메타데이터
- 발신자: TLDR
- 원문 URL: https://www.wired.com/story/defcon-34-badge-baochip-andrew-bunnie-huang/?utm_source=tldrnewsletter
- 발행일: 2026-08-03
- 카테고리: dev-engineering
직역 전문
매년 열리는 데프콘(Defcon) 해커 컨퍼런스는 참가자들이 새로운 소프트웨어 취약점과 해킹 기법에 대한 지식뿐 아니라, 정교하게 설계된 컨퍼런스 배지까지 함께 챙겨간다는 오랜 전통을 이어왔다. 이 배지들은 종종 정교한 퍼즐, 복잡한 암호 챌린지, 숨겨진 이스터에그, 심지어 시계처럼 기계식 톱니 열까지 내장한 전자 공학의 걸작이었다.
매년 배지 제작자는 이전 디자인을 뛰어넘어 웬만해서는 감동하지 않는 해커들의 마음을 사로잡으려 애써왔다. 하지만 올해 배지는 다른 접근을 취한다. 배지 디자인 자체가 주인공이 되는 대신, 이번에는 하드웨어 내부에 담긴 것이 진짜 돋보이는 요소가 될 것이다.
올해 데프콘은 전설적인 하드웨어 해커 앤드루 "버니" 황(Andrew "bunnie" Huang)에게 배지 제작을 의뢰했고, 여기 처음 공개되는 이 배지에는 그가 설계한 혁신적인 오픈소스 칩이 담겨 있다. 이 칩은 컴퓨팅 분야의 보안성, 투명성, 신뢰성을 한 단계 끌어올리는 것을 목표로 한다.
하지만 이 칩은 단순히 배지의 일부에 그치지 않는다. 칩의 코어 모듈은 배지에서 분리해 컨퍼런스가 끝난 뒤에도 하드웨어 보안 토큰으로 사용할 수 있어, 배지에 데프콘 이후에도 이어지는 제2의 삶을 부여한다.
바오칩-1x(Baochip-1x)라 불리는 이 칩은 3년에 걸쳐 개발된 "대부분" 오픈소스인 마이크로컨트롤러로, 검증 가능한 보안성을 지닌 칩을 만들겠다는 황의 오랜 꿈을 실현한 결과물이다. 황은 바오칩의 운영체제, 펌웨어, 프로세서 코어, 암호화 엔진, 입출력 시스템에 대한 소스 코드를 깃허브에 공개해, 누구나 이 구성 요소들을 검사하고 활용할 수 있도록 했다.
이 칩은 또한 연구자들이 실제 실리콘 내부를 들여다보고, 그것을 공개된 설계와 비교 검증할 수 있도록 패키징되어 있다. 이는 제조된 칩이 설계자가 의도한 그대로라는 것을 그저 믿는 대신, 직접 확인할 수 있게 해준다.
컴퓨터 칩은 전통적으로 회로를 가리는 불투명한 케이스에 싸인 블랙박스 부품이었다. 사양과 코드를 공개했던 기존의 오픈소스 칩들조차도 사용자가 내부를 들여다볼 수 없는 불투과성 플라스틱에 싸여 있어, 공급망 문제를 낳았다. 사용자들은 제조 단계에서 백도어 구성 요소가 추가되는 것 같은 변경이 없었다는 것을 그저 믿어야만 했다.
불투명한 플라스틱에 싸인 일반 칩들과 달리, 바오칩은 실리콘 뒷면으로 적외선을 비추어 칩 내부 구조를 시각적으로 검사할 수 있도록 패키징되어 있다.
황은 컨퍼런스에서 이 기법을 시연할 계획이며, 참가자들이 적외선 조명 아래에서 칩을 직접 검사해볼 수 있도록 할 예정이다.
황은 와이어드와의 인터뷰에서 "나는 수년간 신뢰, 실리콘, 검증 투명성이라는 주제로 여러 작업을 해왔다"며 "이 모든 것은... 우리가 트랜지스터 단위까지 근본적으로 신뢰할 수 있는 칩을 얻기 위한 하나의 서사적 여정이었다... 실제로 칩 위의 RAM 배열까지 볼 수 있다"고 말했다.
