Intel의 망조, 인프라 운영자의 한숨. 멜트다운과 스펙터

CPU게이트 (멜트다운, 스펙터)
현재까지 나온 모든 보안 정책들을 무력화시키고 운영 체제 심장부의 메모리를 마음대로 읽을 수 있게 하는 초대형 하드웨어 취약점. 멜트다운 취약점은 하드웨어 구조적 결함이라 업데이트같은 소프트웨어적 미봉책으로는 사실상 완전히 막을 수 없다. 

인텔, 스펙터 멜트다운 공격 보호 장치 내장한 칩 하반기 출시, THEGEAR, 2018-01-26

 인프라 운영자 입장에서는 이걸 어떻게 해결해야 할지 모르는 상황이다. 뉴스에까지 나온 치명적인 보안 이슈이긴 하지만, 소프트웨어 패치는 미봉책이기 때문에 고객이 물어봤을때 명쾌한 해결책을 답할 수도 없다.

세계 IT업계에 떨어진 핵폭탄이자 Intel 사상 최악의 위기


만약 Intel이 잘못을 인정한다면, Intel은 엄청난 금액이 걸린 소송으로 생존이 불가능할 것이다. 이 때문에 Intel은 잘못을 인정하지는 않을 것으로 보인다. 앞으로 Intel은 수많은 소송과 타 제품(AMD CPU)으로의 대규모 이동으로 큰 어려움을 겪을 것으로 예상된다. 

Intel의 멜트다운, 사상 최악의 보안 문제인 이유, DigestICT, 2018-01-14

실제로 AMD 제품을 탑제한 서버로 신규 발주가 나오는 경우가 나오고 있다. AMD의 신규 아키텍쳐인 젠을 기반으로 한 CPU들의 성능이 예전과 다르게 일취월장하여 쓸만한....수준이 되었기 때문에 점점 관심이 가고 있다.


알려지게 된 과정

2018년 1월 3일 구글에서 최초로 발표한 특정 CPU 아키텍처에서 발견된 몇 가지 중대한 보안 취약점이다.

구글 프로젝트 제로의 얀 호른 수석연구원과 오스트리아 그라츠 공과대학, 그리고 업계 보안전문가들이 발견하였다. 마이크로소프트와 리눅스 개발진 등에게 알려 보안 패치 등 필요한 조치를 취한 뒤, 2018년 1월 9일 공개할 예정이였지만, 리눅스 패치를 지켜보던 사람들이 낌새를 눈치채, 2018년 새해 즈음에 공개적으로 '무슨 버그인지는 정확히 모르겠지만 인텔 CPU에 심각한 버그가 있다'는 사실이 개발자들 사이에 알려지게 된다. 이 때문에 구글에서는 예정보다 빠른 1월 3일에 해당 내용을 발표하였다. 사실 이떄까지 운영자들은 크게 신경을 쓰지 않고 있었지만, 공개되는 정보들이 너무 흉흉하여 큰 이슈가 되기 시작한다.


보안 취약 대상


멜트다운 버그에대한 공식 홈페이지의 말하는 보안 취약 대상은 아이태니엄과 2013년 이전의 아톰 프로세서를 제외한 모든 모바일, 데스크톱 기종을 불문하고 1995년 이후 나온 비순차 처리를 이용하는 인텔 프로세서는 잠재적으로 해당된다고 하며, 출시일이 2011년인 모델까지 거슬러 올라가며 테스트한 결과 멜트다운 취약성이 확인되었다. 실제로 현업에서 운영하는 대부분의 서버가 해당된다고 생각하면 된다. 다른 아키텍쳐의 CPU를 사용하느 구형 서버를 운영하는 사이트는 해당이 안되는데, 차세대로 넘어갈 여건이 없는 회사의 인프라를 담당하는 입장에서는 이걸 좋다고 해야하는 상황인건지 아닌건지 알 수가 없다....

패치 진행 상황


윈도우는 이슈 직후 긴급 패치가 공개되었고, 1월 9일 부터는 윈도우 업데이트 기능으로 배포 시작.
맥OS는 지난해 12월 초 배포된 보안 업데이트로 멜트다운을, 1월 9월 스펙터 대응 패치를 공개.
리눅스는 관련 보안 취약점이 공개되기 이전에 대응이 완료.
모바일 영역은 iOS가 1월 8일 공개한 11.2.2에서 보안 취약점 대응을 완료 하였으며, 안드로이드의 경우 1월 5일 SPL(Security Patch Level)을 업데이트해 안드로이드의 멜트다운과 스펙터 보안 취약점에 대응한다는 방침이지만 제조사별로 반영 여부 미지수.

