기밀 컴퓨팅
더 많은 작업
- Confidential computing; 기밀 컴퓨팅
- 하드웨어가 만든 격리 실행 환경(TEE) 안에서 데이터를 처리하고, 그 환경이 진짜인지 원격 증명으로 확인해, 처리 중인 데이터를 운영체제·하이퍼바이저·클라우드 관리자에게서도 보호하는 기술
기밀 컴퓨팅(confidential computing)은 데이터의 세 가지 상태 가운데 가장 보호하기 어려운 사용 중 데이터(data in use)를 보호하는 기술이다. 기밀 컴퓨팅 컨소시엄(Confidential Computing Consortium, CCC)은 이를 "하드웨어 기반의, 증명된(attested) 신뢰 실행 환경에서 계산을 수행해 사용 중 데이터를 보호하는 것"으로 정의한다.[1] 저장 중 데이터는 디스크 암호화로, 전송 중 데이터는 TLS로 오래전부터 보호해 왔지만, CPU가 계산하려면 메모리에서 평문이 되어야 하므로 그 순간 커널, 하이퍼바이저, 물리 서버에 접근하는 사람이 데이터를 볼 수 있었다. 기밀 컴퓨팅은 CPU(최근에는 GPU까지)가 메모리를 암호화하고 접근을 막아, 클라우드 사업자조차 고객의 워크로드 내부를 보지 못하게 하는 것이 목표다.
인공지능에서는 사용자의 프롬프트와 문서를 클라우드 대형 언어 모델에 보내면서도 서비스 운영자가 볼 수 없게 하는 기밀 추론, 모델 가중치를 고객 환경에 배포하면서 유출을 막는 용도, 여러 기관이 데이터를 합쳐 학습하는 용도로 쓰인다. 동형 암호보다 훨씬 빠르지만 하드웨어 제조사를 믿어야 하고 사이드채널 공격에 취약하다는 한계가 있다.
리눅스 재단은 2019년 8월 21일 기밀 컴퓨팅 컨소시엄 출범을 발표했다. 창립 회원은 알리바바, Arm, 바이두, 구글 클라우드, IBM, 인텔, 마이크로소프트, 레드햇, 스위스콤, 텐센트였다. 발표문은 사용 중 데이터 암호화를 저장 중·전송 중에 이은 "세 번째이자 가장 어려운 단계"로 소개했다.[2] 미국 NIST IR 8320도 기밀 컴퓨팅을 하드웨어 기반 격리로 다른 워크로드와 하부 플랫폼으로부터의 노출을 줄이는 기능으로 설명한다(자세한 내용은 데이터 상태 문서 참고).
CCC 정의의 요소는 두 가지다.
- 하드웨어 기반 TEE: 소프트웨어 격리(운영체제의 프로세스 분리, 하이퍼바이저의 가상 머신 분리)는 그 소프트웨어를 장악한 공격자에게 무력하다. 기밀 컴퓨팅은 격리를 CPU 하드웨어와 펌웨어에 맡겨 운영체제와 하이퍼바이저를 신뢰 경계(TCB, trusted computing base) 밖으로 뺀다.
- 증명(attestation): 원격의 사용자가 "지금 내 데이터를 받을 환경이 정말 TEE이고, 내가 검토한 그 코드가 돌고 있는가"를 암호학적으로 확인할 수 있어야 한다. 2022년 11월 개정 백서의 정의는 "증명된"을 명시해, 증명 없는 격리만으로는 기밀 컴퓨팅이라 부르지 않는다.[1]
TEE 자체는 오래된 개념이고 스마트폰의 트러스트존처럼 기기 안의 키·생체 정보 보호에 먼저 쓰였다. 기밀 컴퓨팅은 이를 클라우드 서버의 범용 워크로드(가상 머신, 컨테이너, GPU 작업)로 넓힌 것이라 할 수 있다.
