Rust는 정말 안전할까? Rust와 C/C++의 메모리 취약점이 어떻게 다른지 뜯어봤다

'Rust는 안전하다'는 말, 진짜 뜯어보면 어떤 의미일까

Rust 좋아하시는 분들 사이에선 '메모리 안전(memory safety)'이 거의 종교적인 키워드잖아요. 그런데 사실 Rust도 만능은 아니에요. Rust에는 unsafe라는, 안전장치를 잠깐 끄는 키워드가 있거든요. 그래서 'Rust도 메모리 취약점(CVE) 나오던데?'라는 반론도 늘 따라붙죠. 이번 글은 막연한 말싸움 대신, 실제로 보고된 메모리 안전 취약점들을 가져와서 Rust와 C/C++가 어떻게 다른지 데이터로 비교해본 분석이에요.

먼저 용어부터 짚을게요. CVE가 뭐냐면, 'Common Vulnerabilities and Exposures'의 약자로, 세상에 공개된 보안 취약점 하나하나에 붙는 일종의 주민등록번호 같은 거예요. 그중 '메모리 안전' 취약점은 프로그램이 메모리를 잘못 다뤄서 생기는 버그를 말하고요.

C/C++에서 메모리 버그가 끊이지 않는 이유

C와 C++는 메모리를 개발자가 손으로 직접 관리해요. 자유로운 만큼 실수할 구멍도 많죠. 대표적인 게 이런 것들이에요. 버퍼 오버플로(정해진 배열 칸을 넘어서 읽거나 쓰는 것), use-after-free(이미 반납한 메모리를 또 쓰는 것), double-free(같은 메모리를 두 번 반납해서 꼬이는 것), 널 포인터 역참조 같은 거요. 이런 버그는 평소엔 멀쩡히 돌다가 특정 입력에서 터져서 해킹의 통로가 돼요.

얼마나 심각하냐면, 마이크로소프트나 크롬 브라우저 팀이 자기네 보안 버그를 분석해봤더니 전체의 약 70%가 메모리 안전 문제였다고 발표했을 정도예요. 그리고 C/C++에서 이런 버그는 코드 어디에서나, 평범해 보이는 코드 속에서도 튀어나온다는 게 무서운 점이에요. 그래서 '어디를 집중적으로 봐야 한다'고 콕 집기가 어려워요.

Rust에서는 버그의 '위치'와 '성격'이 다르다

Rust의 핵심은 컴파일러가 컴파일 단계에서 메모리 사용을 검사하는 빌림 검사기(borrow checker)예요. 누가 어떤 데이터를 언제까지 빌려 쓰는지를 추적해서, use-after-free 같은 사고를 아예 컴파일이 안 되게 막아버리거든요. 그래서 안전한 Rust 코드(safe Rust)만 쓰면 위에서 말한 메모리 버그가 원천적으로 거의 안 생겨요.

이번 분석의 핵심 결론이 바로 여기 있어요. Rust에서도 메모리 안전 CVE가 나오긴 하는데, 그 거의 전부가 unsafe 블록과 관련이 있다는 거예요. unsafe는 'C처럼 직접 책임지고 다룰 테니 검사 잠깐 꺼줘'라고 컴파일러에 말하는 부분인데, 메모리 사고는 바로 그 좁은 영역에서 집중적으로 발생해요. 또 하나 특징은, 겉으로는 안전한 함수처럼 생겼는데 내부 unsafe 구현에 허점이 있어서 잘못 쓰면 터지는 '건전성(soundness) 버그'가 많다는 점이고요.

그러니까 핵심 차이는 이거예요. C/C++의 메모리 버그는 코드 전역에 흩뿌려져 있어서 다 뒤져야 하지만, Rust의 메모리 버그는 unsafe라고 명시된 좁은 구역에 모여 있어서 집중 감사가 가능하다는 거죠. Rust가 버그를 0으로 만든다기보다, '위험 지역'을 작게 압축해서 사람이 관리할 수 있는 수준으로 줄여준다고 이해하는 게 정확해요.

업계는 이미 움직이고 있어요

이건 학술적 토론이 아니라 현실 정책이 됐어요. 구글은 안드로이드에 Rust를 도입한 뒤 신규 메모리 안전 취약점 비율이 크게 떨어졌다고 발표했고, 리눅스 커널도 일부에 Rust를 받아들이기 시작했죠. 미국 백악관 산하 기관(ONCD)과 CISA는 아예 '새 프로젝트는 메모리 안전 언어를 쓰라'고 권고하는 보고서를 냈을 정도예요. C/C++가 당장 사라진다는 얘기가 아니라, 새로 짜는 보안 민감 코드는 메모리 안전 언어로 가는 게 대세라는 신호인 거죠.

한국 개발자에게

국내에서도 시스템 프로그래밍이나 백엔드 고성능 영역에서 Rust 채택이 꾸준히 늘고 있어요. 이 글에서 챙길 실무 포인트는 명확해요. Rust를 쓴다고 무조건 안전한 게 아니라, unsafe 블록이 곧 여러분 코드의 보안 급소라는 것. 그러니 코드 리뷰나 보안 감사를 할 때 unsafe가 들어간 부분에 화력을 집중하면 적은 노력으로 큰 효과를 볼 수 있어요. 반대로 C/C++ 레거시를 다룬다면, 메모리 버그는 어디서든 나올 수 있다는 전제로 정적 분석 도구(ASan, Valgrind 등)를 적극 끼고 가는 게 맞고요.

한줄 정리: Rust는 메모리 버그를 없애는 게 아니라 unsafe라는 좁은 구역으로 몰아넣어 '관리 가능하게' 만들고, C/C++는 그 버그가 코드 전역에 흩어져 있다는 게 본질적 차이다.

여러분은 Rust의 unsafe를 직접 써본 적 있나요? 아니면 C/C++ 레거시의 메모리 버그 때문에 고생한 경험이 있다면 어떤 상황이었는지 들려주세요.