798. TDI (Trust Domain Interconnect)

핵심 인사이트 (3줄 요약)

본질: TDI (Trust Domain Interconnect)는 Intel TDX (Trust Domain Extensions) 환경에서 신뢰 도메인 (TD, Trust Domain)과 외부 I/O 장치 간의 통신을 암호화하고 무결성을 보장하는 하드웨어 기반 보안 인터커넥트 기술이다.

가치: TDISP (TEE Device Interface Security Protocol) 프로토콜을 기반으로 PCIe (Peripheral Component Interconnect Express) 및 CXL (Compute Express Link) 장치에 대한 하드웨어 루트 오브 트러스트 (RoT, Root of Trust)를 확장하여, 호스트 OS나 하이퍼바이저가 오염되어도 I/O 데이터를 보호한다.

융합: 기밀 컴퓨팅 (Confidential Computing) 아키텍처에서 IDE (Integrity and Data Encryption)와 결합하여 가상화 환경의 입출력 병목과 보안 취약점을 동시에 해결하는 차세대 데이터센터 보안의 핵심 축이다.

Ⅰ. 개요 및 필요성 (Context & Necessity)

개념: TDI (Trust Domain Interconnect)는 신뢰 실행 환경 (TEE, Trusted Execution Environment) 내부의 신뢰 도메인 (TD, Trust Domain)이 호스트 시스템의 비신뢰 영역을 거치지 않고 직접 엔드포인트 장치 (GPU, SmartNIC 등)와 안전하게 데이터를 교환할 수 있도록 설계된 보안 통신 규격이다. 이는 데이터의 기밀성 (Confidentiality)과 무결성 (Integrity)을 하드웨어 수준에서 강제한다.
필요성: 기존 가상화 보안은 CPU와 메모리 격리에 집중했으나, AI 워크로드 증가로 인해 외부 가속기 (GPU/NPU)와의 데이터 교환이 빈번해지면서 I/O 경로가 새로운 공격 벡터가 되었다. 하이퍼바이저가 I/O 데이터를 가로채거나 변조하는 '권한 있는 공격자' 모델에 대응하기 위해, 하드웨어 수준의 종단 간 (End-to-End) 보호 장치가 절실히 요구된다.
💡 비유: TDI는 "봉인된 장갑차 수송로"와 같다. 외부 (하이퍼바이저)가 도로를 점유하고 있더라도, 수송로 자체가 장갑차 (TDI)로 보호되어 있어 내부의 금괴 (데이터)를 가로채거나 바꿔치기할 수 없는 구조다.
등장 배경:
1. Intel TDX (Trust Domain Extensions)의 진화: 메모리 격리를 넘어 I/O 장치까지 신뢰 영역을 확장하려는 요구 발생.
2. PCIe (Peripheral Component Interconnect Express) 6.0/CXL (Compute Express Link) 도입: 고속 인터페이스 자체에 보안 프로토콜 (IDE)이 내장되면서 이를 제어할 상위 프로토콜 (TDISP)의 필요성 대두.
3. 기밀 VM (Confidential VM) 시장 확대: 클라우드 제공자를 믿지 못하는 고객들을 위해 하드웨어 기반의 완전한 I/O 격리 보장이 비즈니스 핵심 경쟁력이 됨.

기존의 비보안 I/O 경로와 TDI가 적용된 보안 경로의 차이를 구조적으로 시각화하면 다음과 같다. 비보안 경로는 하이퍼바이저가 데이터를 평문으로 볼 수 있는 취약점이 존재하지만, TDI 경로는 TDISP를 통해 장치와 직접 신뢰 관계를 형성한다.

  ┌─────────────────────────────────────────────────────────────────────────┐
  │              기존 I/O vs TDI 보안 I/O 경로 비교                         │
  ├─────────────────────────────────────────────────────────────────────────┤
  │                                                                         │
  │  [기존 방식: 하이퍼바이저 경유]        [TDI 방식: 직접 신뢰 연결]       │
  │                                                                         │
  │   ┌──────────┐   평문 데이터      ┌──────────┐   암호화 터널            │
  │   │ 신뢰 VM  │ ───────┐          │ 신뢰 VM  │ <============>            │
  │   └──────────┘        │          └──────────┘  (TDISP/IDE)              │
  │        ↑              ▼               ↑              ↑                  │
  │   ┌────┴─────┐   ┌─────────┐     ┌────┴─────┐   ┌────┴─────┐            │
  │   │하이퍼바이저│   │I/O 장치 │     │하이퍼바이저│   │I/O 장치  │        │
  │   └──────────┘   └─────────┘     └──────────┘   └─────────┘             │
  │        ⚠ 데이터 탈취 가능              ✅ 데이터 보호 완료              │
  │                                                                         │
  │  1. 하이퍼바이저는 통로만 제공 (Untrusted Transport)                    │
  │  2. 키 교환은 VM과 장치 간 하드웨어 RoT로 수행                          │
  │  3. DMA (Direct Memory Access) 요청 시 하드웨어가 무결성 검증           │
  └─────────────────────────────────────────────────────────────────────────┘

