커널 보안 메커니즘: ASLR과 CFI가 보안을 강화하는 방법

이 블로그 글의 AI 요약으로 바로 가기

ASLR과 CFI는 일반적인 익스플로잇에 대한 시스템 복원력을 강화하는 중요한 커널 보안 메커니즘입니다.
ASLR은 메모리 레이아웃을 무작위로 지정하기 때문에 공격자가 메모리 위치를 예측하기 어렵습니다.
CFI는 유효한 제어 흐름을 보장하여 공격자가 프로그램 실행을 악성 코드로 리디렉션하는 것을 방지합니다.

커널 취약점 은 익스플로잇에 성공하면 공격자가 거의 모든 권한을 가질 수 있기 때문에 심각한 위험을 초래합니다. 이러한 익스플로잇은 영향을 받는 시스템의 기밀성, 무결성 및 가용성을 위협하므로 커널 보안을 최우선 순위로 삼아야 합니다. Linux 시스템은 이러한 위험을 완화하기 위해 몇 가지 기본 제공 커널 보안 메커니즘을 사용합니다. 이 문서에서는 일반적인 익스플로잇에 대해 Linux 커널을 강화하는 두 가지 주요 메커니즘에 중점을 둡니다: 주소 공간 레이아웃 무작위화(ASLR)와 제어 흐름 무결성(CFI)입니다. 다음 섹션에서는 이러한 기술이 시스템 보안을 강화하기 위해 어떻게 작동하는지 설명합니다.

커널 보안 메커니즘 이해

커널 보안 메커니즘은 중요한 시스템 기능을 공격으로부터 보호하기 위해 Linux 커널에 내장된 안전 장치입니다. 이 메커니즘의 목적은 공격자가 다음과 같은 일반적인 취약점을 악용하는 것을 방지하는 것입니다. 버퍼 오버플로, 메모리 손상및 시스템 리소스에 대한 무단 액세스와 같은 일반적인 취약점을 악용하는 것을 방지하고, 이러한 취약점이 발견되는 경우 이러한 메커니즘을 통해 악용 시도로 인한 잠재적 피해를 최소화합니다. 이러한 메커니즘은 시스템에 영향을 미치기 전에 악의적인 활동을 차단하는 근본적인 수준에서 작동하므로 시스템 보안을 위한 또 다른 중요한 도구가 됩니다.

주소 공간 레이아웃 무작위화(ASLR)

ASLR이란 무엇인가요?

주소 공간 레이아웃 무작위화(ASLR)는 시스템 프로세스 및 애플리케이션에서 사용하는 메모리 주소를 무작위로 지정하는 보안 기법입니다. 이러한 무작위화를 통해 공격자는 프로그램 메모리의 특정 부분이 어디에 있는지 예측하기가 훨씬 더 어려워집니다.

ASLR이 없는 시스템에서는 메모리 주소를 예측할 수 있으므로 공격자가 버퍼 오버플로우와 같은 취약점을 더 쉽게 악용할 수 있습니다. ASLR은 프로그램의 메모리 공간에서 주요 데이터 영역의 위치를 임의로 배열하여 예측 불가능성을 야기합니다. 여기에는 다음이 포함됩니다:

스택(함수 호출을 위한 임시 저장소)
힙(동적 메모리 할당)
공유 라이브러리(재사용 가능한 코드 세그먼트).

ASLR은 프로그램이 실행될 때마다 예측할 수 없는 메모리 위치에 이러한 구성 요소를 로드하는 방식으로 작동합니다.

ASLR의 효과

ASLR의 효과는 코드 인젝션 공격을 완화하는 기능에 있습니다. 공격자가 악성 코드를 삽입하면 어디로 이동하여 실행할지 알 수 없습니다. 또한 ASLR은 취약점, 특히 다음과 같은 기법을 악용할 수 있습니다. 반환 지향 프로그래밍(ROP)와 같은 기술을 더욱 어렵게 만듭니다. 이러한 유형의 공격에서 공격자는 작은 코드 스니펫(가젯)을 연결하여 프로그램 실행을 리디렉션하려고 시도합니다. ASLR은 이러한 가젯의 위치를 예측하는 것이 거의 불가능하기 때문에 이러한 공격을 차단할 수 있습니다.

