mir.pe (일반/밝은 화면)
최근 수정 시각 : 2024-12-15 14:30:41

보안 취약점

1. 개요2. 주요 사건3. 관련 문서

1. 개요

보안 취약점( 脆 弱 點, vulnerability)은 공격자가 시스템의 정보보증[1]을 낮추는 데 사용되는 약점이다.

보안 취약점은 세가지 요소를 갖추고 있는데 1. 시스템에 결함이 있고, 2. 공격자가 결함에 접근할 수 있으며, 3. 공격자가 해당 결함을 익스플로잇[2]할 가능성이 있어야 한다.

쉽게 말하면 버그는 버그인데 매우 심각하고 방치하면 위험한 버그를 다른 버그들과 달리 특별히 구분지어 불러야 할 때 쓰는 말이다.

따라서 버그가 없는 프로그램은 없듯이 취약점이 없는 프로그램은 없다. 사소한 실수나 정상적인 데이터인지 체크하는 루틴이 부실해서 취약점이 발견되기도 하고 그 프로그램을 돌리는 운영체제 자체의 버그로 인해 취약점이 발견될 수 있다.

이 때문에 전 세계적으로 각 회사의 제품의 취약점을 찾아서 회사 또는 공공기관[3]에 제보할 경우 보상금을 주는 '버그바운티' 제도를 시행하는 추세다. 대한민국에서는 취약점을 KISA에 제보할 경우 KISA가 판단하기에 위험한 취약점일수록 보상금을 많이 주는데 기본 30만원이다. 브로커나 해외에서 주는 보상금과 비교하면 많이 적어 암시장에 제로데이어택용으로 팔아버리는게 더 나을 지경이다.

현대에도 보안 취약점은 그야말로 쏟아지고 있다. 만약 보안 취약점이 발견되자마자 공개된다면 전 세계의 수많은 컴퓨터가 제로 데이 공격에 시달리며 정상적인 구동조차 보장하기 힘들어질 것이다. 그래서 보안 취약점이 발견된 즉시 공개되지 않고, 보통 30일까지 공개가 유예되는 경우가 많다.

오픈소스 소프트웨어는 소스 코드가 공개되어 있기 때문에 해커들이 코드에서 알려지지 않는 취약점을 찾아낼 가능성이 있다. 오픈소스가 아니더라도 어떠한 이유로 소스코드가 유출될 경우에는 유출된 코드에서 취약점을 찾아낼 수 있다. 2020년 9월 27일, Windows XP와 Windows Server 2003 소스코드가 유출되는 사건이 발생했는데 보안전문가들은 이에 대해 유출된 소스코드를 이용해 취약점을 쉽게 찾아낼 수 있다고 한다.

소프트웨어뿐만 아니라 하드웨어에서도 취약점이 발견되는 경우가 있는데 소프트웨어 취약점와 다르게 수정이 불가능하다. 대표적인 사례가 CPU 게이트인데 소프트웨어가 아닌 CPU의 취약점이라 직접 패치할 수 없고 운영체제 레벨에서 패치하게 되었는데 성능 저하가 발생했다. 하드웨어 상의 취약점까지는 아니더라도 수정 불가능한 ROM[4]에 기록된 펌웨어에 취약점이 발견되는 경우도 있으며 이 경우에도 문제가 해결된 최신 하드웨어로 새로 구입하는 수밖에 없다.

Windows 11은 TPM 2.0 의무화와 함께 인텔 8세대, AMD 라이젠 2세대 이후 CPU만 지원한다는 가혹한 하드웨어 제한을 걸어놨는데 외국 커뮤니티에서는 구형 CPU에 존재하는 CPU 게이트를 비롯한 각종 보안 취약점 때문으로 보고 있다.

2. 주요 사건

시간 순서대로 나열함. 괄호 안에 있는 문자열은 CVE Identifier를 나타낸다.

3. 관련 문서


[1] 원어로는 Information Assurance라고 하며 시스템의 신뢰(무결성)를 보장하는 기술적, 관리적 수단을 일컫는다. [2] 보안 취약점 혹은 그 취약점을 이용한 공격을 뜻하며 주로 후자의 의미로 사용된다.
참고로 비디오 게임 분야에서는 창발적 플레이의 요건 내지는 꼼수에 대응하는 의미의 용어로 쓰인다. [3] 대한민국의 인터넷진흥원 같은 공공기관이라고 생각하면 된다. [4] Mask ROM [5] 대한민국 한정 이슈이며 이들 기업은 국제적인 공조는커녕 오히려 자사 제품은 안전하다는 꼰대짓으로 일관하기 때문에 이들 이슈에 CVE가 붙을 가능성은 없다. [6] 사실 보안 전문가로서 유명한 건 아니지만 알다시피 보안 전문가는 개인정보 보호에 별로 신경을 안 쓸 수 있을지언정 역은 성립하지 않으며 전술했듯 세계구급 광고 차단 프로그램의 고안자로서 보안에도 상당부분 조예가 있음을 그의 블로그를 통해 보여줬다. [7] 5%에 해당되는 컴퓨터는 UEFI 자체를 지원하지 않는 컴퓨터다. [8] 다만 라이젠 8000 시리즈의 경우 ASUS 기준 애초에 지원 UEFI가 해당 취약점을 해결한 버전의 후속 버전이기에 문제가 없다. [9] 백도어 때문에 필요 이상으로 시스템 자원을 사용해 지연이 발생하였다. [10] CVE-2024-47076, 47175, 47176, 47177

분류