보안토큰 (hsm) 활성화 방안

Softforum2007.04

보안토큰 (HSM) 활성화 방안

22

Eastablishing Global Trust

I. 보안토큰 개요

1. 보안토큰 정의

2. 보안토큰의 형태

3. 보안토큰 보급 및 지원 현황

4. 보안명토큰과 보안

33

1. 보안토큰의 정의1. 보안토큰의 정의

정의

보안토큰은 키 및 전자서명이 하드웨어 내부에서 생성되는 기능을 제공하여야 한다 .

보안토큰은 인가되지 않는 사용자 또는 가입자 소프트웨어의 접근 · 이용에 적절히 대처하기 위해 사용자의 비밀번호 인증 및 비밀번호 입력오류 회수 제한 기능을 갖춰야 하며 , 입력오류 허용 회수를 초과하는 경우 해당 보안토큰 잠금 기능을 제공하여야 한다 .

보안토큰의 전자서명생성키 등 비밀정보는 기기 외부로 노출 · 유출되는 것을 금지한다 .

44

2. 보안토큰의 형태2. 보안토큰의 형태

형태 H/W 형태

• RSA 에서 만든 PKCS#11

• MS 에서 만든 CSP( Cryptographic Service Provider )

S/W 형태

• 스마트카드 형태 : 별도의 리더기가 필요하지만 분실에 대한 유지보수 비용은 저렴하다 .• USB 형태 : 리더기를 갖출 필요가 없으므로 편리하다 .• 모바일기기 형태 : 통신료가 발생하나 휴대성이 뛰어나 활용도가 높음• 기타 형태 : 서버에서 사용하는 PCI 슬롯용 , 네트워크용 및 기타 기술발달로 다양한 형태의 서명토큰 가능

55

2. 보안토큰의 형태 ( 계속 )2. 보안토큰의 형태 ( 계속 )

구조

Application AApplication A Application BApplication B

CSP #1 CSP #2 CSP #3

KEY DB KEY DB KEY DB

Crypto API

Crypto SPI

Key ContainerFor User #1

Key ContainerFor User #2

ApplicationLayer

SystemLayer

ServiceProvider

Layer

O / SO / S

MS CSP

보안토큰 API

가입자소프트웨어 1 가입자소프트웨어 n

슬롯 1 슬롯 n

보안토큰 1 보안토큰 n

Device Contention/Synchronization

[그림 1] 가입자 소프트웨어와 보안토큰간 모델

Other Security Layer

보안토큰 API

Other Security Layer환경파일

보안토큰 구동프로그램 검증정보

PKCS#11

자료출처 : KISA 보안토큰 기반의 공인인증서 이용기술 규격

자료출처 : MSDN

66

3. 보안토큰 보급 및 지원 현황3. 보안토큰 보급 및 지원 현황

현황 보급

• MS 환경에서 CSP 형태로 로그인 , 브라우저 , VPN 등에서 지원

• Netscape(Mozilla Firefox) 과 Java 에서 PKCS#11 형태 지원

• 일부 공인인증 기관 툴킷과 소프트포럼 PKI 툴킷에서 지원

• 상반기 중에 은행을 중심으로한 PKI 툴킷에 반영 될 예정

지원

• ~2003 : 주로 외산 제품이 민간 기업에 도입 (iKey, Gemplus, eToken, …)

• 2003~2006 : 국산제품 개발이 활발히 일어남 . 서명토큰의 연산 성능이 크게 발전함 일부 금융기관 및 공공기관에서 VPN 연동 등을 위하여 도입 .

• 2006~2007 : 2005 년 해킹사건으로 보안강화 일환으로 2006 년 HSM 표준화 갱신 작업 실시 . 많은 국내 업체가 HSM 개발에 참여 . 모바일기기 형태의 서명토큰 등장 .

77

4. 보안토큰과 보안4. 보안토큰과 보안

보안 최근 해킹 동향

• 프로토콜의 강도에 관계 없이 개인키 유출 방지

• 개인키와 공개키 쌍을 내부에서 생성하고 외부로 유출이 불가함

• 개인키를 사용하는 복호화 및 서명 작업 역시 보안토큰 내부에서 이루어 지기 때문에 개인키 유출이 없음

보안 토큰을 통한 방어

• 웹페이지를 통한 해킹 툴 설치 후 인증서 수집 . 피싱을 통하여 패스워드 취득

• API 후킹을 통하여 패스워드를 입력한 후의 복호화 된 인증서와 개인키 수집

• 메일계정이나 웹하드 등에 올려 놓은 인증서 수집

88

4. 보안토큰과 보안 ( 계속 )4. 보안토큰과 보안 ( 계속 )

사례

99

4. 보안토큰과 보안 ( 계속 )4. 보안토큰과 보안 ( 계속 )

OTP 와 비교

OTP 보안토큰

보호대상

동적인 패스워드를 통한 패스워드 보호 개인키 유출을 방지하여 인증서를 보호함

기능 패스워드를 통하여 사용자를 인증할 때 사용 . 채널 보호나 부인방지에는 사용할 수 없음 .