도전 과제와 한계

ASLR에도 한계가 없는 것은 아닙니다. 정보 유출로 인해 메모리 주소가 노출되어 그 효과가 약화될 수 있습니다. 공격자는 부분 덮어쓰기를 악용하여 프로그램의 실행 흐름을 일부 제어할 수 있습니다. 또한 ASLR의 효과는 주소 할당에 충분한 무작위성(또는 엔트로피)이 있는지에 따라 크게 달라집니다. ASLR을 제어 흐름 무결성(CFI)과 같은 다른 기술과 결합하면 이러한 한계를 일부 해결할 수 있습니다.

제어 흐름 무결성(CFI)

CFI란 무엇인가요?

제어 흐름 무결성(CFI)은 공격자가 프로그램 실행을 가로채는 것을 방지하기 위한 또 다른 중요한 보안 메커니즘입니다. CFI는 프로그램 실행 중 제어 흐름을 엄격하게 검사하는 방식으로 작동합니다. 함수에 대한 호출, 점프, 리턴이 합법적인 위치에서만 이루어지도록 보장합니다. 공격자가 함수 포인터나 점프 명령을 조작하려고 시도하면 CFI는 이를 감지하고 실행을 차단합니다.

이는 일반적으로 제어 흐름 그래프(CFG) 를 유지함으로써 이루어집니다. 런타임에 CFI는 각 제어 흐름 전송이 CFG를 준수하는지 여부를 확인합니다. 전송이 CFG를 위반하는 경우(예: 예기치 않은 주소로 점프) 프로그램이 종료됩니다.

CFI의 효과

CFI는 덮어쓰기 함수 포인터나 ROP 체인과 관련된 제어 흐름 하이재킹 공격을 막는 데 특히 효과적입니다. 유효한 제어 흐름을 적용함으로써 공격자가 임의의 코드나 악성 코드로 실행을 리디렉션할 수 없도록 합니다.

도전 과제와 한계

주요 과제 중 하나는 모든 제어 흐름 전송에 대한 런타임 검사의 잠재적인 성능 영향입니다. 또한 제어 흐름 그래프의 정확성이 매우 중요한데, 부정확한 CFG는 오탐(합법적인 동작이 차단됨) 또는 오탐(악의적인 동작이 통과됨)으로 이어질 수 있습니다.

ASLR과 CFI의 시너지 효과

ASLR과 CFI는 상호 보완적인 커널 보안 메커니즘으로, 함께 사용하면 익스플로잇에 대해 훨씬 더 강력한 방어 기능을 제공합니다. ASLR은 메모리에서 코드와 데이터의 위치를 무작위로 지정하는 데 중점을 두는 반면, CFI는 프로그램의 실행이 합법적인 제어 흐름 경로를 따르도록 보장합니다.

이 조합은 공격자에게 두 가지 주요 과제를 제시합니다. 첫째, 공격자는 공격 대상의 무작위 위치를 파악해야 하는데, ASLR은 이를 예측할 수 없습니다. 둘째, 공격자는 정의된 제어 흐름 그래프를 준수하는 방식으로 프로그램의 제어 흐름을 조작해야 하며, 이는 CFI가 강제합니다.

예를 들어, ROP 공격에서 공격자는 특정 가젯의 무작위 주소(ASLR)를 찾은 다음 프로그램의 제어 흐름 그래프와 일치하는 방식으로 이를 연결해야 합니다. 이러한 이중 계층 방어는 공격의 복잡성을 크게 증가시켜 공격이 비실용적이거나 불가능하게 만드는 경우가 많습니다.

최종 생각

ASLR과 CFI는 커널 익스플로잇을 방어하는 핵심 도구입니다. ASLR은 메모리 레이아웃을 무작위화하여 공격자가 표적 주소를 예측하기 어렵게 만듭니다. 반면에 CFI는 프로그램 실행이 합법적인 경로를 따르도록 하여 악의적인 리디렉션을 방지합니다. 이러한 커널 보안 메커니즘을 함께 사용하면 일반적인 공격 전략에 대한 강력한 방어 체계를 구축할 수 있습니다.

하지만 완벽한 방어는 없습니다. 위협 환경은 항상 변화하고 있으며 새로운 취약점이 정기적으로 등장합니다. 그렇기 때문에 계층화된 보안 접근 방식이 중요하며 라이브 패치는 이러한 전략에서 핵심적인 역할을 합니다. TuxCare의 KernelCare Enterprise는 자동화된 라이브 패치 솔루션으로 재부팅할 필요 없이 즉시 보안 업데이트를 적용할 수 있습니다. KernelCare는 RHEL, CentOS, AlmaLinux, Rocky Linux, Ubuntu, Amazon Linux, CloudLinux 등을 포함한 모든 주요 엔터프라이즈 Linux 배포판을 지원합니다.

요약