개요

요즘같이 컴퓨터로 많은 데이터를 주고 받는 세상에서 그 데이터의 보안은 가장 중요한 것들 중에 하나라고 봐도 무방할 것이다.

보안의 기초인 암호론에 대해서 알아보고 보안의 목표, 매커니즘에 대해서 알아보겠다.

보안 목표

정보 보안에는 세가지의 주요 목표가 있다.

기밀성

기밀 정보는 보호되어야 하며 조직은 정보의 기밀성을 위협하는 악의적인 행동에 대응해야 한다.

기밀성은 정보를 저장할 때만 적용하는 게 아니라 정보를 전송하는 과정에서도 기밀성의 유지는 적용된다.

무결성

정보는 지속적으로 변경되어야 한다.

무결성은 변경 권한을 가진 사람이 인가된 메커니즘을 통해서만 변경을 해야 한다는 것을 의미한다.

가용성

조직이 생산하고 저장하는 정보는 인가된 사람이 사용할 수 있어야한다.

보안 공격

보안의 목표를 위배하는 공격에 대해서 알아보자.

기밀성을 위협하는 공격

snooping

스누핑은 데이터에 대한 불법적인 접근 또는 탈취를 의미한다.

traffic analysis

암호화된 데이터를 이해할 수 없지만, 온라인 트래픽을 분석하여 다른 유형의 정보를 얻을 수 있다.

무결성을 위협하는 공격

modification

공격자가 정보를 가로채거나 획득한 후 자신에게 유리하도록 정보를 조작한다.

masquerading

공격자가 다른 사람으로 위장하여 가장 또는 스푸핑공격을 수행한다.

replaying

공격자는 사용자가 보낸 메시지 사본을 획득하고 나중에 그 메시지를 다시 사용한다.

repudiation

송신자는 자신이 메시지를 보냈다는 것을 부인할 수 있고, 메시지의 수신자는 메시지를 받았다는 것을 부인할 수 있다.

가용성을 위협하는 공격

denial of service

서비스 거부(DoS)는 매우 일반적인 공격이다.

시스템의 서비스를 느리게 하거나 완전히 차단할 수 있다.

보안 서비스

data confidentiality

데이터 기밀성은 노출 공격으로부터 데이터를 보호하기 위해서 고안되었다.

data integrity

데이터 무결성은 공격자가 데이터의 변경, 삽입, 삭제, 재전송 등으로부터 데이터를 보호하는 것이며 메시지의 일부나 전부를 보호한다.

authentication

이 서비스는 통신의 상대편에 대한 인증을 제공한다.

연결형 통신은 송신자, 수신자에 대한 인증을 제공하고 비연결형은 데이터의 출처를 인증한다.

nonrepudiation

부인봉쇄 서비스는 데이터의 송신자나 수신자가 부인하지 못하도록 한다.

access control

접근 제어는 불법적인 접근으로부터 데이터를 보호한다.

보안 메커니즘

보안 서비스를 제공하기 위한 보안 메커니즘이 있다. 그것들에 대해 알아보겠다.

encipherment

암호화를 이용하여 데이터를 숨기거나 보호하여 기밀성을 제공할 수 있으며, 다른 서비스를 제공하기 위한 메커니즘을 보완한다.

data integrity

데이터 무결성 메커니즘은 데이터 자체를 이용하여 특정 프로세스에 의해 생성된 짧은 검사값을 데이터에 추가한다.

digital signature

디지털 서명은 송신자가 전자적으로 데이터에 서명을 하고 수신자가 전자적으로 그 서명을 검증할 수 있는 방법이다.

authentication exchange

인증 교환에서 두 사람은 자신의 신원을 다른 사람에게 증명하기 위해 어떤 메시지를 교환한다.

traffic padding

트래픽 패딩은 공격자가 트래픽 분석을 하지 못하도록 방해하기 위해 가짜 데이터를 삽입하는 것이다.

routing control

라우팅 제어는 공격자가 특정 경로에서 도청하지 못하도록 송신자와 수신자가 별도의 가용 경로를 선택하고 지속적으로 경로를 바꿔가며 통신하는 것을 의미한다.

notarization

공증은 두 사람 사이의 통신을 제어하기 위해 신뢰할 수 있는 제 3자를 선택하는 것을 말한다.

access control

접근 제어는 사용자가 시스템의 데이터나 데이터 출처에 대한 접근 권한 여부를 증명하는 방법을 사용한다.

서비스와 메커니즘의 관계

보안 서비스	보안 메커니즘
Data confidentiality	Encipherment, routing control
Data integrity	Encipherment, digital signature, data integrity
Authentication	Encipherment, digital signature, authentication exchanges
Nonrepudiation	digital signature, data integrity, notarization
Access control	Access control