intel CPU 보안취약점 발견에 따른 대처요령

작성자: -


얼마전 Google Project Zero 팀에서 Intel社, AMD社, ARM社 CPU 제품의 취약점이 발견 되었다고 발표한 이후 파장이 지속되고 있습니다.


Google Project Zero 팀 블로그 바로가기
https://googleprojectzero.blogspot.kr/2018/01/reading-privileged-memory-with-side.html


문제가 된 내용은 아래 3가지 이슈로

  • Variant 1: bounds check bypass (CVE-2017-5753)
  • Variant 2: branch target injection (CVE-2017-5715)
  • Variant 3: rogue data cache load (CVE-2017-5754)

핵심은 CPU의 부채널 공격(side channel attack)으로 인해 캐시 메모리의 저장된 정보가 노출되는 취약점 입니다.


- Spectre(스펙터, CVE-2017-5753, CVE-2017-5715)
- Meltdown (멜트다운, CVE-2017-5754)


해결방안은 칩셋 제조사및 OS 개발사에서 제공하는 업데이트를 적용하는 방법 입니다.

패치이후  CPU 성능저하 논란이 계속해서 일어나고 있는 상황이지만
인텔 측에서는 벤치마크 자료를 공개하고 성능저하는  미미한 차이라는 입장을 고수하고 있습니다.

​Intel benchmark results (click to enlarge)

원본출처 바로가기
https://newsroom.intel.com/editorials/intel-security-issue-update-initial-performance-data-results-client-systems/



아래는 보호나라 기준  제조사별 패치현황 입니다. (2018년 1월 18일 기준)
제조사패치 현황배포 여부
Amazone패치 버전 배포(‘18.1.14)[2]배포완료
AMD장비 제조사 및 OS 개발사를 통해 패치 권고 [3]배포중
AppleiOS, macOS 등 멜트다운 취약점에 대한 패치버전 배포(’17.12.7)배포중
iOS, macOS 등 스펙터 취약점에 대한 패치버전 배포 예정 [4]
※ Apple Safari, WebKit 는 패치 완료('18.1.9)		배포예정
ARM패치 버전 배포(’18.1.4) [5]배포중
CentOS패치 버전 배포(‘18.1.6) [6]배포중
Chromium패치버전 배포 예정(‘18.1.24) [7]배포예정
Cisco패치 버전 배포(‘18.1.4) [8]배포중
Citrix패치 버전 배포(’18.1.6) [9]배포중
Debian패치 버전 배포(’18.1.4) [10]배포중
Dragonfly
BSD		패치 버전 배포(’18.1.6) [11]배포중
F5패치 버전 배포(’18.1.6) [12]배포중
Fedora패치 버전 배포(’18.1.5) [13]배포중
Fortinet패치 버전 배포(’18.1.5) [14]배포중
GoogleAndroid, Chrome 등 패치버전 배포(’18.1.6) [15][16]
※ Android의 경우 스마트폰 제조사별로 배포일자가 다를 수 있음		배포중
Huawei패치 버전 배포(’18.1.5) [17]배포중
IBM장비 제조사 및 OS 개발사를 통해 패치 권고(’18.1.4) [18][19]배포중
Intel패치 버전 배포(‘18.1.4) [20][21]배포중
Juniper패치 버전 배포(’18.1.9) [22]배포중
Lenovo패치 버전 배포(’18.1.5) [23]배포중
Linux패치 버전 배포(’18.1.4) [24]배포중
Microsoft(PC) Windows 7, 8.1, 10
(Server) 2008, 2008 R2, 2012, 2012 R2, 2016
Azure 대상 패치 배포(’18.1.4) [25][26]
※ AMD 제품 패치에 이슈가 있어 중단(1.10)했으나 다시 배포(1.11)[27]		배포중
Mozilla패치 버전 배포(’18.1.4) [28]배포중
NetApp패치 버전 배포(’18.1.6) [29]배포중
Netgear패치 버전 배포 예정 [30]배포예정
Nutanix패치 버전 배포(’18.1.11) [31]배포중
NVIDIA패치 버전 배포(’18.1.4) [32]배포중
OpenSuSE패치 버전 배포(‘18.1.5) [33]배포중
Oracle패치 버전 배포(‘18.1.16) [34]배포중
Qubes패치 버전 배포(‘18.1.5) [35]배포중
Red Hat패치 버전 배포(‘18.1.4) [36]배포중
SuSE패치 버전 배포(‘18.1.3) [37]배포중
Synology패치 버전 배포(‘18.1.5) [38]배포중
Trend
Micro		패치 버전 배포(‘18.1.4) [39]배포중
Ubuntu패치 버전 배포(‘18.1.4) [40]배포중
VMware패치버전 배포(’18.1.4) [41]배포중
Xen패치버전 배포(’18.1.4) [42]배포중