CCC 백서는 TEE가 최소한 데이터 기밀성, 데이터 무결성, 코드 무결성을 제공해야 한다고 보고, 다른 사용 중 데이터 보호 기술과 다음과 같이 비교한다.[1]
| 성질 | 하드웨어 TEE | 동형 암호 | 보안 요소(예: TPM) |
|---|---|---|---|
| 데이터 무결성 | 예 | 예(코드 무결성 전제) | 키만 |
| 데이터 기밀성 | 예 | 예 | 키만 |
| 코드 무결성 | 예 | 아니요 | 예 |
| 코드 기밀성 | 예(추가 작업 필요할 수 있음) | 아니요 | 예 |
| 프로그래밍 가능성 | 예 | 일부(회로 형태) | 아니요 |
| 증명 가능성 | 예 | 아니요 | 예 |
요점은 동형 암호는 데이터를 숨기지만 "올바른 연산이 수행되었는지"는 보장하지 못하고, TPM은 키를 지키지만 임의 코드를 돌릴 수 없다는 것이다. TEE는 둘 다 하지만 하드웨어 구현을 믿어야 한다. 백서는 이 기술들이 상호 보완적이며 함께 쓸 수 있다고 덧붙인다.
| 보통 막는 것 | 보통 막지 않는 것 |
|---|---|
| 호스트 운영체제·하이퍼바이저·펌웨어를 장악한 공격자, 클라우드 관리자, 같은 서버의 다른 테넌트, 메모리 덤프, 콜드부트 같은 일부 물리 공격 | 서비스 거부(호스트가 TEE를 아예 안 돌리면 그만), TEE 안 코드 자체의 취약점, 상당수의 부채널 공격, 메모리 버스에 장비를 붙이는 정교한 물리 공격 |
TEE 안에서 도는 애플리케이션에 SQL 인젝션이 있거나 모델 서버가 로그에 프롬프트를 남긴다면 기밀 컴퓨팅은 아무것도 막지 못한다. 기밀 컴퓨팅이 보장하는 것은 "증명된 코드 외에는 아무도 못 본다"이므로, 그 코드가 무엇을 하는지 검토 가능해야 의미가 있다.
| 구현 | 제조사 | 격리 단위 | 특징 |
|---|---|---|---|
| SGX(Software Guard Extensions) | 인텔 | 프로세스 안의 엔클레이브 | 애플리케이션 일부만 엔클레이브에 넣는 가장 작은 신뢰 경계. 애플리케이션을 나눠 다시 짜야 하고 엔클레이브 메모리 크기가 제약이었다 |
| TDX(Trust Domain Extensions) | 인텔 | 가상 머신(트러스트 도메인) | SEAM이라는 새 CPU 모드에서 도는 TDX 모듈이 하이퍼바이저와 나란히 있는 관리자로서 트러스트 도메인의 진입·이탈을 처리[3] |
| SEV, SEV-ES, SEV-SNP(Secure Encrypted Virtualization) | AMD | 가상 머신 | SEV는 VM별 메모리 암호화 키, SEV-ES는 레지스터 상태 암호화를 더하고, SEV-SNP는 역매핑 표(RMP)로 하이퍼바이저의 메모리 재배치·재사용 공격을 막는 무결성 보호를 더함 |
| 트러스트존(TrustZone) | Arm | 일반 세계와 보안 세계 | 모바일 기기 TEE의 기반. 클라우드 다중 테넌트용은 아님 |
| CCA(Confidential Compute Architecture) | Arm | 가상 머신(렐름, Realm) | Armv9-A의 렐름 관리 확장(RME)으로 일반·보안 세계와 별도인 렐름 세계를 만들고, 렐름 관리 모니터(RMM)가 렐름 VM 실행을 관리. 자원 배분 같은 정책은 호스트 하이퍼바이저가 계속 결정[4] |
| H100 기밀 컴퓨팅 | 엔비디아 | GPU 전체(CPU 쪽 기밀 VM과 연결) | 엔비디아는 H100을 기밀 컴퓨팅을 지원한 첫 GPU로 소개했다. 칩 안 신뢰 기점으로 측정 부팅 후 CPU TEE 안의 드라이버와 SPDM 세션을 맺고, 서명된 증명 보고서를 낸다[5] |
클라우드에서는 위 하드웨어 위에 기밀 VM, 기밀 컨테이너(쿠버네티스 파드를 기밀 VM에 띄우는 방식), 기밀 GPU 인스턴스 같은 상품이 나와 있다. 엔클레이브 방식은 신뢰 경계가 작지만 프로그램을 나눠 다시 짜야 하고, VM 방식은 기존 애플리케이션을 그대로 옮길 수 있지만 게스트 운영체제 전체가 신뢰 경계에 들어간다.
