접근 통제 및 인증 기술 기본 개념

1. 접근 통제 기본 개념 정리

(1) 접근 통제란

어떤 회사나 조직의 민감한 정보들이 권한 없는 사용자들에 의해 외부로 누출, 변조, 파괴될 위험성을 차단하기 위한 보안 기술이다. 사람이나 프로세스가 시스템이나 파일에 읽기, 쓰기, 실행 등의 접근 여부를 허가하거나 거부하는 기능을 말한다.

 

(2) 접근 통제 기본 원칙

- 직무 분리

- 최소 권한

 

(3) 접근 통제 유형 (MAC vs DAC vs RBAC)

구분	MAC (Mandatory Access Control)	DAC (Discretionary Access Control)	RBAC (Role Based Access Control)
특징	- 주체의 보안 레벨과 객체의 보안 레벨 비교하여 접근 권한 부여	- 주체가 속한 그룹의 신원에 근거하여 객체에 대한 접근 제어 - 객체의 소유권을 가진 사용자가 다른 사용자에게 접근 권한 부여	- 다중 사용자, 다중 프로그래밍 환경에서의 보안 요구 충족하기 위해 제안 - 사용자 대신 역할에 권한을 할당 - 사용자는 책임에 따라 각자 다른 역할에 할당
장점	- 엄격한 보안 적용 - 중앙집중식 관리	- 구현이 쉽고, 권한 변경이 유연 - 분산형 보안 관리 (동적 접근 제어)	- 기본 보안 원칙 제공    > 최소 권한    > 직무 분리    > 데이터 추상화
단점	- 성능 저하 우려 - 개발/구현 어려움	- 주체 별 객체 접근 권한 부여 필요 - 트로이목마 공격에 취약(신분 위장 공격에 취약)
사용	- 주로 군 시스템에 사용 - 방화벽	- 접근통제 행렬 - ACL - 권한 리스트	- 상업적 용도

 

(4) 접근 통제 모델

구분	Bell-LaPadula (BLP)	Biba	Clark-Wilson
보호 대상	기밀성	무결성	무결성
특징	비인가 객체 읽기 금지 - No Read Up / No Write Down 최초의 수학적 모델	비인가 객체 쓰기 금치 - No Write Up / No Read Down 최초의 수학적 무결성 모델	무결성 보존 - 무결성 등급 격자 사용 - Biba의 확장판

 

(5) 기타 접근 통제 모델

: 래티스 모델, 상태 기계 모델, 비간섭 모델, 정보흐름 모델, 만리장성 모델

 

(6) 중앙집중식 vs 분산형 vs 혼합형

1) 중앙집중식 접근 통제

AAA 기능을 하나의 시스템에서 수행하는 방식이다.

※ AAA

   > Authentication: 인증 (ID/PW, 생체 인식, PKI 등)

   > Authorization: 인가 (MAC, DAC, RBAC 등)

   > Accountability: 책임추적 또는 과금 (로깅, Audit 등)

 

※ RADIUS (Remote Authentication Dial-In User Service)

네트워크 사용자에게 중앙화된 AAA 관리를 제공하는 네트워크 프로토콜이다.

어플리케이션 계층의 클라이언트/서버 프로토콜이며, 전송을 위해 TCP 또는 UDP를 사용할 수 있다.

 

※ TACACS (Terminal Access Controller Access-Control System)

원격 접근 서버가 인증 서버에 사용자 로그인 패스워드를 보내는 유닉스(UNIX) 망에 공통된 인증 프로토콜이다. TACACS -> XTACACS -> TACACS+로 발전되었다.

RADIUS가 클라이언트/서버 간 전송 중 사용자의 패스워드만 암호화하는 반면, TACACS+는 모든 정보를 암호화하여 RADIUS의 취약점을 보완했다.

 

※ DIAMETER

RADIUS의 기능과 한계점을 극복하기 위해 개발되었다.

