🧊 [클래식] Lest We Remember: Cold Boot Attacks — 전원을 내려도 남는 DRAM의 기억: 냉각 스프레이로 −50°C, 60초 뒤에도 비트 99.9% 생존·BitLocker·FileVault·TrueCrypt 무력화 (USENIX Security 2008)

논문 정보

한 줄 요약 — "메모리는 전원을 끄면 즉시 지워진다"는 가정의 붕괴

모든 디스크 암호화 제품은 전제가 하나 있다. 키는 RAM에만 있고, 전원이 꺼지면 RAM은 순식간에 비워진다. 이 논문은 그 전제를 정면으로 깼다. 일반 DRAM은 전원을 끊고 심지어 메인보드에서 뽑아내도 수 초~수 분간 내용을 유지하며, 칩을 식히면 그 시간이 수 시간~수 일로 늘어난다. 즉 암호 알고리즘을 깨지 않고도, 물리적 접근만으로 디스크 암호화 자체를 우회할 수 있다는 것이다.

"공격자는 암호를 풀지 않는다. 그저 아직 살아 있는 메모리에서 열쇠를 주워 담을 뿐이다. 그리고 그 열쇠는, 화면이 잠겨 있든 절전 상태든, 그대로 거기 있다."

배경과 독창성 — "아는 사람만 알던 현상"에서 보안 연구로

DRAM 잔존 현상 자체는 새로 발견된 물리 현상이 아니다. 저자들도 선행 관찰을 명시한다 — Pettersson(2006 경)이 "콜드 부팅 후에도 DRAM 내용이 남아 사후 메모리 이미지 획득과 키 추출에 쓰일 수 있다"고 제안했고, Chow·Pfaff·Garfinkel·Rosenblum은 데이터 수명(data lifetime) 실험 과정에서 이 성질을 발견했다.

이 논문의 독창성은 그 다음에 있다. 저자들이 스스로 밝힌 기여는 명확하다.

• 이 현상의 보안적 결과를 체계적으로 연구한 최초의 논문
• 비트 오류가 난 상태에서 대칭키·개인키를 복원하는 알고리즘을 최초로 제시
• 이론을 실제 상용 디스크 암호화 제품(BitLocker·TrueCrypt·FileVault·dm-crypt)에 적용
• 대응책을 체계적으로 정리·평가하고, "간단한 해법은 없다"고 결론

실험 — 비트는 어떻게, 얼마나 버티는가

저자들은 1999년산 SDRAM(Dell Dimension 4100)부터 2007년 DDR2(Lenovo 3000 N100)까지 6대의 실제 노트북·데스크톱을 시험대에 올렸다. 가장 유명한 장면이 여기서 나온다. 거꾸로 든 "에어 스프레이"(canned air·먼지 제거용 압축 스프레이)를 메모리 칩에 직접 분사하면 표면 온도가 약 −50°C까지 내려간다. 이 온도에서는 전원을 끊고 10분이 지나도 소실된 비트가 1% 미만이었다.

극한 실험으로는 DRAM 모듈을 액체질소(−196°C) 에 담갔다. 컴퓨터에서 뽑아낸 모듈을 60분간 담갔다가 되돌렸을 때, 1MB 테스트 영역에서 오류 14,000비트(0.17% 소실) 뿐이었다. 논문의 표현대로 "충분한 냉각이 있으면 데이터가 수 시간~수 일 살아남을 수 있다"는 뜻이다.

핵심 관찰이 더 있다. 붕괴는 무작위가 아니라 예측 가능했다. 각 셀은 일정 시간이 지나면 한 번만 값을 바꾸고, 어떤 셀이 먼저 죽는지의 순서는 온도를 바꿔도 대체로 고정돼 있었다(제조 편차 → 누설 속도 차이). 게다가 대부분의 셀은 0으로 무너지(ground state) — 이 "한 방향으로 쏠리는" 성질이 뒤에서 키 복원을 가능하게 만든다.

• 60초 냉각 실험의 결정적 결론: −50°C에서는 전원을 60초 끊어도 비트의 99.9%를 정확히 복구할 수 있다.
• BIOS가 부팅 시 덮어쓰는 영역은 보통 수 MB 남짓(주소 공간 하단)뿐이라, 메모리 대부분은 그대로 남는다.
• ECC DRAM은 단일 비트 오류를 스스로 교정하므로 오히려 오류가 적게 남을 수 있다 — 방어가 아니라 공격자에게 유리한 성질이 될 수 있다는 지적.

공격은 세 단계로 강해진다

저자들은 물리적 접근의 정도에 따라 세 가지 변형을 구현했다. 위로 갈수록 방어(예: 종료 시 메모리 소거)를 무력화한다.

