① 기밀성(Confidentiality) 기밀성이란, 사용을 승인받은 사람만 해당 정보에 접근할 수 있 는 성질이다. 가장 일반적인 '보안' 개념으로, 대상에 대한 접근 권한 즉 열쇠를 나눠 가진다는 점에서 '자물쇠'를 떠올리면 이해가 쉽다.
② 무결성(Integrity) 무결성이란 위 기밀성의 장치인 '접근 권한'이 적절한 것인지 완전성과 정확성을 보장하는 성질이다. 약간 뜻이 애매하다 싶다면, 돈을 떠올려 보자. 지폐는 그냥 일정한 문양이 인쇄된 종이(가 아니 긴 하지만 대충, 종이)다. 하지만 정부가 중앙은행을 통해 발권하는 과정을 통해 적절한 거래수단으로 사용된다. 정보보안에서 공인인증서는 개인이 갖고 있는 접근 권한, 즉 기 밀성을 뜻하는 열쇠다. 그런데 그 열쇠가 적절한 것인지 확인해 주는 것은 인증 과정에 개입해 적절한 인증서인지 검증하고 관리하는 인증기관이다. 그러한 인증 시스템 전체가 무결성을 위한 장치인 것이다.
3. 가용성(Availability) 가용성이란, 이중삼중으로 얽히고설킨 보안장치가 있음에도 언제든 적절한 때에 정보에 접근할 수 있는 성질이다. 이건 어째 보안과는 무관해 보이지만, 보안이란 결국 해킹 위협이라는 작용에 대한 반작용이니 위협이 있다면 보안이 따른다. 정보 사용이 곧 돈인 세상에서 정보의 가용성을 훼손하려는 위협이 있으면 가용성을 지키는 노력도 따라야 하는 것이다.
유통업체인 Target사가 잃은 것은 고객의 신용카드 정보다. 유통업체 특유의 허점인 POS（Point Of Sales） 시스템을 통해 개인정보가 유출되었다. 웹을 통해 유입된 악성코드 감염에 따른 결과였는데, POS 시스템은 웹에 연결되어 있지 않기 때문에 우선 웹 연결이 가능한 회사 내부 시스템 침투를 노렸다. 최초 침투 경로는 하청업체인 냉난방기기 관리회사를 통한 것으로 추정된다.
침투 후 범인은 내부 서버를 장악하고 이를 통해 배포한 악성코드에 감염된 POS 시스템으로부터 카드 정보를 탈취해 외부 FTP로 전송했다. Target사가 벌금만 따져 30억 달러 이상을 물게 되리라고 전망했다. ‘개인정보가 유출되면 회사가 망한다’는 사회적 인식에 따른 징벌적 벌금으로도 해석할 수 있겠으나 단지 유출된 개인정보의 수가 너무나 많아 이런 놀라운 액수가 나온 것. 건당 일정한 액수의 벌금을 매겨 누적, 총액을 계산하는 제도는 우리에게 시사하는 바가 크다. 벌금뿐만이 아니다. Target사는 기존 마그네틱 카드를 마이크로프로세서와 메모리를 내장해 위변조가 어렵고 사용할 때마다 고유 암호를 생성, 복제하기가 어려운 IC칩 카드로 교체했다. 이 작업에만 약 1억 달러, 카드 감시 시스템에 수천만 달러, 이밖에도 브랜드 재건에 수억 달러를 지출했고, 카드 재발급, 콜센터 인력 충원, 수사 및 데이터 보안 부서 신설, 정부 조사와 개인 소송에 따른 변호사 비용 등으로 천문학적 손실을 감당하며 겨우겨우 버티고 있다. 규모가 작은 회사였다면 진작 망했을 터다. 특히 기술적 조치에 대해서는 좀 더 자세히 살펴볼 필요가 있다. “공인인증서는 사이버 인감증명서입니다.” 그런데 인감 문화에서는 도장의 안전한 보관이 가장 큰 문제다. 인감도장은 다들 하나 비싼 걸로 파서 장롱 속에 고이 모셔 둔다. 계약이 성사되면 이후에는 서로 보관만 잘하면 문제가 없으므로 분쟁 발생시엔 “당신이 도장 찍지 않았냐!”며 단순하게 윽박지르는 상황이 벌어진다. 아주 오랜 전통에 따른 방식이다 보니 누군가 절차의 적절함을 따지고 들면 “이건 원래 이렇게 하는 거야”라고 우기기도 편하다. 공인인증서 또한 10년이 넘는 세월 동안 단 한 가지 방식을 고수했다. 안전하게 보관해야 한다는 말은 ‘늘 도난을 염려해야 한다’는 뜻. 그러니 유출 막겠다고 오만가지 방법이 총동원되어 웹 브라우저를 더럽힌다. 