보안

(1)

(2)

(3)

보안

보안 침해 유형

 악플(리플, reply에서 유래)

 부적절한 접근과 정보 수집(동의 없이 개인정보 수집)

 부적절한 마케팅(동의 없이 개인의 인터넷 활동을 모니터링, 쿠키 등 활용)

스펨메일(spam) : 통조림회사(SPAM)가 광고를 함에 있어 문제를 발생시킴에서 유래

피싱메일(phishing) : private date+fishing, ; 다른 사이트(은행 등)에서 보낸 것으로 위장하여, 개인정보(계좌나 카드번호)를 알아내려는 메일

 부적절한 정보 분석(동의 없이 사적 정보를 분석, 본래의 목적 외의 분석용도로 사용)

부적절한 정보 이전(동의 없이 타인에게 넘기는 행위, 고지된 범위를 넘어선 이용)

불건전한 정보(음란, 폭력물, 거짓정보) 유통

사이버테러 : 개인, 집단, 국가 집단에 대한 테러

유언비어, 명예훼손, 사기, 스토킹, 홈페이지 공격/변조

 해킹(hacking) : 다른 시스템에 침입하는 행위

바이러스 : 시스템을 손상시키는 SW

저작권 침해

보안 침해 유형

 악플(리플, reply에서 유래)

 부적절한 접근과 정보 수집(동의 없이 개인정보 수집)

 부적절한 마케팅(동의 없이 개인의 인터넷 활동을 모니터링, 쿠키 등 활용)

스펨메일(spam) : 통조림회사(SPAM)가 광고를 함에 있어 문제를 발생시킴에서 유래

피싱메일(phishing) : private date+fishing, ; 다른 사이트(은행 등)에서 보낸 것으로 위장하여, 개인정보(계좌나 카드번호)를 알아내려는 메일

 부적절한 정보 분석(동의 없이 사적 정보를 분석, 본래의 목적 외의 분석용도로 사용)

부적절한 정보 이전(동의 없이 타인에게 넘기는 행위, 고지된 범위를 넘어선 이용)

불건전한 정보(음란, 폭력물, 거짓정보) 유통

사이버테러 : 개인, 집단, 국가 집단에 대한 테러

유언비어, 명예훼손, 사기, 스토킹, 홈페이지 공격/변조

 해킹(hacking) : 다른 시스템에 침입하는 행위

바이러스 : 시스템을 손상시키는 SW

저작권 침해

(4)

보안

개념

 개인이나 기관이 사용하는 컴퓨터와 관련된 모든 것을 안전하게 보호하는 것

 TCP/IP 프로토콜로 연결된 수많은 호스트들 사이에서 정보의 유출과 불법적인 서비 스 이용을 방지하는 것

개인정보

① 개인의 신체, 재산, 사회적 지위, 신분에 관한 사실, 판단, 평가에 관한 정보

② 생존하는 개인에 관한 정보로서, 성명, 주민등록번호 등에 의하여 개인을 알아볼 수 있는 부호, 문자, 음성, 음향 및 영상 등의 정보(정통망 이용촉진 및 정보보호법)

개념

 개인이나 기관이 사용하는 컴퓨터와 관련된 모든 것을 안전하게 보호하는 것

 TCP/IP 프로토콜로 연결된 수많은 호스트들 사이에서 정보의 유출과 불법적인 서비 스 이용을 방지하는 것

개인정보

① 개인의 신체, 재산, 사회적 지위, 신분에 관한 사실, 판단, 평가에 관한 정보

② 생존하는 개인에 관한 정보로서, 성명, 주민등록번호 등에 의하여 개인을 알아볼 수 있는 부호, 문자, 음성, 음향 및 영상 등의 정보(정통망 이용촉진 및 정보보호법)

(5)

인터넷 보안기술

전자우편 시스템보안 네크워크보안

암호보안 웹보안

PEM PGP

S/MINE 비밀키시스템 공개키시스템

혼합방법 인증

호스트 웹서버 웹프로토콜

침입자 차단시스템

인터넷 보안기술의 유형

(6)

 인터넷 환경에서 이메일은 무수한 호스트를 거쳐 전송되며, 송수신자의 주소와 내용 까지도 그대로 볼 수 있는 엽서와 같은 구조를 가지고 있어, 전송과정에서 얼마든지 탈취,위조, 변조가 가능함

 보안을 유지하는 방범은 내용을 암호화하여 제3자가 알아볼 수 없게 하는 것,

 PEM, PGP은 메시지 내용을 암호화 알고리즘을 사용하여 암호화하여 전송하여, 특별 한 키가 있어야 내용을 볼 수 있도록 함으로써. 기밀성, 무결성, 사용자 인증, 부인방 지 등을 지원한다.