대형 모델의 추론과 학습은 GPU에서 돌기 때문에 CPU TEE만으로는 부족하다. H100의 동작 방식은 다음과 같다.[5]
- CPU 쪽은 AMD SEV-SNP(밀란·제노아) 또는 인텔 TDX 기밀 VM이어야 한다. 출시 당시 CUDA 12.2 업데이트 1의 조기 접근 기능으로 제공되었다.
- GPU는 측정 부팅 후 서명된 증명 보고서를 만들고, 사용자는 이를 검증한 뒤 작업을 맡긴다.
- CPU와 GPU 사이 PCIe 구간은 신뢰할 수 없으므로, 드라이버가 공유 메모리의 암호화된 바운스 버퍼로 데이터를 옮기고 명령 버퍼와 CUDA 커널도 암호화·서명해 보낸다.
- GPU 내부 연산과 HBM 대역폭은 일반 모드와 같지만, CPU 쪽 암호화 때문에 CPU-GPU 전송 대역폭은 약 4GB/s로 제한된다. 입력 데이터에 비해 계산량이 큰 작업일수록 성능 차이가 작다.
원격 증명(remote attestation)은 TEE가 자기 상태를 증거로 만들어 원격 상대에게 보여 주는 절차다. IETF RFC 9334(RATS 아키텍처)는 역할을 다음과 같이 나눈다.[6]
| 역할·산출물 | 설명 | 기밀 컴퓨팅에서의 예 |
|---|---|---|
| 증명자(Attester) | 자기 상태에 대한 증거를 만드는 쪽 | TEE(엔클레이브, 기밀 VM, GPU) |
| 증거(Evidence) | 증명자가 만든 주장 묶음 | 부팅·로드된 코드의 측정값(해시)을 CPU 고유 키로 서명한 보고서(쿼트) |
| 보증(Endorsement) | 제조사 등이 증명자의 능력을 보증하는 진술 | 제조사가 발급한 칩별 인증서 체인 |
| 검증자(Verifier) | 증거를 정책·참조값과 대조해 결과를 냄 | 클라우드 증명 서비스, 제조사 증명 서비스, 자체 검증기 |
| 신뢰 당사자(Relying Party) | 증명 결과를 보고 행동을 결정 | 키 관리 서비스, 데이터를 보내려는 사용자 기기 |
전형적인 흐름은 다음과 같다.
- TEE가 실행될 때 하드웨어가 초기 코드·설정을 측정해 기록한다.
- TEE가 신뢰 당사자의 난수(nonce)와 자기 공개키를 포함한 증명 보고서를 요청하고, 하드웨어가 제조사 인증서로 이어지는 키로 서명한다.
- 검증자는 서명 체인, 펌웨어 보안 버전(TCB 수준), 측정값이 승인된 빌드와 일치하는지를 확인한다.
- 통과하면 신뢰 당사자는 보고서 안의 공개키로만 열리는 형태로 데이터나 복호화 키를 보낸다. 키 관리 서비스가 "증명된 환경에만 모델 가중치 복호화 키를 내준다"는 증명 기반 키 해제가 대표적이다.
증명자가 결과를 받아 들고 다니며 보여 주는 여권 모델과, 신뢰 당사자가 받은 증거를 검증자에게 물어보는 신원 조회 모델(background-check model)이 있다.[6] 측정값이 무엇을 뜻하는지 알려면 그 빌드의 소스와 재현 가능한 빌드가 공개되어 있어야 하므로, 투명성 로그가 증명과 짝을 이룬다.
