1988년 11월, 부시정권 때 창설된 미국의 CERT (컴퓨터 긴급대응팀, Computer Emergency Readiness Team)는 컴퓨터 보안과 관련한 사건사고를 관리하고 기술적인 도움 및 문서지원, 그리고 개인지도 등의 업무를 지원하고 있는 통신보안 전문가그룹을 명명하는 말이다. 국토안보부 산하에서 움직이는 CERT는 국가 사이버경보시스템을 구축하여 보안취약에 대한 점검 및 대비, 그리고 대응방안을 지휘하고 있는데, 최근 가상화 소프트웨어를 사용함에 있어 새로운 보안취약성 다수가 발견되어 이를 경고하고 나섰다.

가상화 소프트웨어의 보안취약성은 해커들이 소프트웨어 제공을 담당하고 있는 서비스제공업체의 물리적 서버 및 네트워크에 자신들이 만든 코드를 삽입시켜 소프트웨어를 사용하고 있는 사용자 그 어느 누구의 계정이라도 접근할 수 있게 되는 권한을 갖게 되는 상황이 발생할 수 있다고 한다.

인텔 CPU하드웨어에서 작동되는 일부 64비트의 운영시스템과 가상화 소프트웨어는 `권한탈취공격 (privilege escalation)`에 취약하다는 것이 CERT의 조사결과 드러났다고 한다. [참고: http://www.kb.cert.org/vuls/id/649219]

인텔 CPU들을 탑재하여 클라우드 상에서 가장 광범위하게 구축된 가상화 플랫폼인 젠 하이퍼바이저(Xen hypervisor)의 64비트 버전에서 동작하는 모든 시스템들이 이번 보안취약대상에 모두 포함이 되고 있으며, 공개소스그룹인 Xen Project 또한 앞선 사실을 인정하기에 이르렀다고 한다. 이번 보안결점사항은 VMware로부터 얻을 수 있는 상업용 가상화소프트웨어에는 영향을 미치지 않아 은연 중 다행인 상황이라고 한다.

Xen Project 그룹의 블로그를 살펴보면, 이번 사태에 대해 인텔 프로세서들이 시스템 오류를 처리하는데 있어 AMD社의 SYSRET 기반으로 작동하면서 여기에 수반되는 미묘한 차이점이 발생하게 된 것으로 보인다고 하였다. SYSRET 기반의 작동지침은 AMD社에 의해 정의된 32비트 및 64비트 표준의 일부인 셈이다. [출처: http://blog.xen.org/index.php/2012/06/13/the-intel-sysret-privilege-escalation/]

만일 운영체제가 AMD社의 지침에 의거해 만들어지고 인텔社의 하드웨어에 의해 작동되고 있다면 이러한 하드웨어와 소프트웨어 간에 발생하는 미묘한 운영 상의 차이점 (버그)으로 인해 해커들의 공격을 받을 수 있는 취약점이 발견될 수 있으며, 운영체제의 메모리 분야가 그 주요 공격목표가 될 수 있다고 한다.

위의 버그는 또한 64비트 버전의 NetBSD, FreeBSD, 그리고 MS社의 윈도우7과, Apple社의 OSX 운영체제를 사용하고 있는 Xen 모두에게 보안취약성을 야기시킬 수 있다고 한다. 하지만 리눅스 운영체제는 이번 보안취약대상에서 제외되었으며, 이러한 원인은 2006년 리눅스에서 해당 버그를 수정함에 따라 영향을 받지 않게 되었다고 한다.

가상화 소프트웨어가 다양한 보안결점이 노출됨에 따라 다양한 비난여론을 받고 있는 가운데, 비단 소프트웨어 뿐 아니라 가상화라는 개념 자체도 비난의 대상이 되고 있다고 한다. 일례로 가상화 데스크톱에 안티바이러스 소프트웨어와 같은 표준형 데스크톱의 보안제품을 운영하는데 있어도 다수의 보안취약성이 보고되고 있기 때문이다. 가상화기술이 주목받고 있는 상황 속에서 지속적인 보안성 확보에 어려움을 겪고 있는 가운데, 향후 가상화 기술에 대한 시장의 선택이 어떠한 방향으로 흘러갈지 그 귀추가 주목된다.