거래 한 번 하려면 뭔지 모를 창 수십 개가 마치 광고 팝업처럼 연달아 열리는데, 그 유별난 짓을 다 벌이고도 공인인증서 유출사고는 1년 만에 무려 954배나 폭증했다. 도장 하나만 훔치면 세상천지 겁 없이 돌아다닐 수 있게 되니 해커 입장에서는 딱 하나만 노리면 되는 거라, “감사히 먹겠습니다!” 인사라도 해야 할 판이다. 도대체 이렇게나 위험한 물건을 왜 개인이 각자 알아서 잘 보관해야 하는가? 궁금증이 밀려들지만 답해줄 사람은 없다. 공인인증서에 있어 ‘이론’은 인증 자체, 그러니까 PKI（Public Key Infrastructure） 공개키 기반구조 본인확인, 그리고 전자서명, 즉 ‘암호화 이론’이 핵심이다. 이건 별 문제 없다. 현재 암호화 이론은 믿을 만하고, 애초에 국제표준화 기술이니 우리나라만의 문제일 수도 없다. 이마저 부정한다면 지식정보사회고 뭐고 아예 못한다. 한국형 공인인증서의 가장 심각한 문제로 거론되는 ‘보관’은 이론이 아니라 ‘방법’의 영역에 속한다. 유출 문제가 심각한 것도 어쩌면 당연한 건, 개인키 저장소 NPKI 폴더라니, 아찔하다. 방법론적으로 해결 못할 일도 아닌데 어찌된 노릇인지 해결 노력은 아직 한참 부족한 실정. 공인인증서의 핵심인 PKI를 국가가 독점하는 게 잘못이니 모두 시장 자율에 맡겨야 한다고 주장하는 사람들도 있다. 독점적 지위를 누리는 건 사실이지만, 엄밀히 따지자면 독점은 아니고, 이 또한 이론 문제가 아니라 규제의 강제성 문제다. 우리나라에서 공인인증서를 사용하는 방법은 바로 그 유명한 ‘ActiveX’를 통해서다. 한때 호시절도 있었으나 지금은 가타부타 따질 것도 없이 그냥 해롭다. 안전성과 지속성 등 기술적 문제도 심각하고 애초에 특정 웹 브라우저만을 위한 한정된 기술이라는 태생적 한계가 크다. 게다가 불편하고 조잡한 사용성까지 가세하니 이건 뭐, 그야말로 공공의 적이다. 도대체 답이 없으니 당장 잘라내고 대체할 수단을 찾아야 한다. 심지어 ActiveX를 만든 MS마저도 사용 자제를 권한다. “제발 좀 쓰지 말라고!”라는데, 굳이 “싫다고! 쓸 거라고!” 북북 우기는 게 우리나라. 그래서 정부는 2009년에 웹 표준에 따르는 ‘전자정부 웹 호환성 준수지침’을 제정 고시하는 등 개선 노력을 벌이고는 있으나, MS 인터넷 익스플로러에서만 작동되는 비표준 기술은 지금도 오남용되고 있다.
더 큰 덩어리, 즉 디스크나 파일을 통째 암호화하려면 대개 운영체제 커널의 동작에 개입하는 ‘API Hooking’ 방법을 이용한다. 후킹은 응용 프로그램이 운용체제에 동작을 요구할 때 운영체제가 아니라 자기가 정한 부가동작을 수행한다. 따라서 수행 여부를 결정하는 판단 루틴이 부가적 DLL 사용을 필히 요구하므로 비효율적 고부담 요소로 작용한다. 그리고 간편하다는 이유로 누구나 후킹 기술을 쓰려 하므로 솔루션끼리 빈번한 충돌이 발생하는 문제도 있다. 내게도 간단하지만 해커에게도 간단한 기법이므로 해커에게 커널 제어권이 통째로 넘어가버리는 결정적 위험도 존재한다. -
기존 네트워크 방화벽과 IPS 및 IDS 등 네트워크 보안장비의 성능 및 효과는 충분히 믿을만 하다.
IDS는 Intrusion Detection System, 즉 침입 탐지 시스템을 뜻합니다.
⸻
🔍 쉽게 설명하면:
IDS는 네트워크나 시스템에 누군가 몰래 침입하려는 시도를 감지해서 알려주는 장비 또는 소프트웨어입니다.
⸻
✅ IDS의 주요 기능 1. 이상한 트래픽 탐지 → 예: 누가 계속 비밀번호를 틀리게 시도하거나, 비정상적인 데이터 요청을 보낼 때 2. 로그 기록 → 어떤 일이 있었는지 기록으로 남겨서 나중에 분석할 수 있게 해줌 3. 관리자에게 경고 → 의심스러운 행동이 감지되면 보안 담당자에게 즉시 알림 전송
⸻
❗주의할 점 • IDS는 탐지만 가능하고, 차단은 하지 않아요. 공격을 막고 싶으면 **IPS (Intrusion Prevention System)**가 필요해요.