보호나라 공지 바로가기
https://www.boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=26929



[참고사이트]
[1] https://googleprojectzero.blogspot.kr/2018/01/reading-privileged-memory-with-side.html
[2] https://aws.amazon.com/ko/security/security-bulletins/AWS-2018-013/
[3] http://www.amd.com/en/corporate/speculative-execution
[4] https://support.apple.com/en-us/HT208394
[5] https://developer.arm.com/support/security-update
[6] https://lists.centos.org/pipermail/centos-announce/2018-January/date.html
[7] https://www.chromium.org/Home/chromium-security/ssca
[8] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180104-cpusidechannel
[9] https://support.citrix.com/article/CTX231390
[10] https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=886367
[11] http://lists.dragonflybsd.org/pipermail/users/2018-January/313758.html
[12] https://support.f5.com/csp/article/K91229003
[13] https://fedoramagazine.org/protect-fedora-system-meltdown/
[14] https://fortiguard.com/psirt/FG-IR-18-002
[15] https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html
[16] http://source.android.com/security/bulletin/2018-01-01
[17] http://www.huawei.com/en/psirt/security-notices/huawei-sn-20180104-01-intel-en
[18] https://securityintelligence.com/cpu-vulnerability-can-allow-attackers-to-read-privileged-kernel-memory-and-leak-data/
[19] https://www.ibm.com/blogs/psirt/potential-impact-processors-power-family/
[20] https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr
[21] https://newsroom.intel.com/news/intel-responds-to-security-research-findings/
[22] https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10842&cat=SIRT_1&actp=LIST
[23] https://support.lenovo.com/us/en/solutions/len-18282
[24] https://lkml.org/lkml/2017/12/4/709
[25] https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
[26] https://azure.microsoft.com/en-us/blog/securing-azure-customers-from-cpu-vulnerability/
[27] https://support.microsoft.com/en-us/help/4073707/
[28] https://www.mozilla.org/en-US/security/advisories/mfsa2018-01/
[29] https://security.netapp.com/advisory/ntap-20180104-0001/
[30] http://info.nutanix.com/TA5G00u0C000PVD00O0A8Q0
[31] https://kb.netgear.com/000053240
[32] http://nvidia.custhelp.com/app/answers/detail/a_id/4609
[33] https://lists.opensuse.org/opensuse-security-announce/2018-01/msg00001.html
[34] http://www.oracle.com/technetwork/security-advisory/cpujan2018-3236628.html
[35] https://www.qubes-os.org/news/2018/01/04/xsa-254-meltdown-spectre/
[36] https://access.redhat.com/security/vulnerabilities/speculativeexecution?sc_cid=701f2000000tsLNAAY&
[37] http://lists.suse.com/pipermail/sle-security-updates/2018-January/date.html
[38] https://www.synology.com/en-us/support/security/Synology_SA_18_01
[39] https://success.trendmicro.com/solution/1119183
[40] https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
[41] https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html
[42] http://xenbits.xen.org/xsa/advisory-254.html


댓글

댓글 쓰기

주간 인기글

카드뉴스 마케팅 팁

작성자: -
이미지
아이프렌즈펫의 카드뉴스 최근 SNS에서 가장 핫한 콘텐츠 유형 카드뉴스! 아이프렌즈펫은 현재 홍보 예산을 쓰지 않는 방법으로 인스타그램, 페이스북으로 카드뉴스 콘텐츠 마케팅을 하고 있습니다. 일주일에 1개씩 올리다보니 어느덧 6개월 정도의 시간이 흘렀습니다. 짧은 기간이지만 운영한 경험을 공유하고자 합니다. ㅎㅎ 아이프렌즈펫 페이스북 페이지 >  https://www.facebook.com/ifriendspetpage/ 아이프렌즈펫 인스타그램 >  http://picbear.com/ifriendspet 카드뉴스란? 카드뉴스는 짧은 글과 이미지로 구성된 여러 장의 카드입니다. 단순한 홍보에서부터 언론사까지 다양한 곳에서 활용되고 있는 컨텐츠입니다. 카드뉴스 마케팅의 장점 * 모바일 환경에서 가장 최적화된 콘텐츠 유형이며, * 제작 방법도 다른 홍보 수단에 비해 비교적 간단하고 * 홍보 효과가 빠릅니다. (블로그 - 약 6개월, 카드뉴스 - 3개월) 재미있는 카드뉴스 마케팅 예 옥션 #어서옥션 인스타그램 >  https://www.instagram.com/ebayauction/ 제가 인스타그램에서 가장 재미있게 구경하는 피드 중 하나입니다. 홍보 느낌이 하나도 안나요~ 오레오 #오레오 페이스북 >  http://bit.ly/2gA4MDw 오레오는 제가 마케팅의 ㅁ자도 모를때부터 구경하고 있던 페이스북인데요 과자 하나가지고 이렇게 창의적인 작품들을 꾸준히 업데이트 할 수 있다니 놀랍더라구요 ㅎㅎ 카드뉴스 만들기 1. 주제 선정 카드뉴스를 통해 얻을 목표와 타겟이 명확해야 합니다. 그에 맞춰 전달하려는 정보나 메시지 등을 리서치해서 기획을 하고 제작합니다. 처음 해보시는 분들에게 실패를 줄이기 위한 팁을 드리자면 (여기서 실패란 그냥..묻히는 것 말입니다 ㅠ) 1. 비슷한 주제의 페이스북 페이지 운영하는 곳을 되도
자세한 내용 보기

