메모리 거치는 모든 입출력 내용이 ‘녹아내리듯’ 공격자에게 읽혀
멀티테넌트 앱과 클라우드 기업이 공격당하면 피해 위험 특히 심각
“인텔이 이미 조치” vs “반도체 시장 개편될 것”으로 전망 나뉘어

[보안뉴스 오다인 기자] “컴퓨터 시스템 보안은 근본적으로 메모리 분리에 의존한다. 커널 주소 영역은 접근할 수 없는 곳으로 표시되며 이용자 접근으로부터 보호된다. (중략) 이 공격은 운영체제와 독립된 것으로, 그 어떤 소프트웨어 취약점에도 의존하지 않는다. 멜트다운(Meltdown)은 주소 공간 분리로 제공되는 모든 보안 전제를 무력화한다. 멜트다운은 공격자가 승인과 특권 없이 클라우드 가상기계와 기타 프로세스의 메모리를 읽도록 한다. 수백만 명의 고객, 그리고 사실상 모든 컴퓨터 기기 이용자에게 영향을 미치는 일이다.”

그라츠공과대학의 모리츠 리프(Graz University of Technology, Moritz Lipp) 등 10명이 집필한 ‘멜트다운’ 보고서는 위와 같은 문장으로 시작한다. ‘사실상 모든 PC 이용자에게 영향을 미치는’ 취약점이 바로 멜트다운. 이른바 ‘CPU 게이트’라고 축약되는 인텔의 CPU 보안설계오류 사태는 멜트다운과 ‘스펙터(Spectre)’라는 두 가지 문제적 실체가 드러나면서 우려가 일파만파 커지는 형세다. 이에 보안뉴스는 전문가들로부터 CPU 게이트의 핵심 문제와 향후 전망에 대해 들었다.


[이미지=iclickart]

1장. 듣도 보도 못한 수준의 ‘메모리 덤프’
도메인 등록 및 호스팅 전문 IT 기업 가비아의 노규남 총괄기술이사(CTO)는 인텔 CPU 게이트를 “읽기에 관한 것”이라고 설명했다. “운영체제는 일반적인 접근 권한과 특권적인 접근 권한을 엄격하게 분리하고 있습니다. 일반 이용자가 특권으로만 접근할 수 있는 커널 영역에 접근할 순 없어요.”

노 이사는 인텔이 CPU를 잘못 설계했다는 말이 “일반 이용자가 커널 메모리에 접근할 수 있도록 했다”는 뜻이라고 설명했다. “인텔의 추측 실행(Speculative Execution)에선 일반과 특권 사이의 분리가 무효화됩니다. 추측 실행은 일종의 CPU 작동방식으로, 멜트다운과 스펙터 둘 다와 관련돼 있습니다.”

추측 실행은 CPU의 실행속도를 끌어올리기 위해서 사용된다. 특정 조건문에서 그 결과를 예측하여 조건을 판별하는 작업과 결과에 대한 코드를 같이 수행할 수 있는데, 결과가 예측과 다르면 수행한 결과는 무효화된다. 하지만 추측 실행 시 사용된 캐시(cache)는 그대로 남게 되고, 캐시를 읽는 속도가 메모리에서 직접 읽는 속도보다 빠르기 때문에 이를 이용하면 보호된 메모리의 내용이 무엇이었는지 간접적으로 확인할 수 있게 되는 것이다. 그래서 “지금 나오는 패치들은 애플리케이션과 커널의 페이지 테이블을 분리함으로써 보호된 메모리에 접근하지 못하게 하고 있다”고 노 이사는 말했다.

연산처리의 효율성을 위해 전체 페이지 테이블을 통합해서 운영하던 것을 이제 분리시킴으로써 속도와 성능 저하도 불가피하게 됐다. 다수의 전문가에 따르면, 속도 저하는 애플리케이션마다 다소 차이가 있을 것으로 보인다. 노 이사는 “데이터베이스처럼 커널모드와 유저모드 사이를 자주 전환하는 애플리케이션일수록 성능이 저하될 것”이라고 분석했다.