[다이어그램 해설] 위 도식에서 핵심은 데이터가 호스트 메모리를 통과할 때 하이퍼바이저 (Hypervisor)의 개입 여부다. 왼쪽의 기존 방식은 하이퍼바이저가 I/O 가상화를 위해 데이터를 직접 처리하므로 기밀성이 훼손된다. 반면 오른쪽 TDI 방식은 TDISP (TEE Device Interface Security Protocol)를 통해 장치와 VM이 직접 암호화 키를 공유한다. 하이퍼바이저는 단지 패킷을 전달하는 '신뢰하지 않는 운송자' 역할로 격하되며, 만약 데이터를 변조하면 PCIe IDE (Integrity and Data Encryption) 계층에서 즉시 감지되어 통신이 차단된다. 이는 클라우드 환경에서 테넌트 간 완벽한 격리를 가능케 하는 물리적 기초다.

📢 섹션 요약 비유: 복도에 CCTV(하이퍼바이저)가 있더라도, 내용물을 알 수 없는 금고(TDI)에 담아 전달함으로써 배달원조차 내용물을 알 수 없게 만드는 것과 같습니다.

Ⅱ. 아키텍처 및 핵심 원리 (Deep Dive)

구성 요소

요소명	전체 명칭 (Full Name)	역할	내부 동작	비유
TDISP	TEE Device Interface Security Protocol	VM과 장치 간 신뢰 구축 프로토콜	장치 인증 및 보안 세션 수립	신분증 확인 창구
IDE	Integrity and Data Encryption	PCIe/CXL 링크 계층 암호화	플릿 (Flit) 단위 실시간 암복호화	방탄 포장지
TDX Module	Trust Domain Extensions Module	CPU 내부의 신뢰 제어 소프트웨어	인터페이스 상태 관리 및 키 관리	보안 관리실
SPDM	Security Protocol and Data Model	장치 인증 및 증명 규격	인증서 기반 하드웨어 신뢰성 검증	자격증 검증기
Connect-TD	Connection Trust Domain	I/O 연결 관리 전용 특수 VM	가상 I/O 할당 및 자원 격리 조정	주차 관리 요원

TDI 동작 메커니즘: 증명 및 세션 수립

TDI의 핵심은 장치가 정말로 신뢰할 수 있는 하드웨어인지 확인(Attestation)하고, 그 이후에 암호화 키를 안전하게 공유하는 과정이다. 이 과정은 하이퍼바이저의 간섭 없이 CPU 내부의 보안 모듈과 장치 간의 직접적인 SPDM (Security Protocol and Data Model) 통신으로 이루어진다.

  ┌───────────────────────────────────────────────────────────────────────┐
  │                TDI 세션 수립 및 데이터 흐름 (TDISP)                   │
  ├───────────────────────────────────────────────────────────────────────┤
  │                                                                       │
  │  [CPU / TDX Module]             [PCIe 엔드포인트 장치]                │
  │          │                               │                            │
  │  1. SPDM GET_CAPABILITIES  ─────────────▶ │                           │
  │  2. SPDM CERTIFICATE       ◀───────────── │ (장치 인증서 제출)        │
  │  3. CHALLENGE / AUTH       ─────────────▶ │ (신뢰성 검증)             │
  │  4. KEY_EXCHANGE           ◀============▶ │ (세션 키 생성)            │
  │          │                               │                            │
  │          ▼         [TDI 보안 세션 활성화]    ▼                        │
  │                                                                       │
  │  5. TD VM 데이터 전송 ───(IDE 암호화)───▶ 6. 장치 데이터 수신         │
  │                                                                       │
  │  * IDE (Integrity & Data Encryption) 가 실시간 패킷 보호 수행         │
  └───────────────────────────────────────────────────────────────────────┘

