.jpg)
새로운 보안 기능 탑재한 타이거 레이크, 인텔의 새로운 프로세서 라인
CET라는 기술 처음 선보여...메모리 취약점 익스플로잇 하는 행위 어렵게 만들어
[보안뉴스 문가용 기자] 인텔이 새로운 CPU 층위의 보안 기능을 공개했다. 버퍼 오버플로우 등 메모리 관련 취약점들을 악용하는 위협으로부터 앱을 보호하기 위해 마련된 것이라고 한다. 이 보안 기술은 ‘제어 흐름 시행 기술(control-flow enforcement technology, CET)’이라고 하며, 타이거 레이크(Tiger Lake)라는 모바일 프로세서를 통해 선보일 예정이라고 한다.
인텔의 클라이언트 컴퓨팅 부문 부회장인 톰 개리슨(Tom Garrison)은 CET에 대해 “제어 흐름 하이재킹이라고 분류되는 유형의 공격을 막는 기술”이라고 설명한다. “제어 흐름 하이재킹(control-flow hijacking)은 여러 멀웨어가 차용하고 있는 기술로, 코드가 작성되고 실행되는 방식 자체를 공략해 전혀 엉뚱한 결과물이 나오도록 하는 것입니다.”
이런 ‘제어 흐름 하이재킹’ 공격의 또 다른 특징은 탐지가 힘들다는 것이다. 오리지널 코드, 즉 백신 등이 ‘안전하다’고 판단하는 코드를 공격자 입맛대로 악용하는 것이므로 ‘악성’으로 탐지되지 않는 경우가 대부분이다. “소프트웨어 층위에서 탐지를 실시하면 결과가 신통치 않습니다. 그래서 CPU 칩셋 층위에서부터 보호를 시작하는 것이죠.”
CET는 두 가지 기술들을 사용해 ‘정상적’인 코드가 ‘제어 흐름 공격’에 악용되지 않도록 한다. 하나는 ‘간접 분기 추적(indirect branch tracking)’이고 다른 하나는 ‘그림자 스택(shadow stack)’이다. ‘간접 분기 추적’은 “코드가 실행되고, 코드 내 다른 영역으로 건너뛰어야 하는 상황에서 최종 분기점(end branch)으로 도달하도록 꾸미는 것”을 말한다.
개리슨은 이에 대해 다음과 같이 설명한다. “연꽃이 피어 있는 연못을 상상해보세요. 당신이 개구리라면, 연꽃잎에서 연꽃잎으로 뛰어다닐 수 있겠죠. 연꽃이 없는 곳으로 뛰어들지는 않을 거에요. 물속으로 들어가고자 하는 게 원래 의도가 아니라면요. 연꽃잎 위로 뛰는 동작을 했는데, 사실 거기 아무것도 없는 상황이라면 CPU가 이를 곧바로 탐지할 수 있게 됩니다.”
‘그림자 스택’은 공격자들이 ‘복귀 주소’라고 알려진 정보를 가로채고, 이를 공격자가 원하는 주소로 바꿔치기 하는 유혀으이 메모리 공격을 다루기 위해 만들어졌다. ‘그림자 스택’ 기술은 모든 복귀 주소의 복사본을 저장하고 있으며, 따라서 누군가 복귀 주소를 조작할 때 곧바로 알아챌 수 있게 된다고 한다.
개리슨은 블로그를 통해 “이런 유형의 공격은 주로 스택 버퍼 오버플로우나 UaF, 메모리 변형을 유발하는 멀웨어를 통해 발생한다”며 “트렌드 마이크로(Trend Micro)의 제로데이 이니셔티브(ZDI)를 통해 발견된 1100여 개의 제로데이 취약점들 중 약 60%가 이 유형에 해당한다”고 강조했다.
인텔이 CET 사양이 기재된 백서를 발표한 건 이미 2016년의 일이다. 그 후 인텔은 마이크로소프트와의 협업을 통해 윈도우 10과 개발자 도구들에 CET 활용 기술이 탑재되도록 만들었다. 인텔이 하드웨어로 만들어낸 기술을 실제 사용자 및 개발자 환경에서 사용 가능하도록 구현하는 작업을 한 것이다. 특히 타이거 레이크 프로세서 출시와 맞추기 위해 협업을 진행했다고 한다.
마이크로소프트는 이미 올해 윈도우 10의 ‘하드웨어 강화 스택 보호(hardware-enforced stack protection)’라는 기능을 통해 인텔의 CET를 지원한다고 발표한 바 있다. CET 사양을 갖춘 인텔 칩셋을 사용하는 시스템에서만 작동하는 기술로, 메모리 취약점과 관련된 위험을 완화시킨다고 당시 MS는 설명했었다.
3줄 요약
1. 인텔, 타이거 레이크라는 칩셋 새롭게 출시하면서 하드웨어 보안 기능 발표.
2. 이 하드웨어에는 CET라는 애플리케이션 보호 기능이 탑재되어 있음.
3. 메모리 조작해 애플리케이션을 공격하는 행위에 대한 하드웨어 차원의 보호 이뤄질 듯.
