3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.1 보안기술 개요 (1) 정보통신 시스템 보안 기술 3.3 모바일 인터넷 보안 3.3.1 보안기술 개요 (1) 정보통신 시스템 보안 기술 - 정보시스템의 보안 위협 요소 = 시스템 보안 & 네트워크 보안 호스트 컴퓨터 자료 저장 디스크 자료 삭제 복사 손실 불법 침투 악성 프로그램 제공 LAN 및 단말기 도청, 변조 신분위장 스위칭 트래픽 폭주, 서비스 부인 공격 통신회선 도청 변조 부정접근 네트워크 보안 시스템 보안 인터넷 및 WAN 스니퍼 스위핑 바이러스 유포

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.1 보안기술 개요 (2) 모바일 인터넷 보안 기술 3.3 모바일 인터넷 보안 3.3.1 보안기술 개요 (2) 모바일 인터넷 보안 기술 - 모바일 인터넷에서의 보안 위협 요소 자료 저장 호스트 컴퓨터 인터넷 스위칭 단말기 하드 디스크 자료 삭제 복사 손실 불법 침투 악성 프로그램 제공 스니퍼 스위핑 바이러스 유포 트래픽 폭주, 서비스 부인 공격 도청, 변조 신분위장 시스템 보안 네트워크 보안 시스템 보안

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.1 보안기술 개요 (2) 모바일 인터넷 보안 기술 3.3 모바일 인터넷 보안 3.3.1 보안기술 개요 (2) 모바일 인터넷 보안 기술 가. 모바일 인터넷에서의 시스템 보안 - 호스트 컴퓨터나 디스크 혹은 단말기에 불법침투, 부정접속, 신분위장, 자료 삭제 및 손실 등의 대책을 강구하여 보안을 완벽하게 유지하는 것 - 해킹, 바이러스와 같은 공격에 대해서 정보호출 서비스를 제공함(운영체제 보안과 관련) 나. 네트워크 보안 - 보편화된 모바일 인터넷 네트워크상에서의 도청, 메시지 변조, 신분위장 등의 공격에 대해서 정보보호 서비스를 제공하는 것 - 주로 유선인터넷 네트워크의 불법접근, 메시지 변조 등의 보안사항을 고려해야 함

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.2 보안 기능 ① 비밀보장(Confidentiality) 3.3 모바일 인터넷 보안 3.3.2 보안 기능 ① 비밀보장(Confidentiality) - 기밀성은 중요자료가 외부에 불법적으로 누출되거나 도청되지 않도록 하는 것을 의미 ② 무결성(Integrity) - 중간에 데이터가 변조되지 않게 하는 방법 ③ 사용자 인증(User Authentication) - 인증은 상대방의 신분과 자격 여부를 확인하는 것으로, 상대방 혹은 상대방 컴퓨터와 최초 연결이 이루어 질 때 필요 ④ 부인 방지(Non-Repudiation) - 자료를 송수신하는데 있어서 사용자가 자신의 행위 사실을 부인할 수 없도록 하는 것

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 WAP 보안 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 모바일 인터넷 보안 기술 ME 보안 WAP 보안 WTLS WML 전자서명 WIM WAP 공개키 기반구조 종단간 보안 WAP 보안

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS - WAP 포럼에서 TCP/IP와는 별도의 무선 환경에 적합한 보안 프로토콜을 정의한 것 - WTLS(Wireless Transport Layer Security) 및 TLS(Transport Layer Security)에 기반 - 통신상의 두 응용프로그램 사이에 안전한 채널을 형성하여 통신 내용의 보안을 보장하는 방법 <WAP 프로토콜 스택>

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS ① WTLS 구조 - Handshake 프로토콜, Alert 프로토콜, Cipher Spec 프로토콜 , Record 프로토콜 - 수행 2단계 ⅰ) Session State : 보안 서비스 제공에 필요한 세션을 생성하는 단계 ⅱ) Connection State : 세션 정보를 이용해 클라이언트와 서버가 메시지를 주고 받는 단계

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS ② WTLS Handshake 프로토콜 - 클라이언트와 서버가 WTLS를 이용해 연결을 할 경우, 한 세션 동안 보안 서비스 제공에 사용되는 세션 키, 암호 알고리즘, 인증서 등과 같은 암호 매개변수를 서로 결정하기 위해 교환되는 정보에 대한 정의 ③ Record 프로토콜 - WTLS Handshake 과정에서 생성된 세션 정보를 이용하여 실질적인 보안 서비스 제공 - Record 프로토콜은 데이터를 압축하고, 해쉬 및 암호화를 수행하여 전송하거나, 수신한 데이터를 복호화 및 검사하는 역할