| 용도 | 보호 대상 | 방식 |
|---|---|---|
| 기밀 추론 | 사용자 프롬프트·첨부 문서·응답 | 모델 서버를 기밀 VM+GPU TEE에서 돌리고, 클라이언트가 증명을 확인한 뒤에만 요청을 암호화해 보냄 |
| 모델 가중치 보호 | 학습에 큰 비용이 든 가중치 | 가중치를 암호화해 배포하고 증명된 TEE에서만 키를 해제. 고객 데이터센터나 엣지에 모델을 둘 때 |
| 다자간 학습·분석 | 여러 기관의 원본 데이터 | 각 기관이 증명된 학습 코드에만 데이터 키를 줌. 결과 모델만 반출(연합 학습의 대안 또는 보완) |
| 기밀 RAG | 검색 대상 사내 문서 | 임베딩·검색·생성을 TEE 안에서 처리해 RAG 파이프라인 운영자에게 문서 노출 차단 |
KISA 「인공지능(AI) 보안 안내서」도 데이터 전처리 단계의 처리 중 데이터 암호화 기술 예로 동형 암호와 함께 인텔 SGX, AMD SEV 같은 암호화 메모리를 든다.[7]
애플은 2024년 6월 10일 애플 인텔리전스의 서버 측 처리용 프라이빗 클라우드 컴퓨트(Private Cloud Compute, PCC)를 공개했다. 애플 실리콘 기반 자체 서버에 아이폰의 시큐어 엔클레이브와 보안 부팅을 가져왔고, 다섯 가지 요구 사항을 내걸었다.[8]
- 상태 없는 계산: 개인 데이터는 요청 처리에만 쓰고 처리 후 남기지 않는다. 디버깅 목적의 보관도 하지 않는다.
- 강제 가능한 보장: TLS 종단 로드 밸런서 같은 외부 구성 요소에 핵심 보장을 의존하지 않는다.
- 특권 런타임 접근 없음: 원격 셸, 대화형 디버깅, 범용 로깅이 없다. 미리 정해 감사한 로그와 지표만 노드를 떠난다.
- 표적 불가능성: 시스템 전체를 장악하지 않고는 특정 사용자의 요청만 노릴 수 없게 한다.
- 검증 가능한 투명성: 운영 중인 모든 빌드의 소프트웨어 이미지를 공개해 연구자가 검증할 수 있게 한다.
기기는 공개 목록에 있는 소프트웨어를 실행 중임을 암호학적으로 증명하는 노드에만 요청을 암호화해 보내며, 측정값은 추가만 가능한 공개 투명성 로그와 대조된다. 기기 IP 주소는 제3자가 운영하는 OHTTP 중계로 가리고, RSA 블라인드 서명 기반 일회용 자격 증명으로 요청을 사용자와 묶지 않는다. 데이터 볼륨 암호화 키는 재부팅마다 새로 만들어 저장하지 않으므로 재부팅하면 데이터가 암호학적으로 지워진다.[8] x86 서버의 기밀 VM과는 구현이 다르지만, 증명된 코드만 데이터를 보게 하고 그 코드를 공개 검증 대상으로 삼는다는 기밀 컴퓨팅의 원칙을 서비스 전체 설계로 확장한 사례다.
구글은 2025년 11월 11일 제미나이 모델을 클라우드에서 돌리면서 사용자 데이터를 격리하는 프라이빗 AI 컴퓨트(Private AI Compute)를 발표했다. 자체 TPU 위에서 동작하며 보안 계층으로 타이타늄 인텔리전스 엔클레이브(Titanium Intelligence Enclaves)를 쓰고, 사용자 기기는 원격 증명과 암호화로 봉인된 클라우드 환경에 연결된다. 적용 사례로 픽셀 10의 매직 큐와 녹음기 앱 요약을 들었다.[9]
TEE는 메모리 내용을 암호화하고 접근을 막을 뿐, 캐시 접근 패턴, 페이지 폴트, 전력, 메모리 버스 신호 같은 부수 정보까지 숨기지는 못한다. 공격자가 하이퍼바이저를 쥐고 있다는 기밀 컴퓨팅의 가정은 일반 클라우드보다 부채널 공격자에게 훨씬 강한 관측 능력을 준다.
