Identification&Access Control

• 예방적 접근통제
• 탐지
• 교정
• 복구
• 저지
• 지시
• 보상

 

 

#접근통제

• MAC : 중앙집중형 

 

• DAC : 분산형 / 신분기반

 

• 비임의적 접근통제(NDAC) : 중앙집중형, 보안정책 기반

 

• RBAC : 주체의 역할 기반 [MAC/DAC]

 

• ABAC(속성 기반) : 민감한 정보를 처리하는 조직은 액세스 제어를 보안아키텍처의 핵심 기능으로 만들어야 함

 

 

 

#권한부여방법

• 묵시적 거부(Implicit Deny)
• 접근통제 매트릭스(Access Control Matrix) - Capability table
• 제한된 인터페이스(Constrained Interface)
• 내용 의존성(Content-dependent AC) : 
• 문맥 의존성(Context-dependent AC) : 주체의 내용에 따라 접근 제한 / 주체의 IP에 따라 접근제한 / Stateful-firewall

 

 

 

 

 

 

< 정보보호 at Corporation > 

 

• 고위경영진(Senior Management): 
• 고위 사업부 관리(Senior Business unit Management)
• 데이터 소유자(Data owner) : 
• 데이터 관리자(Data custodian) : 일상적인 데이터의 유지와 보호에 책임이 있는 운영자
• 시스템 소유자(System Owner): 
• 보안관리자(Security Officer) 

 

** 한 시스템에 데이터소유자가 여러명 있을 수 있음

 

 

 

# 디렉토리 기반 인증 서비스(X.500)

• Active Directory : MX
• LDAP : [SSO] AD 인증할 때 사용되는 프로토콜
• LDAP-S : LDAP(SSL, TLS)에서 쓰임 / Port 636
• OpenLDAP : 유저패스워드를 저장하지 않음(해시값도, 샐팅값도)

 

# 중앙집중형 접근통제

• Kerberos : [SSO] 티켓기반 인증시스템 / 대칭키로 암호화(AES)
• SESAME : Kerberos의 약점 극복하기 위해 비밀키 분배 시 공개키 암호화
• KryptoKnight : Kerberos의 써드파티 인증기능 대신 P2P 인증기능
• netSP

 

 

# 분산형 인증시스템

• 연합계정관리 : SMPL을 사용
• SAML : 인증과 권한정보 교환

 

#프로비저닝

• 사용자 요구에 맞게 시스템을 제공하는 것

 

 

# AAA 프토토콜(인증, 인가, 계정관리)

• RADIUS : [UDP] 원격 인증 서비스
• TACACS : [UDP 49] 원격접속 사용자 로그인 유효성 검증
• TACACS+ : [TCP 49, UDP 49]RADIUS에서 발전한 단계, / 인증, 계정, 권한관리를 각각의 독립된 서버에서 수행
• Diameter : [TCP 3868] SCTP / IP, VoIP, IPSec, TLS 지원 /  패스워드+인증정보 암호화

 

 

< SSO > 

• EAM
• IDM
• IAM : SSO + EAM + 프로비져닝
• SAML : [XML] 인증정보 제공자와 서비스제공자 간에 인증&인가 데이터(보안자격증명)를 교환하기 위한 포맷
• oAuth : 자격증명을 공유하지 않음 / 인가 용도 / Access Token 기반 / API 기반
• OIDC(Open ID Connect) : 인증 용도 / oAuth 프로토콜에 계층화, 인증코드를 사용하여 대상자에게 연결 / Google ID로 로그인하기

 

 

• SSI(자기 주권 신원) : 사용자가 신원정보에 통제권을 가져야함, 알고리즘은 통제, 신원정보는 가능한 널리 사용되어야 함
• Whaling : 고위 간부를 대상으로 하는 피싱

 

• PKI에서 디지털인증서를 통해 암호화 키(public key)를 안전하게 제공함
• Privilege Creep : 이전에 부여받은 권한이 아직 남아있는 상태
• 생체인증 : 가장 비싸고, 가장 효과적

 

• Rainbow table Attack : 해시함수를 사용하여 만들 수 있는 값들을 대량으로 저장해서 공격에 사용

 

 

• 기능 기반 액세스 시스템(Capability based Access System) : 공용키 인프라를 구현할 수 없지만 SSO 구현할 수 있음
• 서비스 지향 아키텍처 : 다양한 비스니스를 하나의 웹 포털에 통합 ???

 

• False positive(Type 1 error) : 정상적인 사용자가 허가받지 못하는 경우
• False negative(Type 2 error) : 잘못된 사용자가 허가받는 경우
• CER ; FN과 FP가 교차하는 지점, 낮을수록 안정성 높음
• True negative
• True positive