 실제로 방화벽 밖에 나가있는 서버들을 대상으로만 1차적인 조치를 하자는 것이 업계의 분위기이다. 확실히 해결 할 수 없는 문제에 대해서, 패치 후 어떤 영향이 있을지 테스트 케이스도 없는 상황이라 치명적인 문제이지만 다들 망설이고 있다. 그러던 와중에 패치의 악영향이 알려지게 된다.


패치의 영향


최신 CPU(스카이레이크~)와 윈도우 10 시스템에서는 한 자릿수 % 가량의 성능 저하를 보임. 하지만 이 수치는 밀리초 단위라 대다수 사용자가 변화를 느낄 수 없을 것이라 예상.
구형 CPU(~하스웰)와 윈도우 10 시스템에서는 일부 벤치마크에서 더 큰 성능 저하가 나타남. 일부 사용자가 시스템 성능이 떨어진 것을 느낄 수 있을 것이며, 윈도우7/8 시스템에서는 대다수 사용자가 성능 저하를 경험할 것.
윈도우 서버는 CPU 종류를 불문하고 서버 인스턴스에서 신뢰할 수 없는 코드를 격리하기 위한 기능을 활성화하면 IO 사용량이 많은 애플리케이션에서 특히 큰 성능 저하가 나타난다.

 결론은 패치를 하면 자원을 빡빡하게 사용하는 사이트의 경우 망한다고 보면 된다. 실제로 패치 후 성능 저하로 강제 자원 증설을 하게 된 경우도 있으며, 원인 모를 재부팅 현상이 발생하는 등 인프라 운영자 입장에서는 답도 없는 상황이 연출되고 있다. 현재 누구도 패치를 하라고 강제하지 못하는 분위기이다.

최신 업데이트의 행방(Update 중)

 http://www.itworld.co.kr/news/108293
- 문제를 해결했다는 패치가 인텔에서 차근차근 나오고 있다.
- 하지만 패치를 하니 시스템 성능저하 케이스가 계속해서 발견되고 있다.

 http://news.naver.com/main/read.nhn?mode=LSD&mid=shm&sid1=105&oid=092&aid=0002131583
- 더군다나 멜트다운, 스펙터 버그의 새로운 공격법 발견되었다. 또 새로운 패치가 필요할지 모른다.

 http://betanews.heraldcorp.com:8080/article/804279.html
- 인텔은 해당 버그를 해결한 칩을 올해 발표할 예정. 현재 사용중인 CPU에 대한 해결책은 불투명

평가

한분이 정말 옳은 말을 해주셨다. 대체 이 똥을 누가 어찌할 것인가.

"따라서 누군가는 진실을 말하고 있지 않는 중이다. 누군가 석연치 않은 이유로 완전 쓰레기를 밀고 있다. 이 점을 지적하게 되어서 미안하게 되었지만 말이다.
(So somebody isn't telling the truth here. Somebody is pushing complete garbage for unclear reasons. Sorry for having. to point that out.)"
"말 그대로 이 패치들은 완전히 그리고 완벽히 쓰레기다. (As it is, the patches are COMPLETE AND UTTER GARBAGE)"

- Linus Torvalds

댓글

댓글 쓰기

이 블로그의 인기 게시물

MacOS에서 SVN 사용하기(SmartSVN)

이미지
- svn 툴로 윈도우에서는 보통 tortoiseSVN을 많이 사용하지만 맥에서는 지원하지 않는 관계로 다른 툴을 이용해야 했다. - 앱스토어에서 svn으로 검색해보면 SnailSVNLite 가 있어서 사용해보았으나 무료 버전의 경우 하나의 repository만 이용할수 있고 인터페이스도 불편하던 중 현업에서 smartSVN을 많이 사용한다는 것을 듣고 바꿔보기로 했다. 1.  http://www.smartsvn.com 에서 클라이언트 다운로드 2. 설치할때 31일간 프로페셔널 등급으로 쓰거나 라이센스를 등록해서 프로등급으로 사용하는 것이 나오는데 홈페이지에서 확인해보면, 31일간 프로페셔널 등급으로 사용후 추가 등록이 없으면 무료 버전? 라이트버전? 으로 계속해서 이용 가능하다고 안내되어 있다. 3.  사용법은 다른 svn과 거의 동일하다 check out 에 url을 입력하고 폴더를 지정하여 로컬로 소스를 가져온다. 실행하면 아래와 같은 UI가 나온다. 내가 수정 중인 파일은 빨간색으로 표시되는 듯하다. - 장점 : SnailSVN에 비해 일단 ui가 더 직관적이다. snailSVN은 파인더(윈도우의 탐색기라 생각하면 될듯)에서 확인하여 파일들을 정리해줘야 했는데 smartSVN을 이용하면 한번에 다 확인 가능해서 작업하기 더 편한듯 하다.
자세한 내용 보기

