Proven by Intelligence
보이지 않는 안전을 인텔리전스로 증명하다.
기술 인사이트를 만나보세요.
지난 기술노트에서 사설인증의 개념과 왜 사설인증이 활발해졌는 지 그 이유를 살펴보고 장점도 함께 말씀드렸는데요, 그런데 사설인증이 활발해 지고 있다고는 하지만 아직까지 사설인증 체계를 구축하는데 있어서 고민이 많으실 것 같습니다.
그래서 이번 포스팅에서는 사설인증 체계를 구축할 때 고려해야 하는 사항들을 알아보겠습니다!
─ 운영자 입장 👨 ─
1. 보안적으로 안전한 절차에 따라 인증서에 대한 LifeCycle 관리(생성/갱신/휴지/폐기)를 할 수 있는가?
- 인증서도 생성부터 폐기까지 관리가 필요합니다. 관리가 되지 않을 경우 오래된 인증서 정보가 노출되어 해킹의 타겟(사례)이 될 수도 있습니다. 따라서 인증서의 Lifecycle을 관리할 수 있어야 합니다.
2. 인증서 관리 업무에 대한 담당자 지정 및 담당자별 접근 권한은 최소화 하고 있는가?
- 인증서가 본인을 인증하는 수단인 만큼 관리의 중요성이 매우 높습니다. 따라서 담당자를 지정해야 하며, 담당자별로 차등을 두어 접근권한을 최소화해야 합니다. (사례)
3. 보안적으로 안전한 인증서 생성 알고리즘, 키 길이가 사용되고 있는가?
- 한국인터넷진흥원(KISA)에서는 정보보호제품 및 시스템에 암호 알고리즘을 탑재·적용하는 경우, 알고리즘의 종류나 키 길이 등이 해당 시스템의 안전성 수준을 만족할 수 있도록 선택해야 한다고 합니다. 이에 따라 암호 알고리즘 및 키 길이에 대한 가이드라인을 제시하고 있습니다. (가이드라인)
4. CA 인증서에 대한 유출방지 대책은 있는가?
- CA(Certification Authority, 인증기관) 인증서는 클라이언트가 접속한 서버가 의도한 서버가 맞는지를 보장하는 역할을 합니다. (참조) 따라서 CA의 인증서가 유출될 경우 서버에 접근할 수 있기 때문에 다량의 민감정보가 유출되는 악영향을 초래할 수 있습니다. 그래서 이에 대한 유출 방지 대책이 필요합니다.
5. 인증서에 복구 및 폐기 절차 및 방법 등은 마련되어 있는가?
- 민감정보에 접근할 수 있는 인증서를 폐기할 경우, 이런 정보들이 남지 않도록 정해진 절차와 방법에 따라서 진행해야 합니다. 또한 폐기한 경우에도 안전하게 복구할 수 있는 방안이 필요합니다.
6. 인증서 유출사고 발생 시에 대한 자동화된 절차는 있는가?
- 인증서 유출 방지에 대한 대책을 갖고 있어야 겠지만, 그래도 혹시나 발생할 수 있는 유출사고에 대비하여 사고가 발생하자마자 위험을 최소화할 수 있는 자동화된 절차가 마련되어 있어야 합니다.
7. 생성된 개인 인증서를 사용자에게 안전하게 전달할 수 있는 방법이 있는가?
- 사설인증체계를 통해 생성된 개인 인증서를 사용자에게 내용을 암호화하여 전달할 경우 더욱 안전합니다. 이와 같은 방법을 가지고 있어야 합니다.
8. 인증서에 대한 실시간 유효성 검사가 가능한가?
- 사설인증 서비스 중 하나인 PASS는 지난 6월 기준 사용자가 1,500만명 발급을 돌파했다고 합니다. PASS 인증서는 실시간으로 전화번호를 통하여 본인 명의 인증, 인증서 유효성 검사 등을 한 번에 수행할 수 있다고 홍보하고 있습니다. 이처럼 '공인'의 이름을 뗀 만큼 인증서의 보안을 위해 실시간 유효성 검사를 통해 복제, 유출 여부를 바로 알 수 있어야 합니다.
9. 전자서명인증업무에 대한 보안감사 기록에 대한 자동화된 방법은 있는가?
- 전자서명인증(전자인증)이란 컴퓨터를 이용해 전자서명 생성과 검증에 사용되는 정보를 인증기관(CA)에서 확인, 증명하는 것을 말합니다. 이 업무가 제대로 수행되고 있는지 감시할 수 있는 보안감사 기록에 대해 자동화할 수 있는 방법이 있어야 합니다.
─ 사용자 입장 💻 ─
1. 다양한 환경의 사용자 단말(모바일, PC 등)에 적용이 가능한가?
- 사용자가 사용하는 기기는 점점 다양해 지고 있고, 환경 또한 다각화되고 있습니다. 각자 다른 운영체제(OS)에 여러가지 프로그램을 사용하고 있기 때문에 이를 모두 호환할 수 있는 체계를 갖추어야 합니다.
2. 사용자 인증서에 대한 안전한 보관이 가능한가?
- 사용자 입장에서도 인증서를 안전하게 보관하는 것이 매우 중요합니다. 모바일의 경우 USIM에 저장하기도 하고, 얼마 전에는 이러한 사설 인증 서비스의 확대 트렌드에 맞춰서 SKT와 삼성전자에서 별도 'Key Store'를 구현했다고 밝히기도 했습니다. 사용자의 인증서도 유출이 되지 않는 보관 방법을 강구해야 합니다.
지금까지 사설인증체계를 구축할 때 고려해야 하는 사항을 운영자와 사용자 입장에서 각각 살펴보았는데요,
저희가 열심히 전달한다고 했지만 아직 잘 이해가 안 되는 부분도 있고, 정말 실제로 구축하려면 어떻게 준비해야 하는 지도 궁금하실 겁니다.
다음 포스팅에서는 이런 사설인증체계를 위한 암호 키 및 인증서 통합 관리 솔루션을 통해 속 시원하게 해답을 드리도록 하겠습니다.
