임베디드 기기의 오프사이트 펌웨어 프로그래밍 보호 방안

임베디드 시스템이 틈새 제품으로 남아 있을 때는 모든 단계를 내부에서 관리할 수 있습니다. 하지만 수요가 급증하면 대량 제조는 일반적으로 계약 제조업체(CM)로 이전됩니다. CM의 중요한 책임 중 하나는 각 기기에 마이크로컨트롤러 펌웨어를 프로그래밍하는 것입니다.

이런 시나리오에서는 지적 재산 보호와 과잉 생산 방지가 최우선 과제가 됩니다. 전 세계 전자 제품의 약 10%가 위조품이며, 상당 부분이 무단 복제를 생산하는 CM에서 비롯됩니다.

임베디드 시스템의 IP는 주로 하드웨어 회로도와 펌웨어 코드 두 가지 형태로 나타납니다. CM이 PCB 레이아웃을 복제할 수 있어도 독점 펌웨어 없이는 기기가 무용지물입니다. CM이 둘 다 무제한으로 접근할 수 있으면 원개발자는 CM의 양심과 평판에 의존할 수밖에 없습니다.

최근 뉘른베르크 Embedded World Conference에서 SEGGER는 Flasher SECURE를 공개했습니다. 이는 IP 도용과 과잉 생산 위험을 정면으로 해결하는 양산 프로그래밍 솔루션입니다.

(출처: SEGGER)

Flasher SECURE는 검증된 원리로 작동합니다: 각 마이크로컨트롤러는 고유 식별자(UID)를 가집니다. 펌웨어 IP 소유자는 CM에게 Flasher SECURE 플랫폼을 제공하고, 실제 펌웨어는 IP 소유자 통제하의 안전한 신뢰할 수 있는 서버에 상주합니다.

프로그래밍 중 Flasher SECURE는 기기의 UID를 읽어 신뢰 서버로 전송합니다. 서버는 UID를 검증하고 펌웨어와 함께 암호화 서명을 반환합니다. Flasher SECURE는 둘 다 마이크로컨트롤러에 기록합니다.

전원 투자 시 펌웨어는 저장된 서명과 UID를 즉시 검증합니다. 일치하는 경우만 기기 작동을 허용하며, 그렇지 않으면 실행을 거부하거나 사용자 정의 응답을 트리거할 수 있습니다. 이는 펌웨어가 승인된 하드웨어에서만 실행되도록 보장합니다.

속도는 필수적입니다. SEGGER는 첫 번째 유닛 프로그래밍 시에만 서버에서 펌웨어를 가져오도록 Flasher SECURE를 설계했습니다. 가져온 펌웨어는 이후 모든 기기에 대해 로컬에 캐시됩니다.

(출처: SEGGER)

이후 각 유닛에 대해 Flasher SECURE는 프로그래밍하면서 UID를 신뢰 서버로 스트리밍합니다. 서버는 즉시 새로운 서명을 생성해 기기에 기록하며, 이는 생산 공정에 거의 오버헤드를 추가하지 않습니다.

펌웨어가 위조 시스템에서 실행 중임을 감지하면 대응을 맞춤화할 수 있습니다. 단순한 경고 메시지, 기능 비활성화, 또는 더 고급 설정에서는 진단 데이터를 IP 소유자에게 전송해 조사할 수 있습니다. 후자 접근법은 강력할 수 있지만, 특히 안전 중요한 애플리케이션에서는 신중하게 적용해야 합니다.

궁극적으로 대응 조치의 선택은 제품의 위험 프로필과 비즈니스 목표에 달려 있습니다. 많은 경우 명확한 경고로 충분하지만, 더 적극적인 전략은 위조업체를 억제하고 브랜드 무결성을 보호할 수 있습니다.