[inforever] 시큐리티 프레임웍 #6

- 0 - ㈜ 인포레버컨설팅 교육사업본부

Contents Security


항목 상세내역

개요 원치 않는 통신에 대한 거부방안

기출여부 71

관련KeyWord 기술적/제도적 대응방안

추천사이트

기술발전

RoadMap개별솔루션 대응제도에 기반한 사업자간 협력체계

기타

Preview

10-1. 스팸방지기술


Spam 방지기술

개요

– 스팸: 수신자가 원치 않는 메일/메시지, 기타 컨텐츠의 일방적 발송행위

– 확산사유: 송신저비용, 수신자획득비용 저렴, 메일의존도 증가

– 문제점: 네트워크 부하, 시간/비용 허비, 정상활동 피해

스팸 유형

– 중계방식별: 직접, 중계

– 내용별: 광고, 장난, 사기…

– 형식별: 메신저, 메일, 문자, 팝업, 전화 등…

기술적 대응방안

– 발신자 차단: IP, URL, ID…

– 메시지 필터링: 제목, 본문

– 인공지능: 스팸 패턴 학습 후 이를 통한 필터링

– 암호화 우표: 전자우표 검증

제도적 대응방안

– 메일헤더 의무화, 미성년전용 메일ID, 온라인우표제 (대량발송 시 구매), 벌금/

단속(발송1천만원 가중처벌)

– SPF(Sender Policy Framework): 발신 URL과 실제 URL의 비교

– 유동 IP 발송금지

– OPT-IN, OPT-OUT

– 대부분 사용자 신고에 의지하여 실효성이 떨어짐, 외국 메일서버 이용 시 우회

가능


Spam 방지기술

운영상의 방지대책

– 관리자: Spam House이용, Relay설정여부 감시, 계정관리, 메일 전송량 제한 등

– 사용자: 스팸신고, 게시판 글 쓰기 유의(메일정보 노출)

향후 발전된 스팸차단을 위한 보안 주체별 역할 분담 방안

– 정부: 메일인프라 재설계, 해외표준 연계, Spam관련 벌금의 포상금화

– ISP: 스팸차단 GW 설치 (특히 해외: 신인도 하락, Black List 등록 우려)

– 기업: CERT활동, 시스템 도입, 프로세스화

– 개인: 스팸 신고, 가입 시 메일주소 주의


항목 상세내역

개요 전송여부를 발신자에게 확인하여 스팸을 방지하는 기술체계

기출여부

관련KeyWord DNS TXT Field

추천사이트

기술발전

RoadMap

기타

Preview

10-2. SPF


SPF(Sender Policy Framework)

개념

– 전송여부를 발신자에게 확인하여 스팸을 방지하는 기술체계

– 발신자 위조메일대처 가능

– SMTP 취약성(검증경로가 없음)에 대해 일정부분 대처 가능

– 비용대비 효과가 매우 좋음

동작 개념도

2. 거기서 보낸

메일 확실해?3. 우리 아닌데?

1. 스팸 메일 발송4. 스팸 차단!!!


SPF(Sender Policy Framework)

SPF에 대한 주체별 준비 사항

– 메일 발송업체: DNS Record SPF정보 삽입

– 메일 Forwarding/발송대행 업체: Mail From에 자신의 SPF정보 삽입

– 메일수신업체: SPF확인절차 구현, White List구현(발송 대행업체, 포워딩 업체 등)

SPF의 보안위협

– 악성 SPF Record 출판: DoS공격 효과

(메일의 특성 상 현실에서 큰 위협사례는 아직 없음)

SPF 보안위협 대응방안

– 메일당 DNS Lookup 제한

– DoS, DDoS 방지장치 도입

효율적 SPF도입을 위한 고려사항

– 포털 외 기타업체도 의무화 확대

– Customizing된 Open Source 메일 서버 배포


항목 상세내역

개요 컨텐츠 보호 및 관리기술 컴포넌트 소개

기출여부 74, 75, 83, 84, 91

관련KeyWord

추천사이트

기술발전

RoadMap국제/부문별 표준CP별 표준

기타

Preview

10-3. 디지털 컨텐츠 보호기술 유형


Digital Contents 보호기술의 유형

사용자 제어 기술

– 컨텐츠 식별체계: 체계적 관리/이용 (DOI)

