전자우편 보안, PGP, PEM, S/MIME

> 전자우편에 대한 보안위협요소

- E-mail 내용이 네트워크 전송과정에서 외부에 유출.

- 바이러스 프로그램이 첨부되어 전송

- 메일서버, E-mail 프로그램의 취약성을 이용에 시스템에 침입

☞ 이에 대한 위험요소로 인하여 PGP, PEM과 같은 암호화 프로토콜이 필요하게 되었다.

 1. PGP(Pretty Good Privacy)

- Phil Zimmermann에 의해 개발, 전자우편 보안의 표준

- 전자우편을 암호화하고, 받은 전자우편의 암호를 해석해 주는 보안 프로그램.

- 전자우편을 마치 편지봉투처럼 만든 것

- 분산된 키 인증(키서버)방식 : Web of Trust

- 구현은 PEM에 비해 용이하나, 보안성은 상대적으로 떨어지는 경향이 있다.

- 하나의 응용프로그램으로 활용성이 뛰어남.

>PGP에서 사용되는 암호화 키

- 대칭키(세션키, IDEA) : 전송메시지 암호화

- 공개키(RSA) : 세션키 암호화

- 개인키(RSA) : 디지털 서명 위한 메시지 암호화

> PGP가 제공하는 보안 서비스

1. 기밀성

- 메시지를 암호화 함으로써 기밀성을 제공한다.

2. 인증(메시지 인증/사용자 인증)

- 디지털 서명을 통해 메시지/사용자 인증을 제공하기 떄문에, 전자우편을 실제로 보낸 사람이 누구인가를 확실히 알 수 있게 하며, 수신자가 전자우편을 받고서도 받지 않았다고 주장할 수 없게 해준다. 이로써 부인방지 효과도 제공한다.

-송신자가 생성한 메시지를 MD5와 같은 해시코드를 생성하고, 생성된 해시코드에 비밀키로 RSA 암호화해 전송해준다. 

- 수신자는, 송신자의 개인키로 RSA를 복호화하고, 메시지에 새로운 해시코드를 생성하고 원래의 값과 비교하여 일치하면 인증이 성립하게 된다.

3. 압축

- PGP는 서명한 뒤에 압축.

- 원래의 평문보다 줄어들기 때문에 보안의 역할을 해줌(공격자 입장에서는 추측이 어려움)

- 공간절약과 보안성의 효과를 가짐

4. 분할

- 분할 된 메시지가 자동적으로 재결합

- 메시지의 크기와는 상관없이 PGP사용이 가능

5. 전자우편 호환

- 블록의 일부가 암호화되어, 블록의 일부는 임의의 바이너리로 구성

- 대부분의 전자메일 시스템은ASCII를 사용하지만, PGP는 Radix-64변환법 사용

- Radix-64 : 메시지서명만 되었을 때, 어느정도의 기밀성을 제공한다.

(메시지의 일부는 확장되지만 일부는 압축/축소됨)

> PGP 메시지의 형식

- 메시지, 서명, 세션키로 구성

수신자의 공개키 ID

세션 키

파일 생성 시각

송신자의 공개키 ID

메시지 다이제스트 ( 재전송 공격 방지)

파일이름

타임스탬프

데이터

> PGP의 단점 

- 공개키 기반구조에서와 같은 (PKI)인증기관이 없음

 

2. PEM(Privacy Enhanced Mail)

- PGP와 같이 메시지의 내용을 암호화하고, 특정 키가 있어야만 내용을 볼 수 있다.

- 제공하는 보안서비스: 비밀성, 메시지 무결성, 사용자인증, 부인방지

3. S/MIME(Secure Multi-Pupose Internet Mail Extension)

- 표준 보안 메일 규약으로 송/수신자를 인증하고 메시지의 무결성을 증명

- 첨부물에 대한 보안이 목적

- MIME에 전자서명과 암호화를 더한 형태로, RSA 암호시스템 이용

> S/MIME이 제공하는 기능

- MIME에 대한 보안 제공

- 서명과 메시지의 암호화(PGP와 유사)

- 기밀성

> PGP와 S/MIME의 보증방식

PGP	S/MIME
서로 알고있는 서버/클라이언트 끼리  자신의 공개키에 서명함으로써 신뢰성 보증	CA로부터 자신의 공개키를 보증하는 인증서 받아야 함