ROS 2와 DDS를 쓰는 로봇에서 신원·권한·망 분리·키 관리·복구 절차를 어떻게 설계해야 하는지, 실제 명령 경로와 검증 순서로 설명합니다.
아래에서는 용어의 차이를 실제 시스템 경계, 실패 조건과 검증 순서로 나눠 살펴봅니다.
로봇 사이버보안은 명령의 출처와 범위를 지키는 일이다
로봇 사이버보안의 핵심은 통신을 암호화하는 데서 끝나지 않습니다. 누가 명령을 보냈는지 확인하고, 그 주체가 어떤 토픽·서비스·액션을 사용할 수 있는지 제한하며, 이상이 생겼을 때 로봇을 안전한 상태로 옮기는 전체 경로를 설계하는 일입니다.
ROS 2와 DDS 보안 기능은 신원 인증, 접근 제어, 통신 보호의 기반을 제공합니다. 그러나 안전 정지, 운영자 승인, 키 폐기, 로그 보존과 복구 시험은 로봇 시스템 차원에서 별도로 연결해야 합니다.
먼저 보호할 명령과 자산을 한 장에 그린다
자산 목록에는 로봇 본체만 넣지 않습니다. 온보드 컴퓨터, 관절 제어기, 무선 AP, 원격 운영 콘솔, 플릿 서버, 업데이트 저장소, 인증 기관과 시각 동기화 서버까지 포함해야 합니다. 이 중 하나가 바뀌면 명령의 신뢰 경로도 달라집니다.
위협 모델은 공격자 이름보다 결과에서 시작하는 편이 실용적입니다. 정지 명령 무시, 속도 제한 변경, 목표 위치 위조, 센서 토픽 변조, 로그 삭제처럼 물리 결과로 이어지는 사건을 적고 각 사건을 막거나 감지할 계층을 붙입니다.
| 보호 대상 | 대표 위험 | 우선 통제 |
|---|---|---|
| 운동 명령 | 위조·재생·권한 초과 | 발행자 인증과 최소 권한 |
| 센서 토픽 | 변조·오래된 데이터 | 무결성·시간 신선도 |
| 설정·펌웨어 | 비인가 변경 | 서명·변경 승인·롤백 |
| 운영 로그 | 삭제·시간 불일치 | 외부 전송과 시각 동기화 |
ROS 2 보안은 DDS 보안 기능을 노드 정책으로 연결한다
ROS 2의 보안 도구는 DDS Security 플러그인의 인증, 접근 제어와 암호화 기능을 ROS 2 노드와 엔클레이브 운영에 연결합니다. 보안을 활성화했다는 사실보다 어떤 신원과 정책 파일이 실제 프로세스에 적용됐는지 확인하는 일이 중요합니다.
개발 환경의 모든 노드에 넓은 권한을 준 정책을 그대로 생산 환경에 쓰면 암호화된 과권한 시스템이 됩니다. 토픽 발행·구독, 서비스 호출, 액션 사용 범위를 역할별로 줄이고 발견 트래픽과 브리지 경계도 함께 시험해야 합니다.
키스토어와 엔클레이브는 배포 단위를 따라 나눈다
하나의 인증서를 여러 로봇과 여러 프로세스가 공유하면 침해 범위가 커지고 폐기 대상도 모호해집니다. 로봇, 운영 서비스와 현장 구역을 기준으로 신원을 분리하고 개인 키는 이미지 파일이나 공개 저장소가 아닌 보호된 저장소에서 주입해야 합니다.
엔클레이브 이름은 조직도보다 권한 경계에 맞춥니다. 예를 들어 상태 모니터, 작업 계획기, 속도 명령기와 안전 감시기가 서로 다른 권한을 갖는다면 배포 과정에서도 별도 정책과 회전 주기를 가져야 합니다.
허용 목록은 정상 그래프가 아니라 최소 업무로 만든다
권한 정책을 현재 그래프에서 자동으로 넓게 생성한 뒤 끝내면 디버그 토픽과 임시 서비스까지 생산 권한에 남을 수 있습니다. 각 역할이 업무를 수행하는 데 꼭 필요한 발행·구독·호출만 남기고 진단 기능은 별도 운영 절차로 엽니다.
정책 변경은 소프트웨어 변경과 같은 수준으로 검토합니다. 누가 어떤 이유로 권한을 늘렸는지, 언제 되돌릴지, 테스트 로봇과 생산 로봇에서 결과가 어떻게 달랐는지를 변경 기록에 남겨야 합니다.
| 역할 | 허용 예 | 금지 예 | 검증 |
|---|---|---|---|
| 상태 모니터 | 상태·진단 구독 | 운동 명령 발행 | 권한 초과 발행 시험 |
| 작업 계획기 | 목표 요청·경로 출력 | 안전 한계 변경 | 정책 diff와 서명 확인 |
| 정비 도구 | 승인 시간의 진단 | 상시 원격 셸 | 세션 만료와 감사 로그 |
| 업데이트 서비스 | 서명된 패키지 배포 | 임의 바이너리 실행 | 서명 실패·롤백 시험 |
산업망은 로봇 셀과 상위 서비스를 구역으로 분리한다
로봇 셀, 플릿 서버, MES, 개발망과 인터넷 연결을 하나의 평면망으로 두면 한 계정이나 한 장비의 침해가 전체 명령 경로로 번집니다. 필요한 흐름만 통과하는 구역과 통로를 만들고 관리 트래픽과 실시간 제어 트래픽을 분리합니다.
방화벽 규칙은 포트 목록만으로 끝내지 않습니다. 연결 방향, 발신 장비, 예상 주기, 허용 시간대와 장애 시 동작까지 기록해야 합니다. 무선 로봇은 로밍과 일시 단절이 정상적으로 발생하므로 단절을 곧바로 안전하지 않은 재연결로 바꾸지 않도록 설계합니다.