– 메타 데이터: 컨텐츠 요약정보 (INDECS)

– 권리 표현기술: 컨텐츠권리 규칙 (REL-XrML)

저작권 보호 기술

– 암호화: RSA, Elgamel, Seed, Secure Container(암호화된 컨텐츠 구조표현)

– 위변조 방지: Temper-Proof, Temper-Resistance

– Watermarking: 가시/비가시 영역에 정보 삽입 (Finger Printing은 소비자 정보 삽입)

DRM Digital

Contents

User

INDECS DOI

Watermark

•인증/과금/관리

•메터데이터 등록/검색 •DC 검색 URL제공

•컨텐츠 보호방안 제공


항목 상세내역

개요 디지털컨텐츠의 유통과정에서의 저작권 보호 방안

기출여부 74, 83

관련KeyWord Clearing House, 배포방식

추천사이트

기술발전

RoadMap국제/부문별 표준CP별 표준

기타

Preview

10-4. DRM


DRM (Digital Right Management)

개념

– 디지털 컨텐츠의 생성에서 이용까지 전 과정에서 적법성이 유지되어 저작권을 보호하는 기술

– 디지털의 복제특성 때문에 더욱 필요, NW도입으로 활성화

DRM의 유통 개념도

– 컨텐츠의 생성에서 소멸까지 전체 프로세스를 관할

CP CD Customer

Clearing House

•Contents •Contents

•Contents 관리정보•컨텐츠 사용내역 •라이센스 요청 •라이센스 발급

DRM의 기능

– 불법유통/복제 방지, 저작권 인식/인증

– 전송/제한/추적

– Digital Contents 식별체계, 보안/과금

•사용정보



DRM의 다양한 컨텐츠 배포방식

– Forward Look: 다운된 Contents의 타 Device이용불가

– Combined Delivery: 1회 미리 보기

– Separate Delivery: 컨텐츠/사용권한의 분리 후 송신

– Super Distribution: 라이센스 기반 컨텐츠, 수신자의 고유속성으로 라이센스 암호화

향후 전망

– MPEG21의 DID (Digital Item Declaration)로 통일 전망(표준화 자체는 부진함)

– 문서보안, e-Learning, DMB, 음악서비스, UCC…

– Domain단위 적용으로 발전예정, Value Chain전체 적용은 회의적



DRM의 기능개념도

Content Provider

Workstation

DRM Server

Content Server

User A PC

① Content (C) Info② Sym. Key (K)

③ Content

Packaging

④ Content Package (EK(C))

⑤ Purchase &

Payment

⑦ Download (EK(C))

⑧ User & H/ W

Authent icat ion

⑥ Purchase Info

⑨ License (K, Right Descript ion)

User B PCEK(C)

⑩ Decrypt ion & Viewing


항목 상세내역

개요 컨텐츠 등록관리번호 체계

기출여부 74, 83

관련KeyWord UCI, COI

추천사이트 http://dckorea.co.kr/tt/39

기술발전

RoadMap

기타

Preview

10-5. DOI

http://dckorea.co.kr/tt/39


DOI (Digital Object Identifier: ISO/DIS 26324)

개념

– 미국 출판업계와 CNRI가 주축이 되어 만든 URN기반 전자출판물 주소관리 체계

– International DOI Foundation에서 관리 (Agency 4000개, 5000만+α Contents)

– 디지털 컨텐츠의 고유식별체계(영구접근성 확보), 위치추적 접근기술 (URL의 적정성 문제에서 출발)

– 논문의 Cross Reference Service가 DOI의 RA임

DOI의 동작 개념도

등록

관리기관

등록

기관사용자

1.등록

5.이용

4.요청

2.DOI3.URL

식별체계

10.802 / ISBN-471 /3218888888

Prefix Sufix

컨텐츠 고유 번호등록기관번호+등록관리기관번호

CNRI: Corporation for National Research Initiatives

http://dx.doi.org/10.1000/182


DOI (Digital Object Identifier)