칩을 새로 만드는 것은 제조 비용만 수백만 달러에 이를 수 있는 값비싼 프로젝트다. 하지만 황은 3년 전 크로스바(Crossbar)라는 회사가 그에게 연락해오면서 큰 기회를 얻었다. 이 회사는 새로운 오픈소스 보안 칩을 만들고 싶어 했지만 어떻게 접근해야 할지 몰랐다. 황은 한 가지 조건 아래 협력에 동의했다. 자신의 CPU를 그들의 칩 웨이퍼에 함께 얹어, 별도의 제조 공정에 자금을 대지 않고도 같은 제조 공정을 공유할 수 있게 해달라는 것이었다.
"그들 입장에서는 나를 칩에 함께 얹으면 하나의 비용으로 두 개의 제품을 얻는 셈이라고 본 것"이라고 황은 말한다. 그는 이런 형태의 '피기백'이 드문 일은 아니지만, 업계가 공개적으로 이야기하고 싶어 하지 않는 부분이라고 덧붙였다.
그 결과물은 크로스바의 마이크로프로세서와 황의 마이크로프로세서를 모두 포함한 크로스바 칩이다. 바오칩은 본질적으로 이와 동일한 칩이지만, 황이 배포 권한을 갖고 있지 않은 크로스바 마이크로프로세서 부분이 비활성화되어 있다는 차이가 있다.
크로스바 버전의 칩은 독점 ARM 코어를 사용하는 반면, 황의 버전은 구현체가 오픈소스인 RISC-V 코어를 사용한다. RISC-V 명령어 집합 자체도 개방되어 있고 공개적으로 문서화되어 있다. 두 버전은 서로 다른 CPU 코어를 활성화하면서도 동일한 하부 인프라와 주변 장치를 함께 사용할 수 있다.
황의 칩에는 일부 비공개 요소도 존재한다. TSMC의 22나노미터 공정과 관련된 일부 하위 물리 설계 및 제조 요소들은 독점적이다. 황은 "하지만 사물을 얼마나 개방적으로 만들 수 있는지의 스펙트럼에서 본다면, 이것은 다른 어떤 보안 지향 칩보다도 훨씬 멀리 나아간 것"이라고 말한다.
과거 데프콘 배지들은 커스텀 설계된 오픈소스 실리콘이 아니라 상용 기성품 칩을 사용해왔다. 바오칩을 사용하자는 아이디어는 작년 말 황이 데프콘 창립자 제프 모스와 만나 자신의 오픈소스 칩 개발 진행 상황에 대해 이야기하면서 촉발되었다. 그는 모스에게 바오칩이라는 자신의 회사를 통해 올여름 이 칩을 출시할 계획이라고 말했다.
모스는 이 개념이 올해 컨퍼런스 테마인 "행위주체성(agency)"과 완벽하게 맞아떨어진다는 것을 깨달았다. 데프콘은 이 테마를 우리가 사용하는 기술과 자기 결정권을 높이는 선택이라고 정의한다. 그리고 그와 황은 이것이 칩의 도입을 촉진할 절호의 기회가 될 것이라는 것도 깨달았다. 지금까지 바오칩은 소규모 개발용으로만 배포되어 왔으며, 2만 7천 개의 데프콘 배지는 이 칩의 첫 대규모 배포에 해당한다.
모스는 배지에 한 가지 요구사항을 걸었다. 컨퍼런스가 끝난 뒤에도 사람들이 그저 서랍이나 쓰레기통에 던져버리지 않을, 그 이후에도 이어지는 삶을 배지가 가지기를 원한 것이다. 그는 하드웨어 수준에서 크래킹될 수 있는 하드웨어 보안 토큰과 크립토 지갑의 설계와 한계에 오랫동안 불만을 가져왔고, 그래서 황의 칩이 기존 인증 토큰과 지갑을 대체할 더 안전한 대안이 될 수 있다고 생각했다.