RADIUS와 비교

구분	RADIUS	DIAMETER
구조	서버/클라이언트(단방향)	Peer-to-Peer(양방향)
Failover 기능	비효율적, 제한적	효율적
보안 기능	공유 비밀키 종단간 보안 지원 없음	종단간 보안 지원(TLS)
패킷 암호화	비밀번호만 암호화	전체 암호화

 

2) 분산 접근 통제

각 자원의 소유자가 인증 및 인가, 책임을 직접 통제하는 방식이다.

사용자의 접근과 권한을 허가하기 위한 절차와 기준에 일관성 유지가 힘들고, 권한 관리가 어렵다. 또한 표준화가 부족하고, 권한의 중복, 보안 취약점이 발생할 수 있다.

 

3) 분산 접근 통제

중앙집중식 접근 통제와 분산 접근 통제를 혼합하여 사용하는 방식이다.

사용자들에게 한층 더 융통성을 부여하지만 중요 자산에 대한 철저한 관찰이 필요하다.

관리가 복잡해지는 단점이 있다.

 

3. 인증 기본 개념 정리

(1) OTP (One Time Password)

로그인 할 때마다 매번 일회용 패스워드가 생성되어 패스워드 추측 공격, 재생 공격 등을 방어할 수 있는 사용자 인증 방식이다.

하지만 OTP 기기 분실 시 악용 소지가 있으며, 기기의 배터리 방전 혹은 오류가 발생할 수 있다는 단점이 있다.

 

OTP는 크게 동기식 OTP와 비동기식 OTP로 나뉜다.

동기식 OTP에는 시간 동기화 방식, 이벤트(카운터, 계수기) 동기화 방식이 있다.

비동기식 OTP에는 질의-응답(Challenge-Response) 방식이 있다.

구분	동기식		비동기식
종류	시간 동기화 방식	이벤트 동기화 방식 (카운터 동기화 방식, 계수기 동기화 방식)	질의-응답 방식 (Challenge-Response 방식)
작동 방식	현재 시간을 이용하여 난수 생성	서버와 OTP 기기의 카운트값으로 난수 생성	1. 서버가 질의값 생성하여 사용자에게 알려줌 2. 사용자는 질의값을 OTP 기기에 입력하여 반환값 얻음 3. 사용자가 반환값을 서버에 입력하면 서버는 이를 검증
특징	질의 응답 방식보다 사용이 간편		- 비교적 간단한 구조 - OTP 기기와 인증서버 간 동기화 필요 없음 - 사용자가 직접 질의값을 입력해야 하는 번거로움 - 인증 서버가 같은 질의값을 생성하지 않도록 관리 필요
	- 현재 대부분의 은행에서 사용하는 방식 - OTP 기기와 인증서버 간의 시간 정보가 동기화 되어 있어야 함 - 일정시간 이상 인증을 받지 못하면 새로운 비밀번호 생성까지 기다려야 함	- 시간 동기화 방식에 비해 동기화 되는 기준값을 수동으로 조작할 필요가 적음 - OTP 기기에서 번호를 생성한 카운트와 서버 상의 카운트가 똑같이 올라가야 함 (동기화 되어 있어야 함)

 

 

(2) 생체 인증

생체 인증의 요구사항

- 보편성: 누구나 갖고 있는가?

- 유일성: 각 사람마다 구별할 수 있는가?

- 영구성: 변화하지 않고 변화시킬 수 없는가?

- 획득성: 정량적으로 계측이 가능한가?

- 정확성: 환경변화와 무관하게 높은 정확성을 지니고 있는가?

- 수용성: 사용자의 거부감은 없는가?

- 기만성: 작위적인 부정사용으로부터 안전한가?

 

생체 인증의 정확도를 측정하는 지표

- 오인식률(FAR:False Acceptance Rate): 본인의 것이 아닌 생체인식 정보를 본인의 것으로 잘못 판단할 확률을 의미한다.