사우디아라비아 출장 경험담 1

이미지
 약 2년전 2016년 5월 중순에서 2016년 10월초까지 4개월 반 동안 개발자로서 사우디아라비아 출장을 다녀왔다. 지금 현재 이 회사, 이 부서에 있는 한 해외 출장을 갈 일이 없을 것 같은데, 그당시 입사한지 1년만에 운 좋게(?) 해외 출장을 가게 되었다. 2년 지난 지금에야 경험한 일들을 글로 남기려고 한다.  내가 간 프로젝트는 사우디아라비아에서 새로 짓는 문화센터 시스템 개발인데,  프로젝트가 시작된지 약 2년정도 되었고 내가 갔을 때는 프로젝트를 마무리해야하는데,  오류가 많아 마무리 수정작업을 하러 갔다.  문화센터 건설작업을 하는 다른 해외 대기업에서 파업이 일어나서 프로젝트는 계속 지연되고 있었고, 우리는 개발을 완료하고 빠지면 되는데, 시스템이라는게 완벽할 수 없으니 오류 지적을 하며 우리를 놔주지 않고 있는 실정이었다. 물론 그런 이유를 제외하더라도 오류가 많기는 했다.. 그리고 프로젝트 마무리 단계이다보니 개발자보다는 관리자 역할을 하는 상급자 분들이 대부분이라, 해야할 일이 많았다.  글이 어떻게 진행될지 모르겠으나, 일 외적으로 경험한 내용들 위주로 의식의 흐름대로 적을 생각이다. 4개월 반 밖에 있지 않았고, 보고 경험한 내용들이라 팩트와 다를 수 있다... 비자  일단 사우디아라비아를 가려면 워킹비자 외에는 방법이 없다. (지금 찾아보니 18년 4월 1일부터 관광비자를 발급한다고 한다.. 관광할게 뭐있지..) 워킹비자가 당시 약 30만원정도로 비싸고, 유효기간이 3개월이 최대 였던 걸로 기억한다. 그리고 발급 받기도 까다롭다. 우리는 문화센터를 짓는 aramco에게서 초대장을 받아서 발급받았다.  비자의 유효기간이 도래하면 다른 나라로 넘어가서 재발급을 받아야한다. 우리는 사우디 동쪽 끝에 있었는데, 바로 옆에 바레인이라는 섬나라가 있어 비교적 쉽게 왕복하였다. 다리가 놓여져있어, 차로 빠르면 30분 늦으면 2시간 정도(통관 때문에) 걸렸다...
자세한 내용 보기

구글 주소검색 API

주소를 주고 위도/경도를 얻을 수 있는 두가지 API 1. geocode api 필수 매개변수 address  — 지오코딩하려는 거리 주소. 이 주소는 해당 국가의 국내 우편 서비스에서 사용되는 형식입니다. 사업체 이름과 부서, 스위트 번호 또는 층 번호와 같은 추가적인 주소 요소는 피해야 합니다.  key  — 애플리케이션의 API 키.  [json 기본형식]   https : //maps.googleapis.com/maps/api/geocode/ json ? address=SDS &key=API_KEY [xml 기본형식]   https : //maps.googleapis.com/maps/api/geocode/ xml ?address=SDS&key=API_KEY [지역편중]  https : //maps.googleapis.com/maps/api/geocode/json?address=SDS& region=kr &key=API_KEY MSDN :  https://developers.google.com/maps/documentation/geocoding/intro?hl=ko 2. places text search api 필수 매개변수 query  — 검색할 텍스트 문자열입니다(예: '레스토랑' 또는 '123 메인 스트리트'). Google Places 서비스는 문자열을 기준으로 일치 가능성이 높은 항목을 반환하고, 감지된 관련성을 기준으로 검색 결과를 정렬합니다.  key  — 애플리케이션의 API 키.  [주변검색]   https : //maps.googleapis.com/maps/api/place/textsearch/json? query=restaurants+in+Seoul &key=API_KEY [주소검색]   https : //maps.go...
자세한 내용 보기