모스는 와이어드에 "나는 항상 이런 아이디어를 꿈꿔왔다. 당신의 비밀을 하드웨어에 넣어두고, 만약 공격자가 침입하더라도 그 비밀을 제대로 가져갈 수 없게 만드는 것"이라고 말했다.
배지의 분리형 모듈은 FIDO 하드웨어 보안 토큰으로 사용할 수 있다. 이 모듈의 소프트웨어는 시간 기반 일회용 비밀번호(TOTP) 시스템과 비밀번호 관리 기능을 지원한다. 황은 이것이 "아마도 부트로더와 트랜지스터까지 완전히 낱낱이 검사할 수 있는 세계 최초의 오픈소스 보안 토큰일 것"이라고 말한다.
이 분리형 모듈에는 인증 시스템에 등록하기 위한 QR 코드 스캔용 카메라도 포함되어 있다. 하지만 데프콘의 프라이버시 관행과 몰래 촬영 금지 정책에 맞춰, 이 카메라는 해상도가 매우 낮고 근시안적이며, 칩은 기본적으로 카메라의 흑백 데이터만 사용하고 사진 저장 기능을 지원하지 않는다.
황은 "이 카메라는 QR 코드를 스캔하는 데는 아주 뛰어나지만, 그 밖의 거의 모든 것에는 형편없다"고 말한다.
이 배지는 컨퍼런스의 활기를 저버리지 않는다. 황은 참가자들 간의 교류를 유도하는 기능도 여전히 포함시켰다. 예를 들어 배지에는 배지 종류에 따라 서로 다른 색 팔레트와 패턴으로 깜빡이는 LED 조명이 달려 있다. 일반 참가자, 발표자, 곤(goon, 컨퍼런스를 운영하는 소규모 자원봉사자 부대)용 배지가 각각 다르며, 대회 우승자와 특별 VIP에게 지급되어 평생 데프콘 무료 입장 혜택을 주는 특별한 검은색 우버(Uber) 배지도 있다. 각 배지 유형은 고유한 색상과 깜빡임 패턴으로 시작하지만, 사용자는 자신의 배지가 다른 배지와 통신할 때 색상을 추가하거나 더 복잡한 깜빡임 패턴을 만들 수 있다.
이 칩은 러스트(Rust)로 작성된 운영체제를 구동하며, 보안 부팅, 진정한 난수 생성기, 공격에 대한 내성을 강화하도록 설계된 하드웨어 기능들을 포함한다. 황은 이 칩이 원격의 비물리적 공격에 특히 강할 것이라고 믿는다.
이 칩은 또한 저항성 램(RRAM)이라는 비휘발성 메모리를 사용하는데, 황은 이것이 기존 플래시 메모리보다 저장된 데이터를 물리적으로 추출하기 더 어렵게 설계되었다고 말한다. 그는 플래시 메모리의 경우 "만약 그것을 실제 플래시 셀 단위까지 층을 벗겨낸다면, 이 칩들 위의 0과 1을 말 그대로 그냥 볼 수 있다"고 설명한다.
다만 황은 이 칩의 보안 역량을 과대포장하는 것에 대해서는 신중한 태도를 보인다. 그는 이 칩이 수만 달러 규모의 자원을 동원한 공격에는 버틸 수 있을 것으로 추정하지만, 수백만 달러와 정교한 하드웨어 분석 실험실을 갖춘 공격자라면 아마 이를 뚫을 수 있을 것이라고 말한다.
그는 "나는 이것이 세상에서 가장 안전한 칩 중 하나라고 생각하지만, 동시에 대부분의 칩이 보안 측면에서 과대 포장되어 왔다고도 생각한다"고 말한다.
황은 데프콘 참가자들이 이 칩을 강도 높게 시험하고, 그 과정에서 그가 칩을 더욱 안전하게 만드는 데 도움이 될 결함을 찾아내고 노출시킬 것이라는 사실을 좋아한다고 말한다. 그는 "코드에서 사람들이 찾아낼 제로데이가 분명히 있을 것이라 예상한다. 이는 사실... 데프콘에서 출시하는 것의 특징 중 하나"라며, 사람들이 살펴볼 수 있는 오픈소스 칩을 설계하는 일에 대해 이야기한다.