- 오거부률(FRR:False Rejection Rate): 본인의 생체정보를 본인이 아닌 것으로 잘못 판단할 확률을 말한다.

※ 사용자 편의성이 높아질수록 FAR은 높아지고, FRR은 낮아진다. 반대로 보안성이 높아질수록 FAR은 낮아지고, FRR은 높아진다.

※ 동일 오류율(EER, Equal Error Rate): 오인식률과 오거부률이 같아지는 비율을 말한다. EER의 수치는 ROC곡선으로부터 쉽게 얻을 수 있다.EER은 다른 ROC곡선을 가지는 장치의 정확도를 비교하기 위한 빠른 방법이다.일반적으로, 가장 낮은 EER을 가지는 장치가 가장 정확하다.

(교차 오류율, CER, Crossover Error Rate 이라고도 함)

 

(3) 암호 프로토콜을 활용한 인증과 암호 프로토콜

1) 802.1x

- 포트 기반 네트워크 접근 제어(PNAC)에 대한 IEEE 표준

- 네트워크 프로토콜에 대한 그룹인 IEEE 802.1의 일부

- 근거리 통신망과 무선랜을 연결하기 위한 장치의 인증 매커니즘을 제공

 

2) 802.11i

- 802.11은 흔히 무선랜, 와이파이라고 부르는 무선 근거리 통신망을 위한 컴퓨터 무선 네트워크에 사용되는 기술로, IEEE 802의 11번째 워킹 그룹에서 개발된 표준 기술을 의미한다.

※ 흔히 802.11과 와이파이라는 용어가 번갈아 사용되기도 하지만 와이파이 얼라이언스는 와이파이라는 용어를 다른 집합의 표준으로 정의하고 있다. 따라서 802.11과 와이파이는 동의어가 아니다.

- 802.11i는 WPA2으로서 구현한 IEEE 802.11의 수정판이며, 무선 네트워크의 보안 메커니즘을 규정이다.

기술 표준	802.11	802.11i
보안 프로토콜	WEP	WPA	WPA v2
암호화 프로토콜	WEP/RC4	TKIP/RC4	CCMP/AES
키 길이	40/128비트	암호화: 128비트 인증: 64비트	128비트
특징	- 한때 보편적으로 사용되었던 알고리즘 - 2001년 초 치명적인 취약점 발견 - 2004년 IEEE에서 사용 중단 선언	- WEP의 대안으로 일시적으로 사용 - TKIP를 통해 데이터 암호화 - EAP를 통해 사용자 인증	- 2세대 WPA로서 보안 기능 개선 - AES를 통해 암호화 - 사전 인증, PMKID 캐시 사용

 

(4) RFID (Radio-Frequency Identification)

1) RFID 개념

RFID는 주파수를 이용해 ID를 식별하는 방식으로 일명 전자태그로 불린다.

RFID 기술이란 전파를 이용해 먼 거리에서 정보를 인식하는 기술을 말하며, 전자기 유도 방식으로 통신한다. 여기에는 RFID 태그(이하 태그)와, RFID 판독기(이하 판독기)가 필요하다.

태그는 안테나와 집적 회로로 이루어지는데, 집적 회로 안에 정보를 기록하고 안테나를 통해 판독기에게 정보를 송신한다. 이 정보는 태그가 부착된 대상을 식별하는 데 이용된다.

쉽게 말해, 바코드와 유사한 기능을 하는 것이다. RFID가 바코드 시스템과 다른 점은 빛을 이용해 판독하는 대신 전파를 이용한다는 것이다. 따라서 바코드 판독기처럼 짧은 거리에서만 작동하지 않고 먼 거리에서도 태그를 읽을 수 있으며, 심지어 사이에 있는 물체를 통과해서 정보를 수신할 수도 있다.