RSA 연산에 사용되는 개인키를 보호함으로써 세션 암호화 , 전자서명이 안전하게 이루어질 수 있게 함

장점 통신 매체에 관계 없이 다양한 기기에 사용될 수 있음 인증서의 개인키를 안전하게 보호반영구적

단점 방식에 관계없이 오차가 존재하여 그 차를 만회하기 위한 장치가 키 추론에 이용될 수 있음

서버에서도 키를 보유하므로 인증으로서의 가치가 적고 부인 방지에 사용될 수 없음

모든 경우에 피싱 공격에 취약 . 시간 방식의 경우 전원 문제로 수명이 짧음

전자서명을 제출할 수 있는 환경 즉 PC 나 서버와 같은 컴퓨팅이 가능한 환경에서만 사용 가능

현황 금감원에서 1 등급 보안매체로 지정통합OTP센터 구축 중

금감원에서 1 등급 보안매체로 지정현재 KISA 에서 3월 30 일 표준 개정 완료

1010

Eastablishing Global Trust

II. 보안토큰 구현

1. MS CSP

2. PKCS#11

1111

1. MS CSP1. MS CSP

CSP?

Cryptographic Service Provider

광범위한 활용

미래

MS Windows 환경에서 로그인 , 파일 암호화 , VPN, HTTPS 등을 이용시 사용가능

CryptoAPI, CAPICOM 등을 통하여 프로그램을 통하여 개발 및 사용하기 편리

Vista 를 통하여 CNG(Cryptography Next Generation)를 도입 . 지역화를 용이하게 함 .

Suite-B Algorithm : AES, SHA2 등 지원

TPM(Trusted Platform Module) : TBS

1212

1. MS CSP( 계속 )1. MS CSP( 계속 )

CNG Architecture

자료출처 : MSDN

1313

2. PKCS#112. PKCS#11

PKCS#11?

Cryptographic Token Interface Standard

광범위한 활용

미래

RSA, Netscape(Mozilla), Java 에서 지원

OS 에 관계 없이 다양한 환경에서 지원

표준으로 인정되어 확산 용이

PKCS#15 : Cryptographic Token Information Syntax Standard

인터페이스를 넘어 호환성과 다양한 인증기능을 통합하기 위해 데이터 포멧까지 표준 확장

1414

2. PKCS#11( 계속 )2. PKCS#11( 계속 )

Card Terminal-Interface

Card independent Application Driver PKCS#15

Interpreter

Application

PKCS#11-Interface

PKCS#11 & PKCS#15

자료출처 : RSA PKCS#15 v1.1

1515

Eastablishing Global Trust

III. 보안토큰 활성화 방안

1. PKI 저장매체 변경

2. 편리하고 안전한 인증서 환경 구축

1616

1. PKI 저장매체 변경1. PKI 저장매체 변경

정책적 반영 필요

금융권에서 비보안 매체들의 권한 대폭 축소

장기적으로 비표준 매체 허용을 점진적 금지

PKI 클라이언트의 PKCS#11(and MS CSP) 의 의무적 지원

기존에 표준으로 지정된 저장 매체들이 하드디스크 , 이동식 디스크 , 스마트카드 , 표준보안매체로 구성되어 있으나 표준보안매체에서 P#11 을 다루기 보다는 독자적인 비보안 저장매체를 지원하는 용도로 전락

1717

2. 편리하고 안전한 인증서 사용환경 구축2. 편리하고 안전한 인증서 사용환경 구축

안전한 인증서

사용환경

구축

보안토큰 개발 및 사용을 위한 표준 정비

인증서 재발급 절차 변경 등 절차적 보안 강화

보안토큰 내 생성된 인증서를 구별하기 위한 인증서 프로파일 변경

사용자 인증서 검증 강화

편리한 설치 방법 및 사용방법 연구

1818

Thank YouKim, Kiyoung

Director of SW R&D Center, SOFTFORUM

kiyoung@softforum.com

82-2-526-8351

82-16-406-2045