멜트다운(Meltdown)과 스펙터(Spectre). 인텔 프로세서의 최근 취약점이라면 한 번쯤 들어보셨을 겁니다. 이 문제를 해결하기 위해 각종 보안 업데이트가 쏟아져 나왔고, 마이크로소프트 역시 자체적인 패치를 배포하면서 한 가지 경고를 덧붙였습니다. 바로 사용 중인 백신 소프트웨어가 호환되지 않으면 업데이트가 제공되지 않는다는 것이죠.
수많은 기술 매체들은 이 메시지를 그대로 복사해 전파했고, 호환성 문제를 우회할 수 있는 레지스트리 키 수정 방법까지 앞다투어 옮겼습니다. 하지만 정작 아무도 이런 질문을 던지지 않았습니다. “애초에 백신을 설치하지 않은 사용자라면 어떻게 해야 할까?” 무비판적으로 정보를 따라가기만 하는 환경에서는 비판적 사고가 설 자리가 없는 모양입니다.
이 글에서는 멜트다운·스펙터 취약점에 대응하는 2018년 1월 패치를 실제로 어떻게 적용해야 하는지, 그리고 백신 프로그램 없이도 어떻게 최신 상태를 유지할 수 있는지 단계별로 알려드립니다.
실제 테스트 환경
저는 무려 여섯 대의 서로 다른 시스템에서 직접 테스트를 진행했습니다. 개인적인 경험 없이 무언가를 논하는 것은 책임 없는 태도라고 생각하기 때문입니다. 패치 배포 방법뿐 아니라 성능과 안정성에 미치는 영향까지 함께 확인했습니다. 성능 관련 내용은 후속 글에서 다룰 예정입니다.
Windows 7 사례 1
첫 번째 테스트 대상은 2010년식 HP 노트북입니다. Windows 7 SP1, 엔비디아(Nvidia) 그래픽 카드, 제한된 사용자 계정, EMET와 SuRun으로 보안을 유지하고 있으며, 백신은 일절 설치하지 않은 상태입니다. 이 노트북의 마지막 업데이트는 2017년 5월이었습니다.
중간 업데이트를 건너뛴 채 2018년 1월 보안 업데이트를 곧바로 적용해보기로 했습니다. 물론 레지스트리 키는 설정하지 않았습니다. Microsoft Update Catalog에서 업데이트 파일을 받아 독립 실행형 설치 프로그램을 실행했고, 결과는 순조로웠습니다. 재부팅 후에도 특별한 문제는 없었습니다.
재부팅 후 Windows Update를 다시 실행하자 나머지 패치들이 목록에 나타났고, 모두 설치한 뒤 한 번 더 재부팅했습니다. 문제없이 완료됐습니다. 게다가 1세대 i5 프로세서를 탑재해 출시한 지 8년 가까이 된 기기임에도 눈에 띄는 성능 저하는 전혀 없었습니다.
마지막으로 업데이트 확인을 한 차례 더 진행해 추가 제공 항목이 없음을 확인했습니다.
QualityCompat 레지스트리 키는 어떻게?
다른 Windows 7 머신에서도 레지스트리 키를 직접 설정해봤습니다. 키를 지정한 뒤 WU(Windows Update) 서비스만 재시작하면 됩니다. 컴퓨터를 재부팅할 필요는 없습니다. 이렇게 하면 1월 업데이트가 목록에 표시됩니다. 참고로 앞서 설치한 패치가 자동으로 이 키를 만들어주지는 않으니 주의하세요.
Key="HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat"
Value Name="cadca5fe-87d3-4b96-b7fb-a231484277cc"
Type="REG_DWORD"
Data="0x00000000"
Security-only vs 월간 롤업(Monthly Rollup)
그렇다면 어느 쪽을 사용해야 할까요? 1월 3~4일에 배포된 보안 전용(security-only) 업데이트인 KB4056897, 아니면 1월 9일에 배포된 월간 롤업 업데이트인 KB4056894(번호가 더 낮다는 점에 유의) 중 하나입니다. 정확한 배포일은 기사 제목이 아니라 Microsoft Update Catalog에서 직접 확인할 수 있습니다.
결론부터 말하면 두 업데이트 중 무엇을 선택해도 차이가 없습니다. 포함된 보안 패치가 동일하고 시스템에 미치는 영향도 같기 때문입니다. 이를 검증하기 위해 두 번째 테스트 장비로 넘어가겠습니다.
Windows 7 사례 2
두 번째 시스템은 2011년식 게이밍 데스크톱으로, 지금도 상당히 강력한 성능을 자랑하는 머신입니다. 엔비디아 그래픽(GTX 960으로 업그레이드), 관리자 계정, EMET 기반 보안, 불필요한 소프트웨어는 일절 없습니다. 여기서는 레지스트리 키를 활성화한 뒤 월간 롤업을 설치했습니다. 재부팅 후 시스템은 안정적으로 작동했고 성능도 좋았습니다. 자세한 내용은 뒤에서 다룹니다.
