Secure Elements는 우리 주변 어디에나 있어요. 스마트폰, 하드웨어 지갑, 전자 여권, 결제 카드, 자동차 키, SIM 카드 등 다양한 곳에 내장돼 있죠. 이 작은 칩들은 사람들이 들고 다니는 가장 민감한 데이터를 보호하는 임무를 맡고 있어요. 대부분은 거의 뚫리지 않는 듯한 인증과 보증 등급을 갖추고 있지만, 결함 주입 공격에 대한 연구가 늘어나면서 상황은 더 복잡해지고 있어요.
우리는 케임브리지 대학교 보안 그룹의 전 멤버이자, 수년간 보안 칩의 물리적 한계를 연구해온 Sergei Skorobogatov와 이야기를 나눴어요. 그는 현재 Cambridge Research and Engineering을 운영하며, 손상된 IC의 데이터 복구와 반도체 장치의 백도어 분석을 전문으로 하고 있습니다.
또한, 싱가포르 난양공과대학교에서 하드웨어 보안 및 결함 주입 공격을 연구하는 Shivam Bhasin 연구원도 인터뷰했습니다. 그는 보안 칩이 설계자의 의도와 다르게 동작하도록 만드는 정밀한 물리적 교란 기술을 연구하고 있어요.
Secure Element의 역할
보안 칩이 어떻게 공격받는지 살펴보기 전에, Secure Element가 어떤 공격을 막기 위해 설계됐는지 먼저 알아볼게요.
일반적인 마이크로컨트롤러(저가 IoT 센서나 아두이노 보드 등)는 펌웨어와 데이터를 외부 도구로 쉽게 읽을 수 있는 메모리에 저장해요. 디버그 프로브를 연결하면 칩의 모든 내용을 덤프하는 것도 어렵지 않죠.
일부 마이크로컨트롤러는 보안 기능이 좋지만, 더 강력한 하드웨어 보안을 제공하는 제품조차 디버그 인터페이스에 백도어가 있을 수 있어요. 자동차에 쓰이는 맞춤형 마이크로컨트롤러는 문서 부족, 독특한 설계, 빈 샘플의 부재 등으로 인해 많은 공격을 막기도 합니다. 그래서 제조사와 기기별로 보안 수준이 크게 달라요.
Secure Element는 논리적 공격(악성 소프트웨어, 프로토콜 취약점)과 물리적 공격(프로빙, 이미지 분석, 변조) 모두를 막기 위해 처음부터 설계돼요.
이 칩의 방어에는 암호화된 메모리 버스, 물리적 침입을 감지하는 액티브 실드 메시, 측면 채널 분석을 방해하는 무작위 실행 타이밍, 그리고 칩이 비정상적인 전압·온도·빛을 감지하면 민감한 데이터를 즉시 삭제하는 센서 등이 포함돼요.
Bhasin 연구원도 이런 기반의 강점을 인정합니다. 그는 "Secure Element는 수십 년간 전문 경험을 쌓은 검증된 벤더들이 개발하고, 엄격한 침투 테스트와 공식 인증 절차를 거쳐 배포된다"고 설명하지만, "완벽한 시스템은 없다"는 점도 강조해요.
완벽하게 안전한 하드웨어는 없다
Skorobogatov는 하드웨어 보안의 한계에 대해 단호하게 말합니다. "완벽하게 안전한 장치를 설계하는 것은 불가능해요." 그는 "모든 칩에는 설계 과정에서 인간의 불완전한 이해로 인해 결함이 생길 수밖에 없다"고 설명해요. 예를 들어 플래시 메모리처럼 특정 하드웨어 구현 자체가 예상치 못한 취약점을 만들기도 해요.
Bhasin 연구원 역시 보안이 단일 메커니즘에 의존하지 않는다고 강조해요.
"최신 칩은 하드웨어를 루트로 하는 신뢰 체인에 기반해, 보안 부트로더부터 검증된 애플리케이션 소프트웨어까지 모든 구성요소를 체계적으로 검증해요." 각 단계가 그 위의 단계를 확인하죠. 하드웨어가 부트로더를 검증하고, 부트로더가 운영체제나 펌웨어를 검증하며, 펌웨어가 애플리케이션을 검증해요. 모든 고리가 제대로 작동하면, 허가된 코드만 칩에서 실행됩니다.
문제는, Bhasin 연구원이 지적하듯 "이 체인의 어느 한 부분이라도 조작되면 전체 시스템이 위험해지고, 악성 애플리케이션이 실행될 수 있다는 것"이에요.
