security framework2.20

- 0 - ㈜ 인포레버컨설팅 교육사업본부

항목 상세내역

개요 다수 시스템에 대한 보안성 있는 접속방식

기출여부 71, 75, 80

관련KeyWord ACL, Provisioning

추천사이트

기술발전

RoadMapSSOEAM

기타

Preview

3-4. SSO/EAM/IAM


SSO/EAM/IAM

개요

– SSO: 다수의 시스템에 단일 Entity를 이용한 자동인증을 가능하게 하는 아키텍처

– IAM/EAM: 컴퓨팅 자원에 대한 사용자 접근을 정책과 프로세스에 맞게 일괄적으로 통제하는 시스템

– EAM: SSO + ACL/RBAC

– IAM: EAM + Provisioning (엄밀하게 분류하자면 IAM은 OS나 유명 App.의 계정관리에 특화)

SSO의 동작개념도

• 인터페이스가 통일되어 있고 많은 사람이 사

용하고 있는 Web지원이 일반적임

• Network App.에는 Login Module제작사에서

만든 모듈이 ActiveX, Applet형태로 설치됨

(서버, Web Browser에 모두 설치)

• EAM: Extranet Access Management

• IAM: Identity Access Management

• ACL: Access Control List

• RBAC: Role Based Access Control

• SSO 향후 전망

• SSSO(Secured SSO): 로그인정보 캐싱X,

pc저장X, 보안성 강화

• SAML: 웹서비스의 SSO모델

UserAuth.

Server

Network

Application

1.서비스 요청 2.인증대행요청

3.인증요구

4.인증

5.인증완료 통보6.서비스 제공

Network

ApplicationNetwork

ApplicationNetwork

Application


SSO/EAM/IAM

EAM/IAM의 구성도

App. LDAP Policy DB

EAM CA Log

• EAM은 소개 시 출장사원 등 외부에서의 기업내부 접근에 대한

솔루션으로 제안되었으며 최근에는 내/외부를 가리지 않는 기업

용 SSO솔루션으로 소개되고 있음

• Client요청 시 EAM에서 Policy DB에 Policy검토 후 토큰 발급

• Client는 발급된 토큰을 로그인 대상서버에 제시하여 Login

참고: Softform사의 XecureWeb 기능구성도


SSO/EAM/IAM

기능

– Authentication, Authorization, Administration, Provisioning

– 접근 Object별로 위 기능을 수행할 수 있음(예: Web의 경우 Page단위)

도입효과

– 사용자: 시스템 개별 인증이 없어 사용편리

– 관리자: 업무단순화를 통해 보안성, 생산성, 관리비용 절감효과 달성

도입절차

정책수립 계정통합기존시스템

수정

권한별

정책부여적용도입

향후 확장 가능분야

– SAML (Liberty Alliance), Card Space 등 최근 신뢰구조 지원

– 사용자 인증의 다양성 지원(인증서, 지문인식, OTP 등)

– PMI를 연계한 IAM 정밀 제어 (But PMI는 표준은 있으나 시장에서 사장된 상태임)


항목 상세내역

개요 B2B환경에서의 신뢰성 있는 인증 및 연동방안

기출여부

관련KeyWord Liberty Alliance, SP/IdP, Web Services, CoT

추천사이트

기술발전

RoadMap

기타

Preview

3-5. ID Federation


ID Federation 개요

– 신뢰관계가 형성된 파트너 사이에서 SSO를 가능케 하는 ID연동 기반구조

– MS Passport에 대항해 Sun 주도로 형성된 Liberty Alliance의 Scheme

Liberty Alliance의 Interface Specification.

– ID Federation Framework (FF): 관리, SSO표준 (SAML 2.0 통합)

– ID Web services Framework (WSF): 신뢰그룹간 연계, 사용자 정보공유 지원

– ID Service Interface Specification (SIS): ID-WSF기반 상호 운영 Specification

ID Federation Framework

– 신뢰관계가 형성된 파트너 사이에서 SSO를 가능케 하는 ID연동 기반구조

– Web Services: 엔티티 간 직접통신(SOAP-RPC)

– Metadata & Schema: 제공자간 데이터 교환형태

1. User Access

IdP SP

User

IdP Redirection웹 서비스

메타데이터&스키마

3. 사용자인증

4. 서비스이용

CoT:

