기획
 





 
 
 




전송 2018-01-22 12:00
[테크닉]

연초를 뜨겁게 달군 멜트다운과 스펙터 이슈
시스템을 안전하게 쓰려면?

연초부터 대형 보안 이슈가 터졌다.

PC 이용자라면 아무래도 한동안 암흑기를 거쳤던 AMD 보다 인텔 플랫폼 사용자가 더 많을텐데, 인텔 CPU가 현 시대에 쓰이는 고성능 CPU들의 공통 문제인 스펙터에 더해 멜트다운까지 겪고 있는 만큼 불안감은 말로 못할 것이다.

멜트다운과 스펙터 버그 모두 하드웨어적인 결함이기 때문에 근본적으로는 관련 문제가 해결된 제품을 새로 구매해야 하지만 현실적인 제약으로 인해 각종 패치로 해당 문제에 대응할 수 밖에 없는 상황이다.

그렇다면 멜트다운과 스펙터 보안 취약점에 대한 현실적인 대안은 어떤 것들이 있을까?

 

운영체제 패치, 윈도우/ 리눅스/ 맥OS/ iOS/ 안드로이드 대응 완료

멜트다운과 스펙터는 공격자가 사용자의 중요한 정보를 훔쳐볼 수 있다는 것이다. 그리고 이들 정보는 대부분 운영체제에서 각종 어플리케이션과 함께 돌아가고 있는데, 그런 점에서 운영체제 패치가 필요하다.

다행히 윈도우는 이슈 직후 긴급 패치가 공개되었고, 1월 9일 부터는 윈도우 업데이트 기능으로 배포가 시작되었다. 맥OS는 지난해 12월 초 배포된 보안 업데이트로 멜트다운을, 1월 9월 스펙터 대응 패치를 공개, 리눅스는 관련 보안 취약점이 공개되기 이전에 대응이 완료되었다.

모바일 쪽에서는 iOS가 1월 8일 공개한 11.2.2에서 보안 취약점이 수정되었으니, 최신 보안 패치만 제대로 했다면 멜트다운과 스펙터에 대한 걱정은 하지 않아도 된다.

 

단지, 안드로이드 진영의 경우 구글이 1월 5일 SPL(Security Patch Level)을 업데이트해 안드로이드의 멜트다운과 스펙터 보안 취약점에 대응한다는 방침이지만, 제조사와 제품별로 지원 상황이 천차만별인지라 실제 어떤 제품에 멜트다운과 스펙터 대응 패치가 적용될지는 제조사에 문의해 확인할 필요가 있다.

또한 크롬OS에 대해서는 커널 3.18과 4.4 버전의 경우 크롬OS 버전 63이상에서 대응하고, 커널 버전이 이보다 낮은 크롬OS에 대해서는 향후 KPTI(Kernel Page Table Isolation) 패치를 통해 대응한다는 방침이다.

 

운영체제로는 부족하다, 펌웨어 업데이트 상황은?

일단 운영체제 패치만 적용해도 상당한 보안 강화 효과를 볼 수 있지만, 멜트다운과 스펙터 버그는 하드웨어적 결함이기에 운영체제로 진입하기 전 단계, 쉽게 말해 부팅 순간에도 악용될 수 있다.

 

따라서 운영체제는 물론 시스템 펌웨어 업데이트까지 병행해야 하는데, AMD CPU는 멜트다운의 영향이 없고, 스펙터1 유형은 소프트웨어(OS) 패치로 충분하며, 펌웨어 업데이트가 필요한 스펙터2 유형에 대해서는 위험이 거의 없으므로(near zero) 옵션으로 패치를 제공한다는 입장이다.

AMD는 라이젠과 에픽  CPU에 대한 스펙터2 유형 패치를 이번 주 중으로 배포한다는 방침이지만, 최종적으로는 메인보드나 시스템 빌더를 통해 공급되어야 하므로 실제 배포 상황은 업체에 따라 차이를 보일 것으로 예상된다.