국가 URN (Uniform Resource Name)체계인 UCI (Universal Contents Identifier)

– URN: URL로 Digital Object표현, IETF 제정

– UCI: (구)전산원이 개발한 국가 URN 식별 체계

– 필요성: 독자정책, 산업활성화

등록관리기관 UCI센터 응용서비스

부가기능

•국가지식DB: KEMS

•DTV컨텐츠: KBS

•Mobile: SKT, KTF

•메타표준화

•Registry

•운영정책

•Digital Contents Mall

•지식자원 검색

•DRM, 전자결재, 거래인증

UCI VS. COI

– COI (Contents Object Identifier): 문체부(구 문광부)에서 개발한 URN식별체계로 UCI+확장체계의 구조

– 저작권 등 문화 컨텐츠에 대한 내용이 추가됨, 국제 표준은 아님

– 2008년 UCI로 통합 (현재 약 5,000만 건 등록)

– 개선점: 저작권 관리기능, 콘텐츠 간 연계서비스 창출, 지원체계


항목 상세내역

개요 전자상거래 메타데이터 모델

기출여부 83

관련KeyWord RDF, semantic

추천사이트 http://www.doi.org/topics/indecs/indecs_framework_2000.pdf

기술발전

RoadMap

기타

Preview

10-6. INDECS

http://www.doi.org/topics/indecs/indecs_framework_2000.pdf


INDECS (Interoperability of Data in e-Commerce System)

개념

– 전자상거래에서 정보교환을 지원하는 메타데이터 모델(메타데이터 프레임워크)

– EC와 음악/저작권/출판/작가/도서관 등 단체들의 공동 출자로 진행된 프로젝트(2000년 종료)

– DOI와 호환가능한 메타데이터구조 제공, Semantic Interoperability에 초점

INDECS의 특징

– RDF화: 유통, 저작권 등 실제 운영과정 자체를 RDF화

– 이벤트 중심의 상거래 관점으로 메타데이터 표현(생성, 유통, 이전, 이용, 획득 등)

활용개념도

INDECS의 정의 Semantic

– Element: 메타데이터 아이템

– Entity: 식별되는 대상으며 3 View로 존재, Entity마다 attribute 소유

– Attribute: Entity의 특성, Entity 소유속성

– Value: Attribute의 Instance

– iid: INDECS Framework내에서 Element에 부여된 Unique Identifier

– Element Role: Entity/Attribute/Type/Value로 쓰일 수 있음.


INDECS (Interoperability of Data in e-Commerce System)

INDECS Framework의 주요 기본개념

– INDECS Semantic

– Relations: Entity간의 관계

– Roles: Agent, Input, Output, Context

– Event: Creating, Transforming, Using…

– Parties: Human, Animal, Plant, Organization, Ensemble(Group of Creators)

INDECS의 역할

– 상거래 Transaction 거래내역 확인, 자동화 기초

– 한국 DB진흥센터에 DOI+INDECS적용


INDECS - Views of entity

• General View • Commerce View-1

• Commerce View-2 •Legal View

People make stuff. People use stuff. People do deals about stuff.


항목 상세내역

개요제거 및 인지하기 어려운 방법으로 컨텐츠 소유자의 사인을 컨텐츠에 삽입

하는 방법

기출여부 69, 74, 84

관련KeyWord Watermark의 종류

추천사이트

http://kor.markany.com/product/data/ppt-MAIM2.pdf

http://scien.stanford.edu/pages/labsite/2001/ee368/projects2001/dropbox/project06/

http://ki-it.or.kr/paper/paper_01_02/13. (황재호) HVS를 이용한 디지털 영상의 워터마킹

기법.pdf

sadespair.springnote.com/pages/329267/attachments/2400331

기술발전

RoadMap가시적비가시적

기타 Finger Print와의 차이점

Preview

10-7. Watermark







http://ki-it.or.kr/paper/paper_01_02/13. .pdf




















Watermark

Watermark의 개념

– 제거 및 인지하기 어려운 방법으로 컨텐츠 소유자의 사인을 컨텐츠에 삽입하는 방법

Watermark 요구사항

– 비인지성(Imperceptibility): 소비자 side 요구사항, 삽입전과 후의 품질 유지

– 강인성(Robustness): 공급자 side요구사항, 공격이 있더라도 검출 기능이 유지되야 하며 제거 시는 심

각한 품질저하가 일어나야 함. (압축/포멧변환/이펙트/회전/크기변환/크로핑 등등….)