Circle of Trust

사용현황: Sun 등 170개사 참여, SSO기반구조 제공, Java Tool Kit 인기

관련기술: SAML, WS-Federation (MS/IBM)


ID Federation

Request

Assertion

Respond

Assertion

SAML 주요 개념

– Assertion: ID를 포함한 사용자 정보

– Protocol: XML기반 요청/응답 메시지

– Binding: SOAP

장/단점

– 장점: SSO, 인증/권한관리, PKI+PMI가능,

도메인간 SSO

– 단점: 구매비용

향후 전망

– B2B환경 SSO

– SSO 표준화

SAML

Authority

SOAP

Binding

SAML (Security Assertion Markup Language)


ID Federation

MS Cardspace

Symantec Identity Client

ID Federation외 기타 인증체계


항목 상세내역

개요 프라이버시 보호에 중점을 둔 인증방식

기출여부

관련KeyWord URL, 분산Scheme, IP

추천사이트 https://www.pingidentity.com/resource-center/openid.cfm

기술발전

RoadMap

기타 왜 활성화가 안 되는가?

Preview

3-6. Open ID

https://www.pingidentity.com/resource-center/openid.cfm




Open ID

Identity Provider는 기존의 타사이트를 이용하거나 자

신이 만들 수도 있음

발급 방식 예

개념

– 인터넷 URL을 이용, 사용자를 확인하는 분산형 인증 아키텍처/Scheme

– 인증방식의 집중화에 대한 비판, 최소정보 요구 필요성에 의해 등장

특성

– URL이용 간단, 분산 Scheme, 가입 시 개인정보 노출 최소화

동작개념도


Open ID

문제점 및 해결방안

– 가입이 쉽다등급별 정보요구, 서버요건 강화, 익명의 Open ID서버 운영 등

– Clear Text SSL/TLS

– Discovery, Association, Response, Session Hijacking… SSL/TLS

– 부가정보 중복입력가입등급별 정보요구

– 구체적 인증 메커니즘 명시가 안 되어있음 2.0 확장 Spec.에서 수용

기대효과

– 사용자: SSO, 신원확인 간소화, 가입 최소화

– 사이트: 악플러 차단

향후 전망

– 기존 인터넷의 여러 인증체계 속에 자리잡기는 힘들어 보임.


항목 상세내역

개요 국가 공식의 프라이버시 보호형 인증모델(ID/passwd형)

기출여부 83

관련KeyWord 본인확인기관, connecting information

추천사이트

기술발전

RoadMap

기타 왜 활성화가 안 되는가?

Preview

3-7. I-PIN / 공공 I-PIN


I-PIN / 공공 I-PIN

작동방식

i-PIN 2.0

– 가입절차 간소화, 발급기관 자동식별

– 가입기관간 동일인 식별정보(Connection Information) 연동가능

이슈사항

– 공공IPIN(구 GPIN)과 iPIN 연동(2008 시행)

– 2015년까지 어플리케이션 확장: 금융거래 수반 시 주민등록번호를 받아야 하므로 iPIN/GPIN에 대한 회의론 상존

– MS만 지원(키보드보안모듈 필수설치, 공인인증서 이용)

이용ID는 A에서 새로 발급

본인확인기관

(6개)

SP이용자

1.회원가입신청

2.대체수단

제출요청

3.아이핀

발급신청4.아이핀 발급

(본인확인 필요)

5.본인확인정보

(ID/password)