[ubuntu] 신규 계정에 sudo 권한 추가하기

작성자: -
이미지
NCP 에서 신규 서버를 생성하면  AWS 와는 다르게 root 계정과 패스워드를 발급해 줍니다. 해당 계정정보를 잘 보관한 후 실제 사용할 계정을 생성해서 서버를 관리하게 됩니다. 1. 우선 ubunbu 에서 신규 계정을 생성  합니다. # adduser namsan cs namsan 이라는 계정을 생성하고 패스워드를 설정하였습니다. 2. 신규 생성된 계정으로 전환 후 명령어를 실행해 봅니다. su 명령어를 통해 신규 생성 계정으로 전환 합니다. # su namsan cs sudo 명령어를 실행해 보겠습니다. # sudo date cs “namsan is not in the sudoers file.  This incident will be reported.” cs sudoers file 에 해당계정이 포함 되어있지 않다는 메시지가 출력됩니다. /etc/sudoers 에 신규 계정이 추가 되어 있지 않아 표출되는 에러 메시지 입니다. 다시 root 계정으로 전환하여 sudoers 파일을 수정해보겠습니다. su 명령어를 통해 다시 root 계정으로 전환 합니다. # su root cs 3. vi 명령어를 통해  /etc/sudoers 파일을 편집합니다. # vi /etc/sudoers cs # User privilege specification 항목에 아래와 같이 신규 생성된 계정 정보를 추가합니다. root  ALL=(ALL:ALL) ALL namsan  ALL=(ALL:ALL) ALL cs 이제 신규 생성된 사용자로 전환하여 sudo 명령어 실행 시 정상적으로 작동하는 것을 확인 할 수 있습니다.
자세한 내용 보기

[정보] 인스타그램은 당신의 소리를 '듣고' 있을 수도 있습니다

작성자: -
이미지
[그림출처]  https://medium.com/@damln/instagram-is-listening-to-you-97e8f2c53023 인스타그램은 당신의 소리를 '듣고' 있을 수도 있습니다. 문자 그대로. SNS는 사용자들이 자발적으로 공유하는 글, 사진 등의 정보를 모아서 그 데이터를 기반으로 어떤 사용자가 무엇에 관심이 있는지 파악하여 사용자들에게 가장 관심 있을 만한 광고를 보여주곤 합니다. 몇 년 전부터 페이스북은 앱의 마이크 접근 권한 을 사용하여 핸드폰 주위의 모든 대화 등의 소리를 수집.파악하여 폰 사용자가 무엇에 관심 있는지 데이터를 얻고, 타겟 맞춤 광고에 이 정보를 활용한다고 하는 의혹을 받아왔습니다. 페이스북에 인수된 인스타그램도 마찬가지로요. 저도 가끔 의아했습니다. 어떻게 내가 검색창에서 검색한 적도 없고, 사진도 찍은 적 없고, 글로 쓴 적도 없는 어떤 것에 대해서 인스타그램이 나에게, 그것에 관해 얘기한 지 10분 만에 정확히 그와 관련된 상품을 광고로 보여줄 수가 있지? 그런데 동일한 의문을 품은 유저들이 여러 명 있었던 것 같습니다. (관련글  https://www.imore.com/how-stop-facebook-accessing-your-microphone https://medium.com/@damln/instagram-is-listening-to-you-97e8f2c53023  ) 물론  페이스북이나 인스타그램은 공식적으로 '절대로 그렇지 않다' 고 발표하지만, 그렇다고 하더라도 혹시 있을 수 있는 사생활 침해에서 앱의 마이크 접근 권한을 차단하는 것은 나쁘지 않은 것 같습니다. 만약을 위해 사생활을 보호하려면, 페이스북이나 인스타그램 앱 설정 부분에서 페이스북 앱, 인스타그램 앱의 마이크 접근 권한을 비활성화 하시면 됩니다. 1. 아이폰 또는 설정에서 아래로 스크롤해서, 인스타그램 앱을 선택한 다음, 해당 앱의 마이크 권한 비활성화를 해도 됩니
자세한 내용 보기

