[데일리시큐]인텔·AMD 기밀컴퓨팅, 50달러 장비로 무력화…배터링램 공격 공개

내용 요약

유럽 연구팀이 DDR4 메모리 경로에 저렴한 인터포저를 삽입해 인텔 SGX와 AMD SEV‑SNP 같은 최신 클라우드 보안 기능을 우회하는 공격 기법을 공개했습니다. 이 공격은 클라우드 서비스에 적용되는 가상화 보안 확장에 심각한 취약점을 드러내며, 50달러 이하의 장치로도 구현 가능하다는 점이 가장 큰 충격 요소입니다.

핵심 포인트

• 메모리 인터포저 기반 우회: DDR4 내부에 물리적 인터포저를 삽입해 SGX/SEV‑SNP 보호 구역을 직접 엑세스.
• 저비용 하드웨어 공격: 50달러 이하의 장치로 구현 가능한 저비용 접근법, 대량 배포 가능성.
• 클라우드 보안 생태계에 미치는 영향: SGX·SEV‑SNP에 의존한 보안 모델 전반에 걸쳐 새로운 위협 벡터 등장.

기술 세부 내용

1️⃣ Intel SGX (Software Guard Extensions)

1.1 개념과 목표

• SGX는 Intel CPU에 탑재된 하드웨어 기반 가상화 확장으로, 애플리케이션이 민감한 데이터를 처리할 때 Enclave라는 격리된 영역을 제공한다.
• Enclave 내부의 데이터는 CPU 내부에서 암호화되고, OS, 커널, BIOS 등 외부 코드가 접근할 수 없도록 보호된다.

1.2 주요 구성 요소

구성 요소	역할	핵심 메커니즘
Enclave	격리 실행 영역	메모리 페이지를 ENCLAVE 태그로 마킹, 암호화 및 서명
EPC (Enclave Page Cache)	Enclave 페이지 저장	메모리 가상화와 하드웨어 암호화(ASLR, EME)
EPID	디바이스 인증	SGX 디바이스의 인증과 추적 방지
SGX SDK/Runtime	개발 지원	Enclave 생성, 트러스트 영역 관리

1.3 보안 프로세스 흐름

1. Enclave 생성: 개발자는 SGX SDK를 사용해 Enclave를 정의하고 서명한다.
2. 프로세스가 Enclave 호출: 일반 애플리케이션이 ECALL을 통해 Enclave 내부 함수 호출.
3. 메모리 보호: CPU가 Enclave 페이지를 암호화된 상태로 EPC에 저장, 외부 접근 시 자동으로 복호화.
4. 출력 보호: Enclave가 반환하는 데이터는 OCALL 시 다시 암호화되며, OS는 그저 암호문만 볼 뿐 데이터는 못 본다.

1.4 알려진 취약점

• Side‑Channel: 메모리 접근 패턴, 캐시 타이밍을 이용해 Enclave 내부 정보를 유출.
• Memory‑less: CPU 내부 버퍼에 존재하는 임시 데이터를 공격.
• Rollback/Replay: Enclave가 저장한 데이터의 무결성을 확인하지 못해 과거 상태를 재현.

2️⃣ AMD SEV‑SNP (Secure Encrypted Virtualization – Secure Nested Paging)

2.1 개념과 목표

• SEV‑SNP는 AMD EPYC 프로세서에 도입된 가상화 보안 확장으로, 가상 머신(VM) 이 자체를 암호화하여 호스트 OS, hypervisor, 심지어 다른 VMs로부터 보호한다.
• Secure Nested Paging는 멀티 레벨 페이지 테이블을 암호화하여 가상 주소 → 물리 주소 매핑 정보를 가로채는 것을 방지한다.