– 삽입량(Capacity): 사용자, 공급자 정보 등 필요, 적은 삽입량은 강인성 유지가 힘 듬.

– 검출률(False Negative/Positive Alarm): 가급적 작게 설계

Watermark의 종류

– 인지여부 별: 가시적/비가시적

– 활용도 별(비가시적 data only):

• 강성(데이터 파괴 시만 파괴): 소유권 판별 목적에 사용

– Blind: 검출 시 원 컨텐츠 사용 / Non-Blind: 검출 시 원 컨텐츠 사용하지 않음

– Public: 누구나 검출 가능 / Private: 권한 소유자만 검출 가능

• 연성(작은 변경에도 파괴): 원본 확인 필요 시 사용

– 삽입 방식 별

• 공간영역(Spatial Domain)

– LSB기법: Pixel의 Luminance value의 LSB(Least Significant Value)에 삽입, 잡음/압축에 약함

– Bit Plane기법: 잡음과 같은 형태를 가지게 되어 시각에 덜 민감한 하위 비트 플래인에 영상 삽입

• 주파수변환: 원본/워터마크아나로그 변환 후 삽입

(고속 퓨리에 알고리즘-FFT, 이산코사인 변화법-DCT 등 이용)

• 기타 압축영역/비압축영역, 전체영역/블록영역 등 분류방법 다양함


Watermark

Watermark 공격방안

– 단순공격: 영상전체 조작 DoS

– 검출불능 공격: 워터마크와 검출기 사이의 상관관계 제거

– 모호성 공격: 위조 워터마크 삽입

– 제거공격: 워터마크 이전 이미지 추측/제거

활용방안 & 향후 방향

– 저작권 보호, 불법복제 추적, 방송 모니터링(광고시간 준수 등)

