V. 정보 통신 보안

V. 정보 통신 보안 • 정보 보호와 암호 • 해킹과 바이러스 한국디지털미디어고등학교 교사 이일욱

공용키 평문 암호문 평문 암호알고리즘 복호알고리즘 대칭키 암호 방식 • 관용 암호, 비밀키 암호, 키워드가 노출되면 매우 위험 • 환자암호 : 시프트암호, 단순환자암호, Affine암호, 동음이의암호, 다표식 환자 암호, 철자 환자 암호 • 전치암호 : 단순전치암호, Nihilist암호 • 적(Product)암호 : ADFGVX암호 • 컴퓨터를 이용하는 암호 : DES, IDEA, RC2, RC4, AES

공개키 개인키 평문 암호문 평문 암호알고리즘 복호알고리즘 공개키 암호 방식 • 공개키(Public key), 비밀키(Private key) 두 개의 키를 사용 • 암호화 하는 키와 복호화 하는 키가 서로 다름 • 키 생성 알고리즘을 통해 2개의 키를 생성하고 그 중 하나를 공개하고 나머지 하나를 비밀키로 자신이 보관하여 사용 • 상대방의 공개키로 암호화를 해서 보내면 받은 사람은 자신의 개인키로 암호를 풀어 내용을 확인한다. 자신의 개인키만 보관 • RSA, Rabin, Merkle-Hellman Knapsack, Graham-Shamir, McEliece, ECC

암호 관련 용어 • 평문(Plain text) : 수신자에게 보내고 싶은 보통의 통신문(원문) • 암호문(Cipher text) : 그냥 봐서는 이해할 수 없는 통신문 • 암호화(Encipherment) : 평문을 암호문으로 바꾸는 과정 • 복호화(Decipherment) : 암호문을 정당한 절차를 통해 원래의 평문으로 바꾸는 과정 • 암호해독(Crypt analysis) : 부당한 제3자가 다른 수단으로 암호문에서 평문을 추정해 내는 것 • 암호 알고리즘 : 암호화와 복호화의 조작 원리 • 키(Key) : 암호 알고리즘에 의한 변환을 제어하는 파라미터 • 암호학(Cryptology) : 암호와 암호 해독을 연구하는 학문

암호화 시스템 • 암호화 시스템의 특성 • 키에 의하여 암호화 및 복호화가 효과적으로 이루어지고, • 이용하기가 쉬워야 하며, • 암호화 알고리즘 자체보다 암호키에 의한 보안이 이루어져야함 • 암호화의 이점 • 데이터를 보호하는 다른 방법들이 침입자에게 노출되더라도 데이터가 여전히 알아볼 수 없는 형태로 남게 됨

관용 vs 공개키 • 관용 암호(대칭키) 시스템 • 암호화키의 크기가 공개키 암호 방식보다 상대적으로 작다 • 데이터 처리량에 있어 유리하다 • 알고리즘 구조가 간단하여 개발이 쉽고 다른 암호 기법과 연동이 용이하다 • 공개키 암호 시스템 • 성능이 떨어지지만 지불 거절 방지 기능이 있고, 중앙 서버에 저장된 키가 노출될 염려가 적으며, 1대 다자간 인증 기능을 지원할 수 있다.

ID & Password • ID(Identification) • 사용자를 식별하기 위한 신분 증명 • Password • ID를 인증하기 위한, 불법으로 ID를 획득한 사람들의 정당하지 않은 접속을 거부하기 위한 수단으로 누출될 경우 피해 발생 • 인증방식으로 OTP(One Time Password) 널리 사용 • ** 컴퓨터 비상 대응팀(CERT : Computer Emergency Response Team) : 인터넷 관련 문제를 해결하고 이를 문서화 해 인터넷 보안 능률을 향상시키는 업무와 인터넷 보안 관련 사고를 접수, 해결하는 팀

