[CISA 이론 정리 - 5장] 04 논리적 접근 통제 (1/2)

1. 접근 통제 소프트웨어의 기능

① 접근 통제(Access control) = 식별 + 인증 + 권한 부여 + 책임 추적

② 접근 통제 소프트웨어의 가장 중요한 기능은 사용자 인증이다.

※ 사용자 인증의 수준: 네트워크, 서브 시스템, 응용시스템, 트랜잭션, 사용자, 파일, 필드 등

③ 또한, 접근 제한, 접근 권한 부여, 승인 받지 않은 접근 시도의 기록과 보고 등을 수행한다.

2. 식별(Identification)/인증(Authentication)

(1) 3가지 인증 요소

① 식별: 사용자가 사용자 ID나 계정 명(user name)으로 시스템에 자기 신분을 밝히는 것이다.

② 인증: 시스템이 사전에 공유한 지식을 근거로 사용자 신분을 검증(verification)하는 것이다.

③ 인증 기법은 크게 다음과 같이 세 가지 유형이 있다.

지식: What you know

- 재사용 패스워드(Reusable Password)

• 일정 기간 동일한 패스워드를 반복 사용한다.

• 비용 대비 효과가 가장 높은 방법이다.

- 일회용 패스워드(One-time Password)

• 인증할 때마다 새로운 패스워드를 사용한다.

• Challenge/response형, S/Key형 등이 있다.

소유물: What you have

- 메모리 토큰(Memory Token)

• 인증 정보를 저장만 할 뿐 계산 기능이 없다.

• 예) 마그네틱 스와이프 카트 형태의 출입증

- 스마트 토큰(Smart Token)

• 처리 기능이 내장된 보안 카드를 사용한다.

• 예) IC 칩이 내장된 출입증

개인 특성: What you are

- 행위적 생체인식(Behavioral Biometrics)

• 행동 및 발성 습관 등을 근거로 인증한다.

• 예) 서명, 키 입력, 목소리

- 생물학적 생체인식(Physiological Biometrics)

• 개인의 신체 기관의 특성을 근거로 인증한다.

• 예) 홍채, 망막, 안면, 지문, 장문

• 인증 강도가 가장 높다.

• 주체가 살아 있을 때만 가능해야 한다.

※ 이질적 인증 요소를 중복하는 다중 요소 인증을 사용하면 인증의 강도가 향상된다.

(2) 패스워드 통제

기본 요건

• 사용자는 기억하기 쉽고 공격자는 유추하기 어려워야 한다.

• 사전에 등재된 단어이거나 개인 신상과 관련이 있어서는 안 된다.

• 과거 사용했던 패스워드는 다시 사용할 수 없어야 한다.

• 한 사람에게 여러 계정이 있다면 계정마다 패스워드가 달라야 한다.

• 책임성(Accountability)를 위하여 패스워드를 알려 줘서는 안 된다.

문법(Syntax)

• 공격자가 유추하기 어렵도록 8자리 이상이라야 한다.

• 문자(대, 소), 숫자, 특수 문자를 최대한 조합하면 강력해진다.

※ 대소문자 = 각 26개, 숫자 = 10개, 특수 문자 = 33개 (스페이스 포함)

※ 암호구(Passphrase)를 사용하면 인증 강도가 매우 높아진다.

패스워드 부여 절차

• 사용자가 직접 생성/수정할 경우 2번 입력(즉, 키 검증)하게 한다.

• 보안 관리자가 일괄 부여할 경우 사용자가 최초 로그인 시 변경한다.

• 재부여는 질문과 답변, 상관 확인 후 보안 관리자가 한다.

저장

• 일방향(One-way) 암호화하여 해시 값을 저장해야 한다.

• 패스워드 테이블은 누구에게도 읽기 권한을 주면 안 된다.

• 인증은 패스워드가 아니라 해시 값이 일치하는지로 이루어진다.

변경

• 주기적으로 변경하도록 인증 루틴을 설계할 수 있다.

• 예) 일반 사용자: 90일(또는 60일), 시스템 관리자: 60일(또는 30일)

• 가장한 안전한 패스워드는 일회용 패스워드이다.

※ 주기적인 패스워드 변경을 강제하게 위한 루틴을 삽입할 수 있다.

인증 실패 관리

• 3번(Three-Strike-Out) 또는 5번(Five-Strike-Out) 넘게 인증 실패하면 더 이상 계정을 비활성화한다.

• 계정을 다시 활성화하려면 보안 관리자의 확인을 다시 거치게 한다.

※ 클리핑(Clipping) 수준: 최대한 허용되는 인증 오류 횟수

※ 계정 비활성화 대신 일정 시간 인증 시도를 못하게 할 수도 있다.

추가 기능

• 일정 기간 아무런 조작이 없으면 자동 로그아웃 되게 한다.

• 패스워드 입력 시 숨김(suppression) 기능을 적용한다.

• 3번 내지 5번 실패하면 일정 시간 인증 시도를 못하게 할 수도 있다.

(3) 싱글 사인온(SSO)

① SSO는 인증 절차를 집권화하여 개별 서버 또는 응용 수준의 인증을 간소화한다.

② 커베로스(Kerberos)는 대표적인 SSO 프로토콜이다.

③ 사용자 로그 관리 역시 하나의 SSO 서버에서 통합 관리한다.

④ 따라서 사용자 편리성이 향상되고 로그 관리 노력이 절감된다.

(4) 생체인식 제품의 성능

FRR(False Rejection Rate)

• 정당한 사용자의 인증 요청이 실패하는 오류 비율

• 1종 오류 또는 위양성(false positive) 오류의 비율이다.

• FRR이 낮을수록 사용자 편의성이 높아진다.

FAR(False Acceptance Rate)

• 정당하지 않은 사용자의 인증 요청이 성공하는 오류 비율

• 2종 오류 또는 위음성(false negative) 오류의 비율이다.

• FAR이 낮을수록 인증(또는 보안)의 강도가 높아진다.

EER(Equal Error Rate)

• FRR과 FAR이 같을 때의 오류 비율

• CER(Crossover Error Rate)이라고도 한다.

• 일반적인 경우 EER 또는 CER이 낮은 제품을 선택하면 된다.