보안 제어와 기능 안전은 서로 대신할 수 없다
인증된 노드도 버그나 잘못된 작업 지시로 위험한 명령을 만들 수 있습니다. 반대로 안전 PLC가 속도를 제한해도 탈취된 계정이 생산을 반복 중단시키는 가용성 문제까지 해결하지는 못합니다.
따라서 AI 정책, 작업 계획 검증, 네트워크 접근 제어와 독립 안전 기능의 책임을 분리합니다. 관련 구조는 피지컬 AI 다층 안전에서, 제어 주기 경계는 ROS 2 실시간 제어에서 더 자세히 확인할 수 있습니다.
인증서 발급보다 회전·폐기·시간 관리가 어렵다
인증서와 정책에는 생성, 배포, 갱신, 폐기와 사고 대응의 수명주기가 필요합니다. 만료 직전 일괄 교체는 정지 시간을 키우므로 로봇을 소규모 묶음으로 나눠 회전하고 이전 신원을 동시에 얼마나 오래 허용할지 명시합니다.
인증 검증과 로그 상관분석은 정확한 시간에 의존합니다. 시간 서버가 끊기거나 크게 틀어졌을 때 인증 실패, 로그 순서 역전과 제어 재시도가 어떻게 나타나는지 시험해야 합니다.
탐지는 로봇의 정상 통신 패턴을 기준으로 한다
로봇망은 주기적 토픽, 정해진 상대와 제한된 업데이트 시간처럼 반복 가능한 패턴이 많습니다. 새 참가자, 갑작스러운 발행률 증가, 예상 밖 서비스 호출, 정책 검증 실패와 반복 재연결을 함께 보면 단순 트래픽 양보다 의미 있는 경보를 만들 수 있습니다.
보안 로그는 로봇 안에만 두지 않습니다. 침해된 장비가 로그를 지울 수 있으므로 외부 수집기로 전송하고, 운영 이벤트·안전 정지·배포 이력을 같은 시간축에서 조회할 수 있게 합니다.
검증은 정상 연결보다 거부와 복구를 먼저 본다
테스트 환경에서 미등록 신원, 만료 인증서, 잘못 서명된 정책, 허용 밖 토픽, 오래된 명령과 네트워크 단절을 주입합니다. 각 경우에 연결 거부, 경보, 안전 상태 전환과 운영자 복구가 의도한 순서로 일어나는지 확인합니다.
2026년 5월 공개된 NIST SP 1800-41 초기 공개 초안은 제조 환경의 대응과 복구를 다룹니다. 초안 상태임을 분명히 하되, 방어만으로 모든 위험을 없앨 수 없으므로 복구 계획을 시험해야 한다는 운영 관점은 로봇 셀에도 유용합니다.
구축은 한 로봇의 한 명령 경로에서 시작한다
첫 적용 범위는 한 로봇의 속도 또는 목표 자세 명령처럼 물리 영향이 명확한 경로가 좋습니다. 현재 발행자와 구독자, 인증 신원, 허용 정책, 방화벽 흐름, 안전 제한과 로그 위치를 한 장에 연결한 뒤 실패 시험을 자동화합니다.
이후 센서, 지도, 작업 지시, 업데이트와 원격 정비 경로로 확장합니다. EtherCAT과 CAN-FD 비교와 OPC UA Robotics를 함께 보면 필드버스·ROS 2·상위 시스템의 보안 경계를 나누기 쉽습니다.
참고할 1차 자료와 적용 범위
ROS 2의 실제 키스토어와 엔클레이브 절차는 ROS 2 보안 키스토어 문서, 접근 제어 설계는 ROS 2 접근 제어 정책 설계 문서를 기준으로 확인하는 편이 안전합니다.
산업 제어 보안의 운영 범위는 NIST SP 800-82 Rev. 3, 사고 대응과 복구의 최신 참고는 NIST SP 1800-41 초기 공개 초안에서 확인할 수 있습니다. 제품과 ROS 2 배포판에 따라 지원 범위가 다르므로 현장 구성으로 재검증해야 합니다.
피지컬 AI 사이버보안에서 자주 묻는 질문
ROS 2에서 보안 기능만 켜면 로봇이 안전해지나요?
아닙니다. 신원·권한·암호화는 통신 보안의 기반이며, 물리 한계와 독립 안전 정지, 계정 운영, 업데이트, 탐지와 복구 절차가 별도로 필요합니다.
모든 토픽을 암호화하면 성능 문제가 생기나요?
메시지 크기, 주기, CPU와 DDS 구현에 따라 달라집니다. 평균값이 아니라 실제 부하에서 끝단 지연과 꼬리 지연을 측정해 보호 범위와 하드웨어를 결정해야 합니다.
개발용 인증서를 생산 로봇에 써도 되나요?
권장하지 않습니다. 개발 정책은 넓은 권한과 공유 키를 포함하기 쉬우므로 생산 환경은 로봇·역할별 신원, 최소 권한과 별도 폐기 절차를 가져야 합니다.
방화벽이 있으면 SROS2가 필요 없나요?
둘의 역할이 다릅니다. 방화벽은 구역 사이 흐름을 제한하고, SROS2는 허용된 망 안에서 노드 신원과 토픽·서비스 권한을 검사합니다.
가장 먼저 해야 할 보안 시험은 무엇인가요?
권한 없는 노드가 운동 명령을 발행했을 때 차단되는지, 통신이 끊겼을 때 로봇이 안전 상태로 전환되는지부터 확인하는 것이 좋습니다.
이 글은 시스템 설계와 검증을 위한 기술 설명입니다. 특정 제품의 인증 또는 법적 적합성을 대신하지 않습니다.