PEM/PGP : 메시지를 암호화하고 암호를 해석해주는 프로그램

 인터넷 환경에서 이메일은 무수한 호스트를 거쳐 전송되며, 송수신자의 주소와 내용 까지도 그대로 볼 수 있는 엽서와 같은 구조를 가지고 있어, 전송과정에서 얼마든지 탈취,위조, 변조가 가능함

 보안을 유지하는 방범은 내용을 암호화하여 제3자가 알아볼 수 없게 하는 것,

 PEM, PGP은 메시지 내용을 암호화 알고리즘을 사용하여 암호화하여 전송하여, 특별 한 키가 있어야 내용을 볼 수 있도록 함으로써. 기밀성, 무결성, 사용자 인증, 부인방 지 등을 지원한다.

PEM/PGP : 메시지를 암호화하고 암호를 해석해주는 프로그램 전자우편 보안

전자우편 보안

전자우편 보안의 내용

(7)

PEM PGP

혼합방법 인증

(8)

PEM PGP

혼합방법 인증

(9)

PEM PGP

혼합방법 인증

(10)

PEM PGP

혼합방법 인증

(11)

방화벽(firewall)

개념

외부 네트워크로부터의 침입에 대해 내부 네트워크를 보호하기 위한 네트워크 구성 요소 중의 하나로서, 외부의 불법 사용자의 침입으로부터 내부의 전산 자원을 보호하기 위한 정 책 및 이를 지원하는 하드웨어와 소프트웨어를 총칭

주요 기능

① 외부 네트워크와 연결된 유일한 창구(Gateway) 역할

② 서비스의 접속 및 거부

③ 사용자 인증 포함

④ 내외부간에 상호 접속된 네트워크에 대한 트래픽 감시, 기록

종류

① 패킷 필터링 (Packet Filtering) 방식

② 애플리케이션 프락시(Application Proxy) 방식

③ 서킷 게이트웨이 (Circuit Gateway) 방식

개념

외부 네트워크로부터의 침입에 대해 내부 네트워크를 보호하기 위한 네트워크 구성 요소 중의 하나로서, 외부의 불법 사용자의 침입으로부터 내부의 전산 자원을 보호하기 위한 정 책 및 이를 지원하는 하드웨어와 소프트웨어를 총칭

주요 기능

① 외부 네트워크와 연결된 유일한 창구(Gateway) 역할

② 서비스의 접속 및 거부

③ 사용자 인증 포함

④ 내외부간에 상호 접속된 네트워크에 대한 트래픽 감시, 기록

종류

① 패킷 필터링 (Packet Filtering) 방식

② 애플리케이션 프락시(Application Proxy) 방식

③ 서킷 게이트웨이 (Circuit Gateway) 방식

(12)

패킷 필터링

 인터넷과 비공개 네트워크 사이에 패킷 필터링 기능이 있는 라우터를 설치하여 네트워크 패킷 헤더 내의 정보를 기초로 트래픽을 선택적으로 허용 또는

거부함으로써 트레픽을 제어하는 기술

 Router : 서로 다른 네트워크를 중계해주는 장치, 송신된 정보에서 수신처 주소를 읽어 가장 적절한 통신통로를 지정하고 다른 통신망으로 전송하는 장치

 Packet : 네트워크를 통해 전송하기 쉽도록 자른 데이터의 전송단위

 Header : 메시지가 보내진 경로 또는 환경을 알리는 부분(송수신자 주소, 일자.

