3. 소프트웨어 기술

1

3. 소프트웨어 기술

3.3 모바일 인터넷 보안

3.3.1 보안기술 개요

(1) 정보통신 시스템 보안 기술

- 정보시스템의 보안 위협 요소 = 시스템 보안 & 네트워크 보안

자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 W A N L A N 자 자 자 자

자자 자

자 자 자 자

자 자

자 자

자 자 자 자자 자 자 자 자

자 자 자 자 자 자

자 자자 자

자 자 자 자

자 자자 자 자 자 자자 자자 자 자 자 자

자 자 자

자 자 자자 자 자 자 자 자

자 자 , 자 자

자 자 자 자자 자 자 자

자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 자 W A N L A N 자 자 자 자

자자 자

자 자 자 자

자 자

자 자

자 자 자 자자 자 자 자 자

자 자 자 자 자 자

자 자자 자

자 자 자 자

자 자자 자 자 자 자자 자자 자 자 자 자

자 자 자

자 자 자자 자 자 자 자 자

자 자 , 자 자

자 자 자 자자 자 자 자

호스트 컴퓨터호스트 컴퓨터자료 저장자료 저장

디스크

자료 삭제복사 손실

불법 침투악성 프로그램

제공

LAN 및 단말기LAN 및 단말기

도청 , 변조

신분위장

스위칭스위칭

트래픽 폭주 ,서비스 부인

공격

통신회선통신회선

도청변조

부정접근

네트워크 보안 시스템 보안시스템 보안

인터넷 및 WAN인터넷 및 WAN

스니퍼 스위핑

바이러스 유포

2




(2) 모바일 인터넷 보안 기술

- 모바일 인터넷에서의 보안 위협 요소

호스트 컴퓨터호스트 컴퓨터자료 저장자료 저장

하드디스크

자료 삭제복사 손실

불법 침투악성 프로그램

제공

단말기단말기

도청 , 변조

신분위장

스위칭스위칭

트래픽 폭주 ,서비스 부인

공격

인터넷인터넷

스니퍼 스위핑

바이러스 유포

네트워크 보안 시스템 보안시스템 보안

3




(2) 모바일 인터넷 보안 기술

가 . 모바일 인터넷에서의 시스템 보안

- 호스트 컴퓨터나 디스크 혹은 단말기에 불법침투 , 부정접속 , 신분위장 , 자료 삭제 및 손실

등의 대책을 강구하여 보안을 완벽하게 유지하는 것

- 해킹 , 바이러스와 같은 공격에 대해서 정보호출 서비스를 제공함 ( 운영체제 보안과 관련 )

나 . 네트워크 보안

- 보편화된 모바일 인터넷 네트워크상에서의 도청 , 메시지 변조 , 신분위장 등의 공격에 대해서

정보보호 서비스를 제공하는 것

- 주로 유선인터넷 네트워크의 불법접근 , 메시지 변조 등의 보안사항을 고려해야 함

4



3.3.2 보안 기능

① 비밀보장 (Confidentiality)

- 기밀성은 중요자료가 외부에 불법적으로 누출되거나 도청되지 않도록 하는 것을 의미

② 무결성 (Integrity)

- 중간에 데이터가 변조되지 않게 하는 방법

③ 사용자 인증 (User Authentication)

- 인증은 상대방의 신분과 자격 여부를 확인하는 것으로 , 상대방 혹은 상대방 컴퓨터와

최초 연결이 이루어 질 때 필요

④ 부인 방지 (Non-Repudiation)

- 자료를 송수신하는데 있어서 사용자가 자신의 행위 사실을 부인할 수 없도록 하는 것

5



3.3.3 인터넷 보안 기술의 종류

(1) WAP 보안

모바일 인터넷 보안 기술ME 보안

WAP 보안

WTLSWTLS

WML 전자서명WML 전자서명

WIMWIM

WAP 공개키 기반구조WAP 공개키 기반구조

종단간 보안종단간 보안

WAP 보안

6




(1) WAP 보안

가 . WTLS

- WAP 포럼에서 TCP/IP 와는 별도의 무선 환경에 적합한 보안 프로토콜을 정의한 것

- WTLS(Wireless Transport Layer Security) 및 TLS(Transport Layer Security) 에 기반

- 통신상의 두 응용프로그램 사이에 안전한 채널을 형성하여 통신 내용의 보안을 보장하는 방법

Bearers:

