윈도우 보안에는 의외로 재미있는 사실이 하나 있습니다. 운영체제를 실행하는 방식만 살짝 바꿔도 맬웨어에 대한 방어력이 완전히 달라진다는 점입니다. 예를 들어, 64비트 윈도우를 사용하면 컴퓨터가 더 안전해진다는 사실을 아는 사람은 많지 않습니다. 이 이야기를 컴퓨터 전문가에게 해도 웃어넘길지 모르지만, 오늘 소개할 내용을 읽고 나면 다시는 32비트 버전을 고집하지 않게 될 것입니다.
1. 드라이버 서명 요구로 커널 침입 차단
일부 맬웨어는 운영체제의 가장 깊은 곳인 커널(kernel)에 접근하기 위해 시스템에 드라이버를 삽입하려고 시도합니다. 드라이버가 어떻게 작동하는지 잘 모르겠다면 관련 자료를 먼저 찾아보는 것도 좋습니다. 중요한 것은 64비트 윈도우에서는 드라이버 서명(driver signing)이 필수라는 점입니다. 즉, 드라이버 내부의 모든 코드가 마이크로소프트의 인증을 받아야만 설치될 수 있습니다.
그렇다면 32비트 버전은 왜 이런 서명이 필요 없을까요? 주된 이유는 과거의 구형 드라이버들이 디지털 서명 없이 배포되었기 때문입니다. 반면 64비트용 드라이버 개발자들은 이러한 요구 사항을 알고 있으며, 자신들의 제품에 반드시 디지털 서명을 적용합니다. 물론 1990년대 후반에 작성된 구형 드라이버가 저절로 서명되는 것은 아니므로, 일부 레거시 하드웨어는 호환성 문제가 생길 수 있지만 그만큼 보안은 단단해집니다. 결국 64비트 윈도우를 사용하면 사용자 몰래 맬웨어가 운영체제 커널에 접근하는 것을 효과적으로 막을 수 있습니다.
2. ASLR로 맬웨어의 코드 삽입 원천 차단
ASLR(Address Space Layout Randomization, 주소 공간 레이아웃 무작위화)은 프로그램이 메모리에 적재되는 주소를 매번 무작위로 변경하는 보안 기법입니다. 32비트 윈도우에서는 일부 프로그램이 항상 같은 메모리 주소에서 시작했기 때문에, 맬웨어가 탐지되지 않은 채 코드를 끼워 넣기가 상대적으로 쉬웠습니다.
"비스타, 7, 8 같은 최신 윈도우는 32비트 버전에서도 ASLR을 지원한다"고 반박하는 사람도 있습니다. 하지만 간과하는 것이 있습니다. 주소 공간이 넓은 64비트 체계에서야 비로소 ASLR의 진가가 발휘된다는 점입니다. 메모리 주소 공간이 클수록 프로그램의 위치를 예측하기 어려워지고, 그만큼 보호 효과도 극대화됩니다.
3. 데이터 실행 방지(DEP) 강제 적용
물론 DEP(Data Execution Prevention, 데이터 실행 방지)는 32비트와 64비트 윈도우 모두에서 사용할 수 있는 기능입니다. 그러나 결정적인 차이가 있습니다. 64비트 운영체제에서는 프로그램이 DEP를 끌 수 없습니다. 반면 32비트 시스템에서는 DEP가 기본적으로 비활성화되어 있어, 자신의 메모리 영역 내에서 데이터를 실행하는 프로그램까지 허용됩니다.
많은 맬웨어 개발자들은 바로 이 점을 악용합니다. 예컨대 프로그램의 메모리 공간 끝부분에 악성 코드를 추가해 실행하게 만드는 방식이 대표적입니다. 흔히 말하는 "닌자처럼 은밀한 감염"이죠. 하지만 64비트 윈도우처럼 DEP 해제 옵션이 없는 환경이라면 이런 공격 자체가 성립하지 않습니다.
4. "WoW64" 계층의 부수적 방어 효과
윈도우 폴더를 열어본 적이 있다면 "SysWOW64"라는 이름의 하위 폴더를 본 적이 있을 것입니다. WOW64는 Windows on Windows 64의 약자로, 32비트 프로그램이 64비트 커널 위에서 실행될 수 있도록 돕는 변환 계층입니다. 이 계층은 본래 보안 목적으로 만들어진 것은 아니지만, 결과적으로 32비트 애플리케이션이 커널 모드에서 동작하는 것을 막는 부수적인 방어막 역할을 합니다.
즉, 32비트로 작성된 맬웨어가 64비트 커널에서 실행되려고 하면 실패하게 됩니다. 참고로 이것이 일부 32비트 애플리케이션이 64비트 윈도우에서 호환되지 않는 이유이기도 합니다. 다만, 64비트 커널 모드에서 작동하도록 새롭게 작성된 맬웨어라면 여전히 감염될 수 있다는 점은 유의해야 합니다.
마무리: 64비트는 방패일 뿐, 만능은 아니다
64비트 윈도우는 맬웨어에 대한 갑옷을 한 겹 더 두껍게 만들어 주지만, 결코 완벽한 방어책은 아닙니다. 충분한 백신 프로그램과 추가 보안 조치 없이는 여전히 감염될 수 있습니다. 위에서 소개한 기능들은 가장 흔하고 위험한 형태의 바이러스, 웜, 트로이목마를 걸러내는 보조적인 안전장치에 가깝습니다. 만약 맬웨어가 32비트 모드로 동작하면서도 커널에 접근하지 않고, 프로그램 메모리 끝부분의 코드를 실행하지 않으며, 다른 프로세스에 코드를 삽입하지 않는다면 여전히 감염의 위험은 남아 있습니다. 따라서 64비트 운영체제 사용과 함께 신뢰할 수 있는 백신 소프트웨어, 정기적인 업데이트, 안전한 인터넷 사용 습관을 함께 유지하는 것이 진정한 보안의 완성입니다.