Blueprint, Bootstrap, and Bridge: A Security Look at NVIDIA GPU Confidential Computing

이 논문은 NVIDIA GPU 비밀 컴퓨팅 (GPU-CC, GPU Confidential Computing) 시스템의 보안 아키텍처를 심층적으로 분석하고, 그 취약점과 잠재적 공격 표면을 규명하는 연구입니다. NVIDIA 의 폐쇄적인 생태계와 복잡한 시스템 구조로 인해 외부 연구자들이 GPU-CC 의 내부 동작과 보안성을 이해하기 어려운 점을 해결하기 위해, 저자들은 시스템을 **Blueprint(설계도), Bootstrap(부트스트랩), Bridge(다리)**라는 세 가지 단계로 나누어 재구성하고 분석했습니다.

다음은 논문의 주요 내용 요약입니다.

1. 문제 정의 (Problem)

• 배경: 대규모 언어 모델 (LLM) 과 비전 모델의 성장으로 AI 워크로드가 GPU 에 의존하게 되면서, NVIDIA 는 Hopper 아키텍처부터 GPU-CC 를 도입하여 CPU 와 GPU 간의 신뢰 영역을 통합했습니다. 이는 기존 애플리케이션 수정 없이 민감한 AI 작업을 안전하게 실행할 수 있게 합니다.
• 도전 과제:
  1. 공식 명세서 부재: NVIDIA 는 고수준 개요만 제공하고, FSP, GSP, SEC2 등 핵심 보안 엔진의 구체적인 기능과 상호작용은 문서화되어 있지 않습니다.
  2. 폐쇄적 생태계: 대부분의 GPU-CC 관련 구성 요소 (펌웨어, 바이너리) 가 소스 코드가 공개되지 않아 정적 분석이 어렵습니다.
  3. 시스템 복잡성: 기존 레거시 컴포넌트 위에 새로운 보호 계층이 추가되어 데이터 전송 경로가 다양해지고, 이로 인해 공격 표면이 확대되었습니다.
• 목표: 이러한 장벽을 극복하고 GPU-CC 의 아키텍처와 보안 상태를 재구성하여, 위협 모델 하에서 데이터 무결성과 기밀성이 실제로 보장되는지 평가하는 것입니다.

2. 연구 방법론 (Methodology)

저자들은 NVIDIA H100 GPU 를 기반으로 한 실험 환경에서 다음과 같은 3 단계 접근법을 사용했습니다.

1. Blueprint (설계도 분석):
   • NVIDIA 커널 모드 드라이버, UVM 드라이버, CUDA 런타임 등 소프트웨어 스택과 하드웨어 엔진 간의 상호작용을 인터셉트하고 인스트루먼트 (instrument) 했습니다.
   • 공개된 특허 문서와 백서 정보를 실험 데이터와 상관관계 분석하여 시스템의 정적 아키텍처와 각 엔진 (FSP, GSP, SEC2, CE 등) 의 역할을 규명했습니다.
2. Bootstrap (부트스트랩 분석):
   • 시스템이 신뢰할 수 있는 상태로 전환되는 초기화 과정을 분석했습니다.
   • 안전한 부트 (Secure Boot), 키 협상 (SPDM), 방화벽 설정 (BAR0 Decoupler), 디바이스 인증 (Attestation) 메커니즘을 모니터링하고, 보안 메커니즘이 어떻게 강제되는지 정량적으로 측정했습니다.
3. Bridge (다리/데이터 전송 분석):
   • 신뢰할 수 없는 CPU-GPU 간 인터페이스 (PCIe) 를 통과하는 런타임 데이터 전송 경로를 분석했습니다.
   • 6 가지 주요 데이터 경로 (CPU-GSP RPC, 메모리 전송, 메모리 오류, UVM, 메모리 스크러빙, CUDA) 를 식별하고, 각 경로에서의 기밀성 (Confidentiality) 과 무결성 (Integrity) 보호 메커니즘을 테스트하여 취약점을 발견했습니다.

3. 주요 기여 및 발견 (Key Contributions & Results)

A. 아키텍처 엔진 규명 (Blueprint)

• FSP (Foundation Security Processor): RISC-V 마이크로컨트롤러로, 하드웨어 신뢰의 근간이 되며 GSP 부팅을 담당합니다.
• GSP (GPU System Processor): GPU 의 제어 평면으로, AES 하드웨어를 탑재하여 키 협상 (SPDM) 과 리소스 관리 (RMAPI RPC) 를 수행합니다.
• SEC2 (Secure Processor): GPU-CC 전용 프로세서로, CPR(Compute Protected Region) 설정, 디바이스 인증, 안전한 데이터 전송, 메모리 스크러빙을 담당합니다.
• CE (Copy Engine): 메모리 전송을 담당하며, 암호화/복호화 하드웨어를 통해 데이터 이동을 보호합니다.