전송

* 본인확인수단: 공인인증서/휴대폰번호/신용카드/대면


Cryptography


Cryptography

• 관용 암호 알고리즘

- 블록 암호 알고리즘

- 스트림 암호 알고리즘

• 공개키 암호 알고리즘

암호 알고리즘

• 사용자 인증

• 키 분배

• 부인 방지

• 디지털 서명

암호 프로토콜

특별한 보안 목적을 달성하기 위해

사용되는 수학적 함수

특정한 보안 목적을 달성 하기 위해 둘

이상의 개체 사이에서 수행되는 일련의

절차

암 호

비밀성 인증

http://dosan.skku.ac.kr/~dhwon


Cryptography

Cryptography

Algorithm

Key

Architecture

Symetric

Asymetric

PKI알고리즘

DES

3DES

SEED

AES

ARIA

소인수분해 RSA

Rabin

이산대수방식 ECC

Elgamel

DSA

구문처리방식

Block cipher AES

기타 대부분 암호

Stream cipher RC4

사용목적

Encryption/Decryption DES, 3DES…

Hash MD4/5

SHA1

• 고정크기입력, 고정크기 출력

• 고정크기입력, 비트/문자단위 출력

• 기밀성 유지

• 무결성 유지

• 변동크기입력, 고정크기 출력

• One-Way hashing

• 암호화 키와 복호화 키가 동일

• 속도 빠름, 분배 힘듬

• 암호화 키와 복호화 키가 상이

• 속도 느림, 별도 분배구조

• Public Key: 배포가능

• Private Key: 최초 생성자만 소유


Cryptography

구분 DES 3DES SEED AES ARIA RSA ECC MD5 SHA1

속도 빠름 느림 빠름 빠름

블록 크기 64bit 128bit 128bit 128bit

좌동

해당 없음

128bit 512bit

라운드 수 16 48 16 10,12,14 64 80

키 길이 56bit 168bit 128bit128, 192,

256bit

512/1024/

2048 bit168bit 해당 없음

출력길이 해당 없음 해당 없음 128bit 160bit

활용분야 일반 암/복호화국내용

암/복호화

일반용

암/복호화

국내용

암/복호화

안전한

키 교환

안전한

키 교환무결성 검증

암호 알고리즘간 비교

참조: http://www.ietf.org

http://choiwonwoo.egloos.com/1183807

http://math88.com.ne.kr/crypto/text/chap5/5-4.htm

http://www.stitec.com/products24.htm

http://www.ietf.org/

http://choiwonwoo.egloos.com/1183807




http://www.stitec.com/products24.htm


항목 상세내역

개요가변사이즈의 데이터를 작은 일정길이의 데이터 사이즈로 변환시켜 주는 알

고리즘을 말하나 보안에서는 이중 일방향 Hash함수를 지칭함

기출여부

관련KeyWord 무결성, 일방향, Collision, Birthday attack

추천사이트

기술발전

RoadMapHash 길이, Round수 등 HW발전에 따라 비도 향상

기타 알고리즘이 중요하나 응용영역에 많은 초점을 두어야 함.

Preview

4-1. Hash algorithm


Hash algorithm

개념

– 가변사이즈의 데이터를 작은 일정길이의 데이터 사이즈로 변환시켜 주는 알고리즘

요구특성

– 충돌회피성: 레코드와 버킷이 중복없이 1:1로 매핑이 가능한 함수가 가장 이상적

(주어진 x에 대해 H(x)=H(y)를 만족하는 임의의 값 y를 찾는 것이 계산적으로 어려움)

– 일방향성: 주어진 해쉬값 h에 대해 H(x)=h를 만족시키는 x를 찾는 것은 계산적으로 어려움

Hash 함수의 개념구성도

주요 Hash알고리즘 종류(정보보호 관점)

알고리즘 출력길이 블럭크기 라운드 수

MD4 128 512 48

MD5 128 512 64

SHA1 160 512 80


Hash algorithm

Hash algorithm의 사용방안

– 무결성의 증명: 전자서명편 참조

– 패스워드 : 일방향성 참조

Hash algorithm의 취약성 및 대책

– Birthday attack: 확률이론 상의 Birthday Paradox를 활용

• 23명이 모이면 생일이 같을 확률이 ½이 넘게 된다. http://celdee.tistory.com/226

– 가급적 Hash값을 길게 쓰는 것이 유리

• N=2^n (hash값의 길이가 n일 경우 N개의 출력생성 가능. 따라서 가급적 긴 hash값을 쓰는 것이 유리)

– MD5 복호화의 문제

• 인터넷 상의 MD5, SHA1 복호화 사이트는 DB를 이용한 복호화임. (http://md5.web-max.ca/ 등, 일종의 Brute force)

• 알고리즘의 허점을 찾아낸 것이 아님

– MD5, SHA1 알고리즘의 문제

• 문제가 되는 것은 복호화가 아닌 Collision을 일으킬 수 있는 쌍을 찾아 낼 수 있다는 것임.

• 전자서명 위조 등 응용영역에서 해킹가능성이 속속 증명되고 있음.