노 이사는 “확정적으로 공격이 가능한 멜트다운의 경우, 최소한의 권한만 가지고 전체 메모리에 접근할 수 있다는 게 가장 큰 문제”라고 짚었다. “암호화든 무엇이든 기존의 보안조치들이 모두 무력화된다는 뜻입니다. 시스템의 전체 메모리를 제한 없이 덤프(dump)하는 것이 가능하므로 이용자가 입력하는 모든 내용을 그대로 읽어낼 수 있습니다.” 말 그대로, 메모리를 거치는 모든 것이 ‘녹아내리듯(melt down)’ 공격자에게 읽힌다. “멜트다운 공격이 시작되면 한 마디로 ‘비밀은 없다’ 같은 상황이 오는 겁니다.” 멜트다운 또는 메모리 덤프 시연 영상 다수가 유튜브에 업로드 돼 있으니 참조하자(유튜브 주소: https://www.youtube.com/embed/bReA1dvGJ6Y).

인텔 CPU 게이트와 관련해 한국정보기술연구원(KITRI) ‘Best of the Best(BoB)’ 센터의 김진석 센터장도 “블랙햇 해커 등이 컴퓨터 기기의 메모리를 들여다볼 수 있다는 게 문제”라며 “이용자 비밀번호, 신용카드번호, 공인인증서 등의 내용을 고스란히 볼 수 있게 된다는 뜻”이라고 경고했다.

멜트다운과 스펙터는 캐시를 간접적으로 확인하기 때문에(그래서 ‘부채널 공격(side channel attack)’이라고 한다) 공격의 흔적도 남지 않는다는 점, 같은 이유로 백신이 무효화된다는 점도 우려되는 부분이라고 가비아 노규남 이사는 덧붙였다. “인텔 CPU 보안설계 오류를 이용한 공격이 이미 발생했을 수도 있습니다. 다만, 그걸 알아낼 방법이 없다는 게 문제죠.”

2장. 커널과 유저 사이, “멀티테넌트 앱이 가장 위험”
가비아 노규남 총괄기술이사는 “멜트다운과 스펙터가 발견된 지 초기에 불과하므로 아직까지 익스플로잇 활동이 크게 나타나진 않은 것으로 보인다”고 말했다. 노 이사는 “가장 위험한 애플리케이션은 커널을 공유하는 멀티테넌트(multi-tenant) 애플리케이션일 것”이라고 예측했다. 멀티테넌트 애플리케이션은 “시스템을 여러 이용자(테넌트)가 공유하는 어플리케이션”을 말한다.

KITRI BoB 센터의 김진석 센터장은 “개인 혼자 쓰는 시스템이면 문제가 덜 할 수는 있지만 요즘은 시스템 대부분이 인터넷 네트워크로 연결돼 있기 때문에 (멜트다운과 스펙터는) 피할 수 없는 문제인 것 같다”고 우려했다.

이어 김 센터장은 “특히, 이용자가 여럿인 시스템이나 클라우드 서비스의 경우에는 문제가 더욱 심각할 것”이라며 “국내 주요 클라우드 기업인 네이버 클라우드, SKT T드라이브, 다음 클라우드, KT 클라우드, LG U+박스 등은 각별히 주의해야 한다”고 강조했다. “그 중에서도 기업 대상으로 서비스를 제공하는 KT 클라우드는 더욱 위험할 수도 있다”고 말했다.

김 센터장은 “얼마 남지 않은 평창 동계올림픽에서도 혹시 이번 사안과 관련한 문제가 있지는 않은지 다시 한 번 점검을 해야 한다”고 촉구했다.

3장. 두 가지 전망: “인텔이 이미 조치” vs “반도체 시장 개편”
반도체(CMOS PLA 설계)를 전공하기도 한 중앙대학교 융합보안학과 이기혁 교수는 인텔 CPU 게이트 이후 학계와 시장에 두 가지 전망이 공존한다고 말했다. “먼저, 구글 프로젝트 제로(Project Zero) 팀으로부터 보안설계 오류 제보를 받고 나서부터 CPU 게이트가 일반에 알려지기 전까지 수개월 동안 인텔이 조치를 취했을 것이라고 보는 입장이 있습니다. 아직까지 인텔 주가가 크게 떨어지지 않은 걸로 봐서 인텔이 이미 손을 썼다고 보는 거죠.”

이 교수는 “다른 한편으로, 인텔의 신뢰도 저하로 반도체 및 시스템 시장이 개편될 것이라고 보는 입장도 있다”고 설명했다. “인텔의 반응을 봐야 알 수 있겠지만, 인텔 3세대부터 9세대까지 CPU 반도체 칩을 모두 갈아 끼운다는 건 현실적으로 불가능한 일입니다. 그동안 인텔이 모종의 대응조치를 준비한 것 같지만 빠르게 대응하는 건 매우 어려울 것으로 판단됩니다.”

