지난 4일 보안연구원들은 ‘멜트다운’과 ‘스펙터’라고 불리는 2개의 CPU 취약점을 공개했다. 이 취약점을 악용하면 공격자들은 사용자의 정보를 유출시킬 수 있다. 문제는, 하드웨어 CPU 설계를 바꾸지 않는 한 실질적으로 해결할 수 없다는 점이다.

소프트웨어 업데이트와 백신 및 보안 솔루션을 통해 단기적인 처방을 내릴 수는 있어도, 기본적인 설계 결함에서 파생되는 문제를 모두 해소할 수는 없다. 기존의 설계 구조를 바꿔야 하는 기간이 필요한 만큼 당장의 기기교체도 불가능할 뿐더러, 1995년 이후 출시된 대부분의 CPU에 해당하는 취약점과 관련한 전세계 컴퓨터의 무상교체도 현실적으로 어려운 상황이다.

결국 현재 단계에서 소비자가 할 수 있는 일은 업데이트 패치가 나올 때마다 바로 공지를 확인해 설치하는 것 뿐이다. 백신과 같은 보안프로그램 업데이트도 필수다.

아직은 보안 결함만 공개되고 실제 사이버공격자들로 인한 피해사례는 알려지지 않았다. 하지만 보안전문가들은 사이버공격자들이 이러한 결함을 악용하면 실제 피해는 시간문제며, 역대 최악의 상황을 겪을 수 있다고 경고한다. 특히, 클라우드 서비스는 직접적인 영향권에 속하게 된다. 이미 몇몇 해커들은 이번에 알려진 보안결함을 이용해 공격도구를 고안하고 있다.

김승주 고려대학교 정보보호대학원 교수는 “아직 공식적으로 보안결함으로 인한 피해 사례는 보고되지 않았지만, 외국의 한 해커가 공개된 리포트를 통해 하루 정도면 공격도구를 만들 수 있다고 SNS를 통해 게시한 바 있다”며 “국가지원을 받는 해커들은 실력이 월등한 만큼 훨씬 더 빠른 공격도구와 변종을 만들 수 있기 때문에 앞으로 더 조심해야 하는 상황”이라고 말했다.

이어 “최악의 상황에서는 실제 메모리의 모든 영역을 접근할 수 있으며, 클라우드에 더 직접적인 영향을 미친다”며 “정상 사용자로 로그인을 해서 다른 사용자 영역까지 볼 수 있는 만큼, 멀티유저 공용 서비스인 클라우드가 타격을 받게 된다”고 설명했다.

이를 방지하기 위해서는 보안조치부터 취해야 한다. 이 때 속도저하를 유발할 수 있어 서버를 늘리고, 추가적인 보안 솔루션 및 가상머신 등이 필요해지면서 비용 부담문제까지 촉발할 수 있다는 지적이다.

이번 CPU 취약점은 처리속도를 향상하기 위한 비순차적실행과 분기예측 기술에서 시작됐다. 이 기술은 1995년부터 사용됐다. 명령을 받지 않아도 다음에 실행될 명령들을 예측해 명령을 처리하기 위해 필요한 데이터를 CPU 캐시에 로드해 놓으면서 성능을 향상시키는 방법이다.

예측 과정에서 오류가 발생하면 명령은 실행되지 않지만, 이를 수행하기 위해 필요한 데이터들은 이미 CPU 캐시에 로드돼 있는 상태가 된다. 이 중에는 관리자 권한으로 접근할 수 있는 데이터도 포함돼 있다. 비정상적으로 접근하거나 권한이 없는 사용자가 접근해도 모두 허용한다는 것이다.

인텔에서 생산된 CPU에만 존재하는 것으로 알려진 멜트다운 취약점의 경우, 이를 악용해 권한 상승 취약점을 공격할 수 있다. CPU의 예측 실행 기능을 이용하면 공격자가 메모리 보호를 우회 가능하다. 커널 메모리에 접근할 수 있는 만큼, 시스템 내부에 존재하는 보안 매커니즘과 커널에 포함된 내용 등에 접근해 다양한 정보를 유출시킨다.

스펙터 취약점은 인텔, ARM, AMD 프로세서에 존재하는 취약점으로, 프로세서로 하여금 실행해서는 안 되는 코드를 실행하도록 유도해 다른 애플리케이션 메모리 공간에 존재하는 정보까지 유출시킬 수 있는 취약점이다.

전세계의 70%, 국내의 90% 이상의 점유율을 차지하는 CPU의 보안결함 사건으로 인한 소비자들의 불만도 고조되고 있다. 미국뿐 아니라 국내에서도 인텔을 상대로 한 집단소송 절차가 진행되고 있다.

김 교수는 “근본적으로 하드웨어 CPU 설계를 바꾸지 않는 한 해결까지 시간이 걸릴 문제”라며 “업데이트 패치가 다 나온 것은 아닌 만큼 소비자는 공지를 잘 보고 즉각적으로 업데이트를 스스로 수행해야 한다”고 전했다.

<최민지 기자>cmj@ddaily.co.kr