Epic의 EAC2 v2는 꽤 쉽게 우회할 수 있어 보임

Epic이 발표한 Linux용 Easy Anti-Cheat v2는 eBPF 기반 감시에 보안 부팅과 TPM 원격 증명을 결합해 우회를 막으려 함 핵심 쟁점은 진짜 TPM이 서명한 측정값이라는 사실만으로 해당 PC의 실제 부팅 상태까지 보장할 수 있느냐는 점임 접근 가능한 외장 TPM 모듈을 리셋 핀으로 초기화한 뒤 정상 부팅의 측정값을 재현하면, 변조된 커널에서도 검증을 통과할 가능성이 있음 메인보드 TPM에 접근하기 어렵더라도 USB-SPI 브리지와 별도 TPM을 연결해 신뢰할 수 있는 측정값을 제공하는 방식을 사용할 수 있음 특정 TPM과 특정 시스템을 연결하지 못하는 환경에서는 원격 증명의 한계가 있지만, 서버 측 치트 탐지와 TPM 차단을 결합하면 실용적으로는 충분한 억제력이 생길 수도 있음 EAC2 v2의 검증 방식과 TPM 초기화 우회 Epic이 발표한 Linux용 Easy Anti-Cheat v2는 Linux eBPF 보안 모듈로 시스템 동작을 감시하고, 추가 검증으로 우회를 막으려 함 보안 부팅(Secure Boot) 을 필수로 요구해 변조된 커널 사용을 막음 측정 부팅(Measured Boot) 으로 보안 부팅 활성화 여부와 사용한 키를 확인해, 사용자가 직접 서명한 변조 커널도 걸러내려 함 원격 증명에서는 TPM이 부팅 측정값에 서명해 서버로 전달함. 서버는 실제 TPM에서 나온 값인지, 보안 부팅과 올바른 키를 사용했는지 검증하며, 이후 게임 접속을 허용하는 것으로 추정됨 임의의 키로 가짜 증명값을 서명하는 방식은 Endorsement Key(EK) 와 제조사 인증서로 방지함 TPM마다 EK와 제조사가 서명한 인증서가 있으며, 검증자는 정당한 TPM 제조사와 CA 키 목록으로 실제 TPM에서 나온 측정값인지 확인할 수 있음 실제 TPM의 측정값도 하드웨어 접근이 가능하면 초기화 후 재현할 수 있다는 문제가 있음 많은 데스크톱 보드는 표준 핀 배열과 리셋 핀을 갖춘 소형 TPM 모듈을 사용함 리셋 핀을 잠깐 접지하면 TPM이 초기 상태로 돌아가며, 사용자 공간에서 원하는 측정값을 기록할 수 있음 보안 부팅과 신뢰할 수 있는 커널로 부팅했을 때의 로그 값을 재현하면, 변조 커널이 eBPF 코드에 거짓 정보를 주더라도 TPM은 검증을 통과할 정당하게 서명된 측정값을 제공할 수 있음 별도 TPM을 이용한 우회와 실용적 제약 TPM이 메인보드에 직접 장착되거나 CPU/칩셋 내부에 있으면 초기화가 더 ...