이것이 바로 결함 주입 공격의 핵심입니다. 공격자는 체인의 한 고리만 찾아내 적절한 순간에 교란시키면 돼요. 예를 들어 부트로더가 서명 검증을 건너뛰면 어떤 펌웨어든 로드할 수 있고, 보안 플래그가 잠금에서 해제로 바뀌면 칩의 보호 기능이 무력화돼요.
역사적 사례
2010년, 연구원 Christopher Tarnovsky는 Infineon SLE 66 CL PE라는 EAL4+ 인증 칩(Trusted Platform Module 및 위성 TV 카드에 사용)을 화학적 패키지 제거, 마이크로프로빙, 집중 이온 빔(FIB) 회로 편집을 결합해 뚫는 데 성공했어요. 이 공격은 수개월의 작업과 특수 장비가 필요했지만, 당시 최첨단이던 물리적 방어책도 체계적으로 무너질 수 있음을 보여줬죠.
최근에는 더 발전된 실드 기술을 적용한 신형 칩도 설계 당시 예상치 못한 공격에 취약할 수 있음이 밝혀지고 있어요. Skorobogatov가 언급한 플래시 메모리는 반복적으로 약점이 지적되고 있는데, 물리적 특성 때문에 저장된 데이터가 노출되거나, 쓰기/삭제 메커니즘이 설계자가 예상하지 못한 방식으로 조작될 수 있어요.
반도체 공정 단계의 구조적 문제
제조 공정 자체에 내재된 구조적 문제도 있어요. 대부분의 칩은 출하 전에 테스트 인터페이스(JTAG 포트, 스캔 체인, 독점 디버그 모드 등)를 탑재해 품질 검증을 진행합니다. 이 인터페이스들은 칩 내부 상태에 깊이 접근할 수 있게 해요. 원래는 OTP(One-Time Programmable) 퓨즈를 태우거나 잠금 비트를 설정해 출하 후 영구적으로 비활성화해야 하죠.
하지만 실제로는 잠재적인 공격 표면이 됩니다. Skorobogatov는 "공격자가 이 기능을 활성화하는 방법을 찾으면, 장치에 대한 완전한 접근 권한이 복구될 수 있다"고 지적해요. 실제로 여러 칩 제품군에서 연구자들이 레이저로 테스트 모드 접근을 제어하는 특정 비트를 뒤집어 논리적으로 퓨즈를 '복구'하는 사례를 입증했어요.
정밀 공격 전, 정보 수집부터
Secure Element를 공격하려면 단계별로 체계적인 접근이 필요해요. Skorobogatov는 공격 과정이 실제로는 레이저를 켜거나 프로브를 연결하기 훨씬 전부터 시작된다고 설명합니다.
1단계: 정보 수집
첫 단계는 정보 수집이에요. Skorobogatov는 대부분의 공격이 오픈소스 인텔리전스, 즉 데이터시트, 개발자 문서, 특허, 심지어 마케팅 자료까지 샅샅이 살피는 것에서 시작된다고 설명해요. 칩의 구조를 좁힐 수 있는 모든 정보를 활용하죠. 또한 "공개 문서가 충분한 유사 기기나, 이미 취약점이 알려진 이전 모델을 연구해 알려진 것에서 모르는 영역으로 접근한다"고 덧붙입니다.
연구자들은 공개된 데이터시트, 특허, 개발자 문서, 논문, 마케팅 자료까지 꼼꼼히 분석해요. 제품 설명서에 특정 프로세서 코어나 메모리 구조가 언급되면, 공격 표면을 크게 좁힐 수 있죠.
만약 칩이 기존에 연구된 제품군의 신형 버전이라면, 공격자는 실제 기기를 열어보기 전에도 이미 구조의 80% 정도를 파악할 수 있어요.
2단계: 리버스 엔지니어링
이후에는 소프트웨어, 내부 펌웨어, 부트로더, 그리고 결국 실리콘 논리까지 여러 단계의 리버스 엔지니어링이 진행돼요. 목표는 데이터 흐름, 키 저장 위치, 인증 처리 루틴 등 칩의 동작 지도를 상세히 그리는 거예요.
소프트웨어 수준에서는 펌웨어를 덤프하고 역어셈블하거나(가능하다면), 칩과 호스트 기기 간의 통신 프로토콜을 분석하거나, 공개된 SDK나 드라이버 코드를 검토해 내부 동작을 유추할 수 있어요.