Password의 허점 • 패스워드 노출의 위험성을 줄이기 위해, • 일정한 길이 이하의 패스워드는 거부하게 만들거나, • 연속 3회 입력 오류시 접속 차단 • 자기이름, 생년월일, 주민번호, 동네이름, 일상용어 등을 주로 사용하기 때문에 패스워드를 깨는 일이 쉬워짐

Password의 보호 • 다른 사람이 추측할 수 없는 것으로 만들것 • 정기적으로 변경할 것 • 쉽게 깨질 수 있는것인가(패스워드 강도)를 사전에 검사할 것 • 정기적인 패스워드 깨기 프로그램(Password cracker)으로 검사 • 일정 기간 동안 접근하지 않는 계정은 삭제 • 최소한 여덟글자 이상으로 만들것 • 여덟글자 중에서도 대문자, 소문자, 구두점을 최소한 한 글자씩 포함

디지털 서명 인증 개인 식별 A B D A B A B D X X X 인증(Authentication) • 메시지 인증(Message authentication) : 정보가 변경되지 않고 본래의 정보 그대로임을 보증 • 사용자인증(Entity authentication) : 정보를 생성하고 전송, 처리, 기억, 판단 등의 행위에 관여한 사용자A가 Real A임을 보증하는 기능. 제3자인 X가 위장하여 A임을 증명할 수 없음을 보증 • 개인 식별 : 당사자인 사용자인 B 자신도 제3자 D에게 A임을 증명할 수 없다는 조건을 부가할 때 생기는 기능

디지털 서명 • 디지털 서명 : 메시지 인증 + 사용자 인증 • 개인 식별 기능에 사용자 B가 자신에게 조차도 사용자 A임을 증명할 수 없다는 조건을 부여 • A와 B사이에 어떤 분쟁이 발생할 경우 B가 문제가 된 메시지의 송신자가 확실히 A라는 사실을 증명할 수 있는 기능(개인식별) • 위의 사실을 명시하는 증거를 제시할 수 있고 B가 거짓인 메시지를 위조하여 그 메시지의 송신자가 A라는 것을 주장할 수 없도록 할 수 있는 것(디지털 서명) • 즉, 메시지를 보낸 사람이 누구인지를 명확하게 하는 것

전자상거래의 구분 • 기업과 기업간의 거래(B2B : Business to Business) • 기업과 소비자간의 거래(B2C : Business to Customer) • 기업과 행정기관간의 거래(B2G : Business to Government) • 개인과 행정기관간의 거래(C2G : Customer to Government) • 개인과 개인간의 거래(C2C : Customer to Customer)

전자상거래 보안 • 개인과 기업의 신분을 증명하여 거래 당사자들이 서로 신뢰하고 거래할 수 있어야 함 • 디지털 문서를 암호화 하여 메시지가 도난 당하더라도 민감한 정보를 해독할 수 없게 만들어 피해를 최소화 함 • 문서의 정확성을 확인할 수 있는 디지털 서명 기능을 도입하여 거래도중에 문서가 변경되지 않았다고 확신할 수 있어야 함

공인인증서 • 전자서명에 사용되는 공개키를 공인 인증 기관이 인증해 주는 문서 • 전자 서명 인증을 통한 상대방의 신원 확인 • 전자 문서 교환에 따른 위변조 방지 • 전자 문서 수신에 대한 부인 방지 • 데이터의 암호화를 통한 정보의 비밀성 유지

전자화폐 • 전자 형태로 화폐 가치를 저장한 것으로 즉각적인 지급과 교환이 가능한 전자 지급 수단(가치 저장을 한 선불 카드 형식) • 대표적인 것으로 스마트 카드(IC칩이 내장된 플라스틱 카드)가 널리 사용되고 있다. - 교통카드가 가장 보편적으로 사용

해킹(Hacking) • 해커(Hacker) • 1세대 : 컴퓨터를 좀더 편하고 쉬운것으로 만들어 냄(60년대) • 2세대 : 전화망에 몰래 들어가 공짜로 전화이용(70년대) • 3세대 : 소프트웨어의 보안 암호를 깨는등의 범죄(80년대) • 4세대 : 국가 안보까지 위협할 수준(90년대) • 5세대 : 인터넷망을 이용(2000년 이후)