 

멜트다운과 스펙터 모두에 해당하는 인텔은 1월 중으로 모든 패치를 배포한다는 방침으로, 이는 메인보드 제조사나 시스템 빌더 등을 통해 제공되는 바이오스 업데이트 방식으로 적용할 수 있다.

이미 주요 메인보드 제조사인 ASRock, ASUS, Gigabyte, MSI 등에서 대응에 나섰으며, 공식적으로는 근 10년전 출시된 45nm 기반 코어 i 시리즈부터, 비공식적으로는 1995년 이후 출시된 비순차명령어 처리 지원 모든 CPU가 위협에 노출될 가능성이 제기된 만큼 우선 8세대 코어 프로세서 대응 Z370칩셋부터 대응에 나서고 있다.

 

하지만 공식적으로 근 10년 이내에 출시된 거의 모든 인텔 시스템이 멜트다운 영향을 받게 되므로 시스템에 따라 멜트다운 및 스펙터 대응 바이오스가 출시되기까지 상당한 시간이 걸릴 수 있을 것으로 예상된다.

또한, 하스웰과 브로드웰 시스템에서 대응 패치 시 랜덤하게 블루스크린과 재부팅이 발생하는 이슈가 보고되었는데, 패치 과정에서 불거질 추가 이슈까지 대응하기 위한 안정화 기간은 더 오래 걸릴 것으로 예상된다.

 

모바일 디바이스에 주로 쓰이는 ARM CPU의 경우 PC와 달리 제조사에 따른 커스텀 모델과 사용 운영체제, 디바이스 종류등이 워낙 천차만별인지라 체계적인 대응이 어려운데, 그나마 리눅스의 경우 대응 커널 패치를 공개하였지만 기타 운영체제를 구동하는 환경에서는 OS 지원 업체의 대응 상황을 체크할 것을 권하고 있다.

 

손쉬운 대규모 공격 루트, 웹 브라우저 업데이트 & SW 업데이트

요즘 시대에 인터넷은 손쉬운 공격 루트로 활용될 수 있으며, 모 휴대폰 사이트의 광고 서버에 랜섬웨어가 감염되어 대규모 감염 사태를 일으켰던 것과 같이, 멜트다운과 스펙터 또한 유사한 방식으로 악용될 수 있다.

 

이에 따라 웹 브라우저도 업데이트가 필요한데, PC 사용자들이 많이 사용중인 크롬 브라우저는 최신 63버전에서는 아직 공식적으로 대응하지 않고 있다. 23일 공개 예정인 64버전에서 완화 조치가 적용될 예정이지만, 그 전까지는 임시로 63버전의 Strict Site Isolation(엄격한 사이트 격리) 기능을 활성화하면 임시로 보안을 강화할 수 있다.

애플 사파리 브라우저는 맥OS 10.13.2와 iOS 11.2.2 패치와 함께 대응 버전인 11.0.2가 배포되었으니 해당 버전으로 업데이트하면 이번 보안 취약점을 완화할 수 있으며, 인터넷 익스플로러 11과 엣지 브라우저는 1월 3일 공개된 KB4056568 패치에 적용되었고, 모질라 파이어폭스 브라우저는 57.0.4 버전에서 멜트다운과 스펙터에 대한 대응이 이뤄졌다.

 

멜트다운과 스펙터는 공격자가 권한없는 영역의 내용을 살펴볼 수 있는 것이니만큼 운영체제와 펌웨어(바이오스), 웹 브라우저외에 각 응용 프로그램단에서도 대응이 필요한데, 현재 엔비디아에서는 자사의 드라이버에 대한 스펙터 공격을 방어하기 위한 드라이버 업데이트를 공개한 바 있다.

아직 다른 업체에서의 대응 소식은 확인되지 않았으나 워낙 파급력이 큰 보안 이슈인 만큼 다른 업체에서도 대응에 나설 것으로 예상된다.