• ① 콜드 리부트: 기계를 재부팅하고 메모리 점유가 적은 커스텀 커널을 띄워 남은 내용을 읽는다. 운영체제에 소거할 틈을 주지 않는 게 관건이다.
• ② 순간 전원 차단: 전원을 아주 잠깐 끊었다가 다시 넣고 커스텀 커널로 부팅 — OS가 종료 루틴에서 메모리를 닦을 기회 자체를 없앤다.
• ③ DRAM 이식(hot-plug): 전원을 끊고 DRAM 모듈을 공격자가 준비한 두 번째 PC로 옮겨 상태를 추출한다. 원래 기계의 BIOS조차 메모리를 지울 기회를 잃는다. 이식 후에는 부팅 이미징 커널을 USB·네트워크 부팅으로 올린다.

즉 "노트북을 덮고 화면만 잠갔다" 혹은 "절전 모드로 두었다"는 것은 물리적 접근 앞에서 사실상 무방비다. 화면 잠금은 메모리 보호가 아니며, 절전(S3)도 깨워서 전원을 순환시키면 그만이다.

키 복원 — "비트가 썩어도 열쇠는 되살린다"

비트가 완전히 무작위로 사라지면 키는 복구 불가다. 하지만 앞의 관찰(0으로 쏠리고, 순서가 예측 가능)이 이 문제를 오류정정 문제로 바꾼다. 저자들의 발상 전환은 이렇다.

"키를 직접 공격하지 말고, 키에서 파생된 값(예: AES 키 스케줄)을 공격하라. 파생 값은 원래 키보다 훨씬 많은 중복 정보를 담고 있다."

• 대칭키(키 스케줄을 오류정정 부호처럼 취급): AES 키 스케줄을 하나의 부호어로 보고, 썩은 비트를 '채널 오류'로 모델링해 가장 그럴듯한 원래 키를 찾는다. 논문은 비트의 10%가 소실돼도 키를 재구성할 수 있었다고 보고한다. RSA·DES용 기법도 함께 제시한다.
• RSA 개인키: 개인키 전체를 찾으려 하지 않고, 공개키의 성질(법 N, 지수 e)과 부분 비트로부터 개인키를 복원하는 기법을 사용 — 실무적으로 수 시간 규모의 계산이었다.
• 키 자동 탐색(keyfind): 메모리 이미지에서 AES·RSA 키를 자동 식별. 내용이 완벽한 이미지가 아니어도 동작한다.
• 부수 효과: RSA 구현이 성능을 위해 미리 계산해 두는 값(precomputation)은 키 정보를 중복 저장하므로, 역설적으로 공격자의 복원을 더 쉽게 만든다.

실제 제품에서 확인된 결과

논문의 위력은 이론이 아니라 실제 상용 제품 무력화에서 나온다. 저자들은 서로 다른 OS의 대표 디스크 암호화 제품군을 실제로 공격했다.

• BitLocker (Windows Vista): 완전자동 시연 공격을 구현. 디스크 내용 접근까지 단 몇 분의 계산이면 충분했다. 특히 TPM을 쓰는 구성이 때로 더 취약했다 — 기본 TPM 모드는 전원만 켜지면 자동으로 디스크를 마운트하므로, 기계가 완전히 꺼진 상태로 도난당해도 공격자가 접근할 수 있었다.
• FileVault (Mac OS X 10.4/10.5): 128비트 AES 키를 메모리에서 자동 식별. 더 나아가 Mac OS X가 사용자 로그인 암호의 사본을 여러 개 메모리에 남긴다는 사실을 발견 — 로그인 암호는 흔히 FileVault의 패스프레이즈이므로 치명적이다.
• TrueCrypt (4.3a/5.0a, Win/Mac/Linux): AES 키에 더해 디스크 암호화에 쓰는 LRW 트윅 키까지 복원 — 4,048바이트 곱셈 테이블을 미리 계산해 두는 구조가 오히려 복원을 도왔다.
• dm-crypt (Linux 2.6+): 오픈소스 온더플라이 디스크 암호화 서브시스템.
• Apache 웹서버 RSA 키: 메모리에 상주하는 RSA 개인키를 추출하는 공격을 구성(Apache 2.2.3 + mod_ssl). 서버가 TLS 개인키를 RAM에 들고 있는 한, 물리 접근은 곧 키 유출이다.

요컨대 이 논문이 겨눈 것은 특정 제품의 버그가 아니라 "키를 메모리에 두는 모든 설계"라는 공통 전제다. 디스크 암호화는 '도난당한 노트북'의 데이터를 지키는 마지막 방어선인데, 그 방어선이 암호가 아니라 메모리 물리 특성에서 무너진 것이다.