스타트업 성장 곡선 The Startup Curve

작성자: -
이미지
* 다음 글은 '그로스 해킹'(조민희 저/디지털북스) 책에 있는 글을 참고해서 작성되었습니다. Paul Graham 이 그린 스타트업 성장 곡선이 책에 있는데 영어로 되어 있어서 사전을 참고해서 (ㅋㅋ) Startup Curve 를 다시 그려 보았습니다.  (원래 그림:  http://www.businessinsider.com/chart-of-the-day-the-startup-curve-2012-3 ) 대부분의 실리콘밸리 스타트업들이 겪는 Process 라고 합니다 1번 단계 ( 제품 출시 초기) 얼리어답터들이 유입되어서 일시적으로 성장곡선이 상승하는 때입니다 얼리어답터들은 우리의 타겟층이 아니더라도 단지 그것이 새롭기 때문에 써보는 사람들이기 때문에, 호기심에서 써보다가 신섬함이 사라지면 금방 그 제품을 쓰지 않기도 합니다. 얼리어답터들은 보통 전체 구매자들 가운데 2.5% 밖에 되지 않는다고 해요. 그래서 1번 단계는 마치 가파르게 성장한 것 같지만 금방 거품이 꺼진 것처럼 보이죠 2번 단계 출시한 제품을 써본 얼리어답터들이 빠져나간 자리에는 적막이 감도는데요 실리콘밸리에서는 이 기간을 슬픔의 골짜기 (Trough of Sorrow) 라고 부른다고 합니다.  성장곡선이 침체에 빠지는 이 단계가 되면 모든 작업자들이 이런 생각을 한다고 해요 기획자 - 새로운 아이디어를 내놓아야 해 디자이너 - UI 가 뭔가 이상한 게 분명해요. 다 수정해야겠어요 개발자 - 문제가 있는 거 같아서 코드를 전면적으로 리팩토링 해야겠어요 마케터 - 유명한 인플루언서를 확보해서 그들을 통해 홍보를 좀 더 적극적으로 해야해요 . . 그런가 하면 초기 제품 사용자들의 의견도 하나 둘씩 나오기 시작하죠 사용자 A - 이 부분 좀 이렇게 고쳐주세요 사용자 B - 이런 기능이 좀 있었으면 좋겠는데 . . 그래서 새로운
자세한 내용 보기

[AWS] WinSCP 를 이용해 Linux 인스턴스로 파일 전송하기

작성자: -
이미지
지난 포스팅에서는 Putty 를 활용한 Linux 인스턴스 접속 방법에 대해 알아 보았습니다. 오늘은 이어서  Linux 인스턴스에 파일을 전송할수 있는 WinSCP 활용법에 대해 알아보겠습니다. WinSCP 를 사용하기 위해서는 우선 지난 포스팅에서 Puttygen 을 통해 생성한 PPK 파일이 필요합니다. PPK 파일생성 방법은 [AWS] Windows 에서 Linux 인스턴스 연결을 위한 PuTTY 사용방법 을 참고. 1.  개인 key 를 활용한 서버 접속 방법 아래 링크를 통해 WinSCP 프로그램을 다운로드 합니다. WinSCP 다운로드 -> https://winscp.net/eng/download.php WinSCP 를 설치하고 프로그램을 실행 합니다. 프로그램을 실행하면 바로 로그인 입력 화면이 표출됩니다. 호스트 이름 에 Ec2 인스턴스의 Public IP 또는 Public DNS 를 입력합니다. 사용자 이름 에 접속할 계정 정보 를 입력 합니다. 인증키를 통해 서버에 접속할 예정이므로 설정을 위해 고급버튼 을 선택합니다. * 인스턴스 접속계정 정보는 아래와 같이 구성됩니다. Amazon Linux AMI의 경우 사용자 이름은 ec2-user RHEL AMI의 경우 사용자 이름은 ec2-user 또는 root Ubuntu AMI의 경우 사용자 이름은 ubuntu 또는 root Centos AMI의 경우 사용자 이름은 centos Fedora AMI의 경우 사용자 이름은 ec2-user SUSE의 경우 사용자 이름은 ec2-user 또는 root SSH – 인증 메뉴를 통해 개인키 파일을 등록할 수 있습니다.  SSH 접속을 위해 생성했던 PPK 파일을 선택한 후 확인 을 선택 합니다. 다시 로그인 화면으로 돌아와 로그인 버튼을 선택 합니다. 아래와 같이 인증 절차가 진행됩니다. 인증 완료 후 서버에 접속되고 ec2-user 디렉토리
자세한 내용 보기