2024-03-29 00:05 (금)
구글, 성능저하 없이 Spectre 취약점 패치가능한 Retpoline 공개
상태바
구글, 성능저하 없이 Spectre 취약점 패치가능한 Retpoline 공개
  • 길민권 기자
  • 승인 2018.01.13 16:01
이 기사를 공유합니다

google.png
지난 1월 5일, 구글은 Spectre 취약점 악용 공격을 CPU성능 저하 없이 차단할 수 있는 ‘Retpoline’을 공개했다.

이 패치 방법은 구글의 고급기술자인 Paul Turner이 공개했다. 또한 구글 내부에서는, 이미 이 기술을 데이터센터의 리눅스 서버에 적용해 보안패치를 진행했다고 밝혔다.

예측실행은 최신 CPU들이 사용하고 있는 최적화 기술이며, Meltdown과 Spectre 취약점의 원인이기도 하다.

‘Retpoline’은 소프트웨어의 구조로, 이는 간접적인 분기를 예측실행중으로부터 격리해 분기 타깃 인젝션 공격이 간접분기에 영향을 주는것을 막을 수 있다.

레트폴린(Retpoline)이라는 보안 기술의 명칭은 "return"과 "Trampoline"에서 나왔으며, 예측 실행 작업이 마치 트램펄린이 동작하듯이 계속 ‘bounce’됨을 의미한다.

다른 개발자들은 이 새로운 기술에 대하여, ‘Retpoline’은 무한루프와 비슷한 더미코드를 생성하는데, 이 코드들은 실제로 호출되지는 않으나 CPU가 예측실행링크로 접근하는 것을 차단한다"라고 밝혔다.

이스트시큐리티 측에 따르면, 개발자들은 자신들의 프로그램 바이너리 중 Retpoline 기술을 이용하면, Spectre공격으로부터 메모리 정보가 유출되는 것을 차단할 수 있다고 밝혔다.

또 이 기술은 OS의 커널, 시스템 프로그램, DB 및 SW등에도 사용이 가능하다고 밝혔다. 현재 리눅스 커널 프로젝트 뿐만 아니라 GCC, LLVM 프로젝트에도 해당 조치방안을 적용하려 하고 있다.

★정보보안 대표 미디어 데일리시큐!★


■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★