오늘날 이 칩은 유비키(YubiKey)와 유사한 보안 토큰으로 기능할 수 있지만, 앞으로는 HSM(하드웨어 보안 모듈)이 되거나 리눅스 같은 다른 소프트웨어를 구동할 수도 있다고 그는 말한다. 이 하드웨어는 350MHz RISC-V 프로세서에 2메가바이트의 SRAM과 4메가바이트의 RRAM을 탑재하고 있는데, 그는 이것이 "리눅스를 구동할 수 있는 경계선상"에 있다고 말한다. 또한 입출력 처리를 위한 4개의 700MHz 피코RV32(PicoRV32) 코어도 갖추고 있다. 이 칩은 이미 마이크로파이썬(MicroPython)을 구동하며, C와 러스트용 개발 키트도 지원한다.
황은 앞으로 직접 칩의 기능을 확장할 계획이지만, 데프콘 참가자들이 그가 제공한 것 위에 자신들만의 것을 만들어나갈 것이라 기대하고 있다고 말한다.
4계층 심층 요약
1. 핵심 주장
2026년 데프콘 34의 공식 배지는 역대 배지들과 달리 배지 디자인 자체가 아니라 그 안에 담긴 하드웨어, 즉 하드웨어 해커 앤드루 "버니" 황이 설계한 오픈소스 칩 바오칩-1x가 핵심이다. 이 칩은 소스 코드뿐 아니라 실리콘 내부까지 적외선으로 육안 검증할 수 있게 설계되어, "설계도만 공개된 오픈소스"를 넘어 "제조 단계까지 신뢰할 수 있는 오픈소스 하드웨어"를 실현하려는 시도이며, 배지에서 분리해 FIDO 하드웨어 보안 키로 계속 사용할 수 있다는 점에서 컨퍼런스 굿즈를 실사용 가능한 보안 기기로 전환시킨 사례다.
2. 근거
황은 바오칩의 운영체제, 펌웨어, 프로세서 코어, 암호화 엔진, 입출력 시스템의 소스 코드를 깃허브에 전면 공개했고, 칩 패키징 자체도 적외선으로 실리콘 내부 구조를 비춰볼 수 있게 만들어 "설계와 실제 제조물이 일치하는지"를 사용자가 직접 검증할 수 있는 근거를 제공한다. 기존 오픈소스 칩들이 불투명 플라스틱 패키징 때문에 공급망 신뢰 문제(제조 단계의 백도어 삽입 가능성)를 안고 있었던 것과 대조된다. 또한 크로스바(Crossbar)와의 웨이퍼 공유 제조 계약, RISC-V 오픈 코어 채택, 러스트 기반 운영체제, RRAM 비휘발성 메모리, 보안 부팅과 진성 난수 생성기 등 구체적인 기술 스펙이 보안 설계의 근거로 제시된다.
3. 사례
가장 구체적인 사례는 3년 전 크로스바가 황에게 접촉해 하나의 웨이퍼 제조 공정에 두 회사의 CPU를 함께 얹은 "피기백" 방식으로 개발비를 절감한 과정이다. 또 다른 사례는 데프콘 창립자 제프 모스가 기존 하드웨어 보안 토큰과 크립토 지갑이 하드웨어 수준에서 크래킹되는 것에 불만을 가져왔던 경험을 바탕으로, 이 배지가 컨퍼런스 이후에도 계속 쓰이는 FIDO 토큰이 되어야 한다고 요구한 것이다. 배지 유형별로 다른 LED 색상과 깜빡임 패턴(일반 참가자, 발표자, 곤, 검은색 우버 배지)을 부여해 배지 간 통신으로 패턴을 확장할 수 있게 한 것도 실제 구현 사례로 제시된다.
