AMD와 인텔 CPU에서 새로운 취약점이 발견되었다.
AMD에서 발견된 취약점은 인셉션(Inception)은 취리히 연방 공과대학(ETH Zurich) 연구팀에서 발견된 것으로, CPU 기능을 반복 실행시키는 명령어를 통해 사용자 데이터 유출을 가능케하는 방식이다. 해당 취약점의 데이터 유출 속도 자체는 초당 수 바이트 수준으로 느린 편이지만, 암호화 키나 인증서등의 민감한 장보 자체의 크기가 작은 만큼 충분히 치명적일 수 있다.
AMD 측은 해당 취약점이 스펙터와 유사한 새로운 방식의 투기적 사이드 채널 방식으로, 악성코드 다운로드 같이 로컬에서만 악용될 수 있다고 파악 중이다. 이에 시스템 이용자나 관리자들이 일반적인 보안 수칙을 준수하고 백신 프로그램이나 응용 프로그램 보안 패치등을 최신 수준으로 유지할 것을 당부했다.
AMD는 인셉션 취약점이 모든 Zen 아키텍처 제품에서 발견되었지만 Zen과 Zen2 아키텍처는 이미 해당 유형의 취약점 대응하고 있어 특별한 조치가 필요없다고 알렸다. 그에 비해 Zen3와 Zen4 아키텍처 CPU의 경우 µcode 패치 또는 바이오스 업데이트를 수행할 것을 권고했다.
구글 연구원이 발견한 인텔 CPU 취약점 다운폴(Downfall)은 GDS(Gather Data Sampling) 유형으로, 단일 명령어도 대량의 데이터를 처리하기 위한 AVX2와 AVX-512 몀령어 세트 지원 제품에서 포착되었다.
다운폴은 메모리 최적화 과정에서 의도치않게 내부 하드웨어 레지서트를 SW에 노출시켜 이 과정에서 자료 유출로 이어질 수 있으며, 인텔은 이미 다운폴 취약점 대응을 위한 마이크로코드를 공개한 상태로, 인텔은 해당 코드를 적용할 경우 워크로드에 따라 최대 50% 성능 하락이 발생할 수 있음을 경고했다.
다운폴 취약점은 소비자 제품의 경우 스카이레이크부터 타이거 레이크까지, 서버 제품은 아이스 레이크 제온 스케일러블 프로세서이며, 최신 플랫폼인 엘더 레이크와 랩터 레이크, 사파이어 래피즈에 영향을 미치지 않는다고 알렸다.
AMD 인셉션과 인텔 다운폴 취약점 관련 입장과 대응 방침은 각 회사의 홈페이지서 확인할 수 있다. |