해커의 공격 유형 • 접근이 쉬운 포트인 telnet, ftp, e-mail 등을 통해 침투 • 플레인 텍스트 선택 공격(chosen plain text attack) • 단어나 문자열을 차근차근 입력해 보는 가장 초보적 공격 • 리플레이 공격(replay attack) • 네트워크 상의 데이터를 복사해 두었다가 나중에 이용 • 브루털 포스 공격(brutal force attack) • 모든 조합의 비밀번호를 자동으로 생성시켜 하나씩 입력해봄

해킹의 이유 • 그냥 살펴보기 위해 • 보안을 뚫고 침투했을 때의 기쁨을 느끼는 단순 재미 • CPU시간과 같은 컴퓨팅 자원을 훔치기 위해 • 거래 비밀이나 특허 정보 등을 훔치기 위해 • 앙갚음을 하기 위해 • 사회적인 부적응 현상

해킹의 긍정적 효과 • 국민들이 모르고 있는 비리 등을 사이버 공간에서 알아내어 알권리 충족 • 발전 지향적으로 활용할 수 있다면 자원과 기술이 취약한 입장에서 점점 치열해지는 국제간의 경쟁에서 우위를 차지할 수 있음 • 국가 안보를 지키는 첨병이 될 수 있으며, 보다 강력한 정보 보호 기술을 개발하고 발전시켜 정보 강국의 개척자가 될수 있음 • 음지에서 양지로 끌어내어 사회의 유용한 일꾼으로 바꿈

해킹예방 십계명 • 회원 가입시 이용 약관을 꼼꼼하게 읽어본다 • 정체불명의 메일에는 수신 거부 답장을 보낸다 • 이용 목적에 부합하는 정보를 요구하는지 확인한다 • 비밀번호는 정기적으로 교체한다 • 노출되기 쉬운 비밀번호를 사용하지 않는다 • 개인 정보 관리 책임자를 확인한다 • 정체 불명의 웹사이트에 접근하지 않는다 • 탈퇴하기 쉬운 웹사이트에 가입한다 • 가입해지시 정보 파기 여부를 확인한다 • 회원으로 가입한 웹사이트에서 문제가 발생할경우 해당 기관에 신고한다

바이러스 • 일반적인 프로그램과 같은 단순한 프로그램이지만 자신을 복제하여 자신이 차지하고 있는 메모리의 용량을 확장시키고 프로그래머의 의지에 따라 시스템을 제어할 수도 있는 악성프로그램 • 초창기는 디스켓을 통해 전파되었지만 인터넷의 보급 후 인터넷을 통해 급속히 확산되는 양상 • 바이러스 검색은 백신프로그램(Anti virus program)으로 검색 및 치료가 가능

바이러스 예방 수칙 • 불법 복제 소프트웨어는 사용하지 않는다 • 믿을만한 웹사이트를 통해 프로그램을 다운받는다 • 백신 프로그램을 설치하고 수시로 업데이트 한다 • E-mail 사용시 해당 웹사이트에서 제공하는 보안패치를 내려 받아 설치한다 • 첨부파일이 있을 경우 바이러스 유무를 체크하고 받는다 • 정기적으로 백업을 해서 유사시를 대비한다 • 신종바이러스에 대한 보도가 나오면 예방법을 자세히 알아본다

백신 프로그램 선택 기준 • 일반적으로 알려진 바이러스 검색 가능 • 변형 가능 바이러스 검색 가능 • 상주형 바이러스 검색 가능 • 마스터부트레코드(MBR) 감염 인식 가능 • 압축 파일에 대한 검색 가능, 검색시 적당한 정보 제공 • 파일이나 프린터를 통한 검색 결과 도출 가능 • 네트워크 지원, 빠른 검색 가능, 적은 메모리 사용량 • 다양한 운영체제에서 사용 가능, 항상 업데이트 가능

V. 정보 통신 보안