[국제부 문가용 기자(globoan@boannews.com)]
CET라는 기술 처음 선보여...메모리 취약점 익스플로잇 하는 행위 어렵게 만들어
[보안뉴스 문가용 기자] 인텔이 새로운 CPU 층위의 보안 기능을 공개했다. 버퍼 오버플로우 등 메모리 관련 취약점들을 악용하는 위협으로부터 앱을 보호하기 위해 마련된 것이라고 한다. 이 보안 기술은 ‘제어 흐름 시행 기술(control-flow enforcement technology, CET)’이라고 하며, 타이거 레이크(Tiger Lake)라는 모바일 프로세서를 통해 선보일 예정이라고 한다.
[이미지 = utoimage]
인텔의 클라이언트 컴퓨팅 부문 부회장인 톰 개리슨(Tom Garrison)은 CET에 대해 “제어 흐름 하이재킹이라고 분류되는 유형의 공격을 막는 기술”이라고 설명한다. “제어 흐름 하이재킹(control-flow hijacking)은 여러 멀웨어가 차용하고 있는 기술로, 코드가 작성되고 실행되는 방식 자체를 공략해 전혀 엉뚱한 결과물이 나오도록 하는 것입니다.”
이런 ‘제어 흐름 하이재킹’ 공격의 또 다른 특징은 탐지가 힘들다는 것이다. 오리지널 코드, 즉 백신 등이 ‘안전하다’고 판단하는 코드를 공격자 입맛대로 악용하는 것이므로 ‘악성’으로 탐지되지 않는 경우가 대부분이다. “소프트웨어 층위에서 탐지를 실시하면 결과가 신통치 않습니다. 그래서 CPU 칩셋 층위에서부터 보호를 시작하는 것이죠.”
CET는 두 가지 기술들을 사용해 ‘정상적’인 코드가 ‘제어 흐름 공격’에 악용되지 않도록 한다. 하나는 ‘간접 분기 추적(indirect branch tracking)’이고 다른 하나는 ‘그림자 스택(shadow stack)’이다. ‘간접 분기 추적’은 “코드가 실행되고, 코드 내 다른 영역으로 건너뛰어야 하는 상황에서 최종 분기점(end branch)으로 도달하도록 꾸미는 것”을 말한다.
개리슨은 이에 대해 다음과 같이 설명한다. “연꽃이 피어 있는 연못을 상상해보세요. 당신이 개구리라면, 연꽃잎에서 연꽃잎으로 뛰어다닐 수 있겠죠. 연꽃이 없는 곳으로 뛰어들지는 않을 거에요. 물속으로 들어가고자 하는 게 원래 의도가 아니라면요. 연꽃잎 위로 뛰는 동작을 했는데, 사실 거기 아무것도 없는 상황이라면 CPU가 이를 곧바로 탐지할 수 있게 됩니다.”
‘그림자 스택’은 공격자들이 ‘복귀 주소’라고 알려진 정보를 가로채고, 이를 공격자가 원하는 주소로 바꿔치기 하는 유혀으이 메모리 공격을 다루기 위해 만들어졌다. ‘그림자 스택’ 기술은 모든 복귀 주소의 복사본을 저장하고 있으며, 따라서 누군가 복귀 주소를 조작할 때 곧바로 알아챌 수 있게 된다고 한다.
개리슨은 블로그를 통해 “이런 유형의 공격은 주로 스택 버퍼 오버플로우나 UaF, 메모리 변형을 유발하는 멀웨어를 통해 발생한다”며 “트렌드 마이크로(Trend Micro)의 제로데이 이니셔티브(ZDI)를 통해 발견된 1100여 개의 제로데이 취약점들 중 약 60%가 이 유형에 해당한다”고 강조했다.
인텔이 CET 사양이 기재된 백서를 발표한 건 이미 2016년의 일이다. 그 후 인텔은 마이크로소프트와의 협업을 통해 윈도우 10과 개발자 도구들에 CET 활용 기술이 탑재되도록 만들었다. 인텔이 하드웨어로 만들어낸 기술을 실제 사용자 및 개발자 환경에서 사용 가능하도록 구현하는 작업을 한 것이다. 특히 타이거 레이크 프로세서 출시와 맞추기 위해 협업을 진행했다고 한다.
마이크로소프트는 이미 올해 윈도우 10의 ‘하드웨어 강화 스택 보호(hardware-enforced stack protection)’라는 기능을 통해 인텔의 CET를 지원한다고 발표한 바 있다. CET 사양을 갖춘 인텔 칩셋을 사용하는 시스템에서만 작동하는 기술로, 메모리 취약점과 관련된 위험을 완화시킨다고 당시 MS는 설명했었다.
3줄 요약
1. 인텔, 타이거 레이크라는 칩셋 새롭게 출시하면서 하드웨어 보안 기능 발표.
2. 이 하드웨어에는 CET라는 애플리케이션 보호 기능이 탑재되어 있음.
3. 메모리 조작해 애플리케이션을 공격하는 행위에 대한 하드웨어 차원의 보호 이뤄질 듯.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2025-02-03] 
