Security Profiles
SK일렉링크 충전기 운영 시스템(CSMS)과 안정적이고 보안된 통신을 위해, 모든 충전기 제조사는 아래의 보안 요구사항을 반드시 준수해야 합니다. 본 가이드라인을 충족하지 못하는 충전기는 당사 CSMS와의 연동이 제한될 수 있습니다.
공장 출하용 비밀번호, 클라이언트 인증서, 개인키 등 충전기의 신원을 증명하는 자격 증명을 유출하거나 아래 요구사항을 지키지 않아 발생하는 해킹, 데이터 변조, 부정 사용 등 모든 2차 사고는 제조사의 귀책 사유입니다. 이에 대한 모든 법적·기술적 책임은 제조사에 있으며 에스케이일렉링크 주식회사는 면책됩니다. 또한 보안 사고 발생 시 해당 충전기 및 관련 제조사의 모든 충전기에 대한 서비스 연동이 영구적으로 중단될 수 있습니다.
Security Profile 개요
OCPP Security Profile은 충전기와 CSMS 사이의 WebSocket 연결을 어떤 방식으로 보호하고 충전기 신원을 확인할지 정의하는 보안 등급입니다.
- Security Profile 1
- 연결 보호: 암호화되지 않은 WebSocket
- 충전기 인증 방식: OCPP v1.6 기준 암호화 없는 Basic Authentication, OCPP 2.x 기준 제한적 인증 또는 인증 없음
- SK일렉링크 연동 기준: 신규 연동 대상 아님
- Security Profile 2
- 연결 보호: TLS 1.2 이상
- 충전기 인증 방식: HTTP Basic Authentication
- SK일렉링크 연동 기준: 기본 요구사항
- Security Profile 3
- 연결 보호: TLS 1.2 이상 및 클라이언트 인증서
- 충전기 인증 방식: mTLS 기반 클라이언트 인증서
- SK일렉링크 연동 기준: 협의 후 적용
SK일렉링크 CSMS와 통신하는 모든 충전기는 OCPP Security Profile 2 이상의 보안 등급을 지원해야 합니다.
초기 자격 증명 관리
- 초기 비밀번호 부여 및 사용
- 각 제조사는 당사로부터 충전기 모델 또는 개별 충전기 단위의 공장 출하용 비밀번호를 부여받게 됩니다.
- 충전기는 CSMS와의 최초 통신 개시 시, 반드시 이 부여받은 초기 비밀번호를 사용하여 인증을 시도해야 합니다.
- 보안 책임 및 의무
- 이 비밀번호는 충전기의 신원을 증명하는 핵심 자격 증명이므로, 제조사의 가장 높은 보안 등급으로 관리되어야 하며 절대로 외부로 노출되어서는 안 됩니다.
- 로그 기록 금지
- 충전기는 내부 진단 로그, 디버그 메시지, 기타 어떤 데이터 파일에도 비밀번호의 원본 값을 기록해서는 안 됩니다.
- 이는 OCPP 1.6 Security Whitepaper의 자격 증명 보호 요구사항(A01.FR.12)에 해당합니다.
충전기 내부 저장소에 비밀번호를 보관해야 하는 경우, 평문 저장을 금지합니다. 제조사는 장치 보안 모듈, 암호화 저장소, 접근 제어, 로그 마스킹 등 적절한 보호 조치를 적용해야 합니다.
OCPP v1.6 Security Profile
OCPP v1.6의 보안 요구사항은 OCPP 1.6 Security Whitepaper에서 정의한 보안 확장과 OCPP 보안 인증 절차를 기준으로 해석합니다. OCPP v1.6 자체의 기본 메시지 집합만으로는 운영 환경의 인증서 관리와 자격 증명 보호 요구사항을 충분히 표현하지 못하므로, 제조사는 OCPP 1.6 Security Whitepaper의 보안 요구사항을 함께 참고해야 합니다.
Security Profile 2: TLS + Basic Authentication
OCPP v1.6 Security Profile 2는 다음을 요구합니다.
- CSMS 접속 시
wss://기반 TLS 1.2 이상 연결을 사용합니다. - WebSocket 핸드셰이크 단계에서 HTTP Basic Authentication을 사용합니다.
- Basic Authentication의 사용자명은 CSMS가 안내한 충전기 식별자와 일치해야 합니다.
- 비밀번호는 제조사 또는 충전기 단위로 부여된 초기 자격 증명 또는 운영 자격 증명을 사용합니다.