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 가. WTLS ③ Record 프로토콜 ④ Cipher Spec : WTLS의 동작에 대한 관리를 위해 사용 ※ 기밀성, 무결성, 사용자 인증의 보안서비스는 제공하지만 부인 봉쇄 기능은 제공하지 않음 WTLSPlain WTLSPlain text text 1.Fragmentation:WTLS 1.Fragmentation:WTLS 에서는 에서는 안함 안함 WTLSPlain WTLSPlain text text 2.Compression: 2.Compression: 현재는 현재는 사용 사용 안함 안함 WTLSCompressed WTLSCompressed 3.Encryption & MAC (Message Authentication Code) WTLSCiphertext WTLSCiphertext

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 나. WML 전자서명 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 나. WML 전자서명 - 부인 봉쇄 서비스를 제공하기 위해서 WAP에서는 WML 전자 서명 매커니즘을 제공 - WMLScript Crypto Library에서 제공하는 Crypto.sign Text()라는 함수를 이용해서 WML문자에 전자 서명하는 것이 가능 ※ 전자 서명의 문제점 ① 전자 서명의 수행은 현재 단말기 성능 제한으로 인해 많은 시간이 소요 됨 ② WMLScript에 의하여 생성되는 전자 서명된 데이터를 WAP 게이트웨이에서 인터넷에 적합한 형식으로 변화시켜야 하기 때문에 보안상 허점이 발생 가능

Public key hash or certificate 3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 나. WML 전자서명 클라이언트 문서 WMLScript Function (Crypto.signText) Signed Content Private key IC-card WIM (WAP Identity Module) WAP G/W Web Server Verisign Signature Signer Info Content Info Authenticated Attribute Digest Algorithm Certificates CRLs PKCS#7 Signed Data HTML에 적합하게 변환 WML에 적합하게 변환 Public key hash or certificate UTC Time & Nonce <WML Script를 이용한 전자서명>

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 다. WIM(Wireless Identity Module) ① 현재 휴대 단말기 보안 기술의 문제점 - 현재의 휴대 단말기 성능으로는 공개키 연산을 단말기 내에서 수행하기는 매우 곤란 - 메모리의 제한으로 인해 서버의 인증서나 사용자의 인증서를 여러 개 보관하는 것에도 문제 - 단말기 분실 시 인증서나 비밀키 같은 중요한 정보를 분실 우려 ② WIM이란? - 현 휴대 단말기에서 발생 가능한 문제의 해결을 위해서 WAP 포럼에서, WAP에서 사용할 수 있는 스마트카드의 규격과 단말기와 스마트카드간의 인터페이스를 정의한 것 - WIM은 PKCS#15에 기반으로 설계 - 스마트카드에 저장되는 정보 : 사용자의 비밀키, 인증서 등

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 라. WAP 공개키 기반 구조 - 무선인터넷에서의 보안 기술로 공개키 암호 기술을 기반으로 함 (무선인터넷과 공개키 암호 기술을 사용하는 유선인터넷의 연동이 필수적인 사항이기 때문) - 무선 인터넷 환경에 적합한 공개키 기반 구조 정의가 필요 - WAP 포럼에서는 WAP PKI 및 인증서, 인증서 폐지 목록의 규격을 정의하는 작업을 진행 중 ex) IETF(Internet Engineering Task Force)의 PKIX(Public Key Infrastructure X.509) - 아직은 미진한 상태

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 마. 종단간 보안(End-to-End Security) ※ 종단간 보안 문제 발생 원인 - 유선과 무선 네트워크 상에서의 서로 다른 서비스 때문 유선 : SSL 또는 TLS 통해서 정보 보호 서비스를 제공 무선 : WTLS (WAP의 보안 솔루션을 사용하는 경우) 단말기 Web Server WAP G/W WTLS SSL ※ 만약 WAP 게이트웨이가 SSL과 사이에서 WTLS에 적합하게 변환하는 역할을 수행하더라도, 본래의 데이터(평문)의 내용을 알 수 있게 되어, 불법적으로 사용할 수 있기 때문에 큰 문제가 됨

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 마. 종단간 보안(End-to-End Security) ※ 종단간 보안 문제 해결 방법 ① SSL이용 - 이 방법은 유․무선 전구간에서 SSL을 이용하여 정보보호 서비스를 제공하는 방법 Client Web Server WAP G/W SSL 무선 구간 유선 구간 <무선인터넷에서 SSL>

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 마. 종단간 보안(End-to-End Security) ① SSL이용(계속) ⅰ) 장점 - 클라이언트와 웹 서버간의 종단간 보안이 가능(WAP는 단순 전달 기능만 가짐) - 클라이언트와 웹 서버는 기존 유선인터넷에서와 동일한 SSL을 통한 정보 보호 서비스를 제공받을 수 있음 - 기존에 구축되어 있는 시스템을 그대로 사용 ⅱ) 단점 - SSL을 효율적으로 처리할 수 있는 방법을 개발하는 것이 무엇보다 중요 ( 단말기의 CPU나 메모리 용량으로는 빠른 속도로 SSL을 처리하는 것이 불가능 )