• http://ggaman.tistory.com/88

http://celdee.tistory.com/226

http://md5.web-max.ca/



http://ggaman.tistory.com/88


항목 상세내역

개요 공개키 암호화기술이 널리 이용될 수 있도록 하는 기술과 제도적 틀의 집합

기출여부 69, 71, 89

관련KeyWord CA, RA, LDAP, OCSP, 인증체계 연동

추천사이트

기술발전

RoadMapPKI Mobile PKIPKI (스마트폰 등 HW발달 영향)

기타

Preview

4-2. PKI


PKI(Public Key Infrastructure)

개요

– 공개키 암호화기술이 널리 이용될 수 있도록 하는 기술과 제도적 틀의 집합

– 대칭키 구조를 온라인에서 안전하게 구현하기 힘든 한계성, 키분배/분실의 관리위험성에서 도출

구성요소

– CA(Certificate Authority): 인증서 발급/폐기/재발급/보관, CRL생성

– RA(Regional Aurhority): CA업무대행

– LDAP: 인증서 보관/검색, 폐기인증서 보관, CRL보관

ClientRepository

(LDAP)RA CA

발급요청 검토요청

심사/발급

발급

저장

NPKI

– 국내 민간 Sector에서 일어나는 상행위,

전자적 증명행위 지원

GPKI

– 국가기관의 전자적 증명행위 지원

Root CA

전자서명인증 관리센터(KISA)

일반거래 은행 증권 공공 무역

한국정보인증

한국전자인증

금결원 koscom 정보사회진흥원 무역정보통신

Root CA(행자부)

Class I CA Class II CA 기타

전자서명용(행자부) 전자관인용(행자부) 병무청, 대법원, 국회, 대검

국외/기타상호인증


PKI(Public Key Infrastructure)

인증체계 연동방안

– 인증서 신뢰목록(CTL: Certificate Trust List): 신뢰기관 별도목록 관리, 목록관리의 안정성이 문제

• NPKI, GPKI 연동모델

– 상호인증서(Cross Certification): 상호발급, 사용자 기존신뢰 폐기 문제

– 가교인증(Bridge CA): 별도기관이 조정자 역할, 관리업무 집중의 문제 (미국 FPKI모델)

– http://www.dbguide.net/blog/post/post_list.jsp?urlid=jcpark97&cnum=32460

참조: Softforum사 XecureWeb의 PKI 기능구성도OCSP

(Online Certificate Status Protocol)

– 인증서 유효성 실시간 확인

– 전원문제로 CRL을 유지하기 힘

든 Mobile device 대응

– 실시간 요구 증가 대응


항목 상세내역

개요 PKI를 무선망환경에 최적화시킨 스키마

기출여부

관련KeyWord WAP GW, WTLS x.509, WML, OCSP, SLC

추천사이트

기술발전

RoadMapPKI Mobile PKIPKI (스마트폰 등 HW발달 영향)

기타

Preview

4-3. WPKI


WPKI(Wireless Public Key Infrastructure)

개요

– 무선환경에 최적화된 공개키 기반 암호인프라

– 무선의 특성인 기기성능, 네트워크 대역폭, 전원관리, UI표현의 한계 문제점 고려

WPKI의 기능 Flow

– OCSP: Online-Certificate Status Protocol

– SLC (Short Lived Certificate): 인증서 취소사실을 알리기 보다 더 이상 발행을 안 하는 방식

Mobile

Device

Repository

(LDAP)