 

2) RFID 분류

동력에 따른 분류: 수동형, 반수동형, 능동형

- 수동형(Passive) RFID: 오직 판독기의 동력만으로 칩의 정보를 읽고 통신

- 반수동형(Semi-passive) RFID: 태그에 건전지가 내장되어 있어 칩의 정보를 읽는 데는 그 동력을 사용하고, 통신에는 판독기의 동력을 사용

- 능동형(Active) RFID: 칩의 정보를 읽고 그 정보를 통신하는 데 모두 태그의 동력을 사용

 

전파의 주파수에 따른 분류: LFID, HFID, UHFID

- LFID(Low-Frequency IDentification): 낮은 주파수 사용 (120~140 KHz)

- HFID(High-Frequency IDentification): 높은 주파수 사용 (13.56 MHz)

- UHFID(UltraHigh-Frequency IDentification): 더 높은 주파수 사용 (868 ~ 956 MHz)

 

3) RFID 장단점

장점	단점
반영구적 사용 대용량 메모리 내장 이동중 인식 가능 비접촉 인식가능 반복 재사용 가능 높은 데이터 신뢰도 데이터 변환 및 저장 용이 운영비, 생산비 축소 다른 자동화 인식 장치 대비 적은 유지보수 비용	비싼 가격 개인 프라이버시 침해 가능 (정보 주체의 인식 여부 관계없이 수집 가능) 국가별 주파수가 다름 전파의 적용 범위 한정 모든 정보 유출 가능성 (개인신상, 위치, 구매 패턴 등)

 

4) RFID 공격 방법

도청, 트래픽 분석, 위조, DoS 등

 

5) RFID 보안 기법

- 태그 무효화(Kill 명령어): Kill 명령어를 날리면 태그가 영구적으로 비활성화

- Sleep/Wake 명령어: 태그의 기능을 잠시 정지했다가 안전한 장소에서 다시 활성화

- Blocker 태그 기법: 블로커 태그라고 불리는 전용 IC 태그를 소비자가 소지하여 가까이에 있는 IC 태그의 ID를 읽을 수 없게 함

- 태그 차폐(Faraday Cage): 금속성 박막으로 태그를 막아 무선 신호의 전달을 방해

- Active Jamming: 강한 방해 신호를 보내서 불법적인 리더기의 접근을 막음

 

(5) SSO (Single Sign On)

한 번의 인증 과정으로 여러 컴퓨터 상의 자원을 이용 가능하게 하는 인증 기능이다. 통합 인증, 싱글 사인온, 단일 계정 로그인, 단일 인증이라고 한다.

 

(6) IAM(Identity and Access Management)

기업의 적절한 직원이 적절한 기술 리소스에 액세스 할 수 있도록 보장하기 위한 정책 및 기술 프레임워크이다. IT 리소스를 사용할 개인 뿐만 아니라 직원이 액세스해야 할 하드웨어 및 애플리케이션을 식별, 인증 및 승인한다. 최근 몇 년 동안 규정 준수 요구사항이 점점 엄격해지고 복잡해짐에 따라 IAM 관리 솔루션이 널리 보급되고 중요해졌다.

 

(7) 커버로스(Kerberos)

1) 커버로스 개념

미국 MIT대의 Athena Project에 의해 개발된 대칭키 방식에 의한 인증 시스템이며, 인증 프로토콜인 동시에 키분배센터(KDC)의 역할도 수행한다.

신뢰받은 제3자 기반의 인증 시스템의 초기 구현 형태이자 가장 많이 사용되며, 윈도우 운영체제에서 Active Directory 도메인 내에서 사용되는 주요 인증 메커니즘이다.

 

2) 커버로스 구성요소

커버로스는 3개의 서버로 구성된다.

- AS(Authentication Server): 실질적인 인증을 수행하는 서버이다. 모든 사용자의 패스워드를 가지고 있으며, 초기 로그인 시에는 AS에서 패스워드로 인증한다. 사용자 입장에선 AS에 한번 로그인하면 인증 과정 종료된다.

