이번에 오리건 주립대 장영진 교수는 POC2017에서 “Tampering with Encrypted Memory Blocks of Trusted Execution Environment”를 주제로 강연을 진행했으며 이후 데일리시큐와 인터뷰 시간을 가졌다.
장영진 교수는 이번 발표 내용에 대해 “최근 아마존이나 마이크로소프트 클라우드 서비스에서 애플리케이션 보안을 향상시켜주는 CPU 기반 기술인 ‘인텔 SGX(소프트웨어 가드 익스텐션. Software Guard Extensions)’를 활용하고 있다. 이를 통해 멀웨어로부터 시스템을 보호하고 애플리케이션과 사용자 데이터를 보호하기 위해 사용되고 있다”며 “이번 발표내용은 인텔 SGX 자체를 공격하는 것이 아니라 인텔이 SGX를 추가하면서 발생하는 약점을 공격하는 방법을 공개했다”고 말했다.
이어 장 교수는 “SGX는 자신을 보호하는 메커니즘을 갖고 있다. 메모리가 변조되면 하드웨어 공격자가 있다고 인지하고 CPU를 멈춰버리게 하는 것이다. 데이터를 해커로부터 보호하기 위해서다. 하지만 이 보호 메커니즘으로 인해 새로운 공격 가능한 취약점이 발생한다. 이 취약점을 ‘SGX-Bomb’로 이름 붙였다”며 “2014년 공개된 Rowhammer 공격으로 취약점을 공격하면 SGX는 CPU를 다운시켜 버린다. 문제는 만약 공격자가 클라우드를 통해 공격을 실행하면 클라우드 서버에 연계된 많은 컴퓨터들의 CPU도 동시에 멈춰버리게 된다는 점이다. 클라우드 서버 전체가 위험하게 되는 것이다. 이때 클라우드 서비스 제공자는 파워를 다시 껐다가 켜야 하는 상황이 발생하고 이때 메모리 데이터가 사라지거나 실행이 안될 수도 있고 재부팅 시간도 오래걸려 많은 피해가 발생할 수 있다는 점을 설명했다”고 전했다.
즉 ‘SGX-Bomb’ 취약점을 해커가 클라우드에서 악용하면 위험한 상황이 발생할 수 있다는 것이다. 장 교수는 올해 2월 인텔을 방문해 해당 취약점을 제보했고 인텔은 이 취약점 공격을 차단하기 위해 새로운 기술을 적용했다. 하지만 이전 제품들은 공격에 취약할 수 있어 주의해야 한다.
현재 장 교수는 올해 9월 오리건 주립대 전기전자컴퓨터공학 교수로 부임했으며 현재 학생들에게 해킹과 방어 기술을 가르치고 있다. 그는 “학생들에게 해킹을 주로 가르친다. 공격하는 방법을 알아야 방어할 수 있는 방법도 알 수 있기 때문이다. 학생들에게 어셈블리를 가르치고 CTF 대회도 열고 있다. 학생들이 재미있어 하고 열정이 넘친다”며 “아직 초보 교수라 학생들 개개인의 수준에 따라 어떻게 하면 학업성취도를 높여나갈지 연구하고 있다. 학생들에게 하나하나 알아가는 성취감을 느끼게 해 주고 싶다”고 말했다.
그리고 미국 트렌드와 한국 트렌드에 대해 별차이가 없다고 말한다. 미국도 인공지능, 자율주행, 해킹의 자동화, IoT 등의 연구에 집중하고 있다. 다만 한국은 이를 4차산업혁명이라는 이름 하에 진행하고 있을 뿐이다. 큰 차이는 없다는 것. 또 그는 미국 대학에서도 인공지능학과에 대학원생들이 몰린다고 한다. 컴퓨터공학과의 인기도 매년 높아지고 있고 인공지능 전공자에 대한 실리콘밸리의 연봉도 다른 엔지니어에 비해 3배 가까이 높다고 전했다. 인공지능 전문가들이 귀한 대접을 받는 시대가 온 것이다. 한국도 그럴 것이다.
또 장 교수는 최근 연구 분야에 대해 “요즘 CPU에 새로운 기술들이 많이 들어간다. 하지만 이때 새로운 취약점이 발생할 수 있다. 해커들은 이를 연구해 해킹에 이용하고 있다. 이 분야에 대한 해킹과 보안방법에 대해 2016년부터 연구하고 있다. 또 하나는 IoT 디바이스 취약점을 연구하고 아직 상당히 취약한 IoT 기기들에 어떻게 하면 현실적으로 가능한 시큐리티를 적용할 수 있을지 연구하고 있다. IoT 기기 제조사들에게 현실적인 대안을 제시할 방법을 찾기 위해 노력하고 있다”고 전했다.
그는 마지막으로 후배들에게 “2009년 당시 카이스트 GoN 멤버로 활동할 때 POC를 처음 참관하게 됐다. 인터넷에서만 봤던 세계적으로 유명한 해커들을 실제로 볼 수 있었고 그들이 강연하는 윈도우 해킹, 인공위성 해킹 등등 신기한 발표들도 들을 수 있었다. 그리고 네트워킹 자리에서 그들과 자연스럽게 대화를 나누면서 꿈만 같았다. 언젠가는 나도 POC와 같은 곳에서 발표를 할 수 있기를 꿈꿔왔다. 그 꿈이 올해 이루어졌다. 후배들에게 해 주고 싶은 말은 이런 열린 장소에 많이 참석해 네트워킹을 하고 국내외 해킹 보안전문가들과 교류를 활발히 하라고 말해 주고 싶다”고 말하고 “처음 공부할 때는 해킹이나 보안 공부보다는 기본이 되는 컴퓨터사이언스 전반에 대한 깊이 있는 공부가 필요하다. 기본이 없으면 보안공부도 발전이 없다”고 조언했다.
미국 대학은 새로운 교수를 임용할 때 어떤 특정 분야에 특별한 능력이 있기 때문에 채용한다. 해당 분야에 대한 연구를 제일 잘할 수 있는 교수를 채용하는 것이다. 그래서 연구에 아낌없는 지원을 해주고 연구에 집중할 수 있는 환경을 만들어 준다고 한다. 특히 장 교수가 몸담고 있는 오리건 주립대는 근처에 인텔이 있어 인텔에서 은퇴한 연구원들이 교수로 많이 채용돼 현장에서 30년 이상 경험을 가진 최고의 전문가들과 교류할 수 있다는 점이 큰 장점이라고 말한다.
★정보보안 대표 미디어 데일리시큐!★
