멜트다운과 스펙터라는 사상 초유의 보안 이슈가 터진지 한 달이 가까워지고 있다.
초기의 충격과 공포는 어느덧 사그라들고, 대응 과정에서 일부 잡음은 있지만 전체 업계가
발벗고 나선 덕인 듯 아직 멜트다운과 스펙터를 악용한 공격이 보고되지 않으면서 조금씩 관심에서 멀어질 시기기도 하다.
그러나 멜트다운과 스펙터는 하드웨어적 결함에 바탕을 둔 만큼 앞으로 십 수년까지도 안고
가며 장기적으로 대응해야 할 이슈인 만큼, 한순간 확 끓어오르는 것보다 열기는 낮아도 잊지않고 꾸준한 상황 파악과 대응이
더 중요하다.
지금이야 한 달이 채 되지 않은 만큼 수시로 관련 내용이 미디어를 통해 업데이트 되고
있지만, 기본 대응이 완료되고 나면 서서히 언급되는 횟수나 빈도도 줄어들 것이고, 그러다 보면 중요한 정보를 놓칠 수
있다.
이번 기사에서는 PC 업계들, 특히 DIY 유저들이 신경 쓸 메인보드 제조사 위주로
멜트다운과 스펙터에 대응 상황 파악을 위한 내용을 정리해 보았다.
사태의 이해, 구글 프로젝트 제로 / 멜트다운 공격 사이트
멜트다운과 스펙터 보안 취약점은 구글이 자체적으로 운영하는 보안팀 프로젝트 제로와
오스트리아 그라츠 공과대학, 업계 보안 전문가들의 연구를 통해 확인되었으며, 1월 3일 구글 프로젝트 제로의 홈페이지와
그라츠 공과대학은 멜트다운공격 사이트를 열고 관련 내용을 공개하였다.
구글 프로젝트 제로 홈페이지의 내용은 이번 멜트다운과 스펙터 보안 이슈에 대한 근본적인
내용을 다루고 있어 일반인들이 이해하기에는 어려울 수 있는데, 그에 반해 그라츠 공과대학이 마련한 멜트다운 공격
사이트는 일반인들도 쉽게 이해할 수 있도록 궁금해 할만한 내용들을 Q&A 형식으로 쉽게 정리해 놓았다.
또한 인텔과 AMD, ARM, IBM, 애플, 델, HP등 주요 업체들의 대응 상황을
확인할 수 있는 링크와 멜트다운 공격의 예시 동영상도 함께 제공하니, 멜트다운과 스펙터 보안 이슈가 어떤 것인지 확인하고, 어떤 업체들이 대응에
나섰는지 알고
싶을 때 둘러보면 좋다.
구글 프로젝트 제로
멜트다운 공격
멜트다운 사태의 핵심, 인텔 대응 상황
이번 멜트다운과 스펙터 보안 이슈가 처음 알려진 계기는 리눅스 진영의 대응 패치 작업
진행 상황 중 성능 하락 등 관련 내용이 노출되었는데, MS 윈도우나 애플 맥OS와 달리 개발 상황이 공개되는 오픈소스
리눅스의 상황상 엠바고가 걸려있음에도 어떤 문제가 있다는 사실만큼은 숨길 수 없었다.
결국 엠바고가 풀리면서 멜트다운과 스펙터 보안 이슈가 세상에 알려지게 되었으며, 그
중심에는 PC 시장 점유율 90%, 서버 시장 점유율 99%로 알려진 인텔 CPU이 업계의 관심을 독차지할 수 밖에 없는
것이 현실이다.
그런만큼 인텔도 수시로 관련 내용을 업데이트 하고 있으며, 1월 3일 인텔 보안 사이트를
통해 자사 제품의 영향 상황을 발표한 이후 보도자료와 전용 페이지를 통해 수시로 멜트다운과 스펙터 대응 상황을 업데이트 하고 있다.