GSM IS-136 CDMA PHS CDPD FLEXPDC-P iDEN

TCP/ IPUDP/ IP

TLS - SSL

HTTP

HTMLJ avaScript

Transport Layer(WDP)

Security Layer(WTLS)

Application Layer(WAE)) Other Services&

ApplicationsSession Layer(WSP)

Transaction Layer(WTP)

Bearers:

GSM IS-136 CDMA PHS CDPD FLEXPDC-P iDEN

TCP/ IPUDP/ IP

TLS - SSL

HTTP

HTMLJ avaScript

TCP/ IPUDP/ IP

TLS - SSL

HTTP

HTMLJ avaScript

Transport Layer(WDP)

Security Layer(WTLS)

Application Layer(WAE)) Other Services&

ApplicationsSession Layer(WSP)

Transaction Layer(WTP)

<WAP 프로토콜 스택 >

7




(1) WAP 보안

가 . WTLS

① WTLS 구조

- Handshake 프로토콜 , Alert 프로토콜 , Cipher Spec 프로토콜 , Record 프로토콜

- 수행 2 단계

ⅰ) Session State

: 보안 서비스 제공에 필요한 세션을 생성하는 단계

ⅱ) Connection State

: 세션 정보를 이용해 클라이언트와 서버가 메시지를 주고 받는 단계

8




(1) WAP 보안

가 . WTLS

② WTLS Handshake 프로토콜

- 클라이언트와 서버가 WTLS 를 이용해 연결을 할 경우 , 한 세션 동안 보안 서비스 제공에

사용되는 세션 키 , 암호 알고리즘 , 인증서 등과 같은 암호 매개변수를 서로 결정하기 위해

교환되는 정보에 대한 정의

③ Record 프로토콜

- WTLS Handshake 과정에서 생성된 세션 정보를 이용하여 실질적인 보안 서비스 제공

- Record 프로토콜은 데이터를 압축하고 , 해쉬 및 암호화를 수행하여 전송하거나 , 수신한

데이터를 복호화 및 검사하는 역할

9




(1) WAP 보안

가 . WTLS

③ Record 프로토콜

④ Cipher Spec : WTLS 의 동작에 대한 관리를 위해 사용

※ 기밀성 , 무결성 , 사용자 인증의 보안서비스는 제공하지만 부인 봉쇄 기능은 제공하지 않음

WTLSPlain text

WTLSPlain text

WTLSCompressed

WTLSCiphertext

1.Fragmentation:WTLS에서는 안함

2.Compression:현재는 사용 안함

WTLSPlain text

WTLSPlain text

WTLSCompressed

WTLSCiphertext

1.Fragmentation:WTLS에서는 안함

2.Compression:현재는 사용 안함

3.Encryption & MAC (Message Authentication Code)

10




(1) WAP 보안

나 . WML 전자서명

- 부인 봉쇄 서비스를 제공하기 위해서 WAP 에서는 WML 전자 서명 매커니즘을 제공

- WMLScript Crypto Library 에서 제공하는 Crypto.sign Text() 라는 함수를 이용해서 WML 문자에

전자 서명하는 것이 가능

※ 전자 서명의 문제점

① 전자 서명의 수행은 현재 단말기 성능 제한으로 인해 많은 시간이 소요 됨

② WMLScript 에 의하여 생성되는 전자 서명된 데이터를 WAP 게이트웨이에서

인터넷에 적합한 형식으로 변화시켜야 하기 때문에 보안상 허점이 발생 가능

11




나 . WML 전자서명

클라이언트클라이언트

문서

WMLScript Function(Crypto.signText)

Signed Content

Private key

IC-card

WIM(WAP Identity Module)

WAP G/W Web Server

VerisignSignature

Signer Info

Content InfoAuthenticated

Attribute

VerisignDigest Algorithm

Content Info

Certificates

CRLs

PKCS#7Signed Data

Signer Info

HTML 에 적합하게 변환

WML 에 적합하게변환

Public key hash or certificate

Signed Content

UTC Time & Nonce

<WML Script 를 이용한 전자서명 >

12




(1) WAP 보안

다 . WIM(Wireless Identity Module)