사용된 프로그램, 인코딩 방법 등)

 Traffic : 통신의 흐름, 특정 전송로 상에서 일정 시간 내에 흐르는 data의 양, 어떤 통신장치나 시스템에 걸리는 부하

패킷 필터링

 인터넷과 비공개 네트워크 사이에 패킷 필터링 기능이 있는 라우터를 설치하여 네트워크 패킷 헤더 내의 정보를 기초로 트래픽을 선택적으로 허용 또는

거부함으로써 트레픽을 제어하는 기술

 Router : 서로 다른 네트워크를 중계해주는 장치, 송신된 정보에서 수신처 주소를 읽어 가장 적절한 통신통로를 지정하고 다른 통신망으로 전송하는 장치

 Packet : 네트워크를 통해 전송하기 쉽도록 자른 데이터의 전송단위

 Header : 메시지가 보내진 경로 또는 환경을 알리는 부분(송수신자 주소, 일자.

사용된 프로그램, 인코딩 방법 등)

 Traffic : 통신의 흐름, 특정 전송로 상에서 일정 시간 내에 흐르는 data의 양, 어떤 통신장치나 시스템에 걸리는 부하

(13)

응용 게이트 웨이

 사용자가 외부 또는 내부 네트워크사의 호스트나 서비스에 직접 접속하도록 하는 대신 프락시 시스템이 모든 접속을 중간에서 처리하며, 이 때 같이 연결되어 모든 접속은 프 락시 시스템의 보안기능에 의해 제어되어 허가되지 않은 사용자나 호스트, 명령어들의 접근이나 수행을 차단

 Gateway : 한 네트워크에서 다른 네트워크로 들어가는 입구/ 네트워크마다 전송방식이 다르므로 이를 상호 연결해주는 기능이나 장치

 Proxy server : 클라이언트와 서버 사이에서 데이터를 중계하는 역할을 하는 서버(대리인)

 인터넷 동시 접속자가 많을 때, 유해 사이 차단할 때, 내부 사용자 IP주소로 설정하여 보안을 강화할 때, 해커 등 외부 침입을 방지하고자 할 때 유용하게 사용

 외부의 접속자가 접속을 시도할 때 맨 먼저 프락시 서버에 연결하여 접속하고자 하는 자에 대한 정보를 가져와 검증하게 됨

응용 게이트 웨이

 사용자가 외부 또는 내부 네트워크사의 호스트나 서비스에 직접 접속하도록 하는 대신 프락시 시스템이 모든 접속을 중간에서 처리하며, 이 때 같이 연결되어 모든 접속은 프 락시 시스템의 보안기능에 의해 제어되어 허가되지 않은 사용자나 호스트, 명령어들의 접근이나 수행을 차단

 Gateway : 한 네트워크에서 다른 네트워크로 들어가는 입구/ 네트워크마다 전송방식이 다르므로 이를 상호 연결해주는 기능이나 장치

 Proxy server : 클라이언트와 서버 사이에서 데이터를 중계하는 역할을 하는 서버(대리인)

 인터넷 동시 접속자가 많을 때, 유해 사이 차단할 때, 내부 사용자 IP주소로 설정하여 보안을 강화할 때, 해커 등 외부 침입을 방지하고자 할 때 유용하게 사용

 외부의 접속자가 접속을 시도할 때 맨 먼저 프락시 서버에 연결하여 접속하고자 하는 자에 대한 정보를 가져와 검증하게 됨

(14)

(15)

(16)

(17)

비밀키 암호화(Single-key encryption)

대칭형 암호화, 단일키 암호화라고도 함 암호화 및 복호화시 동일키 사용

송신자와 수신자 둘 다 같은 비밀키를 알고 있어 송신자가 비밀키를 사용하여 메시지를 암호화하고, 수신자는 비밀키를 사용하여 메시지를 복호화 하는 방 식

키는 전화 등의 별도의 보안채널을 통해 전송 예) love  비밀키  mpwf

문제점

키의 비밀성 유지가 어렵다, 여러 사람과 정보교환시 다수의 키를 유지/관리

(18)

1. 전자서명

옛날 사람들이 서로 알 수 있는 징표로 둘로 쪼개진 거울이나 동전을 다시 맞추어 봄으로써 서로를 확인한 것처럼,

상대방의 신원을 확인하기 어려운 사이버 공간에서 서로를 알아볼 수 있도록 한 쌍의 정보를 사용하여 자신을 증명

공개키 개념

+ =

개인키 공개키

(19)

