메모리 캐시의 미세한 구멍 통한 정보 탈취법 등장

아마존, “전문가 중 전문가만 할 수 있는 어려운 공격” 비판

새로운 공격법 등장하면 관련자들은 경계하고 고치는 것이 타당

[보안뉴스 문가용] 매사추세츠 주의 우스터 폴리테크닉 인스티튜트(Worcester Polytechnic Institute, WPI)는 최근 아마존의 EC2 클라우드 인프라에서 호스팅된 가상 기기로부터 개인 RSA 크립토그래피 키를 훔칠 수 있다는 걸 증명해냈다. 국제 암호논리연구학회(International Association for Cryptologic Research, IACR)에서 발간하는 학술지를 통해 가상 기기가 호스팅 된 물리 기기를 찾아내서 크립토 키를 탈취하는 방법을 발표한 것.

이에 대해 아마존에서는 최신 소프트웨어를 안전한 수칙에 따라 정상적인 경로로 사용할 경우 공격에 취약해지지 않는다고 반박했다. WPI가 발견한 공격법은 매우 복잡하고 여러 변수 및 요인이 전제되어야만 가능하다는 것. “게다가 WPI의 공격법은 이미 대중에게 배포되어 있는 패치 한 방으로 해결됩니다.”

이는 약 6년 전에 MIT와 캘리포니아대학의 연구원들이 했던 한 연구와 비슷하다는 게 전문가들의 평이다. 당시 연구원들은 IACR의 학술지에 대중 클라우드 인프라에서 가상 기기를 발견해 호스트가 되는 물리 서버에 도달하는 방법을 발표했고, 거기에 더해 악성 가상 기기를 발견한 물리 서버에 심어 데이터를 유출할 수 있다는 걸 증명했던 것이다.

하지만 6년이 지난 지금 당시 연구원들이 이용했던 취약점은 대부분 해결되었다고 한다. 클라우드 서비스 제공업체나 하이퍼바이저 업체들, 크립토 라이브러리 제공자 등 가상 기기 및 클라우드 기술과 관련이 있는 이들이 전부 보안 구멍을 메웠기 때문이다. “클라우드를 공격할 수 있는 방법이 생각보다 빠르게 제거되고 있습니다. 관련 업종의 종사자들이 아낌 없이 노력을 투자하고 있기 때문이죠.”

그럼에도 아직 클라우드 환경이 100% 깨끗한 건 아니다. 쉽든 어렵든 가상 기기가 호스팅 된 물리 서버를 찾아내는 게 가능한 것도 사실이다. 그리고 거기까지 일을 진행시켰다면 RSA 크립토 키 혹은 복호화 키를 훔치는 것 역시 가능한 채로 남아있다.

WPI는 보고서를 통해 LLP(last level cache)와 같은 리소스를 통해 위에 언급한 공격을 하는 게 가능하다고 한다. 자세한 건 보고서 자료를 읽어보면 나와있지만 결국 가상 기기와 물리 기기 사이의 통신으로 인해 공유된 메모리 캐시를 활용하는 것이 열쇠다. 보통 하이퍼바이저 단에서 가상 기기끼리의 메모리 공유를 직접 지원하지는 않지만 LLC는 이를 우회하여 가능하게 하는데 이 점에 착안한 것. “한 마디로 가상 기기 간 통신을 엿볼 수 있게 하는 길을 새롭게 만들어낸 것”이라고 볼 수 있다.

“사실 LLC나 메모리 공유 등은 애플리케이션의 구축 단계에서 아주 미세한 부분입니다. 그래서 많이들 간과하는 곳이기도 하죠. 하지만 거기서도 분명히 뭔가가 새나갈 수 있고 악용이 충분히 가능하다는 것, 그리고 그런 허점을 가진 게 사람과 정보가 몰려 있는 대중 클라우드라는 점은 분명히 경계해야 할 점입니다.” WPI의 토마스 아이젠바스(Thomas Eisenbarth)의 설명이다.

그러므로 소프트웨어를 선택할 때 꼼꼼해야 한다는 게 WPI의 설명이다. “OpenSSL이나 Libgcrypt의 최신 버전을 보면 저희가 발견한 방식의 유출이 전혀 일어날 수 없도록 설계가 되어 있습니다. 즉, 기업이든 개인이든 사용자가 이미 널리 알려진 보안 수칙을 잘 따른다면 위험해질 일은 없다고 봐도 됩니다. 즉 패치를 잘 하는 게 좋은 방법이라는 것이죠.”

암호화 기술 업체인 다이애딕(Dyadic)의 창립자이자 CSO인 예후다 린델(Yehuda Lindell) 역시 이번 보고서를 통해 생각지도 못한 미세한 구멍을 통한 공격이 얼마나 효과적이고 또 치명적일 수 있는지 잘 보여주고 있다고 평한다. “물론 제시된 공격 방법이 누구나 할 수 있는 수준의 것은 아닙니다. 전제 조건도 존재하고요. 그렇다고 아예 현실가능성이 제로인 것도 아니죠. 새로운 방법이 등장했다는 건 분명히 긴장을 해야 할 사안입니다.”

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)