① 현재 휴대 단말기 보안 기술의 문제점

- 현재의 휴대 단말기 성능으로는 공개키 연산을 단말기 내에서 수행하기는 매우 곤란

- 메모리의 제한으로 인해 서버의 인증서나 사용자의 인증서를 여러 개 보관하는 것에도 문제

- 단말기 분실 시 인증서나 비밀키 같은 중요한 정보를 분실 우려

② WIM 이란 ?

- 현 휴대 단말기에서 발생 가능한 문제의 해결을 위해서 WAP 포럼에서 , WAP 에서 사용할 수

있는 스마트카드의 규격과 단말기와 스마트카드간의 인터페이스를 정의한 것

- WIM 은 PKCS#15 에 기반으로 설계

- 스마트카드에 저장되는 정보 : 사용자의 비밀키 , 인증서 등

13




(1) WAP 보안

라 . WAP 공개키 기반 구조

- 무선인터넷에서의 보안 기술로 공개키 암호 기술을 기반으로 함

( 무선인터넷과 공개키 암호 기술을 사용하는 유선인터넷의 연동이 필수적인 사항이기 때문 )

- 무선 인터넷 환경에 적합한 공개키 기반 구조 정의가 필요

- WAP 포럼에서는 WAP PKI 및 인증서 , 인증서 폐지 목록의 규격을 정의하는 작업을 진행 중

ex) IETF(Internet Engineering Task Force) 의 PKIX(Public Key Infrastructure X.509)

- 아직은 미진한 상태

14




(1) WAP 보안

마 . 종단간 보안 (End-to-End Security)

※ 종단간 보안 문제 발생 원인

- 유선과 무선 네트워크 상에서의 서로 다른 서비스 때문

유선 : SSL 또는 TLS 통해서 정보 보호 서비스를 제공

무선 : WTLS (WAP 의 보안 솔루션을 사용하는 경우 )

단말기 Web ServerWAP G/W

WTLS SSL

※ 만약 WAP 게이트웨이가 SSL 과 사이에서 WTLS 에 적합하게 변환하는 역할을 수행하더라도 ,

본래의 데이터 (평문 ) 의 내용을 알 수 있게 되어 , 불법적으로 사용할 수 있기 때문에 큰 문제가 됨

15




(1) WAP 보안


※ 종단간 보안 문제 해결 방법

① SSL 이용

- 이 방법은 유 무선 전구간에서 ․ SSL 을 이용하여 정보보호 서비스를 제공하는 방법

Client Web ServerWAP G/W

SSL

무선 구간 유선 구간

< 무선인터넷에서 SSL>

16




(1) WAP 보안


① SSL 이용 ( 계속 )

ⅰ) 장점

- 클라이언트와 웹 서버간의 종단간 보안이 가능 (WAP 는 단순 전달 기능만 가짐 )

- 클라이언트와 웹 서버는 기존 유선인터넷에서와 동일한 SSL 을 통한 정보 보호 서비스를

제공받을 수 있음

- 기존에 구축되어 있는 시스템을 그대로 사용

ⅱ) 단점

- SSL 을 효율적으로 처리할 수 있는 방법을 개발하는 것이 무엇보다 중요

( 단말기의 CPU나 메모리 용량으로는 빠른 속도로 SSL 을 처리하는 것이 불가능 )

17




(1) WAP 보안


② Secure WAP 게이트웨이 이용

- 종단간 보안 서비스 제공을 위해서 웹 서버 바로 앞 단에 또 하나의 WAP 게이트웨이를 설치

- 이때 Secure WAP 게이트웨이와 웹 서버 사이의 구간은 안전한 것으로 가정

Secure WAP G/WClient Web ServerWAP G/W

WTLS

< Secure WAP 게이트웨이를 이용한 종단간 보안 >

18




(1) WAP 보안


② Secure WAP 게이트웨이 이용 ( 계속 )