[다이어그램 해설] TDI 프로세스는 하드웨어 인증서 확인에서 시작된다. SPDM (Security Protocol and Data Model) 규격에 따라 CPU는 장치의 제조사 서명을 확인하고, 해당 장치가 변조되지 않았음을 증명한다. 이후 Diffie-Hellman 키 교환을 통해 세션 키를 수립하는데, 이 키는 하이퍼바이저가 절대로 알 수 없는 CPU 내부의 보안 영역(Enclave)에만 저장된다. 세션이 활성화되면 PCIe IDE 계층이 활성화되어 모든 TLP (Transaction Layer Packet)를 AES-GCM (Advanced Encryption Standard - Galois/Counter Mode) 등으로 암호화한다. 실무적으로 이는 데이터센터 내에서 GPU로 모델 파라미터를 전송할 때, 중간 노드나 관리자 권한을 가진 공격자가 이를 탈취하는 것을 원천 봉쇄한다.

TDISP 상태 전이도

TDI 세션은 장치의 상태에 따라 엄격하게 관리된다. 초기화(Init)부터 증명(Attestation), 런타임(Run), 그리고 보안 위반 시의 해지(Revoke) 상태까지의 흐름을 통해 보안성을 유지한다.

  ┌─────────────────────────────────────────────────────────────────────┐
  │                 TDI 인터페이스 상태 전이 (TDISP State)              │
  ├─────────────────────────────────────────────────────────────────────┤
  │                                                                     │
  │      ┌──────────┐   Setup    ┌─────────────┐                        │
  │      │  CONFIG  │ ─────────▶ │ ATTESTATION │                        │
  │      └──────────┘            └─────────────┘                        │
  │            ▲                        │                               │
  │            │ Error                  │ Success                       │
  │            │                        ▼                               │
  │      ┌──────────┐   Revoke   ┌─────────────┐                        │
  │      │  LOCKED  │ ◀───────── │    RUN      │                        │
  │      └──────────┘            └─────────────┘                        │
  │                                                                     │
  │  1. CONFIG: 장치 할당 및 기본 리소스 준비                           │
  │  2. ATTESTATION: 장치 하드웨어 무결성 확인 및 키 교환               │
  │  3. RUN: 기밀 데이터 암호화 통신 수행 (IDE 활성화)                  │
  │  4. LOCKED/REVoke: 보안 경보 발생 시 즉시 키 폐기 및 세션 차단      │
  └─────────────────────────────────────────────────────────────────────┘

[다이어그램 해설] TDI의 상태 관리는 가용성보다 보안성을 우선한다. ATTESTATION 단계에서 단 1비트의 인증 불일치라도 발생하면 시스템은 결코 RUN 상태로 진입하지 않는다. 특히 런타임 중 IDE 계층에서 무결성 오류(MAC Mismatch)를 감지하면, 즉시 REVOKE 상태로 전이되어 공유 메모리와 I/O 포트를 물리적으로 격리한다. 이는 공격자가 실시간으로 메모리 버스를 탭핑(Tapping)하더라도 시스템 전체로 피해가 확산되는 것을 막는 'Fail-Safe' 메커니즘이다. 실무 엔지니어는 이 상태 전이 로그를 분석하여 I/O 병목이 단순 하드웨어 오류인지, 아니면 의도된 보안 공격인지를 판단해야 한다.

📢 섹션 요약 비유: 은행 금고를 열기 위해 지문, 홍채, 비밀번호를 모두 확인(상태 전이)하고, 하나라도 틀리면 경보음이 울리며 문이 영구적으로 잠기는 것과 같습니다.

Ⅲ. 융합 비교 및 다각도 분석

심층 기술 비교: TDI vs 기존 I/O 가상화

비교 항목	전통적 SR-IOV	Intel VT-d (Scalable)	TDI (TDISP 적용)
보안 주체	하이퍼바이저	하이퍼바이저 + IOMMU	하드웨어 RoT (CPU/Device)
데이터 기밀성	없음 (평문)	없음 (주소 격리만)	암호화 (IDE 기반)
무결성 보호	없음	없음	지원 (플릿 단위 검증)
신뢰 모델	하이퍼바이저 신뢰	하이퍼바이저 신뢰	하이퍼바이저 불신 (Zero Trust)
주요 기술	VFs (Virtual Functions)	PASID (Process Address ID)	TDISP, SPDM, IDE

SR-IOV (Single Root I/O Virtualization)는 성능 최적화에만 치중하여 하이퍼바이저가 모든 가상 기능을 제어할 수 있는 반면, TDI는 성능과 보안의 트레이드오프를 IDE 하드웨어 가속기로 해결하며 신뢰의 경계를 하드웨어 자체로 옮겼다.

