1. 정보보호 개요

1.1. 정보보호 목표

• 기밀성 (Confidentiality) : 허가되지 않는 그룹 또는 사용자에게 노출되지 않도록 보장
• 무결성 (Integrity) : 권한없는 사용자 또는 접근으로 인해 정보가 변경되지 않는 것을 보장
  해시 함수를 사용해 무결성을 확인한다.
• 가용성 (Availability) : 인가된 사용자는 정보에 접근하고 사용할 수 있는 것을 보장
  디스크, 네트워크, 서버를 이중화해 가용성을 확보(RAID, DRS)

1.2. 정보보호 공격 유형

• 변조 (Modification)
  • 원래 데이터를 다른 데이터로 바꿈
  • 무결성 보장을 위협
• 가로채기 (Interception)
  • Passive Attack(수동적 공격)
  • 예. 스니핑
  • 데이터 암호화 해야함
  • 기밀성 보장을 위협
• 차단 (Interruption)
  • 예. DOS, 프로세스 고갈 공격(내부 프로세스 무작위로 생성)
  • 가용성 보장을 위협
• 위조 (Fabrication)
  • IP 변조

1.3. 정보보호 대책

통제의 구체성

• 일반 통제
  • 정보시스템의 소프트웨어 생명주기에 대한 통제
  • 직무분리, 시스템 개발, 논리/물리 보안, 하드웨어 통제, 백업 및 복구, 비상계획 등
• 응용 통제
  • 트랜잭션과 데이터 무결성을 확보하기 위한 통제
  • 트랜잭션의 입력, 처리, 출력을 통제 (의미없는 갱신을 회피해 무결성 보장)

시점 별

• 예방 통제 : 백신, 직무분리, 암호화, 방화벽 등
• 탐지 통제 : CCTV, 보안감사, 감사로그, 경보 등
• 교정 통제 : 백신 소프트웨어
• 복구 통제 : 백업 및 복구

1.4. 암호화

• 암호 기술 : 기밀성, 무결성, 가용성, 부인봉쇄, 인증, 인가
• 대칭키 암호화
  • DES, AES, 3DES, SEED, IDEA
  • 키길이 : 128bit 이상
  • 키개수 : N(N-1)/2
  • 기밀성 제공
  • 데이터 암호화가 목적
  • 공개키 보다 빠름
• 공개키 암호화 (비대칭키 암호화)
  • RSA, DSA, ECC, Diffie Hellman
  • 키길이 : 2048bit 이상
  • 키개수 : 2N
  • 기밀성, 부인방지, 인증 제공
  • 대칭키 암호 전달(키 분배) 목적
  • 대칭키 보다 느림
• 해시함수
  • MD2, MD4, MD5, SHA, SHA-1

2. 인터넷 보안

2.1. SET (Secure Electronic Transaction)

• 전자상거래 인증의 상호작용을 보장
• SSL보다 느림
• 전자 서병과 인증서를 통해 안전한 거래 가능
• 기밀성, 무결성, 인증, 부인 봉쇄 제공
• 공개키 암호화 기법 사용
• 구성요소
  • 구매자, 판매자, PG(카드 지불 네트워크 통로), 발급기관, 지불처리은행, 인증기과
• 사용 기술
  • DES, RSA, SHA-1
• 사용자는 판매자에게 지불정보(계좌정보)를 숨길 수 있다.
• 사용자는 PG로부터 주문 정보를 숨길 수 있다.
• PG는 판매자가 전송한 결제요청이 실제 고객이 의뢰한 정보인지 확인 할 수 있다.
• 단점
  • 암호 프로토콜이 너무 복잡
  • RSA 속도 저하
  • 전자지갑 소프트웨어가 필요

2.2. SSL (Secure Socket Layer)

• Netscape사에서 개발, 클라이언트와 서버간의 안전한 통신을 위함
• 비밀성, 무결성, 인증 서비스 제공
• RSA 사용
• 443 포트 사용
• 응용계층 ~ 전송계층에서 동작
• 동작 과정
  1. 443 포트를 호출해 TCP연결 수행
  2. 연결 완료되면 웹 브라우저는 웹 서버에게 "Client Hello"메시지 전송
     웹 브라우저에서 지원하는 SSL 버전, 암호화 알고리즘 등 정보가 담김
  3. 웹서버는 "Client Hello"를 받으면 사용할 암호화 알고리즘을 결정해서 웹 브라우저에게 "Server Hello"메시지를 전송
  4. 웹 브라우저는 최종적으로 "Change Cipher Spec"메시지를 웹 서버에게 전송해서 협상 마침.

2.3. 전자 우편 보안

• PGP (Pretty Good Rivacy)

  • 전자서명, 메시지 암호화, 1회용 세션키 생성, 이메일 호환, 세그먼테이션
  • 압축, 전자우편 호환성, 디지털 서명

• PEM (Privacy Enhanced Mail)

  • 메시지 암호화, 디지털 서명, 인증, 세션키 생성, 전자우현 호환성

• S/MIME

  • MIME 전자서명 + 암호화기능
  • 표준 보안 메일 규약, 송수신자 인증, 메시지 무결성 증명, 첨부
  • CA로부터 X.590 인증서 받아야함
  • HTTP 사용.

  ---

  작성중..