항공 보안 프로세스 명세 (유료, 본문 미확인) | 이 장, 9.19 |
| RTCA DO-356A·EUROCAE ED-203A(2018) | RTCA·EUROCAE | 항공 보안 방법과 고려사항 (유료, 본문 미확인) | 이 장 |
| RTCA DO-355·EUROCAE ED-204(2014) | RTCA·EUROCAE | 지속 감항의 정보 보안 지침 (유료, 본문 미확인) | 이 장, 8.15 |
| EUROCAE ED-202B·RTCA DO-326B(2024-10 발행) | EUROCAE·RTCA | 후속판. 발행 사실만 확인 (본문 미확인) | 이 장 |
| EUROCAE ER-042·RTCA RR-003(2026) | EUROCAE·RTCA | ED-203A/DO-356A 적용의 질의응답 (본문 미확인) | 이 장 |
| EUROCAE ED-201·ER-013 | EUROCAE | 항공 정보 시스템 보안 틀, 용어집(AMC 20-42가 용어 기준으로 인용) (미확인) | — |
| ASTM F3532(-23·-25) | ASTM | 항공기 시스템의 IUEI 보호 표준 실무 (본문 미확인) | 이 장 |
| ARINC 811·ARINC 852 | ARINC | 항공기 정보 보안 영역 구분, 로그의 무결성 (미확인, 인용만) | — |
| RTCA DO-377A | RTCA | C2 링크 최소 운용 성능(JARUS가 높음 수준으로 인용) (미확인) | 9.13 |
| Regulation (EU) 2024/2847(Cyber Resilience Act) | EU | 디지털 요소가 있는 제품의 보안 요구 (EASA 게시물이 정합을 언급, 본문 미확인) | 8.13 |
전체 지도는 A.6에 있다.
8.11.15 관련 규제·인증 요구와의 연결
- 안전성 평가(8.4). 안전성 평가가 보안 평가에 위협 조건의 심각도를 입력으로 준다. 보안 조치로 추가한 기능·장비는 다시 안전성 평가를 받는다. 공통 원인 분석(8.4.8)은 같은 소프트웨어를 사용하는 채널의 독립성 주장에서 보안의 공통 취약점도 함께 다룬다.
- 개발 보증(8.2·8.8). DAL과 보안 보증은 다르다. 현장 적재 소프트웨어의 방호(8.8.5)에 진본성·무결성 검증이 더해진다.
- 안전 사례(8.7). 보안 논증은 위협 시나리오별 하위 논증으로 안전 사례에 연결한다(이 책의 정리).
- 체계 통합(8.3). 제3자 탑재체와 통신 장비의 추가는 보안 경계를 바꾼다. 경계 밖에 있고 인터페이스가 불변인 경우와 새 접근점을 만드는 경우를 구분한다(8.11.4).
- 항공전자·소프트웨어 구조(2.9·2.10). 파티션과 별도 박스는 보안 경계이고, 보안 부팅과 갱신 채널은 보안 조치이다.
- 형식증명·적합성 입증(20.5·20.6). 보안은 인증기준에 들어가고 입증 방법과 계획은 당국과 합의한다. eVTOL은 SC-VTOL의 해당 MOC와 연결된다(17.14).
- 운영 승인(20.14). SORA 신청서의 OSO #1·#3·#5·#6·#13 증거로 이 장의 자료가 사용된다.
- 조직·제품·기단·하이재킹(8.12·8.13·8.15·8.16). 조직 보안은 8.12가, 제품·펌웨어 보안은 8.13이, 기단 운영은 8.15가, 링크·항법 공격 경로와 방호는 8.16이 다룬다.
- 암호·키(9.19)와 통신 보안(3.18). 태그 길이·키 관리·암호 모듈의 규격은 이 장에서 읽지 못했다.
8.11.16 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| 안전성 평가가 보안을 이미 포함한다 | 독립성 가정이 공통 취약점에서 성립하지 않아 이중화의 확률 이점이 없어질 수 있다 | 8.11.8 |
| 인증을 받았으니 보안이 유지된다 | 취약점이 발견되면 위협 수준이 바뀌므로 ICA·감시·보고가 필요하다 | 8.11.10 |
| 침투 시험으로 인증 기체의 보안을 입증한다 | 운영자의 임의 시험이 인증된 시스템을 변조하면 형식 설계에 부적합해질 수 있다 | 8.11.9 |
| 재밍·GNSS 교란도 IUEI이다 | FAA·EASA·SC-VTOL의 정의는 전자기 재밍을 제외하고, JARUS 확장은 DoS로 포함한다 | 8.11.2 |
| 태그가 길면 C2가 안전하다 | 재전송 방지, 키 관리, 잠금으로 인한 서비스 거부가 별도 문제이다 | 8.11.7 |
| 관문을 두면 안전하다 | 관문의 유효성이 보증 대상이고 GNSS 같은 우회 입력은 관문으로 막지 못한다 | 8.11.6 |
| SAIL이 같으면 영국과 JARUS의 요구도 같다 | OSO #5는 SAIL 3에서 JARUS가 중간, 영국이 낮음이고 SAIL 1~2에는 영국 항목이 없다 | 8.11.11 |
| AMC 20-42의 DO-356은 DO-356A와 같다 | 문서 안 표기가 일치하지 않는다. 어느 판으로 입증하는지 합의해야 한다 | 8.11.3 |
| SC-VTOL의 보안 MOC는 모든 eVTOL에 적용된다 | 읽은 MOC는 범주 상향 항공기를 대상으로 한다 | 8.11.3 |
| FAA NPRM은 이미 규칙이다 | 2024년의 제안이며 최종 규칙은 확인하지 못했다 | 8.11.3 |
미해결 문제. 소형 UAS에 비례한 보안 보증 수준과 SAIL의 대응, 범주 기본(Basic) eVTOL의 보안 입증 경로, 기단 규모의 취약점이 위협 수준에 주는 영향의 정량화, 학습 기반 구성요소의 데이터 오염을 감항 보안으로 다루는 방법(JARUS 확장은 완화 방법의 분석이 진행 중이라고 적는다), ED-202B 적용 시기는 이 장의 자료로 답할 수 없다 (확인 필요).