기술 간 시너지 분석

CXL (Compute Express Link): TDI는 CXL 2.0/3.0의 메모리 풀링 환경에서 다수의 호스트가 단일 메모리 자원을 공유할 때, 테넌트 간 데이터 침범을 막는 핵심 기술로 작용한다.
AI/ML 워크로드: 대규모 언어 모델 (LLM) 학습 시 가중치 (Weights) 데이터가 PCIe 버스를 타고 GPU로 이동할 때, TDI는 모델 자산 유출을 방지하는 유일한 하드웨어 방어선이다.

  ┌─────────────────────────────────────────────────────────────┐
  │              TDI 적용에 따른 레이턴시/처리량 트리           │
  ├─────────────────────────────────────────────────────────────┤
  │                                                             │
  │   [I/O 요청] ───▶ [TDI 오버헤드 분석]                       │
  │                        │                                    │
  │          ┌─────────────┴─────────────┐                      │
  │          ▼                           ▼                      │
  │   [암호화 지연 (IDE)]         [증명 지연 (TDISP)]           │
  │    - 10~50ns 추가              - 세션 수립 시만 발생        │
  │    - 하드웨어 가속             - 런타임 영향 없음           │
  │          │                           │                      │
  │          └─────────────┬─────────────┘                      │
  │                        ▼                                    │
  │              [최종 성능: 95% 이상 유지]                     │
  └─────────────────────────────────────────────────────────────┘

[다이어그램 해설] TDI 도입 시 가장 큰 우려는 성능 저하다. 하지만 IDE 암호화는 전용 하드웨어 파이프라인에서 수행되므로 나노초(ns) 단위의 지연만 추가되며, 이는 전체 I/O 스택 지연 시간에 비해 무시할 수 있는 수준이다. 반면 TDISP를 통한 증명 과정은 장치 초기화 시에만 수행되므로 런타임 처리량(Throughput)에는 영향을 주지 않는다. 따라서 TDI는 보안을 얻으면서도 성능 손실을 최소화한 아키텍처라 평가받는다.

📢 섹션 요약 비유: 고속도로에 톨게이트(보안 검사)를 설치했지만, 하이패스(하드웨어 가속)를 도입하여 차들이 거의 멈추지 않고 통과하는 것과 같습니다.

Ⅳ. 실무 적용 및 기술사적 판단

실무 시나리오

시나리오 — 클라우드 GPU 서버의 모델 유출 방지: 금융권 고객이 기밀 데이터를 활용해 AI 모델을 학습시키고자 할 때, 클라우드 운영자가 GPU 메모리 덤프를 통해 모델을 탈취할 위험이 있다. TDI를 적용하면 CPU와 GPU 사이의 모든 전송 데이터가 암호화되므로 운영자조차 모델 파라미터를 볼 수 없어 보안 컴플라이언스를 충족한다.
시나리오 — SmartNIC을 통한 데이터 스니핑 차단: 멀티 테넌트 환경에서 인접 VM이 SmartNIC의 공유 버퍼를 공격하여 네트워크 패킷을 가로채는 '사이드 채널 공격'이 발생할 수 있다. TDI는 각 VM의 I/O 스트림을 별도의 IDE 키로 격리하여 다른 테넌트의 간섭을 물리적으로 차단한다.
시나리오 — 변조된 장치 삽입 (Supply Chain Attack): 제조 공정에서 펌웨어가 변조된 악성 PCIe 카드가 서버에 장착된 경우, TDI의 SPDM 인증 과정에서 서명 불일치가 발생하여 장치가 시스템에 마운트되는 것을 사전에 방지한다.

도입 체크리스트 및 의사결정 트리

보안 엔지니어는 TDI 도입 전 하드웨어 지원 여부와 소프트웨어 스택의 호환성을 반드시 확인해야 한다.

  ┌──────────────────────────────────────────────────────────────────┐
  │                TDI 도입 검토 의사결정 플로우                     │
  ├──────────────────────────────────────────────────────────────────┤
  │                                                                  │
  │  1. CPU가 Intel TDX를 지원하는가? ──(No)─▶ [지원 불가]           │
  │          │ (Yes)                                                 │
  │  2. 장치가 PCIe 6.0/CXL IDE를 지원하는가? ──(No)─▶ [반쪽 보안]   │
  │          │ (Yes)                                                 │
  │  3. 게스트 OS가 TDISP 드라이버를 포함하는가? ──(No)─▶ [패치 권고]│
  │          │ (Yes)                                                 │
  │  [TDI 완전 보안 모드 활성화 가능]                                │
  └──────────────────────────────────────────────────────────────────┘

[다이어그램 해설] TDI는 CPU, 인터커넥트, 엔드포인트 장치라는 세 가지 하드웨어 요소가 모두 보안 규격을 충족해야 완성된다. 하나라도 부족하면 '부분적 보안' 상태가 되어 공격자가 취약한 구간을 공략할 수 있다. 실무적으로는 특히 PCIe 5.0 이하의 구형 장치를 믹스해서 사용할 때 보안 홀이 생기지 않도록 IOMMU (I/O Memory Management Unit) 정책과 병행하여 관리해야 한다.