B. 초기화 및 인증 프로세스 (Bootstrap)

• Secure Boot: CEC EROT → FSP → GSP → SEC2 순서의 체인 오브 트러스트 (Chain of Trust) 를 통해 펌웨어 무결성을 보장합니다.
• 키 협상: SPDM 세션을 통해 CPU 와 GPU 간 공유 마스터 시크릿을 생성하고, 이를 기반으로 RPC, DMA, 오류 전송 등 다양한 채널용 세션 키를 파생합니다.
• 방화벽 (BAR0 Decoupler): GPU-CC 모드 활성화 시 BAR0 을 통한 대부분의 레지스터 접근을 차단하여 호스트의 무단 접근을 방지합니다. 실험 결과, 비 GPU-CC 모드 대비 99.78% 의 필드가 '0'으로 리턴되어 접근이 차단됨을 확인했습니다.
• 디바이스 인증: GPU 의 고유 키 (DIK) 와 인증서 체인을 통해 GPU 의 진위와 펌웨어 무결성을 검증합니다.

C. 데이터 전송 경로 보안 분석 (Bridge) - 주요 발견

논문은 6 가지 데이터 경로에 대한 보안 분석을 통해 다음과 같은 취약점과 위험을 발견했습니다 (표 2 참조):

1. CPU-GSP RPC: 명령어 페이로드는 암호화되지만, 메타데이터 (큐 헤더, 포인터 등) 는 평문으로 노출됩니다. 공격자가 큐의 읽기/쓰기 포인터를 조작하여 RPC 호출 순서를 변경하거나 누락시킬 수 있어 무결성 위협이 있습니다.
2. CPU-GSP 메모리 전송: 데이터는 암호화되지만, 전송 크기에 따른 **타이밍 차 (Timing Channel)**가 관찰됩니다. 특히 큰 데이터 전송 시 실행 시간이 길어져 공격자가 전송 크기를 추론할 수 있습니다.
3. GPU 메모리 오류 (Faults): 오류 패킷은 암호화되지만, Shadow Buffer 의 PUT 포인터가 BAR0 을 통해 노출됩니다. (빈도가 낮아 위험도는 낮음)
4. UVM (Unified Virtual Memory): SEC2 채널의 GPFIFO, GPPUT, 시그널링 세마포어가 평문으로 공유 메모리에 존재합니다. 공격자가 실행 경로를 악성 푸시버퍼로 리디렉션할 가능성이 있으나, SEC2 의 방법 서명 (Method Signing) 으로 인해 실행 자체는 차단될 수 있습니다.
5. 메모리 스크러빙 (Scrubbing): 스크러빙 명령어는 서명되지만 암호화되지 않아 호스트에서 관찰 가능합니다. 또한, 작업 완료 신호를 위한 세마포어가 보호되지 않아 공격자가 신호를 조작할 수 있습니다.
6. CUDA: CUDA 런타임과 유저 모드 드라이버는 폐쇄적이므로 정확한 분석은 어렵지만, 커널 코드, 인자, 큐 메타데이터 등이 평문 PCIe 를 통해 전송되지 않도록 암호화되어야 함을 추론했습니다.

4. 의의 및 결론 (Significance & Conclusion)

• 첫 번째 종합적 분석: NVIDIA GPU-CC 의 내부 동작을 재구성하고 보안 상태를 평가한 최초의 심층 연구입니다.
• 보안 격차 규명: GPU-CC 는 대량의 데이터 전송을 암호화하는 등 상당한 보안을 제공하지만, 메타데이터, 타이밍 정보, 제어 신호 (세마포어 등) 와 같은 잔여 정보 (Residual Leaks) 가 여전히 노출되어 있음을 밝혔습니다. 이는 완전한 기밀성과 무결성을 해칠 수 있는 잠재적 위협입니다.
• 향후 방향: NVIDIA 에게 노출된 메타데이터 암호화, 타이밍 채널 완화 (Constant-time 처리), 그리고 향후 Multi-GPU 및 Trusted I/O 지원 시 보안 강화 방안을 제안했습니다.
• 책임 있는 공개: 모든 발견된 보안 이슈는 NVIDIA PSIRT (Product Security Incident Response Team) 에 책임 있게 공개되었습니다.

이 논문은 AI 시대의 GPU 기반 비밀 컴퓨팅이 실제 보안 요구사항을 충족하는지 비판적으로 평가할 수 있는 기초를 마련하며, 향후 더 강력한 보안 아키텍처 설계에 중요한 통찰을 제공합니다.