WPKI

RA

WPKI

CA발급요청

검토요청

심사/발급

저장

WAP

GW거래자WTLS

WML SSL/TLS확인: OCSP, SLC

발급

이용

WPKI/PKI비교

구분 WPKI PKI

인증서 종류 WTLS CERT X.509 X.509

유효기간 24H~48H 통상 1년

알고리즘 ECC(KCDSA) RSA

검증 SLC/OCSP CRL/OCSP

적용분야

– M-Commerce

– U-Commerce

WTLS

X.509

X.509

HTTP


항목 상세내역

개요 거래 안정성을 보장하기 위한 일련의 암호 프로토콜

기출여부 69, 89

관련KeyWord Hashing, Private/Public Key, 부인봉쇄

추천사이트

기술발전

RoadMap

기타

Preview

4-4. Digital Signing/Digital Envelope


전체 Digest

Digital Signing/Digital Envelope

Digital Signing

– 요건: 위조/재사용/변경불가, 부인봉쇄, 송신자 증명

– 인터넷 뱅킹 등 전자거래에 광범위하게 이용

Digital Envelope

– 자료의 안전한 보관

– 서명에 사용된 비밀키를 수신자의 공개키

로 암호화 하여 전송

– 중간의 개입자는 알 수 없음

소비자

카드사

쇼핑몰

구매

Digest

결재

Digest

구매

Digest

결재

Digest

결재

Digest

전자봉투전자서명전자서명

Doc., Hashed Doc.를

Signer Private key로 전자서명

(Signer 증명)

Verifier Public key로 암호화

(암호화:Verifier만 복호화 가능)

(Doc.) Hashing

(Hashed Doc)

비교/검증

Signer의 Public key로 서명검증

(Signer증명)

(문서 위/변조 여부 검증)

구매내역만 처리, 결재내역은 카드사로 전달

DocHashed

Doc

Doc Hashed

Doc

Doc Hashed

Doc

Hashed

Doc=Match????

Hashed

Doc

복호화

(Signer’s Public Key)

전자서명 실시

(암호화)

(Signer’s Private

Key)

Hashing

실시


항목 상세내역

개요 인터넷상의 안전한 통신을 지원하는 암호 프로토콜

기출여부 93, 95

관련KeyWord Handshake, 인증서, 단측인증/양측인증

추천사이트http://www.ietf.org/rfc/rfc2246.txt

http://www.ehow.com/info_8210610_differences-ssl-shttp.html

기술발전

RoadMap

기타

Preview

4-5. SSL

http://www.ietf.org/rfc/rfc2246.txt








SSL (Secure Socket Layer)

Client Server

Client-hello = (RAND, Cipher spec, Compression Method)

Server-hello =

(Chosen Protocol Ver, RAND, CipherSuite, Compression Method)

Server Certificate = (Svr-Public-Key)

Server-Hello-Done

Client-Key-Exchange = ENCsvr-public-key(Pre-Master-Secret)

Change-Cipher-Spec

Master-Secret =

(S/C RND, Pre-Master-Secret)

Master-Secret =

(S/C RND, Pre-Master-Secret)

Finished=ENCsession-key (MAC(현재까지 메시지 연접))

Change-Cipher-Spec

Option: Client Certificate

Data = ENCsession-key(All-Data)

• Change-Cipher-Spec: 이제부터 협상된 암호화 키로 전송하겠다.

• Finished: 최초로 공통 암호화된 문장임

• Restart Handshake 가능

Server Certificate

(Public Key)

Finished=ENCsession-key (MAC(현재까지 메시지 연접))

Master-Secret으로 암호화된 문장

• 인증서 내 도메인과 접속하려는 도메인의 일치 여부(MITM방어)

• 인증서 날짜 유효 여부

• 인증서 발행 CA의 신뢰성

• 발행자의 서명에 대한 해당 Public key의 검증 여부

Session Key =

MD5/SHA(Master-Secret)

Session Key =

MD5/SHA(Master-Secret)

인증서 검증내역

SSL Protocol

Flow


SSL

TCP/IP 상의 SSL 위치

SSL과 S-HTTP의 차이점

프로토콜 독립성

일정부분 보유 가능

구분 SSL S-HTTP

기본개념 TCP계열 지원 (Transport layer) HTTP만 지원(App. Layer)

암호화 대상 전체 통신내역 (Channel) Page data

호환성 App. 에 독립적 App. 에 의존적

성능성 상대적으로 덜 우수 상대적으로 우수


Security Management


항목 상세내역

개요 분산된 보안 장비, 보안환경의 효율적 관리 방안

기출여부 69, 75, 83

관련KeyWord Policy, Governance

추천사이트

기술발전

RoadMap이벤트 수집장비 통합관리TMS

기타

Preview

5-1. ESM


ESM (Enterprise Security Management)

개요

– 기업에 산재된 보안장비와 각종 Computing자원에서 발생하는 이벤트를 통합 관리하는 시스템/체계

– 개별관리의 복잡성/단품 대응의 한계 극복, 보안정책의 일관성 유지

보안장비

서버

NW장비

Agent

SNMP

IAP

OPSEC.

