장비 식별·위치 정보 유출 위험 분석…도입 단계 보안 시험 평가 절차 연구
방사청 “전력화 이후 주기적 평가 전무”…美는 배치 이후 시험도 지원
국내 학계도 독립 보안 영역 제도화 제언…英, 제품 인증·생산 검증 병행
▲군 무기·전력 지원체계의 전자파 누설에 따른 정보 유출 위험과 보안 대책을 표현한 개념 이미지. 그래픽=박규빈 기자
군이 무기·전력 지원체계에서 누설되는 전자파에 담긴 정보를 작전 민감도에 따라 등급화하고 이를 보안 적합성 평가에 반영하는 방안을 추진한다. 장비가 내보내는 신호로 종류와 위치 등이 노출될 가능성을 분석하고 보호 대책을 마련하는 연구다. 당국은 실제 운용 환경이 달라질 수 있는데도 전력화 이후 주기적 평가가 없다는 점을 연구 필요성으로 제시했다.
15일 본지 취재 결과 국방부는 '무기·전력 지원체계 누설 신호 정보 보안 대책 수립 방안 연구'에 나선 것으로 파악됐다. 군 당국은 누설 신호의 분류·등급화 기준과 보호 대책, 무기·전력 지원체계 도입 시 전자파 보안 분야 시험 평가 절차를 마련한다는 방침이다. 이번 연구는 누설 신호의 정보 가치와 작전상 피해를 기준으로 평가체계를 구체화하는 데 초점이 맞춰져 있다.
이 중 핵심은 전자파 발생 여부를 넘어 신호가 담고 있는 정보의 가치와 유출에 따른 피해를 평가하는 것이다. 국방부는 전자파 보안의 핵심을 “신호가 담긴 정보의 성격과 유출 시 작전상 피해 수준을 식별·평가하는 데 있다"고 설명했다.
이에 따라 군 장비에서 발생하는 신호를 정보성과 작전 민감도에 따라 등급화하고 이를 전자파 보안적합성 판정 지표와 연결하는 방안을 연구하도록 했다. 주요 선진국의 신호 분류 기술이 인공 지능(AI)을 활용한 자동화로 발전하고 있다는 점도 연구 배경으로 들었다.
군은 “실제 운용 환경 변수가 있음에도 전력화 이후 주기적 평가가 전무하다"는 입장이다. 이에 따라 세부 과업으로는 주요 무기·전력 지원체계에서 발생하는 전자파 유형을 분석해 특정 장비를 식별하거나 위치 정보를 알아낼 가능성을 판단하는 내용도 포함됐다. 수신 위치와 이격 거리 등에 따른 도청·수집 위협도 분석한다.
디스플레이와 키보드 등 상용 장비에서 누설되는 전자파를 측정해 기초 데이터를 확보하고, 신호 복원 가능성을 판단할 지표를 도출하는 작업도 진행한다. 축적된 신호 자료를 바탕으로 신호를 분류한 뒤 운용모드와 특성, 정보의 가치를 판별하는 단계별 기술 요건을 정리하고 등급별 보호 대책을 제시하는 방식이다.
전자파를 통한 정보 유출은 정보 처리 장비에서 의도치 않게 발생하는 신호에 처리 중인 정보가 반영되면서 생긴다. 이를 조사·연구하고 통제하는 분야가 '템페스트(TEMPEST)'다. 이번 연구는 미국과 북대서양조약기구(NATO) 등의 TEMPEST·방사 보안(EMSEC) 기술 동향과 관련 제도·운용 기준을 조사 대상에 포함했다.
앞서 국내 학계에서는 전자파 보안을 독립적인 보안 영역으로 다뤄야 한다는 제언이 나온 바 있다.
한상규 박사는 2021년 학술지 '국방과 보안'에 발표한 '전자파 보안의 필요성과 우리 군의 대응 방향'에서 5세대 이동 통신(5G)과 사물 인터넷(IoT) 등 전자파를 활용하는 장비 도입이 늘면서 군의 전자파 환경도 복잡해지고 있다고 분석했다. 상용 장비와 군 장비 사이의 간섭뿐 아니라 의도하지 않은 전자파에 의한 정보 유출 위험도 함께 증가한다는 지적이다.
논문은 관련 위협을 누설 전자파에 의한 정보 유출과 부채널 공격, 전자파를 이용한 시스템 공격으로 구분했다. 미국과 일본 사례를 검토해 정보의 비밀 유지·훼손 방지·정상적인 이용 보장이라는 관점에서 전자파 보안을 발전시킬 필요성을 제시하고 제도화와 대응 기술 확보를 제안했다.
해외에서는 제품과 시험 기관의 인증뿐 아니라 생산 과정의 검증, 배치 이후 시험까지 연결하는 체계를 운영하고 있다.
미국 국가안보국(NSA)의 'TEMPEST' 인증 프로그램은 제조업체 인증과 시험 서비스 인증으로 구성된다. 국가 TEMPEST 기준에 맞는 제품의 개발·생산을 지원하고, 시험과 제품 구성관리 서비스를 제공하는 시설이 인력·장비·절차 요건을 갖췄는지 확인하는 구조다.
미 육군 전자 시험장(EPG)은 NSA 인증 TEMPEST 시험 시설을 통해 보안통신체계와 임무 장비의 누설 신호를 검증한다. 공식 설명에 따르면 실험실 시험과 현장 시험을 수행하고 실제 환경에서 취약점을 확인해야 할 경우 야외 시험으로 이어진다. 개발 단계뿐 아니라 배치 이후 체계에 대한 시험도 지원한다.
영국 국가사이버안보센터(NCSC)는 제품에 대한 정식 TEMPEST 인증 제도(CFTCS)와 이동형 플랫폼의 TEMPEST 시험 제도(CPTAS)를 구분 운영한다. 제품·플랫폼의 전체 사용기간에 걸쳐 전자파 보안 성능에 대한 신뢰를 유지하는 것이 제도의 목표다.
영국의 제품 인증은 최초 시험으로 끝나지 않는다. NCSC가 인정한 시험 시설에서 적격 기술자가 제품을 검사하고, 생산 과정에서는 별도의 생산 보증 시험(TPAT)을 실시한다. 최초 시험을 통과한 제품과 실제 생산품 사이에서 전자파 보안 성능이 일관되게 유지되는지를 확인하기 위한 절차다.
NATO 역시 회원국의 국가 TEMPEST 당국을 중심으로 인증 업체 제도를 운영한다. 공식 인증체계는 업체 자격뿐 아니라 제품 시험 보고서와 구성 관리 문서의 보관을 권고하며, 국가별 인증 프로그램에 대한 기술적 감독 절차도 제시하고 있다.
누설 신호를 분석하는 기술도 발전하고 있다. 2024년 공개된 '딥 TEMPEST' 연구는 HDMI 케이블과 연결부에서 발생하는 비의도적 전자파에 딥러닝을 적용해 화면 영상을 복원하는 방법을 제시했다. 연구진은 기존 구현 방식보다 화면 속 문자를 판독하는 오류를 줄였다고 보고했다. 국내 군 장비의 취약성을 직접 검증한 연구는 아니지만 정보 복원 기술의 발전을 보여주는 사례여서 귀추가 주목된다.
;){kind=link}