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 마. 종단간 보안(End-to-End Security) ② Secure WAP 게이트웨이 이용 - 종단간 보안 서비스 제공을 위해서 웹 서버 바로 앞 단에 또 하나의 WAP 게이트웨이를 설치 - 이때 Secure WAP 게이트웨이와 웹 서버 사이의 구간은 안전한 것으로 가정 Secure WAP G/W Client Web Server WTLS < Secure WAP 게이트웨이를 이용한 종단간 보안 >

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 마. 종단간 보안(End-to-End Security) ② Secure WAP 게이트웨이 이용(계속) ⅰ) 장점 - WAP 게이트웨이는 단순히 무선 구간과 유선 구간 사이의 중계 역할만을 담당 ( WTLS와 SSL 간의 변환 과정이 필요 없음) - WAP 게이트웨이는 클라이언트와 웹 서버간의 통신 내용을 알 수 없음 ⅱ) 단점 - 인터넷상에서 서비스를 제공하려는 웹 서버 측에서 추가적으로 Secure WAP 게이트웨이를 설치해야 한다는 부담이 있음 - Secure WAP 게이트웨이와 웹 서버 간의 구간을 안전하다고 가정했다 하더라도, 내부 또는 외부의 공격으로부터 노출될 수 있다는 문제가 있음

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (1) WAP 보안 마. 종단간 보안(End-to-End Security) ③ 응용프로그램 이용 - 정보보호 서비스와 관련된 모든 작업을 응용프로그램 레벨에서 처리하는 방법 - 클라이언트와 웹 서버는 정보 보호 서비스를 위한 전용 프로그램을 설치하고 이를 통해서 통신함으로써 종단간 보안 서비스를 제공 받음 ⅰ) 장점 - WAP 게이트웨이가 단순히 유선 구간과 무선 구간 사이의 중계 역할만을 수행(안정성↑) - 응용 분야에 적합하게 프로그램의 수정이 가능 ⅱ) 단점 - 단말기의 성능이 문제

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 - ME가 기존의 유선 인터넷과 호환성이 유지되도록 설계 보안 요소가 유선 보안 요소와 유사 ( ME : 마이크로소프트에서 만든 모바일 브라우저 ) 가. 모바일 익스플로러의 보안 ① 모바일 익스플로러의 보안 레이어 구성 - 마이크로소프트에서 개발한 ME 1.0에는 SSL이 포함되어 있지 않아, 사이버 금융거래 등에 활용하기 위해서는 보안 레이어를 구성해야 함 - 소프트포럼의 SSL솔루션을 채택하여 ME 1.0을 위한 SSL을 단말기에 포팅 ② 표준안 - SSL 기능을 이용하여 일반 웹 서버와 보안 통신 가능 ( ME는 일반 인터넷 표준인 HTTP/HTML 표준을 준수하므로)

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 가. 모바일 익스플로러의 보안 ③ ME에서의 보안 및 인증 - 현재 ME1.0용의 SSL을 모듈에서는 강력한 사용자 인증 기능을 제공하지는 않음 - 현재 일반적인 보안 웹 서비스에서와 같이 익명 SSL 세션을 만들고 ID와 비밀번호로 인증을 수행 - SSL의 인증기능을 사용하기 위해서는 단말기에서 RSA 개인키 연산이 수행되어야 함 ( 보조 프로세서 또는 스마트카드를 사용하는 것이 필요함 )

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 나. SSL의 보안과 인증 - SSL (Secure Socket Layer) ᆞ Netscape사에서 개발한 암호화 전송 프로토콜 ᆞ X.509인증서를 이용하여 서버와 클라이언트간에 인증 ᆞ 128bit키의 암호를 주로 사용, SSL 3.0 버전 사용 ᆞ SSL은 레이어(Layer)를 기반으로 하는 프로토콜 ᆞ URL표기방식인 'http://*' 대신 ‘https://*’을 사용해야 함 http 포트번호 = 80 SSL (https) 포트번호 = 443 ('http://*'와 ‘https://*’ 동시에 사용 가능)

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 다. 모바일 익스플로러용 SSL의 특징 및 성능 ① SSL의 인증 기능 - 현재 ME1.0용의 SSL 모듈에서는 사용자 인증 기능을 제공하지는 않음 - 인증 기능을 제공하기 위해서는 스마트카드를 사용하는 것이 필요 ② SSL의 성능 • SSL의 수행 속도 - 프로그램 코드의 성능을 향상 원리 : ‘90/10 법칙’ ( 전체 실행 시간의 90%를 차지하는 10%의 코드를 향상시킴 ) • SSL 모듈의 크기 - 코드 사이즈와 사용하는 메모리의 양을 줄임으로써 시간과 공간 복잡도를 최대한으로 줄임

