기술 요약: 사이드 채널 및 코드 재사용 공격으로부터 암호화 라이브러리 보호

문제 정의

암호화 라이브러리는 사이버 보안의 핵심이지만, 사이드 채널 공격(특히 타이밍 공격)과 코드 재사용 공격(Return-Oriented Programming 등)이라는 두 가지 주요 공격 유형에 여전히 취약합니다.

1. 타이밍 사이드 채널 공격: 이러한 공격은 비밀 값에 의존하는 분기, 메모리 주소 지정, 또는 가변 지연 지시어로 인해 발생하는 실행 시간 변동을 악용합니다. 물리적 사이드 채널과 달리, 타이밍 공격은 장치에 물리적으로 접근할 필요가 없습니다. 해당 논문은 개발자들이 종종 수동으로 "상수 시간 (constant-time)" 프로그래밍을 구현하지만, 범용 컴파일러 (GCC 및 LLVM 등) 가 코드 생성 과정에서 이러한 보호 조치를 최적화하여 제거하거나 타이밍 누출을 유발할 수 있음을 강조합니다. 이로 인해 소스 수준의 완화 조치는 무효화됩니다.
2. 코드 재사용 공격: 이러한 공격은 버퍼 오버플로우와 같은 메모리 손상 취약점을 악용하여 제어 흐름을 장악합니다. 공격자는 라이브러리 또는 연결된 라이브러리에서 기존 코드 조각 ("가젯") 을 이어 붙여 악성 페이로드를 실행합니다. 많은 인기 있는 암호화 라이브러리는 C/C++ 와 같은 안전하지 않은 언어로 작성되었으며, 보안보다 효율성을 우선시하는 범용 컴파일러에 의존하여 제어 흐름 장악에 취약한 상태가 되는 경우가 많습니다.

현재의 완화 전략은 단편화되어 있습니다. 개발자들은 타이밍 공격에 대해서는 수동 소스 코드 수정을, 코드 재사용 공격에 대해서는 스택 캔러리나 ASLR 과 같은 표준 컴파일러 플래그에 의존합니다. 그러나 이러한 조치들은 종종 불충분합니다. 수동 수정은 오류가 발생하기 쉽고 최적화에 의해 쉽게 무효화되며, 표준 컴파일러 플래그 (예: -fstack-protector) 는 Jump-Oriented Programming (JOP) 이나 세분화된 코드 재사용 공격과 같은 고급 공격에 대한 보장을 제공하지 못합니다. furthermore, 소스 수준의 완화 조치가 컴파일 과정을 거친 후에도 유지되는지 확인하기 위한 바이너리 수준의 검증이 부족합니다.

방법론

저자들은 BearSSL, Botan, cryptlib, Crypto++, GnuTLS, LibreSSL, Libgcrypt, libsodium, Mbed TLS, OpenSSL, wolfTLS 등 11 개의 인기 있는 오픈소스 암호화 라이브러리에 대한 포괄적인 분석을 수행했습니다.

1. 완화 조치에 대한 경험적 분석:

   • 저자들은 Ubuntu 18.04 를 실행하는 Intel Core i7 시스템에서 GCC 7.5.0 과 Clang 10.0.1 을 사용하여 이러한 라이브러리를 컴파일했습니다.
   • 버퍼 오버플로우 검사 (-DFORTIFY_SOURCE), 스택 캔러리 (-fstack-protector-strong), 위치 독립 실행 (-fPIE) 과 같은 보안 조치의 존재 여부를 식별하기 위해 기본 컴파일 플래그를 분석했습니다.
   • 컴파일 후 타이밍 테스트와 관련된 기존 문헌 (특히 Jancar 등 [4]) 과 이러한 결과를 교차 참조했습니다.

2. 안전한 컴파일 접근 방식 평가:
   해당 논문은 식별된 격차를 해결하기 위해 LLVM 인프라에 통합되거나 호환되는 네 가지 특정 안전한 컴파일 도구를 조사합니다.

   • SecComp (Vu 등 [12]): "불투명한 관찰 (opaque observations)" (소스 코드 주석) 을 사용하여 컴파일러가 상수 시간 속성을 유지하도록 강제합니다.
   • Multicompiler (MCR) [13]: 스택 레이아웃, 함수 순서, 레지스터 사용 등 다양한 코드 변형을 생성하여 코드 재사용 공격을 방해하는 프로그램 무작위화 도구입니다.
   • SecDivCon [5]: 보안 정책 (비밀 변수 대 공개 변수) 을 정의하여 다양화되고 일정한 자원을 사용하는 코드를 생성하는 제약 기반 컴파일러 백엔드입니다.
   • 부분 제어 흐름 선형화 (PCFL) [14]: LLVM 13 을 사용하여 비상수 시간 프로그램을 상수 시간 동등물로 자동 변환합니다.