하드웨어 수준에서는 칩 패키지를 화학적으로 제거해 실리콘 다이를 노출시키고, 광학 또는 전자현미경으로 층별 이미징을 진행합니다.
전문 소프트웨어 도구를 활용해 이미지에서 논리 게이트를 복원하면, 칩 내부 회로도까지 그릴 수 있어요. 이 과정(‘디레이어링’이라고도 함)을 통해 메모리 어레이, 암호화 코프로세서, 난수 생성기, 변조 감지 센서 위치까지 파악할 수 있습니다.
3단계: 능동적 공격
칩의 지도가 완성되면, 이제 본격적인 공격이 시작돼요. 파워 분석, 전자기·광학 방출 모니터링, 레이저 결함 주입, 전압 글리칭, 프로토콜 데이터 변조 등 다양한 도구가 사용됩니다. Skorobogatov는 각 기술마다 장단점이 있지만, "이들을 조합하면 훨씬 빠르고 효율적으로 결과를 얻을 수 있다"고 말해요.
파워 분석은 칩이 연산을 수행하는 동안 전류 소비를 실시간으로 측정해요. 명령어나 데이터에 따라 미세하게 전류 패턴이 달라지기 때문에, 수많은 파워 트레이스를 통계적으로 분석하면 비밀 키가 노출될 수 있습니다.
전자기 방출 분석은 칩에서 방출되는 전자기장을 측정하는 방식으로, 원리는 파워 분석과 비슷해요.
광학 방출 분석은 트랜지스터가 스위칭할 때 미세한 적외선이 방출되는 점을 이용해, 민감한 연산이 일어나는 회로 위치를 감지합니다.
전압 글리칭은 칩이 특정 연산을 수행할 때 전원 공급을 아주 짧게 교란해, 명령어를 건너뛰거나 비교 결과를 오염시키거나 보안 검사를 우회하게 만들 수 있어요.
프로토콜 데이터 변조는 칩과 호스트 간의 통신을 조작해, 명령을 변형하거나 트랜잭션을 재생하거나 비정상 데이터를 주입함으로써 정보 유출이나 보호 우회를 유도합니다.
레이저 결함 주입(LFI): 정밀 공격의 핵심
이 모든 기술 중에서, 레이저 결함 주입은 특별한 위치를 차지해요.
Skorobogatov는 레이저 결함 주입의 차별점이 "특정 시점뿐 아니라, 장치 논리나 메모리의 아주 정밀한 위치까지 동시에 겨냥할 수 있다는 점"이라고 설명해요. 파워 글리칭이 칩 전체에 영향을 주는 반면, 초점이 맞춰진 레이저는 한 개의 게이트나 메모리 셀만 정확히 타격할 수 있죠. 즉, 공격자는 언제 결함을 유발할지와 어디에 주입할지, 두 가지를 모두 제어할 수 있어요.
Bhasin 연구원은 LFI가 제공하는 정밀도를 이렇게 설명해요. "잘 분석된 시스템에서는 레이저로 특정 비트를 아주 정확하게 조작할 수 있습니다." 레이저의 비트 단위 정밀도 덕분에 "시스템 상태를 제어하는 보안 플래그를 겨냥해 보호 기능을 사실상 '꺼버릴' 수 있어요."
보안 플래그란, 칩이 잠금/해제 상태인지, 디버그 접근이 허용/차단됐는지, 부트로더가 서명 검증을 강제할지 건너뛸지 등을 제어하는 비트 집합이에요.
이 플래그에 결함이 생기면, 칩의 전체 보안 상태가 바뀌고, 암호 연산 결과가 오염되어 비밀 키 정보가 유출될 수도 있습니다. 암호 연산 중 정확히 타이밍을 맞춰 결함을 주입하면 출력 데이터가 오염되고, 공격자는 이 오류를 분석해 수학적으로 비밀 키를 복원할 수 있어요.
보안 칩 해킹의 경제성
Secure Element가 뚫릴 수 있다면, 왜 항상 해킹되지 않을까요? 그 이유는 바로 비용에 있어요.
Secure Element를 해킹하는 건 주말 프로젝트가 아니에요. 공격자는 실리콘과 펌웨어 수준 모두에서 리버스 엔지니어링을 거쳐야 취약점을 찾을 수 있습니다. Skorobogatov는 "이 과정은 성공까지 수개월, 심지어 수년이 걸릴 수 있다"고 단언해요.