안티패턴

구형 장치 혼용 (Mixed-Trust): TDI 지원 장치와 미지원 장치를 동일한 루트 콤플렉스에 섞어 쓰면서 동일한 신뢰 수준을 기대하는 것. 미지원 장치를 통해 데이터가 유출될 수 있다.
인증서 관리 소홀: 장치 제조사의 취소된 인증서 목록 (CRL/OCSP)을 업데이트하지 않아, 이미 알려진 보안 취약점이 있는 장치를 신뢰하게 되는 경우.
📢 섹션 요약 비유: 아무리 튼튼한 자물쇠를 달아도 창문(구형 장치)을 열어두면 도둑이 들어오는 것처럼, 전체 시스템의 보안 규격을 상향 평준화하는 것이 중요합니다.

Ⅴ. 기대효과 및 결론

도입 효과 분석

구분	도입 전	도입 후	개선 효과
기밀성	하이퍼바이저가 데이터 가시성 보유	하드웨어 기반 종단 간 암호화	클라우드 운영자로부터 데이터 격리
무결성	I/O 버스 탭핑 공격에 취약	플릿 단위 무결성 검증	데이터 변조 즉시 감지 및 차단
성능 오버헤드	소프트웨어 암호화 시 30% 이상 손실	하드웨어 가속으로 5% 이내	고성능 AI/ML 워크로드 유지 가능

미래 전망 및 표준

표준화: PCI-SIG의 TDISP 규격은 향후 모든 고속 I/O 보안의 표준이 될 것이며, AMD의 SEV-TIO, ARM의 CCA와 상호 운용성을 확보하려는 노력이 지속될 것이다.
확장: 현재의 PCIe/CXL을 넘어 분산 데이터센터 환경의 이더넷 구간까지 TDI의 신뢰 모델이 확장될 것으로 보인다.

TDI는 '신뢰할 수 없는 인프라 위에서 신뢰할 수 있는 연산'을 수행하려는 기밀 컴퓨팅의 마지막 퍼즐 조각이다. I/O 장치를 시스템의 주변 기기가 아닌, 신뢰 도메인의 일원으로 통합함으로써 진정한 의미의 하드웨어 기반 보안 경계를 구축한다.

📢 섹션 요약 비유: 각기 다른 나라(장치)들이 모여 살지만, 국경(TDI)을 철저히 관리함으로써 서로의 안전을 보장하는 연합국가와 같습니다.

📌 관련 개념 맵 (Knowledge Graph)

개념 명칭	관계 및 시너지 설명
Intel TDX (Trust Domain Extensions)	TDI가 동작하는 기반 아키텍처로, 메모리와 CPU 레지스터의 격리를 담당한다.
TDISP (TEE Device Interface Security Protocol)	VM과 I/O 장치 간의 보안 세션을 정의하는 핵심 통신 프로토콜이다.
IDE (Integrity and Data Encryption)	PCIe 및 CXL 링크 계층에서 실제 데이터의 암호화와 무결성을 수행하는 하드웨어 엔진이다.
SPDM (Security Protocol and Data Model)	장치의 신원 확인과 인증서 교환을 위한 공통 산업 표준 규격이다.
Confidential Computing (기밀 컴퓨팅)	사용 중인 데이터를 보호하는 기술적 패러다임으로, TDI는 이 중 I/O 보안을 핵심적으로 맡는다.

👶 어린이를 위한 3줄 비유 설명

TDI는 컴퓨터 안에서 돌아다니는 중요한 정보를 보물 상자에 담아 옮기는 기술이에요.
나쁜 해커가 길목을 지키고 있어도, 보물 상자가 꽁꽁 잠겨 있어서 안의 내용을 절대 볼 수 없답니다.
물건을 보내기 전에 상대방이 진짜 믿을 만한 친구인지 신분증 검사를 먼저 하는 아주 꼼꼼한 경비원 아저씨 같은 역할이에요!