Security Profile 3: TLS + Client Side Certificates
OCPP v1.6 Security Profile 3는 TLS 연결에 더해 충전기 측 클라이언트 인증서를 사용합니다. 즉, 충전기는 CSMS에 접속할 때 자신의 클라이언트 인증서를 제시하고, CSMS는 해당 인증서가 신뢰 가능한 인증기관 체인에 의해 발급되었는지와 해당 인증서가 접속 중인 충전기 식별자와 일치하는지를 확인합니다.
Security Profile 3 적용 시 제조사는 다음을 준비해야 합니다.
- 충전기별 클라이언트 인증서와 개인키를 안전하게 생성·보관합니다.
- 개인키는 충전기 외부로 유출되지 않도록 보호합니다.
- 인증서의 Subject, SAN, Serial Number, Fingerprint 등으로 충전기 식별자를 확인할 수 있어야 합니다.
- 인증서 만료, 교체, 폐기, 재발급 절차를 운영할 수 있어야 합니다.
- CSMS가 신뢰하는 루트 또는 중간 인증기관 체인으로 충전기 인증서를 검증할 수 있어야 합니다.
Security Profile 3는 공개 인증기관만을 요구하지 않습니다. CSMS가 신뢰하는 사설 CA 체인을 사용해 충전기별 클라이언트 인증서를 발급·관리할 수 있습니다. 단, 개별 충전기마다 독립적인 자체서명 인증서를 무계획적으로 사용하는 방식은 인증서 갱신, 폐기, 확장성 측면에서 권장하지 않습니다.
OCPP v2.1 Security Profile
OCPP v2.1은 OCPP v2.0.1의 응용 계층 구조와 보안 운영 모델을 기반으로 확장된 버전입니다. 따라서 OCPP v2.1 충전기의 보안 프로필 설명은 OCPP 2.x 계열의 보안 프로필, 인증서 관리, 보안 이벤트 운영 지침을 함께 기준으로 삼아야 합니다.
Security Profile 2: TLS + Basic Authentication
OCPP v2.1에서 Security Profile 2를 사용하는 경우에도 핵심 요구사항은 동일합니다.
- CSMS 접속은 TLS 1.2 이상으로 보호된 WebSocket 연결을 사용합니다.
- WebSocket 핸드셰이크 단계에서 HTTP Basic Authentication을 수행합니다.
- 충전기 식별자와 인증 자격 증명이 CSMS에 등록된 정보와 일치해야 합니다.
- 비밀번호 또는 인증 토큰은 평문 로그에 남기지 않아야 합니다.
OCPP v2.1 충전기는 메시지 본문에서 EVSE 식별자를 별도로 표현할 수 있지만, 별도 안내가 없는 경우 접속 엔드포인트의 충전기 식별자와 인증에 사용하는 식별자는 CSMS가 안내한 정책을 따라야 합니다.
Security Profile 3: TLS + Client Side Certificates
OCPP v2.1에서 Security Profile 3를 사용하는 경우, 충전기는 클라이언트 인증서를 통해 CSMS에 자신의 신원을 증명합니다. OCPP 2.x 계열은 인증서 설치, 조회, 삭제, 서명 요청, 인증서 상태 확인 등 인증서 수명주기 관리를 위한 메시지와 운영 절차를 포함합니다.
Security Profile 3 적용 시 제조사는 다음을 고려해야 합니다.
- 최초 접속 전에 사용할 부트스트랩 인증서 또는 Security Profile 2 기반 초기 인증 절차를 준비합니다.
- 충전기에서 개인키와 CSR을 생성하고, CSMS 또는 지정된 인증기관을 통해 운영용 클라이언트 인증서를 발급받는 흐름을 지원합니다.
- 루트/중간 인증기관 인증서 설치 및 갱신 절차를 지원합니다.
- 운영용 클라이언트 인증서의 만료 전 갱신, 폐기, 교체 절차를 지원합니다.
- 인증서 관련 보안 이벤트를 진단 로그와 운영 이벤트로 확인할 수 있어야 합니다.
Security Profile 3에서 사용하는 운영용 클라이언트 인증서는 mTLS 핸드셰이크 도중 새로 만들어지는 값이 아닙니다. 충전기는 SP3 접속 전에 사용할 수 있는 인증서 또는 신뢰 가능한 초기 온보딩 절차를 이미 가지고 있어야 합니다.
예외 사항
2025년 08월 08일 이전에 출하된 충전기는 위 접속 보안 내용의 적용 대상에서 제외됩니다.
참고 문서
- Open Charge Alliance, OCPP 1.6 Security Whitepaper (4th edition)
- Open Charge Alliance, OCPP Certification Procedure v2.0
- Open Charge Alliance, OCPP 2.1
- Open Charge Alliance, Security Operations Guide