AMD 라이젠에 13종 보안 취약점 내포 주장 논란

AMD 라이젠 플랫폼에 4가지 유형의 보안 결함이 발견되었다는 주장이 나왔다.

이스라엘의 CTS-Labs이라는 보안업체에서 AMD 라이젠 플랫폼에 라이젠폴(Ryzenfall), 폴아웃(Fallout), 키메라(Chimera), 마스터키(Masterkey)의 네 가지 유형, 총 13개의 보안 결함을 발견했다고 주장했다.

이들은 보안 결함은 라이젠 시스템의 PSP(Secure Processor Platform)과 칩셋 관련 내용으로, 그들은 라이젠 플랫폼 외에 보안 프로세서가 탑재된 Vega GPU 또한 유사한 위협에 노출될 가능성을 제기했다.

그들의 주장에 따르면 보안 취약점을 악용할 경우 원격 코드 실행과 데이터 유출 등 AMD 플랫폼 전체적인 보안이 무너져 내려 멜트다운 이상의 충격이 예상되지만, 이들의 주장에는 몇 가지 의심스런 내용이 포함되었있다. 

보통 이러한 보안 취약점이 발결될 경우 피해를 최소화하기 위해 공개 전 90일의 대응 기간을 제공하는 것이 업계 관행이며, 올 초 업계를 강타한 멜트다운과 스펙터의 경우 파급력을 감안해 그 두 배에 이르는 약 반 년의 대응 기간이 주어졌다.

이에 반해 CTS-Labs이 이번 내용의 공개에 앞서 AMD에 통보한 유예 기간은 하루에 불과했으며, 공개한 공격 자체도 공격자가 PC에 직접 접근해 특별히 개조된 바이오스를 설치하고 관리자 권한이 요구된다. 즉, 시스템의 보안 취약점을 '이용'하는 것이 아니라 외부 공격에 취약하도록 '만드는' 과정이 필요한 딜레마에 빠진다.

또한 이번 보안 취약점을 공개한 백서에도 구체적인 실험 방법 등의 내용은 없고 대략적인 개념만 있으며, 이번 보고서가 공개됨에 따라 AMD의 증권 실적을 통해 직간접적으로 경제적 이득을 취할수 있음을 명시하고, 보안 결함은 사실이지만 보고서 오류에 대해 책임지지 않는다는 내용을 명시되어 있는데다, 함께 공개한 관계자 인터뷰 동영상은 조작 논란에 휩싸이는 등 여러모로 석연찮은 면이있어, 회사의 가치를 높이거나 주가 조작을 노린 가짜 뉴스라는 의견에 힘이 실리고 있다.

한편, AMD측은 이번 보안 취약점 주장에 대해 현재 조사 중에 있으며, 추가 내용이 확인되면 공개하겠다는 입장을 밝혀, 이번 보안 이슈의 진위 여부 확인에는 조금 더 시간이 걸릴 것으로 보인다. 이와는 별개로 AMD 플랫폼의 보안을 담당하는 PSP에 대해서는 인텔 ME와 같이 비공개로 운영되어 충분한 외부 검증이 어려워 보안 이슈가 있다해도 파악에 시간이 걸린다는 지적을 받아오고 있어, 이번 이슈를 계기로 외부 검증이 가능하도록 정책을 바꿀지 귀추가 주목된다.