Google, 성능저하 없이 Spectre 취약점을 패치할 수 있는 Retpoline 공개

1월 5일, 구글은 Spectre 취약점을 악용하는 공격을 CPU성능 저하 없이 차단할 수 있는 "Retpoline"을 공개하였습니다. 

이 패치 방법은 구글의 고급기술자인 Paul Turner이 공개하였습니다. 또한 구글 내부에서는, 이미 이 기술을 데이터센터의 Linux 서버에 적용하여 보안패치를 진행했다고 밝혔습니다. 구체적인 내용은 여기에서 확인하실 수 있습니다.

개요

예측실행은 최신 CPU들이 사용하고 있는 최적화 기술이며, Meltdown과 Spectre 취약점의 원인이기도 합니다. 

"Retpoline"은 소프트웨어의 구조로, 이는 간접적인 분기를 예측실행중으로부터 격리하여 분기 타겟 인젝션 공격이 간접분기에 영향을 주는것을 막을 수 있습니다. 

레트폴린(Retpoline)이라는 보안 기술의 명칭은 "return"과 "Trampoline"에서 나왔으며, 예측 실행(speculative execution) 작업이 마치 트램펄린이 동작하듯이 계속 ‘bounce’됨을 의미합니다.

다른 개발자들은 이 새로운 기술에 대하여, "Retpoline은 무한루프와 비슷한 더미코드를 생성하는데, 이 코드들은 실제로 호출되지는 않으나, CPU가 예측실행링크로 접근하는 것을 차단한다"라고 밝혔습니다. 

개발자들은 자신들의 프로그램 바이너리 중 Retpoline 기술을 이용하면, Spectre공격으로부터 메모리 정보가 유출되는 것을 차단할 수 있다고 밝혔습니다. 

이 기술은 OS의 커널, 시스템 프로그램, DB 및 SW등에도 사용이 가능하다고 밝혔습니다. 

현재 Linux Kernel 프로젝트 뿐만 아니라 GCC, LLVM 프로젝트에도 해당 조치방안을 적용하려 하고 있습니다.  

출처 :

https://www.bleepingcomputer.com/news/google/google-unveils-new-retpoline-coding-technique-for-mitigating-spectre-attacks/