긴 인터럽트 하나로 CPU의 '신의 영역'을 건드린다 - System Management Mode 취약점 이야기

컴퓨터에는 우리가 모르는 '숨은 층'이 있어요

우리가 프로그램을 짜고 실행할 때, 보통 운영체제(윈도우, 리눅스 등) 위에서 돌아간다고 생각하잖아요. 그런데 사실 컴퓨터에는 운영체제보다도 더 깊은 곳, 우리 눈에 안 보이는 특별한 동작 모드가 숨어 있어요. 그중 하나가 바로 System Management Mode(SMM), 우리말로는 시스템 관리 모드예요.

이게 뭐냐면, CPU가 잠깐 하던 일을 멈추고 아주 특별한 코드를 실행하는 모드예요. 노트북 뚜껑을 닫으면 절전 모드로 들어가거나, 온도가 너무 올라가면 팬을 돌리거나 하는 것처럼, 운영체제도 모르게 하드웨어를 관리하는 저수준 작업을 여기서 처리하거든요. 보안 등급으로 치면 운영체제보다 더 높은 권한을 가진, 흔히 '링 마이너스 2(Ring -2)'라고 부르는 영역이에요. 그래서 여길 장악당하면 아무리 튼튼한 백신이나 운영체제 보안도 소용이 없어요.

'긴 인터럽트'로 건드린다는 게 무슨 말일까요

보안 연구자 xoreaxeaxeax(크리스토퍼 도마스라는 유명한 저수준 보안 연구자예요)가 공개한 이 연구는, SMM을 파고드는 아주 기발한 접근이에요. 제목에 나온 'smiiiiiiiiii'라는 재미있는 이름은 SMI(System Management Interrupt), 즉 SMM으로 진입하게 만드는 신호를 뜻해요.

원래 SMM에 진입할 때는 CPU가 현재 상태를 어딘가에 저장해두고, 볼일을 마치면 원래 상태로 되돌아와요. 이 연구의 핵심 아이디어는 이 진입-복귀 과정의 타이밍과 상태 처리에서 생기는 빈틈을 노리는 거예요. 인터럽트를 아주 특이한 방식으로 오래 끌거나 겹치게 만들면, CPU가 상태를 저장하고 복원하는 과정에서 예상치 못한 틈이 생길 수 있거든요. 그 틈을 이용하면 원래는 접근할 수 없어야 할 SMM 영역의 동작에 영향을 줄 수 있다는 거죠.

여기서 중요한 건, 이건 누굴 공격하라고 만든 도구가 아니라 하드웨어와 펌웨어에 이런 구조적 약점이 있을 수 있다는 걸 보여주는 연구라는 점이에요. 이런 걸 밝혀내야 칩 제조사나 펌웨어 개발자들이 미리 막을 수 있으니까요.

펌웨어 보안이 왜 이렇게 중요해졌을까요

예전에는 보안이라고 하면 소프트웨어, 즉 앱이나 운영체제 취약점만 신경 썼어요. 그런데 소프트웨어 보안이 점점 튼튼해지니까, 공격자들도 연구자들도 더 아래층으로 눈을 돌리기 시작했어요. BIOS/UEFI 같은 펌웨어, CPU 자체의 동작 모드처럼 운영체제보다 낮은 곳 말이에요. 이런 곳은 한번 뚫리면 운영체제를 다시 깔아도 살아남는 악성코드를 심을 수 있어서 훨씬 위험하거든요.

이 SMM 연구는 그런 '저수준 보안(low-level security)' 분야의 대표적인 사례예요. 비슷한 맥락에서 예전에 있었던 멜트다운(Meltdown)이나 스펙터(Spectre) 같은 CPU 취약점도 "하드웨어가 성능을 위해 하는 최적화가 사실은 보안 구멍이 될 수 있다"는 걸 보여줬죠. 이런 연구들은 하나같이 "우리가 당연하게 믿던 하드웨어의 바닥이 사실 완벽하지 않다"는 걸 알려줘요.

한국 개발자에게 주는 시사점

대부분의 웹·앱 개발자에게 SMM은 평생 직접 만질 일이 없는 영역이에요. 그래도 이런 연구를 알아두면 좋은 이유가 있어요. 보안이라는 게 결국 "내가 딛고 선 바닥이 정말 안전한가"를 계속 의심하는 태도에서 나온다는 걸 배울 수 있거든요. 우리가 짠 코드가 아무리 완벽해도 그 아래층에 구멍이 있으면 소용없다는 걸 이해하는 것만으로도 시야가 넓어져요.

특히 임베디드, 펌웨어, 시스템 프로그래밍 쪽에 관심 있는 분이라면 이런 저수준 연구는 정말 값진 공부거리예요. C와 어셈블리, CPU 아키텍처에 대한 깊은 이해가 필요한 분야라 진입 장벽은 높지만, 그만큼 다룰 수 있는 사람이 드물어서 희소성이 큰 전문 영역이기도 하고요.