정보 보안 서비스의 개요
정보 보안은 전송되는 정보를 다양한 위협으로부터 보호하기 위해 여러 가지 보안 서비스를 제공합니다. 대표적인 정보 보안 서비스로는 데이터 기밀성, 데이터 무결성, 인증, 접근 통제, 부인 방지 등이 있으며, 각각의 역할과 특징을 이해하는 것이 안전한 시스템 운영의 기본이 됩니다.
1. 데이터 기밀성(Data Confidentiality)
기밀성은 전송 중인 정보가 수동적 공격(passive attack)으로부터 보호되는 것을 의미합니다. 정보 전송 내용에 대해서는 여러 수준의 보호 체계를 적용할 수 있습니다.
가장 포괄적인 형태의 기밀성 서비스는 일정 기간 동안 두 사용자 간에 전송되는 모든 사용자 정보를 보호합니다. 예를 들어 두 시스템 간에 TCP 연결이 설정된 경우, 이러한 광범위한 보호는 해당 TCP 연결을 통해 전송되는 모든 사용자 정보의 노출을 방지합니다.
반면 더 좁은 범위의 서비스도 정의할 수 있습니다. 개별 메시지 단위의 보호나 메시지 내 특정 필드만을 보호하는 방식이 그 예입니다. 다만 이러한 세분화된 방식은 포괄적인 방법보다 효과가 떨어질 수 있으며, 구현이 더 복잡하고 비용도 많이 들 수 있습니다.
기밀성의 또 다른 요소는 트래픽 흐름 분석(traffic analysis)으로부터의 보호입니다. 이는 공격자가 통신 연결상에서 발생하는 트래픽의 출발지와 목적지, 빈도, 길이 또는 기타 특성을 파악하지 못하도록 하는 것을 요구합니다.
2. 데이터 무결성(Data Integrity)
무결성은 메시지 스트림 전체, 개별 메시지 또는 메시지 내에서 선택된 특정 영역에 적용될 수 있습니다.
연결 지향형(connection-oriented) 무결성 서비스는 메시지 흐름을 다루는 서비스로, 메시지가 복제, 삽입, 변조, 재정렬, 재전송(replay) 없이 전송된 그대로 수신되는 것을 보장합니다. 따라서 이 서비스는 메시지 흐름의 변조뿐만 아니라 서비스 거부(denial of service) 공격까지 함께 대응합니다.
반면 비연결형(connectionless) 무결성 서비스는 상위 계층의 맥락과 관계없이 개별 메시지를 독립적으로 처리하며, 일반적으로 메시지 변조에 대한 보호만을 제공합니다.
3. 인증(Authentication)
인증은 사용자가 자신이 주장하는 신원과 실제로 일치하는지 확인하는 것을 의미합니다. 즉, 사용자가 실제로 누구인지 검증하여 허가된 사용자와 허가되지 않은 사용자를 구분하고, 그 사이의 다양한 접근 수준을 관리할 수 있게 해줍니다.
또한 진정성(authenticity)은 시스템에 대해 지속적으로 점검을 수행하여 민감한 영역이 확실히 보호되고 정상적으로 작동하는지 확인하는 것을 포함합니다. 한편 가용성(availability)은 승인된 당사자들이 필요할 때 리소스에 접근할 수 있음을 의미하며, 서비스 거부 공격 같은 가용성을 겨냥한 공격은 정보 보안 전문가들이 특히 주목해야 할 위협입니다.
4. 접근 통제(Access Control)
정보 보안의 맥락에서 접근 통제란 통신 연결을 통해 호스트 시스템과 애플리케이션에 대한 접근을 검사하고 제어하는 능력을 말합니다.
이를 효과적으로 수행하기 위해서는 접근을 시도하는 모든 개체(entity)가 먼저 식별되거나 인증되어야 하며, 그 결과에 따라 개별 사용자에게 맞춤화된 접근 권한을 부여할 수 있습니다.
5. 부인 방지(Non-repudiation)
부인 방지는 메시지의 송신자나 수신자가 메시지의 전송 또는 수신 사실을 부인하지 못하도록 방지하는 서비스입니다.
메시지가 전송되면 수신자는 실제로 주장된 송신자가 그 메시지를 보냈음을 입증할 수 있습니다. 마찬가지로 메시지가 수신되면 송신자는 주장된 수신자가 실제로 그 메시지를 받았음을 입증할 수 있습니다. 이를 통해 통신 당사자 간의 신뢰성과 책임 소재가 명확하게 유지됩니다.