"2만 원이면 뚫림"… 에픽게임즈의 새로운 리눅스 안티치트가 조롱받는 이유

요약 에픽게임즈가 리눅스 환경을 위한 안티치트 솔루션인 '이지 안티치트(Easy Anti-Cheat, EAC)' 버전 2를 발표했으나, 기술적으로 너무 쉽게 우회될 수 있다는 분석이 제기되었습니다. 새로운 버전은 리눅스의 eBPF 보안 모듈을 활용해 시스템 동작을 감시하며, 보안 부팅(Secure Boot)과 측정 부팅(Measured Boot), 그리고 TPM 기반의 원격 증명(Remote Attestation)을 핵심 방어 수단으로 내세웠습니다. 즉, 조작되지 않은 순정 커널이 실행 중인지 TPM이 서명한 부팅 측정값을 서버로 전송해 인증을 통과해야만 게임 접속을 허용하는 구조입니다. 하지만 분석에 따르면 하드웨어에 물리적으로 접근할 수 있는 PC 환경에서는 이러한 검증 절차가 허술하게 무력화될 수 있습니다. 데스크톱 메인보드의 외장 TPM 모듈은 리셋 핀을 접지(GND)에 살짝 쇼트시키는 것만으로 런타임에 초기 상태로 되돌릴 수 있어, 조작된 측정값을 새로 써넣는 것이 가능합니다. TPM이 메인보드나 CPU에 내장되어 리셋이 어려운 경우에도 우회로는 열려 있습니다. TPM 통신 규격인 SPI와 리눅스 드라이버를 지원하는 'USB to SPI 브릿지'를 활용하면, 시중에서 흔히 구할 수 있는 20달러(약 2~3만 원) 안팎의 외장 TPM 모듈을 USB로 연결해 신뢰할 수 있는 가짜 측정값을 보고하도록 시스템을 속일 수 있습니다. eBPF 모듈이 이를 감지하려 해도, 이미 조작된 커널 단계에서 얼마든지 거짓 정보를 보낼 수 있기 때문입니다. 결국 기업용 관리 환경이 아닌 일반 PC 환경에서는 특정 시스템과 특정 TPM을 엄격하게 결부시키기 어렵기 때문에, 원격 증명 방식의 안티치트는 기술적 한계가 명확하다는 지적이 나오고 있습니다.