참고로, 인텔 발표에 따르면 이번 멜트다운과 스펙터 이슈에 영향을 받는 제품은 2009년
출시된 45nm 기반 코어 i 시리즈(네할렘 아키텍처) 이후 거의 모든 제품이며, 1월 말까지 대상 제품의 보안 개선을
위한 마이크로 코드 업데이트 배포 작업을 마친다는 계획을 밝혔다.
하지만 멜트다운과 스펙터 대응 마이크로코드 업데이트 이후 재부팅과 블루스크린 이슈가
발생하면서 코드 수정 작업을 하고 있어, 당초 예상대로 1월 중에 모든 대상 CPU의 마이크로 코드 업데이트 작업
이뤄질지는 약간 불안한 상태다.
인텔 멜트다운과 스펙터 상황 발표
인텔
멜트다운과 스펙터 대응 페이지
초대형 보안 이슈 한 발 빗껴간 AMD의 대응
이번 멜트다운과 스펙터 보안 이슈는 인텔 CPU의 비순차 실행 방식과 분기 예측 및 추측
실행의 버그와 관련되었기에 AMD CPU는 상대적으로 한 발 빗껴나 있다. 특히 시스템의 보안 경계가 무너진 멜트다운 이슈는
AMD CPU와 연관이 없고, 스펙터 이슈 유형 1은 운영체제 패치로, 스펙터 이슈 유형2는 위험성이 거의 0(near
0)에 가깝다는 것이 AMD의 공식 입장이다.
이에 따라 AMD는 1월 11일 발표로 스펙터 유형 2에 대해 라이젠과 스레드리퍼, 에픽(EPYC) 대상의
선제적 옵션 마이크로 코드 업데이트 배포 소식을 알렸으며, 이후 한동안 추가 발표는 이뤄지지 않다가 1월 24일 소프트웨어
개발자들을 위한 스펙터 대응 참고 문서를 배포하기 시작했다.
AMD CPU의 멜트다운과 스펙터 상황 업데이트
절대 다수 PC 운영체제, 윈도우의 마이크로소프트
이번 멜트다운과 스펙터 이슈의 근본 원인이 하드웨어 결함에 따른 것이긴 하지만, 현실적인 대처는 운영체제와
CPU 마이크로 코드(바이오스) 업데이트를 통해 진행되고 있다.
당연히 절대 다수의 PC 이용자가 쓰는 윈도우 운영체제를 비롯해 오피스와 익스플로러/ 엣지 웹 브라우저 등
다수의 소프트웨어와 서비스를 제공 중인 마이크로소프트 역시 발빠르게 대응하고 있다.
마이크로소프트는 보안 가이드 페이지를 통해 운영체제와 브라우저 별 필요 업데이트와 사용자 대응 요령 등을
제시하고 있으며, 초기 멜트다운과 스펙터 대응 패치와 일부 구형 AMD 시스템에서 문제가 발생했던 내용 등, 알아두면 좋을 내용들이 업데이트
되고 있으니 참고하면 좋을 것이다.
마이크로소프트 보안 가이드
메인보드 업체들의 멜트다운/ 스펙터 대응 상황
PC 업계에서 이번 멜트다운과 스펙터 보안 이슈 대응의 핵심은 역시 인텔이 될 수 밖에
없지만, 인텔이 내놓은 마이크로코드 업데이트는 메인보드의 바이오스 형태로 가공되어 실제 사용자들에게 제공되므로 메인보드
제조사들의 대응 역시 관심 있게 지켜봐야 한다.
가장 빠르게 대응 바이오스를 공개한 곳은 ASUS로, 관련 대응은 1월 5일 발표했지만
멜트다운과 스펙터 대응 바이오스 공개는 구글 프로젝트 제로의 발표가 있기 전인 1월 초부터 이뤄졌으며, 엠바고 전에 공개된
바이오스는 그 영향인 듯 바이오스 설명에는 마이크로 코드 업데이트 내용이 빠진 경우를 볼 수 있다.