- TGS(Ticket Granting Service): AS에서 인증받은 사용자들에 대해 각 필요한 서비스의 티켓을 발행하는 서버이다.

- 서비스 서버(Service Server): 표준상의 공식적 구성요소는 아니며, 사용자에게 서비스를 제공하는 서버를 말한다.

 

※ 티켓(Ticket): 사용자에 대한 신원과 인증을 확인하는 토큰으로, 다른 주체들과 통신할 때 사용하여 매번 패스워드를 입력하지 않도록 한다.

※ TGT(Ticket-Granting Ticket): 티켓을 발급할 수 있는 티켓이다.

※ Principal: 커버로스가 티켓을 발급할 수 있는 유니크한 ID이다.

 

3) 커버로스 장단점

장점	단점
- 기밀성, 무결성 보장 - 재생공격 예방 - 이기종 간 SSO 가능 - 대칭키 사용하여 도청으로부터 보호	- 패스워드 사전공격에 취약 - 비밀키, 세션키가 임시로 단말기에 저장 - 타임스탬프로 인한 시간 동기화 필요 - KDC가 단일 실패지점(SPoF)

 

참고자료:

https://ko.wikipedia.org/wiki/%EC%A0%91%EA%B7%BC_%EC%A0%9C%EC%96%B4

http://www.ktword.co.kr/abbr_view.php?nav=1&opt=&m_temp1=2513&id=279

http://itwiki.kr/w/OTP

https://crpc.kist.re.kr/common/attachfile/attachfileNumPdf.do?boardNo=00006344&boardInfoNo=0022&rowNo=1

https://ko.wikipedia.org/wiki/%EB%B0%94%EC%9D%B4%EC%98%A4%EB%A9%94%ED%8A%B8%EB%A6%AD%EC%8A%A4

https://ko.wikipedia.org/wiki/IEEE_802.1X

https://ko.wikipedia.org/wiki/IEEE_802.11

https://www.semanticscholar.org/paper/A-comparative-study-of-WLAN-security-protocols%3A-Adnan-Abdirazak/088c555468d6ea5c5fda7b7472fb2f2ca4087e08/figure/3

https://ko.wikipedia.org/wiki/%EC%9C%A0%EC%84%A0_%EB%8F%99%EB%93%B1_%ED%94%84%EB%9D%BC%EC%9D%B4%EB%B2%84%EC%8B%9C

https://ko.wikipedia.org/wiki/RFID

https://ko.wikipedia.org/wiki/%ED%86%B5%ED%95%A9_%EC%9D%B8%EC%A6%9D

https://en.wikipedia.org/wiki/Identity_management

https://ko.wikipedia.org/wiki/%EC%BB%A4%EB%B2%84%EB%A1%9C%EC%8A%A4

https://en.wikipedia.org/wiki/Kerberos_(protocol)

https://web.mit.edu/kerberos/krb5-1.5/krb5-1.5.4/doc/krb5-user/What-is-a-Kerberos-Principal_003f.html

https://ldap.or.kr/ldap%EC%9D%84-%EC%9D%B4%EC%9A%A9%ED%95%9C-kerberos-%EC%9D%B8%EC%A6%9D1/

http://itwiki.kr/w/%EC%A0%91%EA%B7%BC%ED%86%B5%EC%A0%9C_%EB%AA%A8%EB%8D%B8

https://en.wikipedia.org/wiki/RADIUS

https://en.wikipedia.org/wiki/TACACS#TACACS+

https://ko.wikipedia.org/wiki/%EB%8B%A4%EC%9D%B4%EC%96%B4%EB%AF%B8%ED%84%B0_(%ED%94%84%EB%A1%9C%ED%86%A0%EC%BD%9C)

알기사 알기쉬운 정보보안기사&산업기사 필기편