 

안티 바이러스 SW는 항상 최신으로

구글 멜트다운과 스펙터는 CPU 하드웨어 이슈이므로 일단 악용되면 기존 백신 프로그램으로 탐지가 불가능한 것으로 알려졌다. 때문에 이번 멜트다운과 스펙터 이슈에 대해서는 백신 프로그램이 소용없다고 생각하기 쉽다.

하지만 이들 보안 취약점을 이용하기 위해서는 최초의 '공격'이 행해져야 하고, 이들 공격의 탐지와 방어에는 여전히 백신 프로그램이 유효하니 최신 업데이트를 놓치지 말아야 할 것이다.

참고로 윈도우의 이번 맬트다운과 스펙터 대응 패치의 경우 커널과 메모리 동작과 관련된 변형이 따르기 때문에 커널과 밀접하게 연관된 바이러스 프로그램의 경우 이를 지원하도록 업데이트가 필요하다.

 

혼란한 멜트다운과 스펙터, 수년간 끌고가야할 초대형 보안 이슈

연초부터 터진 대형 보안 이슈인 멜트다운과 스펙터.

이번 보안 이슈 중 시스템 보안의 근간을 흔든 멜트다운이 내제된 인텔 CPU를 성토하는 분위기가 형성되고 있지만, 그것과는 별개로 이번 보안 이슈는 앞으로 수 년간 IT 시장이 끌어안고 가야할 문제다.

 

인텔 CPU가 멜트다운과 스펙터 두 가지 보안 취약점에 모두 노출된데다 업계 선호도와 채택율이 높은만큼 이번 보안 이슈의 중심에 서 있고, 가장 많은 관심을 받고 있지만, 다른 업체들도 완전히 피해갈 수 없다.

이는 멜트다운과 스펙터 보안 이슈는 기본적으로 최신 CPU의 고성능 구현을 위한 추측 실행 및 분기 예측, 비순차 실행과 연관되었기에, 이들 기능을 파기하고 새롭게 설계하거나 현재 문제가 된 CPU의 아키텍처가 수정된 제품이 나오기 전까지는 소프트웨어적인 패치는 근본 대책이 아니라는 의견이 있다.

수시로 소프트웨어와 시스템 펌웨어 업데이트 여부를 체크해 적용하는 것이 그나마 현실적인 대응인 만큼, 마이크로소프트를 비롯해 일부 업체에서 자신의 시스템이 멜트다운과 스펙터 보안 취약점 노출 여부 체크 수단을 배포 중이니 체크해 보고, 관련 업계에서 멜트다운과 스펙터 대응 업데이트가 공개되는지 수시로 확인하는 것이 시스템을 안전하게 유지하는 방법이 될 것이다.

  태그(Tag)  : 멜트다운, 인텔, AMD, ARM, 사이버 보안
관련 기사 보기
[스페셜] 라이젠 CPU와 Vega GPU 결합의 신세계, AMD 라이젠 3 2200G
[테크닉] 장기전 양상 멜트다운과 스펙터 이슈, 대응 상황 파악은 어디서?
[스페셜] 멜트다운 대응 보안 업데이트,커피레이크 i3 8100 PC 성능 영향은?
[칼럼] 물 들어올 때 노 젓는 AMD, 2세대 라이젠에 바라는 한 가지
[테크닉] 모든 코어 i 시리즈 CPU 사용자 위협, 멜트다운과 스펙터 보안 위협 바로알기
[테크닉] 인텔 CPU와 AMD GPU 환상의 콜라보, 카비레이크G의 실체 전망
태그(Tags) : 멜트다운, 인텔, AMD, ARM, 사이버 보안     관련기사 더보기

  이상호 기자 / 필명 이오니카 / 이오니카님에게 문의하기 ghostlee@bodnara.co.kr
웃기 힘든 세상, 어제와 다른 오늘도 웃을 수 있기 위해…
기자가 쓴 다른 기사 보기