– 무결성유지, 위/변조 대응

– Dual watermarking / Dual Finger Printing

Watermark의 입력과 검출 Process


Watermark - Steganography

개념

– 워터마크 기법을 이용한 정보은닉

– Cover image속에 목적 이미지를 숨겨서 전송하는 방법


[참조] Watermark 삽입방식 별 변환방법

• FFT(Fast Fourier Transform): Audio사용, 시간영역에서 주파

수 영역으로 변환

• DCT(Discrete Cosine Transform): 영상사용, 공간영역신호를

블럭단위 주파수 영역정보로 변환

• DWT(Discrete Wavelet Transform): 입력 신호를 시간/진동수

측면에서 양측 모두 좋은 신호로 분해


항목 상세내역

개요 컨텐츠 가치사슬 체계 프레임워크

기출여부

관련KeyWord

추천사이트

http://ettrends.etri.re.kr/PDFData/17-6_163_172.pdf

http://mpeg.chiariglione.org/standards/mpeg-21/mpeg-21.htm

http://manifesto.dmpf.org/dmm.htm

기술발전

RoadMap

기타

Preview

10-8. MPEG21









http://manifesto.dmpf.org/dmm.htm


MPEG21 개념

– 멀티미디어 컨텐츠의 생성/전달/소비/보호/관리 등 가치사슬 전과정의 인프라가 통합/체계화 될 수 있는

Framework

– 상호운영, 투명성, 저작권확보 측면에서 필요

MPEG21 Framework 구조

– 기술서비스: Digital Contents표현, 단말 & 네트워크

– 분배서비스: Digital Contents아이템 정의, Digital Contents 관리/운영

– 금융서비스: 지적 자산 관리/보호

– Directory 서비스: Digital Contents 아이템 인식/기술

– 정규적 서비스: 이벤트 리포팅

MPEG21 Framework 요소기술

– DID (Digital Item Declaration): 가급적 많은 포멧의 수용 및 상호연동 가능성 고려, XML기반 표현법 및

스키마를 근간으로 발전시킬 예정

– DII&D(Identification & Description): ISBN/DOI 등 기존 시스템을 포괄하는 국제표준 고려, 메타 데이터는

RFD, 더블린 코어, MPEG-7 등 다양한 방식 사용 가능

– Contents Representation: 매체 부호화 표준, MPEG1~2/SMIL/VRML/HTML 등 기존 수단 사용

– Digital Item Mgt. & Usage: 생성/검색/접근/저장/전송의 Interface와 규약

– IPMP(Intellectual Property Mgt. & Protection): DRM, XrML기반 표준화(사용권, 사용조건 기술)

– 단말기 & 통신망: MPEG-DMIF(Delivery Multimedia Framework), DIA(Adaptation)-사용자 환경정보 표

준화

– 이벤트 리포팅: 보고를 위한 사건정보, 측정단위, 인터페이스 표준화


MPEG21

MPEG21의 근래 활동

– DMM (Digital Multimedia Menifesto): 디지털 멀티미디어 환경 문제점 전반에 대한 반성

• 기존 압축중심 접근의 문제점

• 산업화 사용상의 문제점

• DMP 선행작업

– DMP (Digital Media Project): DMM에 의해 출발, 사용편의성/정책과 기술의 조화에 초점

• DRM은 독자표준으로 진행하고 나중에 필요부분만 연동하는 것이 대세이기 때문에 General

Framework이 동작할지는 미지수임


항목 상세내역

개요 가입자별 제한방송 송출 솔루션

기출여부

관련KeyWord EMM, ECM, CW, PoD

추천사이트

기술발전

RoadMapBroadcasting용 CAS양방향용 CASDRM통합

기타

Preview

10-9. CAS


CAS (Conditional Access System)

개념

– 스크램블링 기법을 이용, 시청자격이 있는 가입자에 한하여 선별적으로 시청권한을 부여해 주는 체계

– 방송(Broadcasting)기반 솔루션, 양방향(VOD)기반은 DRM이 대표적

– SP의 수익기반 제공

구성도 및 구성요소

– EMM (Entitlement Management Message)

• 전체 가입자들의 가입현황 데이터

• 예> 조현혁은 확장팩 1에 가입되어 있음.

– ECM (Entitlement Control Message)

• 수신조건 정보, CW Seed

• 예> 본 월드컵 실황은 확장팩2, 3, 4에 한하여 시청 가능함

– CW (Control Word)

• CW Seed가 스마트카드를 거치면 CW로 변환

• 컨텐츠 Scrambling, Descrambling Key

– PoD (Point of Deployment): 수신제한카드 적용위치

– 스마트카드: 신원증명, CW생산

CAS의 전망

– 전망: 현재는 DRM과 분리, 향후 단일화 예상(좁은 의미의 DRM에 해당)

– 미국 Open Cable 정책으로 수출기회 증가(CAS, POD 분리)

– 사이멀 크래프트(복수 CAS) 전환국 증가로 수출기회 증가`

EMM/ECM비교

CW Seed스마트카드CW

컨텐츠

Descrambling


CAS(Conditional Access System)


개인정보보호 관련 최근 개정된 법률 및 정부의 움직임, 서비스 업체의 준비대책

개인정보보호법이 발효될 경우 파급효과나 부작용

DDoS 발생현황 및 실질적 대응방안

VoIP보안

DB보안 (개인정보 관련)

NAC의 기반기술 및 한계점

Ubiquitous Security (미래 보안기술에 대한 시각점검 측면)

ISMS의 한계 (인터넷 쇼핑몰 A의 케이스)

SQL Injection (최근 가장 보편적이고 파급효과가 큰 해킹기법)

ESM, TMS, RMS의 차이점 인식 및 상호 연동방안

DLP

예상문제

[inforever] 시큐리티 프레임웍 #6

Documents