| 공격 | 연도 | 대상 | 내용 |
|---|---|---|---|
| 포어섀도(Foreshadow) | 2018 | 인텔 SGX(변종은 VM·커널) | 투기적 실행(멜트다운 계열, 인텔 명칭 L1TF)으로 엔클레이브 메모리를 읽고, 인텔 쿼팅 엔클레이브의 증명 키까지 빼내 위조 증명이 가능함을 보임. USENIX Security 2018, CVE-2018-3615[10] |
| BadRAM | 2025(IEEE S&P) | AMD SEV-SNP | 메모리 모듈의 SPD 칩을 조작해 용량을 속이면 같은 물리 메모리를 가리키는 "유령" 주소가 생겨 접근 통제를 우회. 약 10달러 부품으로 가능. CVE-2024-21944[11] |
| TEE.Fail | 2025 | 인텔 TDX·SGX, AMD SEV-SNP(암호문 숨김 포함), 엔비디아 기밀 컴퓨팅 | DDR5 메모리 버스 감청 장치(1000달러 미만)로 결정적 메모리 암호화의 같은 암호문 블록을 대조. 인텔 칩별 증명 키(PCK)를 빼내 TDX·SGX 증명을 위조하고, 엔비디아 기밀 컴퓨팅은 증명 보고서를 빌려 쓰는 방식으로 우회함. IEEE S&P 2026[12] |
증명 키가 새면 "진짜 TEE"라는 증명 자체가 무너진다는 점에서 이런 공격의 영향은 데이터 한 건 유출보다 크다. 제조사는 마이크로코드·펌웨어 갱신으로 TCB 버전을 올려 대응하고, 검증자는 낮은 TCB 버전의 증명을 거부해야 한다. 그 밖의 CPU 계열 취약점은 CPU 취약점, 스펙터 문서 참고.
- 하드웨어 제조사 신뢰: 루트 키와 증명 서비스를 제조사가 쥐고 있다. 제조사나 그 공급망을 믿지 않는 위협 모델에는 맞지 않는다.
- 증명 검증의 어려움: 측정값이 어떤 소스에서 나왔는지 재현할 수 없으면 증명은 "무언가가 TEE에서 돈다"는 것만 알려 준다. 게스트 펌웨어, 커널, 컨테이너 이미지까지 측정·공개해야 한다.
- 성능: 메모리 암호화와 VM 전환 비용이 있고, GPU는 CPU-GPU 전송이 병목이 된다.[5]
- 가용성 보장 없음: 호스트가 TEE 실행을 거부하거나 멈추는 것은 막지 못한다.
- 운영 복잡성: 디버깅·로깅·모니터링이 제한되므로 장애 대응 절차를 새로 설계해야 한다. PCC의 "특권 런타임 접근 없음" 요구 사항이 바로 이 상충을 받아들인 것이다.
- ↑ 1.0 1.1 1.2 Confidential Computing Consortium, 〈Confidential Computing: Hardware-Based Trusted Execution for Applications and Data〉, 백서, 2022-11 개정판. PDF
- ↑ Linux Foundation, New Cross-Industry Effort to Advance Computational Trust and Security for Next-Generation Cloud and Edge Computing, 2019-08-21.
- ↑ Intel, Intel Trust Domain Extensions (Intel TDX) Overview
- ↑ Arm, Arm Confidential Compute Architecture
- ↑ 5.0 5.1 5.2 NVIDIA, Confidential Computing on NVIDIA H100 GPUs for Secure and Trustworthy AI, NVIDIA 기술 블로그, 2023-08-03.
- ↑ 6.0 6.1 H. Birkholz 외, RFC 9334: Remote ATtestation procedureS (RATS) Architecture, IETF, 2023-01.
- ↑ 과학기술정보통신부·한국인터넷진흥원, 「인공지능(AI) 보안 안내서」, 2025-12(2026-03 정오 수정본).
- ↑ 8.0 8.1 Apple Security Engineering and Architecture, Private Cloud Compute: A new frontier for AI privacy in the cloud, 2024-06-10.
- ↑ Jay Yagnik, Private AI Compute: our next step in building private and helpful AI, Google 블로그, 2025-11-11.
- ↑ Foreshadow: Breaking the Virtual Memory Abstraction with Transient Out-of-Order Execution (USENIX Security 2018)
- ↑ BadRAM: Practical Memory Aliasing Attacks on Trusted Execution Environments (IEEE S&P 2025)
- ↑ TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interception (IEEE S&P 2026)