Creative Commons License 보드나라의 기사는 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용할 수 있습니다. Copyright ⓒ 넥스젠리서치(주) 보드나라 미디어국
싸이월드 공감 기사링크 퍼가기 기사내용 퍼가기 이 기사를 하나의 페이지로 묶어 볼 수 있습니다. 출력도 가능합니다.
홈으로 탑으로
보드나라 많이본 기사
EA, 오리진에서 '데드 스페이스' 무료 배포
AMD, 라데온 베가 그래픽 내장 라이젠 데스크톱 APU 2종 출시
엔비디아 차세대 지포스 코드네임, 볼타도 앙페르도 아닌 튜링?
조텍, 지포스 GTX 1060 등 오픈마켓 통해 1,200장 직접 판매
하이엔드 VGA 품귀 시대, 지포스 GTX 1050 대안될 수 있을까?
물 들어올 때 노 젓는 AMD, 2세대 라이젠에 바라는 한 가지
라이젠 CPU와 Vega GPU 결합의 신세계, AMD 라이젠 3 2200G
엔비디아의 1인당 2개 판매 제한 권고, 가상화폐 열풍에 VGA는 품절 중
   이 기사의 의견 보기
트위터 베타서비스 개시! 최신 PC/IT 소식을 트위터를 통해 확인하세요 @bodnara

기자의 시각이 항상 옳은것은 아닙니다. 나머지는 여러분들이 채워 주십시요.

2014년부터 어려운 이야기를 쉽게 하는 것으로 편집방침을 바꿉니다.

주동성 bsbday님의 미디어로그 가기  / 18-01-22 12:52/ 자국/ 신고/ 이댓글에댓글달기
잘 읽었습니다.
결국 cpu 설계단계에서부터 결함이 있다는거 같은데.. 그렇다면 인텔 8세대 제품군은 여기서 그냥 끝난듯 하네요.
그나저나 노트북 제조사들도 이번 이슈와 관련해서 보안패치를 해야할듯한데..
왜 dell은 조용한거냐....
암드가즈아 / 18-01-22 17:40/ 자국/ 신고/ 이댓글에댓글달기
PC, 스마트폰을 안 쓰거나 인터넷 안할 사람을 제외하고는 그나마 가장 안정적인 선택은 AMD 제품을 구입하는 것이네요. 멜트다운 걱정 없고, 스펙터 위험도도 가장 낮고... 하지만 국내에 라이젠이 풀려야 되는데 데탑 쓰는 사람은 몰라도 노트북 쓰는 사람은 선택지가 없네요. 국내 노트북 제조업체에 라이젠 모바일 도입이 시급합니다... 최근에 발표된 레이븐릿지(라이젠 모바일 코드명) 성능 보면 인텔 동급과 비교해도 성능 좋던데 왜 도입한다는 말조차 없는지...

newstar newstar님의 미디어로그 가기  / 18-01-22 21:14/ 자국/ 신고/ 이댓글에댓글달기
업데이트 문제가 발생하는것을 보니 업데이트는 관련 소식을 뜨고 최소 3~4일, 보통 일주일정도 후에 하는것이 나아보입니다.
인텔불매 / 18-02-03 11:24/ 자국/ 신고/ 이댓글에댓글달기
유일한 길은 amd 밖에 없는거네요.

아직도 버젓이 폐기물을 팔고, 노트북이나 서버 시장은 한국에선 뭐 amd를 구할 수가 없네요.
닉네임 웹봇방지

홈으로 탑으로
 
 
2018년 02월
주간 히트 랭킹


관련 제품이 없거나, 스펙보드나라 취급 카테고리가 아닙니다.

스펙보드나라 DB는 주요 PC컴포넌트에 한하여 제공됩니다.
[당첨자발표]2018년 새해맞이 덕담 남기기 11
[수정결과발표] 2017년 4분기 포인트 소진 31
[결과 발표] 2017년 3분기 포인트 소진 로 37
이벤트팝업창 제거 안내 4
[결과 발표] 2017년 2분기 포인트 소진 로 31

실시간 댓글
소셜 네트워크