<시리즈> 심층진단 정보보호산업 현주소 (13)

국방대학원 남길현 교수

<정보보호서비스와 보호기술>

전산망 환경에서 요구되는 정보보호서비스는 크게 사용자 인증, 액세스 제어,데이터 비밀성, 데이터 무결성, 부인봉쇄 등의 서비스로 구분할 수 있다.

사용자인증은 정보시스템을 사용하거나 통신하고자 하는 상대방의 신분을확인하는 것으로 검퓨터와 사람, 컴퓨터와 단말기 또는 컴퓨터와 컴퓨터간에최초 연결이 이루어질 때 필요하며 어느 한쪽만을 확인하는 일방향 인증과양측 모두 확인하는 쌍방향 인증으로 구분된다.

가장 빈번하게 이루어지고 있는 사용자 인증에서 컴퓨터가 사용자를 인증하는 방법에는 알고 있는 지식을 확인하는 방법, 소유하고 있는 물건을 확인하는 방법, 개체의 특성을 확인하는 방법 등으로 나누어지지만 이들을 복합적으로 사용할 수도 있다.

알고 있는 지식을 확인하는 방법은 미리 등록된 패스워드 또는 비밀키를알고 있는지 여부를 판단하는 것이다. 그러나 유무선 전산망을 통해원거리에서 패스워드나 비밀키를 그대로 보내는 것은 도청당할 가능성이 매우 높다.

소유하고 있는 물건을 확인하는 것은 기계적 또는 전자적으로 특성을 부여한 물건이나 장비를 분배해 사용할 때 확인하는 방법이며 소유물의 분실 또는 도난에 대한 대비책과 위조 또는 변조의 가능성을 최소화 할 수있는 방안이 요구된다.

자기띠 카드를 사용하는 신용카드와 간단한 입출력 기능과 CPU를 갖고 있는 소형 컴퓨터 역할을 할 수 있는 스마트카드와 같은 카드 종류가 많이 사용되며 열쇠나 전파특성을 이용하는 배지 모양의 장비를 사용하기도 한다.

개체의 특징은 사람 개개인이 독립적으로 유일하게 갖고 있는 특성으로서지문, 손모양, 눈의 망막 무늬, 머리털의 유전자, 음성, 손으로 하는 서명등을 이용할 수있으며 기억할 필요가 없고 분실이나 도난의 염려가 없다는장점을 갖고 있다.

그러나 이러한 방법은 비용이 많이 들거나 너무 정확히 하면 실제로 허가된 사람을 비인가자로 오판하는 경우도 발생할 수 있다.

예를 들어 감기로 음성이 변한다든지 상처로 지문이 약간 변형되었을때 컴퓨터를 사용하지 못하게 될 수도 있다.

액세스제어는 시스템에 들어온 사용자가 중요한 파일과 같은 정보자원을사용하고자 할때 사용할 수 있는 권한이 있는지 여부를 판단하여 사용할 수있도록 해주는 서비스를 말한다.

보호가 필요한 정보자원 각각에 대해 사용자별로 관리자가 임의적으로 사용권한을 종류에 따라 부여할 수 있도록 하거나 정보자원의 종류와 보안등급을 분류하고 사용자에게도 보안등급과 사용분야를 부여해 권한을 통제하는방법을 사용할 수도 있다.

데이터 비밀성서비스는 중요자료가 외부에 불법적으로 누출되거나 통신중에 도청이 되지 않도록 하는 것으로써 대부분암호기술을 활용하고 있다. 특히 무선 및 위성 통신을 이용하는 전산망이 확대되면서 도청을 방지할 수 있는 비밀성 서비스는 점차 필요성이 증대되고 있다.

데이터 무결성 서비스는 정보시스템에 저장되거나 유통되고 있는 정보가정확하고 진실된 정보가 될 수 있도록 하는 것이며 비인가자가 마음대로 변경할 수 없도록 하는 것이다. 특히 바이러스나 해커들에 의한 자료의 파괴나변조는 매우 심각한 문제로 떠오르고 있다.

부인봉쇄 서비스는 메시지를 수신한 사용자가 메시지 내용을 변조하거나송신 또는 수신한 사실 자체를 부인하는 행위를 하지 못하게 하는 것이다.

디지털 서명은 대표적인 부인봉쇄 기술로써 메시지 변조와 송신자가 부인하는 것을 방지할 수 있으므로 종이 문서에 사용되는 인감도장과 같은 기능을 수행하며 메시지 마다 서명이 항상 다르게 만들어 진다.

이같은 정보보호서비스를 제공하기 위해 필요한 보호기술은 암호화 인증교환기술, 디지털서명, IC카드 응용기술, 바이러스 및 해커대책, 공증, 경로및 통신량제어, 데이터액세스 및 무결성제어기술 등으로 다양하게 구분할 수있다.

정보보호는 어느 한가지 대책만으로 완벽하다고 할 수 없으며 여러가지 정보보호서비스를 이용한 보호대책이 양파껍질 처럼 겹겹이 다단계로 이루어져야 하며,이를 제공할 수 있는 정보보호기술 요소들에 대한 연구와 개발환경이 하루 속히 뒷받침 돼야 한다.