2.2 주요 구성 요소

구성 요소	역할	핵심 메커니즘
VMCS (Virtual Machine Control Structure)	VM 컨트롤 데이터	CPU가 가상화를 수행할 때 필요한 설정 저장
SNP VMs	암호화된 VM	물리적 메모리와 I/O를 암호화, 하이퍼바이저에 의해 보호
SNP Firmware	암호화 키 관리	TPM 또는 Secure Key Storage에서 키를 로드
AMD Secure Processor	하드웨어 키 저장	키가 외부에 노출되지 않도록 보호

2.3 보안 프로세스 흐름

1. VM 생성: 하이퍼바이저가 SNP 기능을 활성화하고 암호화 키를 할당.
2. 페이지 암호화: VM이 할당한 모든 페이지는 암호화된 상태로 EPC에 저장.
3. 네스팅 보호: 하이퍼바이저가 가상 페이지 테이블을 해독하지 못하도록 암호화.
4. 디바이스 I/O: I/O 요청도 암호화된 채 전송, 데이터 유출 방지.

2.4 알려진 취약점

• Uninitialized Data: 암호화 키 초기화 전의 메모리 사용 유출 가능.
• Side‑Channel: CPU 캐시, 메모리 접근 시간을 측정해 암호화 키 유추.
• VM Exit Attacks: VM이 외부로 탈출할 때 발생하는 정보를 악용.

3️⃣ DDR4 메모리 경로 및 인터포저 (Interposer)

3.1 DDR4 구조 개요

• DDR4는 1.2V에서 1.4V 전압으로 동작하며, 전송 파워가 증가하고 데이터 버스가 64비트.
• 메모리 컨트롤러는 CPU 내부에 장착되거나 SoC에 포함되어 있으며, 메모리 버스를 통해 DRAM 모듈에 접근한다.

3.2 인터포저란?

• 인터포저(Interposer)는 두 하드웨어 블록 사이에 삽입되는 작은 PCB(Printed Circuit Board) 혹은 패키지로, 신호 라우팅과 전력 분배를 담당한다.
• DDR4 인터포저는 메모리 컨트롤러와 DRAM 모듈 사이의 전기적, 물리적 연결을 중개한다.

3.3 인터포저 기반 공격 아이디어

1. 신호 가로채기: 인터포저에 센서(예: 레지스터, 디버그 포트) 또는 스니핑 회로를 삽입해 메모리 버스의 신호를 캡처.
2. 데이터 변조: 인터포저를 이용해 특정 데이터 패턴을 변경하거나 암호화 키를 조작.
3. 물리적 접근: 고주파 저항성 인터포저를 사용해 메모리 타이밍을 조절, Cache Miss를 유발해 사이드채널 정보를 유출.

3.4 저비용 장치 제작 방법

• 소형 PCB: 50달러 이하의 저가 PCB를 사용해 DDR4 핀에 직접 연결.
• 표준 부품: 저가 저항, 커패시터, FPGA/ATmega 같은 마이크로컨트롤러 사용.
• 생산 비용 절감: 3D 프린터나 CNC를 활용해 프로토타입을 빠르게 제작.

4️⃣ 공격 메커니즘 – 단계별 흐름

단계	목표	사용 기술	상세 설명
1. 장치 삽입	DDR4 경로 개방	인터포저	DDR4 모듈에 1~2mm 두께의 저가 인터포저를 삽입. CPU와 DRAM 간 신호 라인을 직접 연결.
2. 데이터 가로채기	Enclave/VM 데이터 접근	센서 회로	인터포저 내부에 마이크로컨트롤러가 메모리 버스를 캡처, Enclave 내부 데이터 흐름을 스니핑.
3. 암호화 키 변조	SGX/SEV‑SNP 보호 해제	물리적 메모리 조작	인터포저를 통해 Enclave 페이지 캐시(EPc)나 SEV‑SNP 키 저장 영역에 직접 접근, 암호화 키를 변조.
4. 사이드채널 분석	내부 상태 유출	캐시 타이밍	CPU가 Enclave 호출 시 발생하는 캐시 미스 패턴을 측정해 Enclave 내부 구조 파악.
5. 데이터 추출	민감 정보 도출	전용 펌웨어	인터포저에 탑재된 펌웨어가 캡처한 데이터를 외부 서버에 전송. SGX/SEV‑SNP 보호를 우회해 실제 민감 정보(암호, 비밀키, 금융 데이터) 도출.