8.11.17 체크포인트·연구 질문
체크포인트:
- 그림 2의 평평한 구조에서 AMC 20-42 5(a)의 (i)~(vi)을 적용해 위협 조건 하나(예: 연결 컴퓨터를 통한 비행 제어 컴퓨터 명령 주입)의 자산·공격 경로·안전 영향·위협 수준을 적어라.
- 1 Mbps, 256비트 프레임 링크에서 32비트 태그의 1시간 위조 수락 확률과, 목표 $10^{-9}$을 만족하는 최소 태그 길이를 구하라.
- 잠금 정책이 5회 실패 시 30 s 차단이면 1시간 최대 시도 수와 필요한 비트 수를 구하라.
- 두 채널의 고장률이 $10^{-5}$ /FH이고 $\beta=2\,\%$이면 1 FH의 결합 확률은 얼마이며 독립 가정과 몇 배 다른가.
- 기단이 2,000대이고 기체당 연 1,500 비행 시간이면 공중에 있는 기체의 평균 수는 몇 대인가.
- SAIL IV 운항의 OSO #5와 #6에 JARUS 확장은 어떤 수준을 요구하고, CAP 3098은 OSO #5에서 무엇이 다른가.
- CS 25.1319, FAA NPRM, SC-VTOL MOC 3의 범위(보호 대상의 심각도)와 입증 방법을 비교하라.
연구 질문(25.7에 모은다):
- 소형 UAS에 비례한 보안 보증 수준을 SAIL과 어떻게 대응시킬 것인가.
- 기단 규모의 공통 취약점이 위협 수준에 주는 영향을 어떻게 정량화할 것인가.
- 보안 조치(잠금·인증)가 가용성과 안전에 주는 부작용을 안전성 평가에 어떻게 반영할 것인가.
- 학습 기반 구성요소(7.5·7.7)의 데이터 오염과 모델 변조를 감항 보안의 위협 조건으로 어떻게 정의할 것인가.
1차 출처(이 장):
- EASA, AMC 20-42 (AMC-20 Amendment 18, ED Decision 2020/006/R) 변경 정보 — 원문을 읽고 5·6·7·8·9절을 확인. easa.europa.eu 무료 공개.
- EASA, CS-25 Amendment 25 변경 정보 — CS 25.1319, 부록 H25.6, AMC to CS 25.1319. EASA NPA 2019-01 — CS-23 GM 23.2500(b) 안.
- FAA, 14 CFR Parts 25, 33, 35 NPRM, Equipment, Systems, and Network Information Security Protection, 89 FR 67564 (2024-08-21) — govinfo.gov 무료 공개.
- ARAC ASISP Working Group, Final Report (2016-08-22) — faa.gov 무료 공개.
- FAA, AC 119-1A (2023-09-28).
- EASA, Easy Access Rules for small category VCA (SC-VTOL) — MOC 3 VTOL.2500(b), MOC VTOL.2510. EASA, SC Light-UAS High Risk 01 (2021-12-22), MOC Light-UAS.2510.
- JARUS, SORA 2.5 Cyber Safety Extension, JAR_doc_31 (2024-05-13). UK CAA, CAP 3098 (2025-04).
- EASA 커뮤니티 공개 게시물 — ED-202B 발행(2024-10-21), CS-23 갱신(2026-06-17), ER-042(2026-07-30) — 발행 사실의 확인에만 사용.
- RTCA DO-326A·DO-356A·DO-355, EUROCAE ED-202A·ED-203A·ED-204·ED-201, ASTM F3532, RTCA DO-377A, ARINC 811·852 — 읽지 못함
(확인 필요).
다음 장: 8.12 — 사이버보안 II: 조직·지상·UTM 보안 — EU Part-IS·NIS2. 이 장이 제품의 감항 보안을 다루었다면, 8.12는 그 제품을 설계하고 운용하는 조직과 지상 체계의 보안을 본다.