ⅰ) 장점

- WAP 게이트웨이는 단순히 무선 구간과 유선 구간 사이의 중계 역할만을 담당

( WTLS 와 SSL 간의 변환 과정이 필요 없음 )

- WAP 게이트웨이는 클라이언트와 웹 서버간의 통신 내용을 알 수 없음

ⅱ) 단점

- 인터넷상에서 서비스를 제공하려는 웹 서버 측에서 추가적으로 Secure WAP 게이트웨이를

설치해야 한다는 부담이 있음

- Secure WAP 게이트웨이와 웹 서버 간의 구간을 안전하다고 가정했다 하더라도 , 내부 또는

외부의 공격으로부터 노출될 수 있다는 문제가 있음

19




(1) WAP 보안


③ 응용프로그램 이용

- 정보보호 서비스와 관련된 모든 작업을 응용프로그램 레벨에서 처리하는 방법

- 클라이언트와 웹 서버는 정보 보호 서비스를 위한 전용 프로그램을 설치하고 이를 통해서

통신함으로써 종단간 보안 서비스를 제공 받음

ⅰ) 장점

- WAP 게이트웨이가 단순히 유선 구간과 무선 구간 사이의 중계 역할만을 수행 ( 안정성↑ )

- 응용 분야에 적합하게 프로그램의 수정이 가능

ⅱ) 단점

- 단말기의 성능이 문제

20




(2) ME 보안

- ME 가 기존의 유선 인터넷과 호환성이 유지되도록 설계 보안 요소가 유선 보안 요소와 유사

( ME : 마이크로소프트에서 만든 모바일 브라우저 )

가 . 모바일 익스플로러의 보안

① 모바일 익스플로러의 보안 레이어 구성

- 마이크로소프트에서 개발한 ME 1.0 에는 SSL 이 포함되어 있지 않아 , 사이버 금융거래 등에

활용하기 위해서는 보안 레이어를 구성해야 함

- 소프트포럼의 SSL 솔루션을 채택하여 ME 1.0 을 위한 SSL 을 단말기에 포팅

② 표준안

- SSL 기능을 이용하여 일반 웹 서버와 보안 통신 가능

( ME 는 일반 인터넷 표준인 HTTP/HTML 표준을 준수하므로 )

21




(2) ME 보안

가 . 모바일 익스플로러의 보안

③ ME 에서의 보안 및 인증

- 현재 ME1.0 용의 SSL 을 모듈에서는 강력한 사용자 인증 기능을 제공하지는 않음

- 현재 일반적인 보안 웹 서비스에서와 같이 익명 SSL 세션을 만들고 ID와 비밀번호로

인증을 수행

- SSL 의 인증기능을 사용하기 위해서는 단말기에서 RSA 개인키 연산이 수행되어야 함

( 보조 프로세서 또는 스마트카드를 사용하는 것이 필요함 )

22




(2) ME 보안

나 . SSL 의 보안과 인증

- SSL (Secure Socket Layer)

ᆞ Netscape 사에서 개발한 암호화 전송 프로토콜

ᆞ X.509 인증서를 이용하여 서버와 클라이언트간에 인증

ᆞ 128bit 키의 암호를 주로 사용 , SSL 3.0 버전 사용

ᆞ SSL 은 레이어 (Layer) 를 기반으로 하는 프로토콜

ᆞ URL 표기방식인 'http://*' 대신 ‘ https://*’ 을 사용해야 함

http 포트번호 = 80

SSL (https) 포트번호 = 443 ('http://*' 와 ‘ https://*’ 동시에 사용 가능 )

23




(2) ME 보안

다 . 모바일 익스플로러용 SSL 의 특징 및 성능

① SSL 의 인증 기능

- 현재 ME1.0 용의 SSL 모듈에서는 사용자 인증 기능을 제공하지는 않음

- 인증 기능을 제공하기 위해서는 스마트카드를 사용하는 것이 필요

② SSL 의 성능

• SSL 의 수행 속도

- 프로그램 코드의 성능을 향상 원리 : ‘90/10 법칙’

( 전체 실행 시간의 90%를 차지하는 10%의 코드를 향상시킴 )