공개키 암호화 (Public-key encryption) : 비대칭형 암호화

암호화시 수신자의 공개키 사용, 복호화시 수신자의 비밀키 사용

공개키와 비밀키를 생성하여 공개키는 공개적으로 발표하고 비밀키는 자기만 안 다

두 키는 한 쌍으로 사용되는데 공개키는 데이터 암호화에, 비밀키는 데이터 복호 화에 사용

문제점

알고리즘이 복잡

가장 잘 알려진 공개키 암호화 알고리즘 RSA(Rivest, Shamir, Adleman) 방식 활용예

디지털 서명 메시지 암호화

(20)

전자문서와 전자거래의 문제점과 해결방안

전자문서의 문제점



위 • 변조가 용이



문서작성 사실 입증 곤란 전자거래의 문제점



거래 상대방의 신원확인 곤란



전송 내용의 비밀 유지 곤란 해결방안



전자문서의 위 • 변조 및 부인 방지: 전자서명 기술 활용



거래 상대방의 신원확인: 전자서명 인증제도 도입



전송내용의 비밀유지: 비밀성 유지를 위한 암호 사용

(21)

1. 전자서명

전자문서의 내용이 위변조 되지 않았음을 보장하는 동시에 문서에 서명한 사용자가 정당한 사용자인지 확인할 수 있는 인증방식

수기서명과 같은 서명효과를 전자문서에 부여하는 것으로, 사용자 인증, 메시지 위/변조방지 및 부인방지 기능을 제공

※

정당한 사용자만이 전자서명을 생성, 누구든지 전자서명을 검증, 서명자는 서명한 사실을 부인할 수 없어야 함

※

서명한 문서 내용을 변경할 수 없어야 하며, 해당 문서의 서명을 다른 문서의 서명으로 재사용하는 것이 불가능해야 함

전자서명 개요

(22)

전자서명 생성 및 검증

전자서명 생성 전자서명 검증

 Hash : 기억 장치 등에서 의미가 없어 불필요하게 된 정보. Hashing은 하나의 문자열을 원래의 것을 상징하는 더 짧은 길이의 값이나 키로 변환하는 것. 짧은 해시 키를 사용하 여 항목을 찾으면 원래의 값을 이용하여 찾는 것보다 더 빠르기 때문, 해싱은 데이터베이 스 내의 항목들을 색인하고 검색하는데 사용.

 알고리즘 : 주어진 문제를 풀기 위한 절차나 방법, 컴퓨터 프로그램을 기술함에 있어 실 행 명령어들의 순서를 의미. 아랍의 수학자 알고리즈미의 이름에서 유래. 알고리즘에서 가장 중요한 것은 효율성이라고 할 수 있는데 동일한 문제를 푸는 데 있어 결과는 같아도 해결방법에 따라 실행속도나 오차·오류 등에 차이가 있을 수 있기 때문.

(23)

전자서명 생성 및 검증

전자서명 생성 전자서명 검증

 Hash : 기억 장치 등에서 의미가 없어 불필요하게 된 정보. Hashing은 하나의 문자열을 원래의 것을 상징하는 더 짧은 길이의 값이나 키로 변환하는 것. 짧은 해시 키를 사용하 여 항목을 찾으면 원래의 값을 이용하여 찾는 것보다 더 빠르기 때문, 해싱은 데이터베이 스 내의 항목들을 색인하고 검색하는데 사용.

Abernathy, Sara Epperdingle, Roscoe Moore, Wilfred

Smith David

7864 Abernathy, Sara 9802 Epperdingle, Ros coe

1990 Moore Wilfred

(24)

(25)

Message Digest Message

Digest EncryptionEncryption

전자서명전자서명 메시지메시지 Hash

Function Hash Function 메시지

메시지메시지

전자서명전자서명 Hash

Function Hash Function

Decryption Decryption Message

Digest Message

Digest

Message Digest Message

Digest Compare

&Verify Compare

&Verify

개인키

전송전송

공개키 전자서명 생성과정 (서명자)

전자서명확인과정 (수신자)

전자서명 과정

(26)