주요 기여

• 취약성 평가: 본 연구는 대부분의 암호화 라이브러리가 스택 캔러리를 구현하고 있지만, 코드 재사용 공격에 대한 포괄적인 컴파일러 기반 완화 조치를 활성화하는 라이브러리는 매우 드물다는 것을 밝혔습니다 (테스트된 구성에서 -fPIE 를 기본적으로 사용하는 것은 libsodium 뿐입니다). 또한, 11 개 라이브러리 중 단 두 개만이 개발 과정의 일부로 상수 시간 테스트를 수행하여, 컴파일된 바이너리가 타이밍 누출이 없음을 보장하는 광범위한 부재가 있음을 시사합니다.
• 컴파일 격차 식별: 저자들은 범용 컴파일러가 종종 보안 목표와 충돌함을 입증했습니다. 최적화 플래그는 수동 상수 시간 완화 조치를 실수로 제거할 수 있으며, 표준 보안 플래그는 모든 공격 벡터 (예: 스택 캔러리는 JOP 에 대해 무효함) 를 커버하지 못합니다.
• 안전한 컴파일 조사: 해당 논문은 기존 안전한 컴파일 도구에 대한 비교 분석을 제공하며, 타이밍 사이드 채널 (TSC) 과 코드 재사용 공격 (CRA) 을 완화하는 능력, 가용성, 그리고 성능 오버헤드 (실행 시간 및 컴파일 시간) 에 따라 분류합니다.
• 제안된 방향: 저자들은 수동 소스 코드 수정에서 안전한 컴파일 과정으로 부담을 전환함으로써 암호화 라이브러리 보안을 개선하기 위한 로드맵을 제시합니다.

결과

• 라이브러리의 현재 상태: 대부분의 라이브러리는 바이너리 수준에서 검증되지 않은 수동 상수 시간 구현에 의존합니다. 스택 캔러리는 널리 사용되지만 정교한 코드 재사용 공격에는 불충분합니다. 실행 파일에 대해 위치 독립 실행 (PIE) 을 활성화한 것은 libsodium 뿐이며, -DFORTIFY_SOURCE 플래그를 사용한 것은 cryptlib 뿐입니다.
• 도구 성능:
  • SecComp: 낮은 오버헤드를 제공하며 상수 시간 속성을 유지하지만 수동 주석이 필요하고 공개되지 않았습니다. 코드 재사용 공격에는 대응하지 않습니다.
  • MCR: 무작위화를 통한 낮은 컴파일 오버헤드로 코드 재사용 공격에 효과적입니다. 그러나 타이밍 사이드 채널을 완화하는 데 사용할 경우 실행 시간 오버헤드가 높습니다 (최대 8 배).
  • SecDivCon: 타이밍 공격에 대한 강력한 보장과 세분화된 다양화를 제공하지만 높은 컴파일 시간을 겪으며 작은 함수와 특정 아키텍처 (MIPS/ARM) 로 제한됩니다.
  • PCFL: 낮은 컴파일 오버헤드로 상수 시간 코드를 자동 생성하지만 높은 실행 시간 오버헤드를 도입하며 코드 재사용 공격에는 대응하지 않습니다.

중요성 및 주장

해당 논문은 현대적인 위협에 대비하여 암호화 라이브러리를 보호하는 데 있어 수동 소스 코드 완화 조치와 범용 컴파일러에 대한 현재의 의존성이 불충분하다고 주장합니다. 저자들은 다음과 같이 주장합니다.

1. 보안은 사후 고려 사항이 될 수 없습니다: 컴파일 과정은 보안 속성이 종종 손실되는 중요한 단계입니다. 보안 요구 사항과 코드 효율성 사이의 격차를 해소하기 위해 안전한 컴파일 접근 방식이 필요합니다.
2. 통합 솔루션의 필요성: 기존 단일 도구가 타이밍과 코드 재사용 문제를 모두 효율적으로 해결하지는 못합니다. 저자들은 향후 개발이 다음에 초점을 맞춰야 한다고 제안합니다.
   • 컴파일러 개발자: 보안 속성을 유지하기 위해 최적화에 대한 더 많은 제어를 제공하고 범용 컴파일러에 상수 시간 유지를 통합할 것.
   • 안전한 컴파일러 개발자: 단일 벡터에 집중하기보다는 여러 완화 조치 (타이밍 및 제어 흐름) 를 결합하는 도구를 만들 것.
   • 라이브러리 개발자: 안전한 컴파일 접근 방식을 채택하고 빌드 계획에 추가 보호 옵션을 활성화할 것.

해당 논문은 암호화 라이브러리 보안을 개선하기 위해서는 즉흥적인 수동 수정에서 안전한 컴파일, 바이너리 수준 검증, 그리고 동시에 여러 공격자 모델을 처리할 수 있는 도구를 통합한 개발 과정으로의 체계적인 전환이 필요하다고 결론지었습니다.