Normalization

Co-relation

DB Loading

분석

모니터링

보고서

CSO

CERT

운영담당

감시/수집 이벤트통합 분석 통보

제공기능

– 이 기종 Device 정책관리(Parsing), 분석, 보고, 이벤트 모니터링

핵심기술/역량

– 이벤트 통합기술(수집연동), Anomaly Detection(분석), Policy `Parser, Data Mining

– BI, 보안장비 연동 및 Reaction (업체간 협의 및 Alliance구성)

도입(구축) 절차

현황파악 정책확정Legacy 수정

(필요 시)모니터링/시험 운영ESM도입


ESM (Enterprise Security Management)

성공적 운영방안

– 프로세스 선 확보, 조직확보

– 대형망: ESM of ESM

– 정기적 대응훈련

구축 시 고려사항

– 조직측면: CSO, 전담조직, CERT연계

– 기술측면: 자사만의 분석틀/기준보유 필요, Forensic 기술 보유로 자체해결 능력 함양

– 효율성 측면: Out-Sourcing고려, 표준 준수(ISO 27001, ITIL), Compliance

– Business Process의 보안성을 감시하려면 ESM으로는 불충분. 이 경우는 BPM혹은 내부통제시스템

연계 필요


항목 상세내역

개요 ESM + 위험관리 Concept

기출여부

관련KeyWord Risk=VAT

추천사이트

기술발전


기타

Preview

5-2. TMS


TMS (Threat Management System)

개념

– 각종 보안위협의 계량화를 통하여 조직이 능동적으로 반응하도록 관리하는 체계/시스템(R=VAT)

– Zero Day attack대비, 대응 차별성

주요 기능

– 트래픽 / 트랜드 분석

– 이벤트 분석: 해킹양상, 유형, 위험도 실시간 분석

– 위협탐지: 해킹/비정상 Traffic의 감지(탐지 센서, ASP서비스 등 이용)

– 위협분석: 정보정리, 유의미한 위협의 분리, 연관참조, 실시간 위협산정

– 예/경보 시스템: 위협 등급에 따른 예/경보 차별 발령

위협탐지

이상징후 탐지

실시간

위협분석

조기경보/

대응

실시간 위협관리 엔진

전망

– 사후대응보다 사전예방이 더 운영효과가 큼(패치 우선순위 설정 등), ERM연계

고려사항

– 도입보다 운영이 중요, 양질의 위협/취약성 제공 Vender, 선행노력(자산평가, 취약성 발굴 등)


항목 상세내역

개요 분산환경에서의 빠른 검색에 최적화 된 DB

기출여부 83

관련KeyWord DSA, DUA, DAP, DOP, Replica

추천사이트

기술발전


기타

Preview

5-3. LDAP


LDAP/X.509(Light Weight Directory Access Protocol)

개요

– 분산환경에서 객체 및 정보를 디렉토리 형태로 관리하도록 구축된 데이터베이스

– 개방형NW, 정보홍수 속 검색의 어려움 극복할 빠른 검색수단 필요

– LDAP은 보안의 주제는 아니나 보안객체의 저장수단으로 광범위하게 이용

Master

DSA

DSA

X.500

DSA

X.500

DSPDOP

DUA

DAP

Replica Replica

– DUA (Directory User Agent): 정보요청

– DSA (Directory Service Agent): 서비스 제공서버

– DAP (Directory Access Protocol): DUA/DSA간

– DSP (Directory System Protocol): DSA간 요구처

리 프로토콜

– DOP (Directory Operational Binding

Management Protocol): DSA간 관리동작

Directory 서비스의 종류

– X.500: ISO제정, 광범위한 규격, OSI 7 Layer기반

– LDAP: IETF제정, 인터넷용 Directory서비스 구격, TCP/IP기반, 단순 Spec.

