인텔 사태, CPU 보안 이슈 정리, 멜트다운(Meltdown)

2018년이 시작되자마자 인텔 창립 사상 최대의 위기, 특정 CPU (인텔 제품군 중 i 시리즈, i 시리즈 기반 제온(Xeon)) 아키텍처에서 심각한 보안 취약점이 발견되었다. 이 보안 취약점은 구글 프로젝트 제로 및 그라츠 공과대학, 업계 보안 전문가들에 의해 처음 발견되었다. 멜트다운(Meltdown)과 스펙터(Spectre) 라는 두 개의 결함인데, 대부분의 현역 CPU가 이 위험에 노출되어 있고, 이에 대응한 보안 패치 조치가 취해졌지만 시스템 성능이 심각하게 저하되는 문제가 있어서 더 큰 논란이 되었다. 특히 서버 시장에서 안정성 등의 이유로 Xeon이 많이 쓰여왔는데, 이런 이슈로 인해 인텔의 신뢰가 떨어지는 것이 가장 큰 타격이라 생각한다. 

보안 패치에 의한 성능 저하

해당 버그는 운영 체제(윈도우, 리눅스, iOS)와 상관 없이 모든 제품군에서 나타나며 운영체제에 따라 다르지만 SW적으로 수정할 경우 최대 30% 정도의 성능저하를 일으킨다고 한다. 

레딧에서 알려진 바에 따르면, 리눅스 커널 패치를 적용 후,

 1. 파일 시스템 I/O 쪽은 성능이 반토막

 2. 컴파일러 벤치마크 중 initial setup 항목에서 15% 정도 성능이 저하

 3. 커널 컴파일, 인코딩 등은 큰 영향 없음

 4. SQL 같은 DB 관련 벤치에서 15% 정도 성능 저하

 5. 데이터 스트럭처 서버라는 것에서 6% 정도 깨짐

 6. 게임은 영향이 거의 없음

위 테스트 결과는 다음과 같다. 

출처 : https://www.phoronix.com/scan.php?page=article&item=linux-415-x86pti&num=2

패치 전(보라색)과 패치 후(녹색)의 I/O 성능 차이가 심각하게 저하되는 것을 볼 수 있다. 

출처 : https://www.phoronix.com/scan.php?page=news_item&px=x86-PTI-Initial-Gaming-Tests

게임에 있어서는 영향이 거의 없는 것으로 보고 있다. 

멜트다운(Meltdown)과 스펙터(Spectre)

멜트다운은 유저 프로그램이 운영체제 권한 영역을 훔쳐볼 수 있는 취약점이고, 스펙터는 유저 프로그램이 다른 유저 프로그램을 메모리를 훔쳐볼 수 있는 취약점이다. 두 취약점은 CPU 명령어가 사용자에게 순차적으로 실행되는 것처럼 보이지만, 내부적으로 최적화 하기 위해 뒷쪽 명령어를 미리 실행하여 값이 맞으면 바로 적용해 사용자에게 보여주지만 틀리면 해당 연산을 파기하게 되는데 이 파기된 계산결과에서 정보 누출의 문제가 발생하게 되는 것이다. 

멜트다운은 운영체제 보안 자체가 무너지는 문제라서 매우 심각한 반면, 스펙터는 구현도 어렵고, 방어도 어려워 심각성이 덜 하다. 

다만 메모리를 훔쳐볼 수만 있고 메모리에 쓰기는 할 수 없기 때문에 랜섬웨어나 악성코드를 심는 것이 불가능 하여 시스템을 파괴시킬 수는 없다. 하지만 커널에 올라온 메모리를 해커가 읽을 수 있기 때문에 각종 개인정보 및 인터넷 뱅킹 인증서의 키, 암호 등이 노출될 수 있다. 또한 이런 공격이 악성코드인지 정상코드 인지 판단하기 어려운 것도 문제다. 

앞에 설명이 어렵다면 멜트다운의 취약점을 알기 쉽게 영상으로 보여주는 사례가 있다. 

참조 : https://meltdownattack.com/

인텔 CPU 취약점 검사 방법

자신이 사용하는 PC나 노트북의 CPU가 인텔 CPU라면 본인의 시스템이 멜트다운에 취약한지 아닌지 확인할 수 있다. 

인텔-SA-00086 Detection Tool (인텔에서 배포중인 결함 탐지 도구, 설치 필요 없음)

https://downloadcenter.intel.com/ko/download/27150?_ga=2.174731169.2025563409.1511914921-2012859344.1511914921

위 링크에 접속하면 좌측에 '사용 가능한 다운로드' 부분에서 리눅스 또는 윈도우 사용자를 위한 파일을 받을 수 있다. 

윈도우 기준으로 설명하면,

SA00086_Windows.zip 파일을 다운로드 받고 압축을 풀면

SA00086_Windows\DiscoveryTool.GUI 경로에 Intel-SA-00086-GUI.exe 파일을 실행한다. (인스톨 필요 없음)

시스템 분석이 완료될 때 까지 기다리면 최종 결과 안내를 바로 볼 수 있다. 

위험 평가

이 툴에 의해 수행된 분석에 기초함 : 이 시스템은 취약한 상태입니다.

영문 윈도우의 경우) 

Risk Assessment

Based on the analysis performed by this tool: This system is not vulnerable.

라고 나온다면 자신의 CPU는 멜트다운에 취약한 상태라는 것이다. 

사용자 대처 방법

- 윈도우 7, 8, 10은 모두 업데이트를 통해 해당 보안 문제를 해결할 수 있다. 

만약 알 수 없는 이유로 업데이트가 불가능한 상태라면 아래 링크에서 업데이트 할 수 있다. 

실행(윈도우키 + R)을 눌러 winver 을 치고 실행을 누르면 Windows 정보가 나타난다. 

해당 버전에 맞는 마이크로소프트 카탈로그 사이트에 들어가 자신의 윈도우가 최신 업데이트 상태라면 델타 업데이트를, 아니면 누적 업데이트를 설치 후, 재시작 하면 된다. 

윈도우7 서비스팩1  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056894

윈도우8.1  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898

윈도우10 버전 1507  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056893

윈도우10 버전 1511  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056888

윈도우10 버전 1607  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890

윈도우10 버전 1703  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056891

윈도우10 버전 1709  https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892

윈도우10 버전 1803  기본 포함 예정

- iOS는 App Store에서 High Sierra 10.13.2를 설치하면 된다. OS 버전이 10.12 Sierra 이고, High Sierra로 업데이트 하고 싶지 않은 경우 2017-002 보안 업데이트를 설치하면 되고, 10.11 엘 캐피탄의 경우 2017-005 보안 업데이트를 설치하면 된다. 그 외 하위 버전은 지원하지 않는다. 

- 리눅스는 배포판 업데이트를 하면 된다. 

단 보안 패치 후, I/O 같은 일부 성능 저하를 일으킬 수 있지만, 메모리 기반의 연산을 하는 부분에서는 성능상 큰 차이를 느끼기 어렵다고 한다.