내 라이젠 CPU의 보안 기능이 조용히 사라졌다 — AMD가 말 안 한 메모리 암호화 제거의 진짜 의미

펌웨어 업데이트 한 번 했을 뿐인데, 내 CPU에 있던 보안 기능이 사라졌다면 어떤 기분일까요. 그것도 제조사가 아무런 공지 없이 말이죠. AMD 라이젠 CPU의 메모리 암호화 기능을 둘러싸고 지금 이런 일이 벌어지고 있습니다. 작아 보이지만, 곱씹을수록 묵직한 이야기입니다.

먼저 솔직하게 짚고 넘어가겠습니다. 이번 주제는 최근 30일간 커뮤니티 토론이 거의 없었습니다. 그만큼 대중적으로 크게 회자되진 않았다는 뜻인데요. 하지만 바로 그 점이 더 흥미롭습니다. 보안 기능이 조용히 사라지는 일은, 시끄럽지 않기 때문에 더 위험하니까요.

메모리 암호화, 그게 대체 뭔데요

먼저 기본 개념부터 짚어보겠습니다. 우리가 흔히 보안이라고 하면 디스크 암호화를 떠올립니다. 노트북을 잃어버려도 안에 든 데이터를 못 읽게 막는 그것 말이죠. 그런데 컴퓨터가 켜져서 돌아가는 동안, 데이터는 디스크가 아니라 메모리(RAM) 위에 올라와 있습니다.

문제는 이 메모리에 올라온 데이터는 대체로 평문 상태라는 점입니다. 암호도, 카드번호도, 작업 중인 문서도 RAM에서는 날것 그대로 떠다닙니다. 메모리 암호화는 바로 이 구간을 지켜주는 기술입니다. RAM에 데이터를 쓸 때 자동으로 암호를 걸고, 읽을 때 다시 풀어주는 방식이죠.

AMD는 이 기능을 SME(Secure Memory Encryption)라는 이름으로 제공해왔습니다. 서버용 에픽(EPYC) 라인에는 SEV라는 더 강력한 버전이 있지만, 일반 소비자용 라이젠에도 SME 자체는 들어가 있었습니다. 누군가 컴퓨터를 켠 채로 메모리 모듈을 물리적으로 빼내 분석하는, 이른바 콜드부트 공격 같은 시나리오를 막아주는 마지막 방어선이었죠.

“조용히” 사라졌다는 게 핵심입니다

이번 이슈의 진짜 문제는 기능이 빠졌다는 사실 그 자체가 아닙니다. 아무도 모르게 빠졌다는 점입니다.

새 CPU를 출시하면서 스펙시트에 “이 기능은 빠집니다"라고 명시하는 건 정상적인 제품 결정입니다. 소비자가 그걸 보고 살지 말지 판단하면 되니까요. 하지만 이미 산 CPU에서, 펌웨어나 마이크로코드 업데이트를 통해, 별다른 안내 없이 특정 보안 기능을 비활성화하는 건 전혀 다른 이야기입니다.

내가 산 시점의 제품과, 지금 내 책상 위에서 돌아가는 제품이 다른 물건이 되는 셈이거든요. 그것도 보안이라는, 가장 조용히 작동해서 평소엔 있는지도 모르는 영역에서 말입니다.

왜 이런 일이 벌어질까요

AMD가 악의를 가지고 이랬다고 보긴 어렵습니다. 보통 이런 결정 뒤에는 현실적인 이유가 있습니다.

첫째, 성능과 호환성입니다. 메모리 암호화는 공짜가 아닙니다. 암호화와 복호화 과정에서 약간의 성능 손실과 지연이 생깁니다. 게임 성능이나 벤치마크 숫자에 민감한 컨슈머 시장에서, 대부분의 사용자가 켜지도 않는 기능 때문에 손해를 보는 건 제조사 입장에서 달갑지 않은 일이죠.

둘째, 제품 라인 차별화입니다. 강력한 보안 기능은 비싼 서버용 에픽 라인의 핵심 판매 포인트입니다. 값싼 컨슈머 라이젠에 같은 수준의 보안이 들어가 있으면, 기업 고객이 굳이 비싼 제품을 살 이유가 줄어듭니다. 보안 기능이 사실상 가격표를 나누는 칸막이 역할을 하는 셈입니다.

셋째, 취약점 대응일 수도 있습니다. 해당 기능에서 보안 결함이 발견됐을 때, 정교하게 고치는 대신 기능 자체를 꺼버리는 게 더 빠르고 안전한 선택일 때가 있습니다. 역설적이게도, 보안을 지키기 위해 보안 기능을 끄는 거죠.

이유가 무엇이든, 사용자에게 알리지 않았다는 점은 변하지 않습니다.

나는 신경 써야 할까요

현실적으로 말씀드리면, 대다수 일반 사용자에게 SME 제거는 체감되는 위협이 아닙니다. 콜드부트 공격이나 물리적 메모리 탈취는 공격자가 내 컴퓨터를 직접 손에 넣어야 가능한, 상당히 표적화된 시나리오입니다. 집에서 게임하고 유튜브 보는 분이 밤잠 설칠 일은 아닙니다.

하지만 다음에 해당한다면 이야기가 달라집니다.

민감한 데이터를 다루는 프리랜서나 연구자, 노트북을 들고 카페와 공항을 오가는 출장이 잦은 직장인, 그리고 컨슈머 하드웨어를 저렴하게 도입한 소규모 기업이나 스타트업이라면요. 이들은 “내 하드웨어가 이 정도 보안은 해주겠지"라는 전제 위에서 일하고 있었을 텐데, 그 전제가 조용히 무너진 겁니다.

진짜 문제는 신뢰입니다. 펌웨어 업데이트는 보통 좋은 겁니다. 버그를 고치고 안정성을 높여주니까요. 그런데 그 업데이트가 내가 모르는 사이에 무언가를 빼앗아 갈 수도 있다면, 우리는 업데이트 버튼을 누르기 전에 한 번 더 망설이게 됩니다. 그 망설임 자체가 보안 생태계에는 손해입니다.

마무리하며

이번 일은 작은 사건처럼 보이지만, “내가 가진 기기를 정말 내가 통제하고 있는가"라는 큰 질문을 던집니다. 하드웨어는 한 번 사면 내 것이지만, 그 안에서 무엇이 켜지고 꺼지는지는 점점 제조사의 손에 달려가고 있습니다.

여러분은 내 CPU에서 어떤 기능이 조용히 사라졌는지 확인해본 적 있으신가요. 그리고 제조사가 “사용자가 모르는 게 낫다"고 판단할 권한은 과연 어디까지여야 할까요. 한번 곱씹어볼 만한 질문입니다.