– LDAP과 X.500은 DAP를 이용하여 통신


LDAP/X.509(Light Weight Directory Access Protocol)

사용분야

– 장비관리(각종 Device Management)

– 사용자 관리(EAM, IAM, 고객조회 등)

전망

– 변동적이 적은 목록

– Ubiquitous환경에 취약

– RDB와 Role분담, 조회성능에 주력 예상


Service Security


항목 상세내역

개요 웹 서비스에 특화된 보안 아키텍처

기출여부 77

관련KeyWord 메시지/전송레벨 보안, XML보안, W3C/OASYS

추천사이트

기술발전

RoadMap

기타

Preview

6-1. Web Services Security


Web Services Security

웹 발전단계에 따른 보안이슈의 변화

– 내부통합외부통합 (1:1/사전계약통합)

• Authentication의 주체, 암호화, 무결성

– 소극적 Biz적극적 Biz (Loosely Coupled참여자가 인지하지 못하는 통합)

• 신뢰구조의 문제, 동적 연결구조

웹서비스 보안 개념도

SAML Liberty Alliance

WS-Security WS-Auth

WS-Policy WS-Privacy SOAP

XKMS XACML XML서명 XML Encryption

SSL TLS

XML App. Firewall Gateway

메시지레벨

보안

전송레벨

보안


Web Services Security

웹 서비스 사용 XML 보안 4요소

– XML서명: 전자서명 (인증/무결성 유지)

– XML암호화: 메시지에 대한 부분 암호화 (기밀성 유지)

– XACML: 메시지 별 ACL 적용가능 (인증)

– XKMS:키등록/분배/조회 (기밀성, 무결성 지원)

– WS Security표준은 대부분 XML Security를 원용하므로 같은 내용임

Web Services 보안관련 표준화 현황

– W3C: XML Signature, XML Encryption, XKMS

– OASYS: SAML, XACML, WS-Security

문제점

– MS, IBM 등 대규모 벤더들에 의한 표준화 주도로 제품가격 상승 요인

– 필드에서의 사용지연으로 영향력 약화

– WAS 등 일부 솔루션에 모든 기능을 의존하여 장애집중 가능성 증가


항목 상세내역

개요 유비쿼터스 환경에 최적화된 보안 아키텍처 구성방안

기출여부

관련KeyWord 77, 81

추천사이트

기술발전

RoadMap유비쿼터스 보안 체계 논의개별 기술별 분화(NFC 등)

기타

Preview

6-2. Ubiquitous Security


Ubiquitous Security

Ubiquitous환경의 특징과 보안상의 고려사항

– 저전력, 저 Power

• 경량의 암호화 알고리즘, 보안레벨과 연산능력을 동시에 고려하여 환경 설계

– 무선환경

• 쉬운 Sniffing환경, Physical/Mac layer에 대한 보안 강화 필요

– 심한 변동성

• 인증속성의 고정이 힘듬, 불특정 다수에 대한 인증필요

Ubiquitous컴퓨팅보안의 보안 요구사항

– 인증/통신 프로토콜: Tag정보획득 시 인증필요

– 도청: Reader와 Tag사이의 무선구간 도청에 대비한 암호화 필요

– 위조: Forged Tag를 이용한 Signal Interception 대비 필요

– 복제: Tag의 복제/유통이 불가능해야 함

– 개인정보 침해: 위치센서, 건강관련 정보 센서 등

– 가용성: Tag에 대한 DoS 공격방어 메커니즘 필요

Ubiquitous Computing의 구간별 보안기능

Tag Reader SAVANT

USN

ONS

PML

무선구간 보안

인증

RFID

Tag보안

주소기반 필터링

메시지 기반 필터링

InternetFiltering

서비스기반 필터링

노드 인증


Ubiquitous Security

RFID 주요 보호방안

– Kill Tag: 물건 인도 전 Tag무효화 작업 실시, re-Active 금지

– Farade Cage: 차폐용기(특정주파수를 차단하는 호일/금속호일망)

– 방해전파: 프라이버시 보호를 위한 Active Jamming (전파법 불법여부 논란)

– 차단자 Tag: 태그의 일련번호 스펙트럼을 방해/은닉시키는 방해전파의 일종

RFID 프라이버시 가이드라인

– 태그에 허가 받지 않은 개인정보 기록 금지

– 태그를 통한 개인정보 수집 시 통보

– 태그 물품정보와 개인정보 연계 시 통보

– 물품 구매/제공 시 태그 부착사실 및 그 내용의 통보

– 태그 기능제거 방식의 소개 및 제거수단 제공

– 태그 제거자에 대한 불이익 금지 등

기술적용 고려사항

– 잠재적 위험성에 비해 침해사례가 적어 의사결정자들의 관심을 적극적으로 끌기 힘듬

– 개별기술이 아닌 일관된 국가 기술체계 확립 필요(표준화 측면 때문에도 필요함)