Windows 8.1 사례
Windows 8.1은 두 대의 머신에서 테스트했습니다. 대표적으로 2014년식 Lenovo IdeaPad Y50-70 노트북으로, 인텔-엔비디아 하이브리드 그래픽, 관리자 계정, EMET 보안 구성이며 백신은 설치하지 않았습니다. 불필요하기 때문입니다.
여기서는 좀 더 일반적인 방식을 시도했습니다. 먼저 1월분까지의 마이크로소프트 패치와 엔비디아 드라이버를 포함한 시스템 드라이버를 모두 업데이트했습니다. 이후 공식 권고문에 따라 Microsoft Update Catalog에서 손쉽게 받은 Windows 8.1용 월간 롤업 패치를 독립 실행형 설치 프로그램으로 적용하고 재부팅했습니다.
재부팅 후에는 모든 것이 매끄럽게 작동했습니다. 좋아하는 게임인 FPS ArmA 3와 도시 건설 전략 Cities: Skylines도 실행해봤는데, 두 게임 모두 아무 문제 없이 돌아갔습니다. 오히려 이전보다 체감상 더 빨라진 느낌마저 들었습니다. 성능과 업데이트를 둘러싼 과장된 공포 마케팅에 대한 검증은 별도의 글에서 자세히 다루겠습니다.
Windows 10 사례
Windows 10 테스트에는 2015년식 Lenovo IdeaPad G50-70 노트북을 사용했습니다. 이 노트북은 리눅스 배포판 테스트에도 활발히 쓰이는 장비로, 8개 부팅 환경을 운영하고 있습니다. 제한된 사용자 계정과 익스플로잇 방지(Exploit Protection), 그리고 꺼져 있는(turned off) Windows Defender 구성입니다. Windows 10을 최대한 업데이트했지만, 레지스트리 키가 없으면 1월 롤업이 제공되지 않았습니다. 키를 추가하고 WU 서비스를 재시작하자 1월 업데이트도 정상적으로 받을 수 있었습니다.
이 실험으로 확실히 말할 수 있는 것은, 마이크로소프트의 접근 방식이 상당히 협소하다는 점입니다. 호환되지 않는 백신이 있는지, 혹은 백신이 아예 없는지는 실제로 알 수 없고, 오직 레지스트리 키의 유무만 판단할 수 있기 때문입니다. 또한 이 키는 서비스 시작 시에만 로드된다는 점도 흥미롭습니다. 이는 프로그램이 메모리 페이지에 데이터를 로드하는 방식과 연결되어 있는데, 바로 그 부분이 이번 취약점의 핵심입니다. 따라서 성능 영향이 있다면 애플리케이션 시작 시점에 집중될 가능성이 높습니다. 이 주제와 주변의 과열된 논란에 대해서는 곧 별도로 다루겠습니다.
추가 테스트 사례
그 외에도 Windows 7 한 대와 Windows 8 한 대, 모두 64비트 환경에서 테스트를 진행했으며, 모든 경우 문제없이 작동했습니다. 전자는 게이밍 PC와 비슷한 사양의 데스크톱으로 구형 엔비디아 카드와 구버전 드라이버가 장착되어 있었고, 후자는 2013년산 인텔 그래픽 기반의 Asus VivoBook으로 관리자 계정과 EMET를 사용했습니다. 단 하나의 문제도 발생하지 않았습니다.
기타 참고 사항
전체적으로 모든 테스트가 순조로웠습니다. 향후 업데이트가 걱정된다면 언제든 Autopatcher 같은 오프라인 도구나 Microsoft Update Catalog를 활용하면 되므로 노출 위험을 느낄 필요가 없습니다. 또한 제한된 사용자 계정, EMET, Windows 10의 새로운 익스플로잇 방지 기능처럼 건전한 보안 습관만 지켜도 백신류 제품은 굳이 필요하지 않습니다. 편안한 마음으로 생활을 즐기세요.
결론
이번 테스트의 범위를 정리하면 다음과 같습니다. 2010년~2015년 생산된 여섯 대의 시스템, 다섯 세대의 프로세서, 세 곳의 하드웨어 제조사, Windows 7/8/10의 Home·Pro·Ultimate 에디션, 엔비디아와 인텔 그래픽, 관리자 및 제한된 사용자 계정, 그리고 백신 소프트웨어 완전 미설치 환경. 수동 보안 업데이트와 월간 롤업, 레지스트리 키 적용 여부까지 모두 조합해 테스트했습니다. 애플리케이션 실행, 동영상 스트리밍, 게임 등도 모두 문제없이 작동했습니다. 이러한 업데이트를 적용해도 충분히 안전하다고 확신합니다.
이번 이슈를 둘러싼 무비판적 떼 행동과 과장된 공포 극장에는 정말 실망스러울 수밖에 없습니다. 복붙성 헛소문은 넘쳐나는데 정작 실질적인 도움은 거의 없었고, 직접 테스트하고 검증하려는 사람은 찾아볼 수 없었습니다. 그러면서도 가짜뉴스를 문제 삼는 모순적인 현실이 아이러니합니다. 이 글이 도움이 되셨기를 바랍니다. 성능 관련 심층 분석은 며칠 후에 이어집니다.