Bhasin 연구원은 결함 주입 장비의 비용을 "몇 달러짜리 DIY 도구에서 수십만~백만 달러가 넘는 첨단 레이저·이온빔 시스템까지 스펙트럼처럼 다양하다"고 설명해요.
기본적인 전압 글리칭 장비는 FPGA 보드, MOSFET, 그리고 약간의 납땜만으로 1,000달러 미만에 구축할 수 있어요. 전문 레이저 결함 주입 장비는 15만~50만 달러, 최첨단 회로 편집·분석에 쓰이는 집중 이온빔 시스템은 100만 달러를 넘기도 합니다.
실제 사례를 봐도 마찬가지예요. Skorobogatov는 EAL5, EAL6 인증 칩도 "전문 기업이나 정부 연구소의 대규모 전문가 팀이 막대한 비용과 노력으로만 뚫을 수 있었다"고 밝혔어요.
경제적 동기 외의 공격
Bhasin 연구원은 "국가 안보, 법적 요구, 범죄 포렌식 등 경제적 이익이 아닌 동기"로도 고가의 첨단 공격이 정당화될 수 있다고 지적해요. 정부 연구소가 압수한 기기를 분석할 때는 상업적 비용-편익 분석과는 무관하죠.
자금력이 풍부한 대형 경쟁사는 동일한 장비와 인력을 확보해, 경쟁사의 Secure Element를 뚫고 제품 신뢰도를 약화시키려 할 수도 있습니다.
이런 역학은 이미 하드웨어 지갑 업계에서 현실로 나타나고 있어요. Ledger의 사내 보안 연구소 Donjon은 Trezor 기기를 대상으로 여러 차례 결함 주입 공격 성공 사례를 공개하며, 생태계 전체의 보안 강화를 위한 책임 있는 공개로 프레임하고 있습니다.
하드웨어 지갑에 암호화폐를 보관해도 괜찮을까?
일반 소비자 기기에 대한 물리적 공격은 대부분의 실제 위협 모델에서 경제성이 떨어져요. 하지만 Skorobogatov는 이 사실에 안주해서는 안 된다고 경고합니다. 기기에 Secure Element가 들어 있다고 해서 "모든 공격에 대한 완전한 보증이 제공되는 것은 아니다"라고 강조해요. 충분한 시간과 자원이 있다면, 집요한 공격자는 결국 침투 방법을 찾아낼 수 있습니다.
하드웨어 지갑의 실질적 보안은 Secure Element, 그 위에서 실행되는 펌웨어, 칩과 앱 간 통신 프로토콜, 공장부터 사용자까지의 공급망, 그리고 사용자의 선택까지 전체 스택에 달려 있어요.
잘 설계된 지갑이 키 파생을 어떻게 처리하는지도 중요한 방어층이 됩니다. 많은 암호화 기기는 칩에 암호화 키를 직접 저장하지 않고, 사용자의 비밀번호나 PIN의 해시만 저장해요. 실제 암호화 키는 서명 시점에 사용자의 입력으로부터 파생됩니다. 즉, 칩이 완전히 뚫려도 공격자가 곧바로 키를 얻는 것은 아니죠.
공격자가 칩에 완전한 물리적 접근을 얻더라도, Skorobogatov는 그 보상이 보장되지 않는다고 말해요. 사용자가 강력한 비밀번호를 설정했다면 남은 건 무차별 대입뿐이고, "아주 강력한 서버로도 수년이 걸릴 수 있다"고 설명합니다.
더 넓은 시야에서
암호화 기술은 수학적으로 강력한 보증을 제공해요. 하지만 그 보증은 실제 세계에서 동작하는 물리적 하드웨어 위에 존재합니다. 트랜지스터가 오류를 일으키고, 광자가 비트를 뒤집고, 테스트 모드가 다시 활성화될 수 있는 현실이죠.
칩 및 기기 제조사에게 보안은 지속적인 엔지니어링 과제입니다. 연구 동향을 모니터링하고, 위협 모델을 업데이트하며, 새롭고 정교한 공격에도 견딜 수 있도록 설계해야 해요.
최종 사용자 입장에서는, 이런 공격이 고자원 환경에 국한되어 있더라도 물리적 보관의 중요성을 다시 한 번 일깨워줍니다.
결함 주입 공격은 특수 장비와 높은 전문성이 필요하지만, 하드웨어 보안의 본질이 결국 자산 가치보다 공격 비용을 높이는 데 있다는 점을 보여줘요.
