멜트다운·스펙터 취약점: 시스템 보호를 위한 8가지 핵심 통찰

전 세계 거의 모든 컴퓨터와 기기들이 보안 결함에 노출돼 공격에 취약합니다. 다행히 지금까지 정보 유출 보고된 적 없지만, 발견된 버그들은 프로세서 최악 보안 결함 중 하나로 간주될 수 있습니다.

아래 이 버그 거의 모든 측면(기술적·비즈니스적) 다뤘습니다. 정확히 무슨 일 일어났는지 알아봅시다.

1. 결함들은 무엇인가?

멜트다운(Meltdown)과 스펙터(Spectre)라 불리는 두 유사 보안 버그 존재.

멜트다운: 인텔 프로세서 실행 데스크톱, 노트북, 서버 영향 하드웨어 취약점. 운영체제와 사용자 애플리케이션 간 근본적 격리 깨뜨려, 프로그램이 메모리 접근해 타 프로그램 비밀들 액세스 가능케 함.

구체적으로, 멜트다운은 현대 칩들 아웃오브오더 실행(out-of-order execution) 부작용 이용 임의 커널 메모리 위치 읽기. 공격은 어떤 OS나 소프트웨어 취약점에도 의존 안 함.

기기 영향받으면 멜트다운이 클라우드 내 타 프로세스/가상머신 메모리 읽을 수 있음, 어떤 권한이나 사용자 허가 없이, 사실상 모든 PC 사용자 영향.

상세 정보: Meltdown

스펙터(Spectre): 더 광범위 영향. 인텔, AMD, ARM 구동 컴퓨터, 태블릿, 스마트폰 영향. 서로 다른 애플리케이션 간 격리 깨뜨려, 공격자가 오류 없는 프로그램 속여 프라이빗 데이터 누출케 함.

스펙터는 거의 모든 현대 칩 사용 '추측 실행(Speculative Execution)' 악용. 프로세서 속여 올바른 프로그램 실행 중 실행되지 않아야 할 명령 시퀀스 추측 실행하게 함.

네이티브 코드로 프로세스 격리 경계 위반 외에, 스펙터 공격은 브라우저에서 실행되는 자바스크립트 코드에서도 공격자 프로세스 메모리 접근에 사용 가능.

상세 정보: Spectre Attacks- Exploiting Speculative Execution

둘 다 사이드 채널(side channels) 사용해 접근된 메모리 위치서 데이터 추출. 둘 비교하면 스펙터 악용 훨씬 어렵지만 완화도 더 어려움.

2. 어떤 정보 위험에 처하나?

이 버그들 브라우저나 비밀번호 관리자 비밀번호, 키스트로크, 인스턴트 메시지, 이메일, 개인 사진, 업무상 중요 데이터 유출 가능.

3. 영향받는 시스템과 규모?

위에서 언급했듯 멜트다운 결함만 인텔 프로세서 적용(AMD, ARM 아님). 연구진 2011년 출시 CPU들로 테스트. 이론적으로 1995년 이후 출시 모든 인텔 프로세서 표적. 인텔은 이 결함들 정보 수정, 손상, 삭제 잠재력 없다 믿음.

스펙터 결함은 훨씬 더 나쁨, 인텔, AMD, ARM 프로세서 실행 모든 기기 해칠 수 있음. 게다가 클라우드 제공업체 설계·인프라에 따라 다른 고객들 민감 데이터 훔칠 수 있음. LXC, 도커(Docker), OpenVZ 같은 서비스들 위험.

궁금하다면 여러분 기기 이 버그들 영향받는지, 거의 확실하게 예라고 답하겠음.

4. 컴퓨터 보호 방법?

모든 영향받은 기업들 최대한 빨리 패치 발행 작업 중. 다행히 멜트다운용 소프트웨어 패치들 이용 가능. 구글, 마이크로소프트, 모질라가 브라우저 패치들 1차 방어선으로 배포.

당장 취할 수 있는 빠른 단계들:

1. 최신 크롬 버전(1월 23일 출시 예정)과 파이어폭스 57 업데이트.
2. 윈도우 10용 KB4056892 설치 확인.
3. 리눅스 사용자들 KAISER 확인.
4. OEM 웹사이트 펌웨어 업데이트·지원 정보 확인, 빨리 적용.

구글은 안드로이드 기기(넥서스, 픽셀) 최신 보안 업데이트로 이슈 수정했다고 밝힘.

연구원들도 스펙터 미래 악용 영구 해결책 마련 작업 중. 고치기 쉽지 않아 꽤 오랫동안 우릴 괴롭힐 것.

5. 수정으로 기기 느려지나?

불행히도 답은 예. 일부 연구자들 어떤 수정도 기기 최대 30% 느리게 할 수 있다 진술. 하지만 인텔은 그저 과장된 주장이라 믿음. 인텔에 따르면 성능 영향 워크로드 의존; 평균 컴퓨터 사용자들 영향 유의미하지 않아야 함.

즉, 이메일 확인과 웹 브라우징용 컴퓨터 쓰면 차이 경험 못 함.

6. 기술 업계·시장 반응?

이건 아마도 역대 최악 프로세서 버그들, 모든 기술 업계에 큰일. OS 재설계와 프로세서 아키텍처 조정 필요.

구글은 2017년 6월 스펙터 버그 영향 기업들 통보, 7월 멜트다운 버그 알림 밝혔다고 진술.

2017년 11월 인텔 CEO 브라이언 크르자니크(Brian Krzanich) 2,400만 달러 주식 매각. 비즈니스인사이더(BusinessInsider) 그가 칩 취약점 알고 주식 팔았다 보도.

이 버그들 인텔 주가 강타, 경쟁사 AMD 주가 급등.

스펙터와 멜트다운이 컴퓨터 프로세서 구조 근본적 결함 드러내, 미래 그런 기술 개발 방식에 심각한 영향과 재고 야기.

7. 누가 버그들 신고했나?

멜트다운 결함 3개 팀 발견·신고 — 사이버러스 테크놀로지(Cyberus Technology), 그라츠 공대(Graz University of Technology), 구글 프로젝트 제로(Google Project Zero) 연구원들.

같은 구글 프로젝트 제로와 그라츠 공대 연구원들이 스펙터 발견·신고.

8. 공식 참조

관련 기사: 역대 최악 컴퓨터 바이러스 15가지 | 설명

CVE(Common Vulnerabilities and Exposures)는 정보 보안 취약점 표준, 이름과 ID들 MITRE 시스템과 미국 국가 취약점 데이터베이스에 등재.

멜트다운 공식 참조 CVE-2017-5754, 스펙터는 CVE-2017-5715와 CVE-2017-5753.