보안토큰 (HSM) 활성화 방안

보안토큰(HSM) 활성화 방안 Softforum

Eastablishing Global Trust I. 보안토큰 개요 • 보안토큰 정의 • 보안토큰의 형태 • 보안토큰 보급 및 지원 현황 • 보안명토큰과 보안

1.보안토큰의 정의 정의 보안토큰은 키 및 전자서명이 하드웨어 내부에서 생성되는 기능을 제공하여야 한다. 보안토큰은 인가되지 않는 사용자 또는 가입자 소프트웨어의 접근·이용에 적절히 대처하기 위해 사용자의 비밀번호 인증 및 비밀번호 입력오류 회수 제한 기능을 갖춰야 하며, 입력오류 허용 회수를 초과하는 경우 해당 보안토큰 잠금 기능을 제공하여야 한다. 보안토큰의 전자서명생성키 등 비밀정보는 기기 외부로 노출·유출되는 것을 금지한다.

2. 보안토큰의 형태 형태 H/W 형태 • 스마트카드 형태 : 별도의 리더기가 필요하지만 분실에 대한 유지보수 비용은 저렴하다. • USB 형태 : 리더기를 갖출 필요가 없으므로 편리하다. • 모바일기기 형태 : 통신료가 발생하나 휴대성이 뛰어나 활용도가 높음 • 기타 형태 : 서버에서 사용하는 PCI슬롯용, 네트워크용 및 기타 기술발달로 다양한 형태의 서명토큰 가능 S/W형태 • RSA에서 만든 PKCS#11 • MS에서 만든 CSP( Cryptographic Service Provider )

2. 보안토큰의 형태(계속) 구조 MS CSP PKCS#11 Application Layer Application B Application A Crypto API System Layer O / S Crypto SPI CSP #1 CSP #2 CSP #3 KEY DB KEY DB KEY DB Service Provider Layer Key Container For User #1 Key Container For User #2 자료출처 : MSDN 자료출처 : KISA 보안토큰 기반의 공인인증서 이용기술 규격

3.보안토큰 보급 및 지원 현황 현황 보급 • ~2003 : 주로 외산 제품이 민간 기업에 도입(iKey, Gemplus, eToken, …) • 2003~2006 : 국산제품 개발이 활발히 일어남. 서명토큰의 연산 성능이 크게 발전함 • 일부 금융기관 및 공공기관에서 VPN연동 등을 위하여 도입. • 2006~2007 : 2005년 해킹사건으로 보안강화 일환으로 2006년 HSM 표준화 갱신 작업 실시. • 많은 국내 업체가 HSM개발에 참여. 모바일기기 형태의 서명토큰 등장. 지원 • MS 환경에서 CSP형태로 로그인, 브라우저, VPN 등에서 지원 • Netscape(Mozilla Firefox)과 Java에서 PKCS#11 형태 지원 • 일부 공인인증 기관 툴킷과 소프트포럼 PKI 툴킷에서 지원 • 상반기 중에 은행을 중심으로한 PKI툴킷에 반영 될 예정

4.보안토큰과 보안 보안 최근 해킹 동향 • 웹페이지를 통한 해킹 툴 설치 후 인증서 수집. 피싱을 통하여 패스워드 취득 • API후킹을 통하여 패스워드를 입력한 후의 복호화 된 인증서와 개인키 수집 • 메일계정이나 웹하드 등에 올려 놓은 인증서 수집 보안 토큰을 통한 방어 • 프로토콜의 강도에 관계 없이 개인키 유출 방지 • 개인키와 공개키 쌍을 내부에서 생성하고 외부로 유출이 불가함 • 개인키를 사용하는 복호화 및 서명 작업 역시 보안토큰 내부에서 이루어 지기 때문에 개인키 유출이 없음

4.보안토큰과 보안(계속) 사례

4.보안토큰과 보안(계속) OTP와 비교

Eastablishing Global Trust II. 보안토큰 구현 • MS CSP • PKCS#11

1. MS CSP CSP? Cryptographic Service Provider • MS Windows환경에서 로그인, 파일 암호화, VPN, HTTPS 등을 이용시 사용가능 • CryptoAPI, CAPICOM 등을 통하여 프로그램을 통하여 개발 및 사용하기 편리 광범위한 활용 • Vista를 통하여 CNG(Cryptography Next Generation)를 도입. 지역화를 용이하게 함. • Suite-B Algorithm : AES, SHA2 등 지원 • TPM(Trusted Platform Module) : TBS 미래

1. MS CSP(계속) CNG Architecture 자료출처 : MSDN

2. PKCS#11 PKCS#11? Cryptographic Token Interface Standard • RSA, Netscape(Mozilla), Java에서 지원 • OS에 관계 없이 다양한 환경에서 지원 • 표준으로 인정되어 확산 용이 광범위한 활용 • PKCS#15 : Cryptographic Token Information Syntax Standard • 인터페이스를 넘어 호환성과 다양한 인증기능을 통합하기 위해 데이터 포멧까지 표준 확장 미래

Application PKCS#11-Interface Card independent Application Driver PKCS#15 Interpreter Card Terminal-Interface 2. PKCS#11(계속) PKCS#11 & PKCS#15 자료출처 : RSA PKCS#15 v1.1

Eastablishing Global Trust III. 보안토큰 활성화 방안 • PKI 저장매체 변경 • 편리하고 안전한 인증서 환경 구축

1. PKI 저장매체 변경 기존에 표준으로 지정된 저장 매체들이 하드디스크, 이동식 디스크, 스마트카드, 표준보안매체로 구성되어 있으나 표준보안매체에서 P#11을 다루기 보다는 독자적인 비보안 저장매체를 지원하는 용도로 전락 정책적 반영 필요 금융권에서 비보안 매체들의 권한 대폭 축소 장기적으로 비표준 매체 허용을 점진적 금지 PKI 클라이언트의 PKCS#11(and MS CSP)의 의무적 지원

2.편리하고 안전한 인증서 사용환경 구축 보안토큰 개발 및 사용을 위한 표준 정비 인증서 재발급 절차 변경 등 절차적 보안 강화 안전한 인증서 사용환경 구축 보안토큰 내 생성된 인증서를 구별하기 위한 인증서 프로파일 변경 사용자 인증서 검증 강화 편리한 설치 방법 및 사용방법 연구

Thank You Kim, Kiyoung Director of SW R&D Center, SOFTFORUM kiyoung@softforum.com 82-2-526-8351 82-16-406-2045

보안토큰 (HSM) 활성화 방안

보안토큰 (HSM) 활성화 방안

Presentation Transcript