구글 성능저하 없이 CPU 패치 방법 공개, 보안 이슈 종료

지난 1월 5일, 구글은 Spectre 취약점 악용 공격을 CPU 성능 저하 없이 차단할 수 있는 Retpoline을 공개했다.

이 패치 방법은 구글의 고급기술자인 Paul Turner이 공개했다. 또한 구글 내부에서는, 이미 이 기술을 데이터센터의 리눅스 서버에 적용해 보안패치를 진행했다고 밝혔다.

예측실행은 최신 CPU들이 사용하고 있는 최적화 기술이며, Meltdown과 Spectre 취약점의 원인이기도 하다.

‘Retpoline’은 소프트웨어의 구조로, 이는 간접적인 분기를 예측실행중으로부터 격리해 분기 타깃 인젝션 공격이 간접분기에 영향을 주는것을 막을 수 있다.

레트폴린(Retpoline)이라는 보안 기술의 명칭은 "return"과 "Trampoline"에서 나왔으며, 예측 실행 작업이 마치 트램펄린이 동작하듯이 계속 ‘bounce’됨을 의미한다.

다른 개발자들은 이 새로운 기술에 대하여, ‘Retpoline’은 무한루프와 비슷한 더미코드를 생성하는데, 이 코드들은 실제로 호출되지는 않으나 CPU가 예측실행링크로 접근하는 것을 차단한다"라고 밝혔다.

이스트시큐리티 측에 따르면, 개발자들은 자신들의 프로그램 바이너리 중 Retpoline 기술을 이용하면 Spectre공격으로부터 메모리 정보가 유출되는 것을 차단할 수 있다고 밝혔다.

또 이 기술은 OS의 커널, 시스템 프로그램, DB 및 SW등에도 사용이 가능하다고 밝혔다. 현재 리눅스 커널 프로젝트 뿐만 아니라 GCC, LLVM 프로젝트에도 해당 조치방안을 적용하려 하고 있다.

★정보보안 대표 미디어 데일리시큐!★