4.1 구체적 공격 시나리오

1. 연구자는 인터포저를 사용해 DDR4 신호 라인을 연결한 뒤, 작은 FPGA를 통해 주소와 데이터 패턴을 실시간으로 읽어들인다.
2. SGX Enclave가 수행되는 동안 CPU가 Enclave 페이지를 암호화하고 EPC에 저장하지만, 인터포저는 암호화된 데이터를 그대로 가로채며, 암호화 키는 EPID에서 가져와서 저장된 형태를 그대로 복호화할 수 있다.
3. AMD SEV‑SNP VM에서, 인터포저는 SNP 키가 저장된 Secure Processor에 접근해 키를 변조, VM이 암호화된 메모리를 복호화하지 못하도록 조작한다.
4. 마지막으로 Side‑Channel (캐시 타이밍, DRAM refresh 패턴)를 분석해 Enclave 내부 메모리 구조를 재구성하고, 실제 민감 데이터를 추출한다.

5️⃣ 보안 대책 및 대응 방안

영역	대책	실행 방법
물리적 보안	인터포저 삽입 방지	메모리 모듈에 물리적 접근 금지(비닐 덮개, 안전 박스), 정전기 방지 장치 사용.
메모리 보호 강화	Enclave와 SNP 키 보호	Secure Boot와 TPM을 이용해 키를 안전하게 저장, 정기적인 키 회전.
사이드채널 방어	타이밍 변조	Constant‑time 연산, Cache‑flush 명령을 Enclave 내부에서 사용.
펌웨어/OS 검증	비정상적인 접근 탐지	Memory Integrity Monitoring(예: dm‑verity, Intel TXT), Hypervisor‑Level 모니터링 도입.
보안 교육	개발자와 운영자 교육	SGX/SEV‑SNP 개발 가이드와 보안 프로토콜 교육 프로그램 제공.

5.1 인텔 SGX 대응

• Enclave Shielding: Enclave 내부에서 비밀 데이터를 최소화하고, 메모리 페이지를 동적으로 재배치해 캐시 타이밍 변조 방지.
• Enhanced Enclave Guard: SGX SDK에 Side‑Channel Countermeasure 옵션(예: EPC Flush on Exit) 추가.

5.2 AMD SEV‑SNP 대응

• 키 보호 강화: SEV‑SNP 키를 TPM이나 Hardware Security Module에 저장하고, 하이퍼바이저가 직접 접근 못하도록 설정.
• Memory Integrity Checks: VM 내부에서 AES‑GCM을 활용해 메모리 무결성을 검증하고, 무결성 위반 시 VM을 자동 종료.

5.3 장치 제조사 대응

• 디자인 리뷰: DDR4 모듈과 인터포저 설계 시 신호 무결성과 물리적 접근성을 검증.
• 보안 인증: Intel SGX, AMD SEV‑SNP 호환 장치에 대해 ISO/IEC 27001 등 보안 인증 획득.

마무리

이 연구는 하드웨어와 소프트웨어가 결합된 복합적 보안 모델에서도 물리적 접근이 어떻게 심각한 취약점을 노출할 수 있는지를 보여준다. 저비용 인터포저를 통한 메모리 경로 가로채기는 클라우드 보안의 핵심인 SGX와 SEV‑SNP를 바로 앞에서 무력화하며, 클라우드 서비스 제공업체는 물리적 보안, 메모리 보호, 사이드채널 방어를 한층 강화해야 한다. 지속적인 보안 연구와 실시간 모니터링, 그리고 보안 인프라 전반의 검증이 향후 유사한 공격을 방지하는 열쇠가 될 것이다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=201113