ASUS는 소비자용 메인보드와 서버용 메인보드, 노트북과 데스크탑등의 시스템 별로 대응
내용을 발표했는데, 이에 따르면 스카이레이크 이후 제품에 대해서는 모두 대응 패치가 공개된 상황이며, 서버 보드는 2월
말까지, 시스템 대응 바이오스는 2월 중순까지 모두 공개한다는 방침이다.
하지만 앞서 이야기했듯 인텔 마이크로 코드 업데이트 작업에 예상치 못한 이슈가 발생할
가능성이 있는 만큼 연기될 가능성이 있다.
ASUS 리테일 메인보드 상황
ASUS 서버 메인보드 상황
ASUS 시스템 상황
ASRock은 별도의 마이크로 사이트를 열고 업데이트 상황을 공유하고 있다.
일단 1월 12일 전후로 멜트다운과 스펙터 대응 바이오스를 업데이트했으나 재부팅 이슈가
불거지면서 문제가 된 바이오스들은 내린 상태다. 일단 6세대 스카이레이크 이후 제품에 대한 바이오스 업데이트를 우선
제공하는 것은 ASRock도 다른 주요 메인보드 제조사들과 마찬가지지만, 발표에 따르면 하스웰 대응 8시리즈 메인보드에
대해서도 업데이트를 제공할 예정이다.
ASRock 메인보드 대응 상황
기가바이트도 ASRock처럼 멜트다운과 스펙터 대응 정보를 전하기 위한 마이크로 사이트를
운영 중이다.
따라서 해당 사이트에 접속하면 기가바이트의 멜트다운 및 스펙터 대응 상황을 쉽게 파악할
수 있다. 기가바이트 역시 인텔 6세대 코어 프로세서인 스카이레이크 이후 메인보드와 일부 CPU 온보드 제품에 대한
바이오스 업데이트를 제공 중이다.
GIGABYTE 메인보드 대응 상황
MSI는 ASUS와 같이 보도자료를 통해 멜트다운과 스펙터 대응 상황을 알리고 있다.
따라서 새로운 보도자료로 업데이트된 상황을 알릴 가능성과 기존 보도자를 업데이트 하는
방식 중 어떤 방식으로 상황을 갱신할지는 확실치 않다. 하지만 현재까지 대응을 보면 기존 보도자료를 업데이트 하는 방식으로
상황을 알리고 있으므로, 우선 기존 페이지를 수시로 확인할 필요가 있다.
처음 MSI의 대응을 알린 1월 10일자 보도자료를 보면, 당시에는 Z370 칩셋
메인보드에 대한 바이오스 업데이트 상황만 공개되었으나 이후 멜트다운과 스펙터 대응 바이오스가 추가 공개된 메인보드 리스트가
업데이트 되었다.
MSI 역시 인텔 6세대 코어
프로세서인 스카이레이크 이후 메인보드에 대한 바이오스 업데이트를 제공하고 있으며, 이전 세대에 대한 지원 계획은 알려지지
않았다.
MSI 메인보드 대응 상황
한편, 이들 4개 업체와 달리 바이오스타와 ECS, 컬러풀 쪽에서는 아직 공식적인 입장을
내놓지 않고 있으며, 일부 Z370 칩셋과 Z270 칩셋 메인보드를 살펴보았지만 2018년 멜트다운과 스펙터 이슈가 공개된 이후 업데이트된 바이오스를
찾아볼 수 없었다.
그러나 현재 바이오스 업데이트 작업 중이거나, 도중에 불거진 재부팅 이슈를 피하기 위해
업데이트된 바이오스를 삭제한 상황일 가능성이 있고, 언제 상황이 업데이트될지 모르니 이들 제조사의
메인보드를 사용중이라면 제품 페이지나 보도자료 페이지를 주기적으로 확인할 필요가 있다. 이때 인텔의 대응 상황도 함께 참고하면
좋을 것이다.
BIOSTAR 메인보드 페이지
Colorful 메인보드 페이지
ECS 메인보드 페이지
[영상] RTX50 4분기출시/SSD 추가 인상설/인텔 아크 무관심/PCIe 7.0 발표,그리고 스냅드래곤X엘리트 