대응책과 한계 — "간단한 해법은 없다"

저자들은 완화책을 여러 층으로 정리하지만, 결론은 냉정하다. 각 대응책은 비용·성능·사용성과 맞바꿔야 하며 모든 공격을 막는 간단한 해법은 없다.

• 완전 전원 차단: 가장 확실한 사용자 대응. 다만 BitLocker 기본 TPM 모드는 이 대응조차 무력화(자동 마운트)하며, 전원을 끈 뒤에도 1분 정도는 기계를 지켜야 한다는 불편이 따른다.
• 절전을 안전하게: 다시 깨울 때 외부 비밀(암호)을 요구하고, 그 암호에서 유도한 키로 메모리 내용을 암호화. 암호가 약하면 오프라인 추측 공격에 노출된다는 조건이 붙는다.
• 사전계산 회피: 키 스케줄 같은 파생 값을 메모리에 오래 두지 않는다 — 성능과의 트레이드오프.
• 메모리 내 키 보호 설계(논문 제시): 큰 랜덤 버퍼 R를 만들고 키를 K ⊕ H(R) 형태로 저장하면, 버퍼의 일부 비트가 뒤집혀도 공격자는 어느 비트가 썩었는지를 찾아야 한다 — 버퍼 크기 B가 충분히 크면 탐색 공간이 사실상 봉쇄된다. H는 SHA-256 같은 해시 함수.
• 물리적 방어: DRAM을 기판에 에폭시로 고정하거나 케이스 개방·저온을 감지해 메모리를 덮어쓰는 능동 센서(+백업 전원). 비용이 커지고, IBM 4758 같은 변조 방지 하드웨어에 준하는 수준이 된다.
• 아키텍처 변경(장기): 빨리 상태를 잃는 DRAM 설계, 전원 리셋 시 스스로 지워지는 키 보관 하드웨어 등은 미래의 기계에만 적용 가능하다.

이 논문의 영향은 여기서 드러난다. 이후 OS·디스크 암호화 제품들은 절전 진입 시 키를 소거하고, 다시 깨울 때 자격증명을 요구하는 쪽으로 기본 동작을 바꿨다. 즉 이 논문은 하나의 공격을 보고한 것을 넘어, "키가 메모리에 있는 동안의 위협 모델"을 업계 표준 설계 요구사항으로 끌어올렸다.

한계와 오늘의 관점

• 물리 접근 전제: 원격으로는 성립하지 않는다. 위협 모델은 "노트북·서버에 손이 닿는" 상황(도난·압수·악의적 직원)이다.
• 시간 창(window): 상온에서 60초 넘게 방치되면 비트는 급격히 무너진다 — 공격자는 냉각과 신속한 이식으로 이 창을 늘린다. 즉 분(minute) 단위의 물리적 통제가 곧 보안이다.
• 후속 연구: 이 논문은 DDR3 스크램블 메모리에서의 콜드 부팅 분석(Gruhn & Müller, 2016) 등으로 이어졌다. 메모리 스크램블링·메모리 암호화(예: Intel TME, AMD SME)가 등장한 배경에는 이런 잔존·물리 공격 위협이 자리한다.
• 실무 시사점: ① 절전이 아니라 완전 종료를 기본으로, ② 서버·키 관리 노드는 물리 출입통제가 곧 키 보호, ③ "화면 잠금 = 안전"이라는 인식을 버려야 한다.
• 연구윤리: 논문은 자체 도구·영상·소스를 공개하고, 실제 현장 재현 없이 실험실 환경에서 검증했다. 반면 상용 암호화 제품의 실명 무력화는 불가피한 방어적 공개로 정당화한다.

출처

• 원문 (USENIX Security 2008, PDF): usenix.org — halderman.pdf (본 포스트의 수치는 이 원문에서 추출)
• USENIX 심포지엄 페이지: usenix.org — Lest We Remember
• 저자 공개본(미러): jhalderm.com/pub/papers/coldboot-sec08.pdf
• 후속 연구: Gruhn & Müller, "Lest We Forget: Cold-Boot Attacks on Scrambled DDR3 Memory", Digital Investigation (2016) · Semantic Scholar 48회
• 함께 읽기 — 이전 게시물: 2026-08-31 Timing Attacks (사이드채널의 시작) · 2026-09-07 Meltdown (하드웨어가 메모리를 흘린다) · 2026-09-11 Rowhammer (DRAM을 흔들어 비트를 뒤집다) · 2026-09-02 Reflections on Trusting Trust