Ubiquitous Security

서비스별 예상 위협

– Home NW: 가전 오작동, 화재, Door open, 개인 정보 유출

– 병원: 의료정보 유출, 위변조로 인한 사고 (약물 과다 투여 등)

– Telematics: 개인 위치정보, ITS장애로 인한 교통대란

– 물류: 가격조작, 재고정보/지불정보의 조작

대응방안

– 기술적 대응방안

• 기밀성: 대칭키+비대칭키의 적절한 조합(브로드캐스트 비대칭, Ad-Hoc 대칭)

• 무결성: MAC(최신데이터 보장-이전 로딩 금지)

• 가용성: 전력소모 최소화, 키 관리 등 주요 노드 집중 관리,

• 기타: 안전천이 협약(Secure Transition Association: 사용 목적별 Policy)

– 법률적 대응방안

• 프라이버시 보호(취득/이용 측면)

• 통합 인증법안(기기/센서/ID 등 주체의 통합)

• 개인정보 통제권의 강화 (물리적 재화 수준으로 격상)

– 문화적 대응방안

• 사용자 보안의식 재고


항목 상세내역

개요 VoIP 서비스 특화된 보안이슈와 해결방안

기출여부 83

관련KeyWord Signaling security, Bearer security

추천사이트

기술발전

RoadMap인증Signaling암호화Bearer 암호화

기타

Preview

6-3. VoIP 보안


VoIP보안에 대한 오해 몇 가지…

1. VoIP보안은 네트워크 보안과 별 차이 없지 않나?

2. VoIP는 통화야… 네트워크 보안과는 별개이지 않나?

네트워크 보안과의 유사점

• 비슷한 프로토콜(App. 이전)

• 비슷한 OS

• 비슷한 공격기법

네트워크 보안과 다른 점

• 통화 프로토콜 (App.)

• 기존 보안장비가 그대로 적용이 되지 않는다.

• 기존 PSTN에서 발생하던 사고가 비슷하게 발생

What we Commonly See

• 보안관점에서의 모니터링 부족

• 시스템 설정 오류가 많음

• device hardening 부족

• 관계자들의 전문지식 부족

• 보안관점의 지식/장비 인프라 취약


OS Exploits

Signaling Attacks

Endpoint Admin Privilege Exploits

Proxy Impersonation

Real Time Protocol (RTP) Attacks

VoIP Wiretapping

VoWiFi Attacks

DoS Attacks

Spam for Internet Telephony (SPIT)

IP PBX and Telephony Server Exploits

Vishing (VoIP Phishing)

대표적인 외부위협은?


Signaling Hardening

Signaling Encryption

RTP Encryption

VoIP보안에 대한 접근방식

단말 Hardening

Traffic Shaping

GW/PABX OS/App. Hardening

Configuration Hardening

VLAN, PSTN backup

Firewall

VoIP IPS

SBC

Message Hardening, Load balancing

IPS/Firewall

SBC

Message Hardening

Hardware Hardening


VoIP보안에 대한 접근방식

보안 전문인력이 없다면…

– 인원이 많지 않다면 CENTRIX형 상품을 사용한다.

– 내부통화가 많다면 SP의 임대형 상품을 계약한다. (GW/PABX 임대)

– SP를 사용한다면 보안사고 발생 시 요감 감면 등 위험관리가 가능함

정부부처/지자체일 경우

– 행안부의 IPT규격을 준수할 것인가?

– 기술성숙도 고려

구매한 GW/PABX를 사용하고 있다면…

– 설치 시 제조사에게 보안점검을 꼭 지시한다. (공개된 취약성 제거)

– Default Password 변경 & 퇴사사원 대비 주기적 변경

– DISA기능 OFF 혹은 패스워드 enable

VoIP규모가 크다면…

– VoIP전용 IPS도입을 고려한다. (SBC통합형일 경우 SP와의 호환성 여부 점검)

– 음성/데이터라인의 분리를 적극 고려한다.(별개의 물리적 라인, VLAN 등)


행안부 IPT 암호화 규격

security framework2.20

Documents