인텔이 대응책을 마련했다 하더라도 이번 사태가 인텔에 치명적인 이미지 손상을 입혔다는 사실은 분명해 보인다고 이 교수는 말했다. “인텔 CPU 게이트는 시장에 큰 영향을 끼칠 것입니다. 인텔의 시장 영향력도 줄어들 것으로 전망됩니다.” 이 교수는 “이제 영역 구분 없이 보안을 통합적이고 융합적으로 봐야 할 시대가 됐다”고 덧붙였다.

가비아 노규남 총괄기술이사는 “궁극적으론 사회적 비용까지 높아질 수 있다”고 말했다. 커널과 애플리케이션 메모리 분리로 “성능이 저하되면 이를 보완할 자원을 구매하게 될 것”이기 때문이다.

성능 저하 문제와 별개로 노 이사는 “공격에 방비하기 위한 운영체제 패치가 대부분 나와 있다”며 “이를 적용한 뒤 시스템 재시작을 진행해야 한다”고 고객들에게 촉구했다. “특히나 온라인 쇼핑몰 같은 업체들은 시간을 정해두고 업데이트를 진행해야 합니다. 지금 당장은 피해가 가시화되지 않았지만 문제의 실체를 제대로 이해하면 이 문제가 얼마나 위협적인지 알 수 있을 것입니다. 멜트다운과 스펙터가 공개됐으니 곧 해커들이 이를 악용하기 시작할 것입니다. 서비스 중단을 원하는 업체는 없지만, 고객의 동의를 구하고 잠깐 서비스를 중단시킨 뒤 패치를 진행해야 합니다.”

노 이사는 “현재로선 공격의 가능성이 제기된 것뿐이지만 멜트다운은 실질적으로 매우 위협적”이라고 재차 강조하기도 했다. “현재 설치돼 있는 인텔 CPU를 대체할 만한 아키텍처가 없고 이를 모두 바꾸는 것도 현실적으로 불가능하기 때문에 ‘한동안은 취약점과 같이 산다’는 상황이라고 봐야 한다”고 말했다.

KITRI BoB 센터의 김진석 센터장은 “인텔이 하드웨어 구조를 완전히 개선하기까지는 시간이 많이 걸릴 것으로 예측되고, 당장은 Windows, Linux, Android, iOS 등 운영체제 업데이트에 의존할 수밖에 없는 상황”이라고 말했다. “업데이트를 개인과 개별 담당자가 일일이 진행해야 하는 것도 번거로운 문제이지만, 더 이상 업데이트가 지원되지 않는 운영체제들은 어떻게 방비해야 할 것인지도 생각해봐야 합니다.”

한편, 김 센터장은 “인텔 CPU 취약점이 구글의 프로젝트 제로에서 발견됐다는 사실에 주목할 필요도 있다”고 짚었다. “프로젝트 제로는 BoB 이정훈 멘토도 소속된 구글 보안분석팀으로, CPU 제조사들이 조용히 넘어가려던 취약점을 알리고 해결책까지 마련하는 등 보안 분야에서 중요한 역할을 하고 있습니다. 구글이나 아마존 같은 글로벌 기업에서는 보안전문가로 구성된 보안분석팀을 운영하고 있지만 국내에서는 전문 인력의 부족과 비용 등의 이유로 많은 기업이 외면하고 있는 것이 현실입니다. 다가올 보안기술 시대에 대비해 지금보다 장기적인 안목으로 보안전문 인력의 양성과 이에 대한 투자가 반드시 필요합니다.”

이 부분과 관련해 중앙대학교 이기혁 교수도 “산업융합의 시대에 보안은 모든 부문에 들어간다”면서 “사이버보안 인재개발원 등을 설립해 장기적이고 체계적으로 보안전문 인력을 양성해야 한다”고 강조했다. “화이트햇 해커 등 사이버보안 인력의 커리어 패스(career path)도 현재 많지 않은 상황입니다. 보안 직무도 다각화해서 적극적으로 개발해야 합니다.”

또한, 이 교수는 보안에 대한 기업의 책임도 덧붙여 강조했다. “보안사고가 발생하면 이용자에게 책임을 돌리는 경우가 많습니다. 하지만 보안사고는 대개 개인보다 기업에서 보안을 체계적으로 관리하지 않았기 때문에 발생할뿐더러 개별 이용자 수준에서 할 수 있는 일이 거의 없습니다. 그렇기 때문에 이번 CPU 게이트도 인텔 측에서 관련 책임을 지고 제품이나 서비스의 보안 체계를 강화해 나갈 수 있도록 조치해야 할 것입니다.”
[오다인 기자(boan2@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>