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 3.3 모바일 인터넷 보안 3.3.3 인터넷 보안 기술의 종류 (2) ME 보안 다. 모바일 익스플로러용 SSL의 특징 및 성능 ③ MSSL의 암호 알고리즘 - MSSL은 현재 SSL v3.0에 정의된 3가지 암호와 SEED블록 암호기를 이용 ⅰ) 공개키 암호 알고리즘 ⅱ) 대칭키 암호 알고리즘 ⅲ) 해쉬 알고리즘 ④ ECC를 통한 성능의 향상 - WAP에서도 SSL에서 인증 기능을 제공하기 위해서는 스마트카드를 사용하는 것이 필요 - ME 기반의 SSL 에서도 ECC를 적용하면 서명 및 인증 속도가 빨라질 수 있을 것

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.4 국외 모바일 인터넷 보안 서비스 동향 3.3 모바일 인터넷 보안 3.3.4 국외 모바일 인터넷 보안 서비스 동향 ① eSign-Consortium - 전자서명 기술을 이용한 이동전화의 인터넷 활용이 주요한 목적 ② VeriSign - VeriSign의 무선 인증(WAP 인증서) : 디지털 서명이 검증될 필요가 있을 때마다 인증서를 가져와서 사용하는 방법을 채택 - 인증서의 크기로 인한 문제는 해결 -  X.509 인증서가 무선에서 사용 가능, 유선에서의 전자서명 검증 기능들을 무선에서도 사용 WAP Server/ Gateway Client VeriSign Processing Center Short-life Mini-certificate service < Verisign short-life 인증서 >

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.4 국외 모바일 인터넷 보안 서비스 동향 3.3 모바일 인터넷 보안 3.3.4 국외 모바일 인터넷 보안 서비스 동향 ③  Telepathy WST(무선 PKI 솔루션) - WAP 클라이언트와 게이트웨이는 Telepathy WST를 통하여 조화로운 보안을 보장 - Telepathy WST는 어떤 네트워크의 애플리케이션에도 WTLS 암호화 기능을 사용할 수 있게 해 주면서 기밀성과 무결성, 부인방지의 기능들을 수행 ④ Sonera Smart Trust Solution(무선 PKI 솔루션) - 이동전화, 금융업무, 무역 서비스로 상용화할 예정 - PKI에 기반을 두고 있고 1024비트의 RSA 암호를 사용하여, diAx의 이동 장치인 SIM(Subscriber Identity Module) 카드로 전자서명을 하고 은행이나 사용자 각각의 신원을 확인하여 데이터 전송의 무결성을 보장

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.4 국외 모바일 인터넷 보안 서비스 동향 3.3 모바일 인터넷 보안 3.3.4 국외 모바일 인터넷 보안 서비스 동향 ⑤ DST-BlackBerry Wireless Handheld(무선 PKI 솔루션) - BlackBerry Wireless Handheld는 Diversinet사의 클라이언트/서버 보안 솔루션을 통합하여 Motion Limited에서 연구 - DST는 무선 메시지의 암호화를 위해 Elliptic-curve(ECC)를 사용할 예정 - 앞으로 DST는 스마트 카드와 USB(Universal Serial Bus) 토큰을 포함하는 보안 장치에 검증된 전자 인증서를 사용하는 방법을 제공할 것 ⑥ Entrust.net(무선 PKI 솔루션) - Entrust의 Mobile Solutions - Entrust의 버전 5.0 제품은 등록과 사용자에게 발행된 인증서를 관리하는데 비용을 낮추는 형식으로 구현 되었고 사용자의 이동성을 향상 시킴

3. 소프트웨어 기술 3.3 모바일 인터넷 보안 3.3.5 모바일 인터넷 보안기술의 발전방향 3.3 모바일 인터넷 보안 3.3.5 모바일 인터넷 보안기술의 발전방향 - 현재 WAP 진영과 마이크로소프트의 ME를 큰 축을 이룸 - 현재는 웹 보안 프로토콜인 SSL의 사용이 증가하면서 SSL의 핵심 기술인 공개키 암호 방식의 기반이 되는 PKI의 중요성이 강조됨 - 무선 PKI를 구축하기 위해서는 무선 환경에 적합한 인증기술 규격 및 관련 기술 개발에 대한 활발한 연구가 절실하게 요구 - 무선 PKI를 수용하기 위한 제도적인 뒷받침 등이 지속적으로 이루어져야 함 - 기존의 유선 인터넷을 위한 보안 기술 규격 등과 상호 연동될 수 있도록 충분히 고려하여 함