4. 시사점
이 사례가 시사하는 바는 오픈소스 하드웨어의 신뢰 문제가 "코드 공개"만으로는 해결되지 않으며, 제조 단계까지 검증 가능해야 진정한 신뢰가 확보된다는 것이다. 황 스스로도 수만 달러 규모의 공격에는 견디지만 수백만 달러급 정교한 공격에는 뚫릴 수 있다고 인정하는 만큼, 이 칩은 완벽한 보안 솔루션이라기보다 "투명성을 통한 신뢰 구축"이라는 철학적 실험에 가깝다. 2만 7천 개 배지의 대규모 배포와 데프콘 참가자들의 강도 높은 해킹 시도는 이 칩의 취약점을 실전에서 발견하고 개선하는 크라우드소싱 보안 감사 역할을 하게 될 것이며, 향후 HSM이나 리눅스 구동 등으로 활용 범위가 넓어질 경우 오픈소스 보안 하드웨어 생태계 전반에 참고 모델이 될 수 있다.
핵심 요약 (20줄)
- 2026년 데프콘 34의 공식 배지는 디자인이 아니라 내부에 담긴 하드웨어 자체가 화제의 중심이다.
- 데프콘은 전설적인 하드웨어 해커 앤드루 "버니" 황에게 올해 배지 제작을 의뢰했다.
- 배지에는 황이 3년에 걸쳐 개발한 오픈소스 마이크로컨트롤러 바오칩-1x가 탑재되어 있다.
- 이 칩의 코어 모듈은 배지에서 분리해 컨퍼런스 이후에도 하드웨어 보안 토큰으로 계속 사용할 수 있다.
- 황은 바오칩의 운영체제, 펌웨어, 프로세서 코어, 암호화 엔진, 입출력 시스템 소스 코드를 깃허브에 공개했다.
- 바오칩은 적외선을 실리콘 뒷면에 비춰 내부 구조를 시각적으로 검사할 수 있도록 특수 패키징되어 있다.
- 기존 오픈소스 칩들은 사양과 코드만 공개되고 불투명한 플라스틱에 싸여 있어 제조 단계의 백도어 삽입 위험이라는 공급망 문제를 안고 있었다.
- 황은 3년 전 크로스바라는 회사와 협력해, 자신의 CPU를 상대 회사의 칩 웨이퍼에 함께 얹는 방식으로 별도 제조비 없이 칩을 만들었다.
- 크로스바 버전은 독점 ARM 코어를, 황의 바오칩 버전은 오픈소스 RISC-V 코어를 사용한다는 차이가 있다.
- TSMC의 22나노미터 공정 관련 일부 저수준 물리 설계와 제조 요소는 여전히 비공개로 남아 있다.
- 아이디어의 계기는 작년 말 황이 데프콘 창립자 제프 모스에게 칩 출시 계획을 이야기한 자리에서 마련되었다.
- 모스는 이 칩이 올해 데프콘 테마인 "행위주체성"과 완벽히 맞아떨어진다고 판단해 배지 채택을 결정했다.
- 이번 2만 7천 개 배지 배포는 바오칩의 첫 대규모 유통에 해당한다.
- 모스는 기존 하드웨어 보안 토큰과 크립토 지갑이 쉽게 크래킹된다는 점에 불만을 갖고 있었기에 더 안전한 대안을 원했다.
- 분리형 모듈은 FIDO 하드웨어 보안 토큰으로 작동하며 TOTP와 비밀번호 관리 기능을 지원한다.
- 모듈에 내장된 카메라는 QR 코드 스캔용으로만 최적화되어 있고 저해상도 흑백만 지원하며 사진 저장 기능은 없다.
- 배지 유형(일반 참가자, 발표자, 곤, 특별 우버 배지)마다 서로 다른 LED 색상과 깜빡임 패턴이 부여된다.
- 칩은 러스트 기반 운영체제, 보안 부팅, 진성 난수 생성기, 그리고 물리적 데이터 추출을 어렵게 만드는 RRAM 메모리를 사용한다.
- 황은 이 칩이 수만 달러 규모 공격에는 견디지만 수백만 달러급 정교한 공격에는 뚫릴 수 있다고 인정하며 보안 성능을 과장하지 않으려 한다.
- 하드웨어는 350MHz RISC-V 프로세서, 2MB SRAM, 4MB RRAM, 4개의 700MHz PicoRV32 코어로 구성되며 이미 마이크로파이썬과 C, 러스트 개발 키트를 지원한다.