[Day 190] 멜트다운(Meltdown, 붕괴), 스펙터(Spectre, 유령)

멜트다운(Meltdown, 붕괴)

• 멜트다운은 인텔 CPU에 적용된 '비순차적 명령어 처리(OoOE)' 기술의 버그를 악용한 보안 취약점
• 멜트다운을 이용하면 보안을 위해 응용 프로그램이 CPU의 캐시 메모리에 접근하지 못했던 기존 하드웨어 보안 구조가 붕괴되어, 해커가 만든 해킹 프로그램이 사용자의 시스템 메모리에 바로 접근할 수 있게 됨
• 암호화되어 있지 않은 일반 데이터뿐만 아니라 웹 브라우저에 저장된 암호, 이메일이나 메신저로 주고받은 내용, 개인의 비밀이 담긴 사진, 중요한 업무용 문서까지 PC와 스마트폰에 담겨있는 모든 중요한 데이터를 탈취할 수 있음
• 멜트다운은 1995년 이후 시중에 판매된 모든 인텔 CPU에서 발생할 수 있음
• 멜트다운은 일반 사용자용 PC뿐만 아니라 클라우드 컴퓨팅용 인프라스트럭처에서도 발생하며, 인텔 CPU와 시트릭스 젠 하이퍼바이저(가상화 솔루션)를 이용 중인 클라우드 업체가 특히 취약함
• AWS, 마이크로소프트, 구글 등이 제공하는 클라우드 서비스는 패치가 완료되었음
• 멜트다운 문제 해결을 위해 해당 비순차적 명령어 처리 기술을 비활성화함에 따라 CPU의 성능이 저하되는 문제가 발생함
• 인텔 CPU는 최대 30%까지 성능이 저하될 수 있으며, 이러한 성능 저하는 클라우드 컴퓨팅과 서비스 호스팅 업체에 더욱 치명적임

 

스펙터(Spectre, 유령)

• 스펙터는 CPU 속에 담겨있는 수 많은 명령어에서 일어나는 버그를 악용한 보안 취약점
• 이 버그를 이용하면 해킹 프로그램이 다른 응용 프로그램이 담긴 메모리 내부를 들여다볼 수 있게 됨
• 멜트다운처럼 보안 구조가 통째로 무너지는 것은 아니지만, 응용 프로그램이 처리하고 있는 데이터 중 일부가 해커들에게 노출 될 수 있음
• 스펙터는 어떤 상황에서 어떤 명령어를 이용해 버그가 일어나고, 이를 해결하기 위해 어떤 대응을 해야하는지 추적하기 매우 어려움

 

 

 

*출처 : 멜트다운과 스펙터, CPU의 보안이 통째로 무너지다 (donga.com)

멜트다운과 스펙터, CPU의 보안이 통째로 무너지다