• SSL 모듈의 크기

- 코드 사이즈와 사용하는 메모리의 양을 줄임으로써 시간과 공간 복잡도를 최대한으로 줄임

24




(2) ME 보안

다 . 모바일 익스플로러용 SSL 의 특징 및 성능

③ MSSL 의 암호 알고리즘

- MSSL 은 현재 SSL v3.0 에 정의된 3 가지 암호와 SEED블록 암호기를 이용

ⅰ) 공개키 암호 알고리즘

ⅱ) 대칭키 암호 알고리즘

ⅲ) 해쉬 알고리즘

④ ECC 를 통한 성능의 향상

- WAP 에서도 SSL 에서 인증 기능을 제공하기 위해서는 스마트카드를 사용하는 것이 필요

- ME 기반의 SSL 에서도 ECC 를 적용하면 서명 및 인증 속도가 빨라질 수 있을 것

25



3.3.4 국외 모바일 인터넷 보안 서비스 동향

① eSign-Consortium

- 전자서명 기술을 이용한 이동전화의 인터넷 활용이 주요한 목적

② VeriSign

- VeriSign 의 무선 인증 (WAP 인증서 )

: 디지털 서명이 검증될 필요가 있을 때마다 인증서를 가져와서 사용하는 방법을 채택

- 인증서의 크기로 인한 문제는 해결

- X.509 인증서가 무선에서 사용 가능 , 유선에서의 전자서명 검증 기능들을 무선에서도 사용

WAP Server/Gateway

ClientVeriSign

Processing Center

VeriSignProcessing Center

Short-lifeMini-certificate

service

< Verisign short-life 인증서 >

26




③ Telepathy WST( 무선 PKI 솔루션 )

- WAP 클라이언트와 게이트웨이는 Telepathy WST 를 통하여 조화로운 보안을 보장

- Telepathy WST 는 어떤 네트워크의 애플리케이션에도 WTLS 암호화 기능을 사용할 수 있게

해 주면서 기밀성과 무결성 , 부인방지의 기능들을 수행

④ Sonera Smart Trust Solution( 무선 PKI 솔루션 )

- 이동전화 , 금융업무 , 무역 서비스로 상용화할 예정

- PKI 에 기반을 두고 있고 1024비트의 RSA 암호를 사용하여 , diAx 의 이동 장치인

SIM(Subscriber Identity Module) 카드로 전자서명을 하고 은행이나 사용자 각각의 신원을

확인하여 데이터 전송의 무결성을 보장

27




⑤ DST-BlackBerry Wireless Handheld( 무선 PKI 솔루션 )

- BlackBerry Wireless Handheld 는 Diversinet 사의 클라이언트 / 서버 보안 솔루션을 통합하여

Motion Limited 에서 연구

- DST 는 무선 메시지의 암호화를 위해 Elliptic-curve(ECC) 를 사용할 예정

- 앞으로 DST 는 스마트 카드와 USB(Universal Serial Bus) 토큰을 포함하는 보안 장치에 검증된

전자 인증서를 사용하는 방법을 제공할 것

⑥ Entrust.net( 무선 PKI 솔루션 )

- Entrust 의 Mobile Solutions

- Entrust 의 버전 5.0 제품은 등록과 사용자에게 발행된 인증서를 관리하는데 비용을 낮추는

형식으로 구현 되었고 사용자의 이동성을 향상 시킴

28



3.3.5 모바일 인터넷 보안기술의 발전방향

- 현재 WAP 진영과 마이크로소프트의 ME 를 큰 축을 이룸

- 현재는 웹 보안 프로토콜인 SSL 의 사용이 증가하면서 SSL 의 핵심 기술인 공개키 암호 방식의

기반이 되는 PKI 의 중요성이 강조됨

- 무선 PKI 를 구축하기 위해서는 무선 환경에 적합한 인증기술 규격 및 관련 기술 개발에 대한

활발한 연구가 절실하게 요구

- 무선 PKI 를 수용하기 위한 제도적인 뒷받침 등이 지속적으로 이루어져야 함

- 기존의 유선 인터넷을 위한 보안 기술 규격 등과 상호 연동될 수 있도록 충분히 고려하여 함

3. 소프트웨어 기술

Documents