웹사이트 하나가 맥을 멈춘다면, ‘단순 오류’일까요

핵심 요약

• WebGPU는 웹페이지에서 GPU를 이용해 그래픽과 계산 작업을 처리하게 하는 기술입니다.
• 브라우저 탭이 멈추는 것과 macOS 전체가 응답하지 않는 것은 구분해야 합니다.
• 정보가 유출되지 않아도 시스템을 사용할 수 없게 만든다면 보안 문제가 될 수 있습니다.
• 보안 분류가 적절한지 판단하려면 어떤 조건에서 문제가 생기고 피해가 어디까지 미치는지, 어떻게 복구하는지 함께 봐야 합니다.

웹페이지가 GPU로 복잡한 계산을 처리할 수 있다면, 작업에 문제가 생겼을 때 어디까지 영향을 받는지도 살펴야 합니다. 링크 하나를 눌렀는데 맥 전체가 멈춘다면, 사용자로서는 브라우저 오류라는 설명만으로 납득하기 어려울 겁니다. Deathray와 WebGPU를 두고 애플의 보안 분류를 따져볼 때도 이 점이 중요합니다.

어디까지 멈췄는지부터 봐야 합니다

Deathray를 ‘맥을 멈추는 웹사이트’라고 부르려면 먼저 멈춤의 범위를 구분해야 합니다.

특정 탭만 응답하지 않는 경우와 브라우저 전체를 강제로 종료해야 하는 경우는 다릅니다. 운영체제까지 응답하지 않아 기기를 재시동해야 한다면 문제는 훨씬 심각해집니다.

화면이 얼어붙었다는 이유만으로 운영체제 전체가 멈췄다고 단정할 수도 없습니다. 화면을 표시하는 기능에만 문제가 생긴 것인지, 시스템 전체에 장애가 생긴 것인지 구별해야 합니다.

‘멈췄다’는 말만으로는 어떤 상태였는지 알기 어렵습니다. 다른 앱은 작동했는지부터 확인해야 합니다. 기다리면 회복됐는지, 아니면 강제 재시동이 필요했는지에 따라서도 판단이 달라집니다.

WebGPU 작업은 여러 단계를 거쳐 실행됩니다

WebGPU는 브라우저가 웹페이지에 제공하는 프로그래밍 인터페이스입니다. 웹페이지는 이를 통해 그래픽처리장치인 GPU에 화면을 그리거나 계산하는 작업을 맡길 수 있습니다.

그렇다고 웹사이트에 GPU의 모든 권한을 넘겨주는 것은 아닙니다. 브라우저는 웹페이지가 요청한 작업을 검사하고 제한하며, 실제로 작업을 실행하는 데는 운영체제와 GPU 드라이버도 관여합니다.

이 과정에서 어느 한 단계라도 예상하지 못한 작업을 제대로 처리하지 못하면 문제가 생길 수 있습니다. 웹페이지에서 시작한 작업이 브라우저 밖까지 영향을 준다면, 장애가 번지는 것을 막는 장치가 충분했는지 따져야 합니다.

다만 ‘WebGPU로 유발했다’는 설명만으로 ‘WebGPU 자체에 결함이 있다’고 결론 내릴 수는 없습니다. 원인은 브라우저 구현이나 드라이버 등 다른 구성 요소에 있을 수도 있습니다.

데이터가 새지 않아도 보안 문제일 수 있습니다

보안 사고라고 하면 비밀번호나 파일이 유출되는 일을 먼저 떠올리기 쉽습니다. 하지만 필요할 때 시스템을 사용할 수 있어야 한다는 가용성 역시 보안에서 중요하게 다룹니다.

외부에서 보낸 작업으로 다른 사람의 시스템을 사용할 수 없게 만든다면, 서비스 거부, 즉 DoS 문제로 볼 여지가 있습니다. 기밀을 훔치지 않더라도 사용자의 업무를 중단시킬 수 있기 때문입니다.

물론 모든 충돌이나 멈춤을 곧바로 보안 취약점이라고 할 수는 없습니다. 공격자가 의도적으로 같은 현상을 반복해서 일으킬 수 있는지 확인해야 합니다. 피해자가 페이지를 열기만 해도 문제가 생기는지도 중요합니다.

‘버그’와 ‘보안 취약점’은 어느 한쪽만 골라야 하는 이름이 아닙니다. 버그를 보안 공격에 악용할 수 있다면 취약점이 될 수 있습니다. 오류를 무엇이라고 부르는지보다 실제로 어떤 피해를 줄 수 있는지를 봐야 합니다.

애플의 분류를 평가하려면 설명까지 봐야 합니다

애플이 Deathray를 실제로 어떻게 분류했는지는 공식 답변의 정확한 문구와 맥락을 확인해야 알 수 있습니다. 특정 분류가 있었다고 미리 단정하고 그 의도를 추측해서는 안 됩니다.

또 ‘보안 문제로 분류하지 않는다’고 해서 ‘수정할 필요가 없다’는 뜻은 아닙니다. 보안 문제에 해당하는지와 수정할 필요가 있는지는 별개이며, 보상 대상인지도 따로 판단할 문제입니다.

독자가 그 분류가 적절한지 판단하려면 다음과 같은 정보가 필요합니다.

• 어떤 맥과 운영체제·브라우저 버전에서 발생하는가.
• 페이지 접속 외에 별도 조작이나 설정 변경이 필요한가.
• 영향이 탭에 머무는가, 다른 앱과 운영체제까지 번지는가.
• 자동으로 회복되는가, 강제 재시동이 필요한가.

가령 별도 조작 없이 페이지를 열기만 해도 강제 재시동이 필요하다면, 탭 하나가 종료되는 현상보다 심각하게 볼 근거가 됩니다. 다만 이것은 이런 사건을 판단할 때 적용할 기준이며, Deathray가 실제로 이렇게 동작한다고 확인됐다는 뜻은 아닙니다.

저는 제조사가 붙인 이름보다 사용자가 실제로 어떤 피해를 겪고, 제조사가 이를 어떻게 설명하는지가 더 중요하다고 봅니다. 웹사이트에서 시작한 작업 때문에 기기 전체를 쓸 수 없게 된다면, 왜 그런 일이 가능한지와 어떻게 막을지까지 답해야 합니다. 작업 중인 맥이 멈춘 사용자에게 ‘보안 문제가 아니다’라는 분류만으로는 충분한 설명이 되기 어렵습니다.