1. 전자서명

인증서 개념

인증서는 일상생활에서의 인감증명과 유사한 형식을 가짐 인감증명서는 읍·면·동사무소에서 발급하듯이, 인증서는 공인 인증기관에서 발행

가입자의 이름

가입자의 전자서명 검증키

전자서명 방식(가입자, 인증기관) 인증서의 일련번호

인증서의 유효기간 인증기관의 명칭

인증서의 이용범위 또는 용도제한 시 관련사항 가입자가 제3자를 위한 대리권 등을 갖는 경우

전자인증

의의

전송 받은 정보의 내용이 변조 또는 삭제되지 않았는지 주체가 되는 송수신자가 정당한지를 확인하는 방법

정보의 정당성과 완전성을 확보하기 위해서 꼭 필요한 절차

암호와 인증은 서로 독립된 개념이지만, 인증에 있어 암호기술을 사용함으로써 안전성과 신뢰성을 높일 수가 있음.

종류

(1) 사용자 인증

메시지의 생성, 전송, 수신, 이용, 저장 등의 일련의 과정에 관련되어 있는 송수신자, 전송자, 이용자, 관리자들이 제3자에게 자신이 진정한 사용자라는 것을 증명할 수 있도록 하는 기능.

이와는 반대로 제3자가 위장을 통해 자신이 사용자임을 입증하는 것은 불가능해야 함 (2) 메시지 인증

전송되는 전자 메시지의 내용이 변경 또는 수정이 되지 않고 본래의 정보를 그대로 가지고 있다는 사실을 확인하는 과정, 즉 수신된 메시지가 정당한 사용자로부터 전송 되었고, 변경되지 않았음을 확인하는 것

의의

전송 받은 정보의 내용이 변조 또는 삭제되지 않았는지 주체가 되는 송수신자가 정당한지를 확인하는 방법

정보의 정당성과 완전성을 확보하기 위해서 꼭 필요한 절차

암호와 인증은 서로 독립된 개념이지만, 인증에 있어 암호기술을 사용함으로써 안전성과 신뢰성을 높일 수가 있음.

종류

(1) 사용자 인증

메시지의 생성, 전송, 수신, 이용, 저장 등의 일련의 과정에 관련되어 있는 송수신자, 전송자, 이용자, 관리자들이 제3자에게 자신이 진정한 사용자라는 것을 증명할 수 있도록 하는 기능.

이와는 반대로 제3자가 위장을 통해 자신이 사용자임을 입증하는 것은 불가능해야 함 (2) 메시지 인증

전송되는 전자 메시지의 내용이 변경 또는 수정이 되지 않고 본래의 정보를 그대로 가지고 있다는 사실을 확인하는 과정, 즉 수신된 메시지가 정당한 사용자로부터 전송 되었고, 변경되지 않았음을 확인하는 것

(28)

인증기관의 필요성 및 역할

• 인증기관의 필요성

– 불틍정다수인의 전자서명키 인증을 효율적으로 수행 – 전자서명키 인증의 공신력 제고

– 전자문서 이용관련 분쟁 최소화

인증기관의 역할과 주요 업무



역할: 신분확인, 공개키 인증, 시간날인, 증거확보, 배달매개, 분쟁해결



인증업무 : 인증서 발급 • 정지 • 폐지, 인증관련 기록보관 등



기타업무 : 시점확인(Time Stamp), 내용증명 등

(29)

1. 전자서명

인증서 경로

<최상위인증기관 인증서>

<공인인증기관 인증서>

<가입자 인증서>

인증서 경로

(30)

• 최상위인증기관 인증서를 이용하여 가입자 인증서를 검증

인증기관

영희 철수

영희 전자서명

인증서 검증

최상위인증기관

신뢰포인트

(최상위인증기관)

1. 전자서명 1. 전자서명

Cert_영희 Cert_CA

Cert_RCA

인증서 경로

(31)

인증서를 이용한 전자서명 체계도

전자서명 생성

전자서명생성키

(비밀키) 전자서명검증키

(공개키)

서명자 및 변조 여부

확인

인증기관

• 신분확인 후 인증서 발급

• 인증서 발급/관리 업무 수행

정보통신망

전자문서

전자서명

bc12726da43 54a65b7cd6b c7d98a9c8bc 8

인증서

전자문서

bc12726da43전자서명

54a65b7cd6b c7d98a9c8bc 8

인증서

전자서명

전자문서+전자서명+인증서 검증

• 인증기관의 인증서 요구(없을 경우)

• 수신받은 인증서의 유효기간 및 취소 여부 확인

(32)

-32-

인증서(Certificate)

• 공개키를 확인하는 증빙물

(33)

인증체계의 구성요소

(1) 인증기관

정책승인기관 정책인증기관 인증기관

(2) 등록기관

(3) 디렉토리

(4) 사용자 (1) 인증기관

정책승인기관 정책인증기관 인증기관

(2) 등록기관

(3) 디렉토리

(4) 사용자

(34)

우리나라의 전자서명 인증체계

가입자

한국정보보호센터

일반분야 공인인증기관

공공분야

공인인증기관 비공인인증기관

가입자 가입자 가입자

등록기관(RA) 등록기관(RA)

인증서 교부 인증서 교부

RA 운영관리 RA 운영관리

최상위인증기관

가입자 가입자

등록기관(RA) RA 운영관리

(35)

2. 공인전자서명인증체계

최상위인증기관 및 공인인증기관

(36)

2. 공인전자서명인증체계

최상위인증기관(KISA) 역할

공인인증기관에 대한 공인인증서 발급, 관리 등 인증업무 공인인증기관 시설 및 장비의 안전운영 여부 점검

공인인증기관 공인인증시스템 심사 지원

전자서명인증 관련 기술개발, 보급 및 표준화 연구

전자서명인증 관련 제도연구 및 상호인정 등 국제협력 지원

공인인증기관 역할

일반 개인 및 법인에 대한 공인인증서 발급, 관리등 인증업무 사용자의 공인인증서 이용 편의를 위한 등록대행기관 운영 시점확인서비스 등 공인전자서명을 이용한 부가 업무

(37)

2. 공인전자서명인증체계

공인인증기관 지정

재정 능력 및 기술능력 심사

※ 자본금 : 80억 이상

※ 기술능력 : 시설 및 장비 운영인력 12인 이상

시설 및 장비 심사

※ 가입자 등록, 전자서명 키 생성관리, 공인인증서 생성관리, 가입자 S/W, 보호설비 등

지정 유효기간은 2년이며, 유효기간 만료 이전 갱신지정을 받아야 함

※ 정보통신부는 정기점검 수검여부, 공인인증업무준칙 신고 또는

변경신고여부를 심사

(38)

2. 공인전자서명인증체계

공인인증기관 현황

공인인증기관 지정일 Website

한국정보인증㈜

(CA : SignKorea) 2000. 2. 10 http://www.signkorea.com 한국증권전산㈜

(CA : SignGATE) 2000. 2. 10 http://www.signgate.co.kr 금융결제원

(CA : yessign) 2000. 4. 12 http://www.yessign.com 한국전잔원

(CA : NCASign) 2001. 3. 13 http://sign.nca.or.kr 한국전자인증㈜

(CA : CrossCert) 2001. 11. 24 http://gca.crosscert.com

㈜한국무역정보통신

(CA : TradeSign) 2002. 3. 11 http://www.tradesign.net

(39)

3. 행정전자서명인증체계

행정전자서명인증체계 - 구조

(40)

3. 행정전자서명인증체계

최상위인증기관 – 정부인증관리센터(GCMA)

정부분야 최상위인증기관 운영 행정전자서명인증체계 운영

정부인증기관

행정자치부, 국가정보원, 국방부, 대통령비서실, 대검찰청, 병무청, 대법원, 교육인적자원부

현재 2개 정부인증기관에서 인증서 발급(대검찰청, 행자부) 교육인적자원부의 NEIS 용 인증서는 한국전산원에서 발급

(41)

3. 행정전자서명인증체계

등록기관(2003. 9.)

대통령경호실 등 10개 중앙행정기관 16개 광역시도

원격등록기관(2003. 9.)

44개 중앙행정기관

8개 등록기관의 소속기관 및 지방청

16개 광역시 및 도내 시 군 구의 장이 원격등록기관을 지정운영

(42)

5. 인증서 활용현황

공인인증서 활용사례 – 전자정부서비스

인터넷을 통한 각종 민원업무 처리

※주민등록등본, 호적등본 등

(43)