2011년에 발생한 굵직 굵직한 보안사고를 자세히 살펴보면 두가지 형태의 보안사고로 나뉘는 것을 알 수 있다.

첫째는 개인정보를 획득하기 위해 인터넷에 공개된 웹서버를 공격하여 서버에 침투한 뒤 개인정보를 탈취하는 형태의 전통적인 해킹이고....
 
둘째는 다양한 기법을 이용하여 내부의 PC를 거점으로 확보하고 그 PC를 이용하여 내부의 서버에 침투하는 해킹을 수행하는 APT 공격이다.

그 중에서도 두번째의 APT 공격은 사회공학적 기법의 해킹 기술부터 최신 해킹기술을 총 망라하여 지속적으로 해킹을 시도하는 무척이나 지능적인 공격기법이다. APT 공격의 특징은 직접 서버를 공격하지 않는데 있다. 외부에서 내부망에 존재하는 수많은 PC들 중 보안에 취약한 특정 PC를 해킹하고 해킹된 PC를 이용해 서버에 접근하는 것이다. 오랜시간 동안 점진적으로 서버의 주요 데이터에 접근하는 기법으로서 내부망에서 PC를 사용하는 개발자나 관리자 그리고 외부 상주인력 등의 PC가 1차 거점이 되는 형태다.

이러한 해킹의 경우 웬만한 보안 솔루션으로는 서버로의 접근(로그인)을 차단하는 것이 쉽지 않다. 이중..삼중 보안 대책을 강구하는 것이 그나마 통제할 수 있는 방법이다.

그 방법의 일환으로 공인인증서를 이용한 서버 접근제어 기법에 대해 설명하고자 한다. (OTP/ARS도 가능함)

서버의 계정과 자연인의 Mapping

서버에 telnet, ftp, ssh 접속 시 공용 계정을 직접 이용하는 것이 일반적이다. 최근에는 모든 개발자와 관리자, 엔지니어가 개인 계정을 생성하고 그 개인계정을 통해 접속하도록 통제하는 경우도 있지만 사실 모든 시스템에 적용되어 있지는 않고 서버에 많은 계정을 만드는 것은 보안에 취약하다는 선입견으로 인해 공용 계정으로 많은 사람들이 접속하는 경우가 대부분이다.

하지만 이러한 경우 개발자나 관리자, 엔지니어의 보안적 관점에서의 마인드는  빵점~이 될 수 밖에 없다. 사고를 쳐도.. 누가 사고를 쳤는지 패스워드 유출 등의 사고가 발생할 수 있는 취약점을 만들었는지를 확인하지 못하기 때문이다.

이럴 때 다음과 같이 자연인 기반의 계정(서버에 존재하지 않고 인증서버에만 존재하는 계정)과 서버의 계정을 연결시켜주어 실제 로그인 시 누가 로그인했는지 식별할 수 있도록 해준다.

인증서버에서 보안관리자가 자연인과 서버의 계정을 매핑시켜주는 것은 해당 자연인이 서버에 공인인증서를 이용하여 인증을 받고 telnet, ftp, ssh 로그인을 할 수 있다는 것을 의미한다. 즉.. 맵핑되지 않은 계정이나 서버에는 패스워드를 알고 있더라도 로그인이 불가함을 의미한다. 이것 만으로도 보안성이 크게 강화된다.
 
자신이 사용할 공인인증서 등록

인증서버에 계정이 생성되고 서버의 실 계정과 맵핑이 되면 서버에 로그인할 때 사용할 공인인증서를 등록하여야 한다. 다른 인증서는 사용할 수 없으며 자신이 등록한 공인 인증서만 사용할 수 있다.

인증서 등록 시 주민번호 확인

인증서 등록 시 비밀번호 확인

사용할 인증서 등록이 완료되면 이제부터 서버에 공인인증을 통해 로그온 할 수 있다.


서버 로그온

서버에 telnet, ftp, ssh 접속 시 ID와 패스워드를 입력하고 난 뒤 공인인증서를 요구하는 창이 실행된다. 이 창은 BCQRE의  Trust Web으로 구현되어 있으며 인증서 창을 띄워주는 Cert Daemon을 PC에 설치하여야 하며 이 Cert Daemon은 항상 Window Tray에서 실행되어 있어야 한다.

2 factor 인증

이 때 사용되는 Telnet, FTP, SSH 클라이언트 프로그램은 어떠한 것을 사용해도 관계 없다. 개발자, 관리자의 손에 익고 편리한 툴을 그대로 사용하면 되기 때문에 업무 수행에 지장을 주거나 하지는 않는다.

이 공인인증 방식의 보안 효과는 탁월하다.

자연인을 공인인증서에 의존하여 식별하기 때문에 root 계정으로 로그인하여도 실제 로그인한 자연인이 누구인지를 해당 텔넷 세션이 종료될 때까지 추적하며 보안 정책 위반 시 실제 위반한 사람이 누구인지를 정확하게 추적할 수 있으며... 자연인 기반의 파일 접근통제도 가능하다.

게다가 주요 명령어 실행 시 한번 더 공인인증서 인증을 받아야만 실행할 수 있도록 파일 접근 통제도 강화할 수 있다.

공인인증서 이외의 인증수단은 무엇이 있는가?

최근 공인인증서에 대한 취약성이 이슈가 되고 있다. 사용자PC의 하드디스크에 공인인증서를 저장하게 될 경우 인증서 비밀번호만 탈취하면 공인인증서 인증을 무력화 할 수 있는 취약성이 존재하기 때문이다. USB에 저장하여도 APT 공격에 의해 PC가 해커에게 장악될 경우 USB가 꼽혀있는 시간 동안 인증서를 복사하여 하드디스크로 옮길 수 있다.

그렇기 때문에 최근에는 공인인증서 뿐만 아니라 OTP(One Time Password)와 ARS(전화) 인증 중에서 선택하여 2차 인증 수단으로 사용할 수 있다.

OTP의 경우 하드웨어 토큰방식과 스마트폰의 앱 방식을 모두 사용할 수 있고 ARS의 경우에는 사용자의 스마트폰이나 관리자에게 전화를 걸어 인증코드를 입력하여야 접속이 가능하도록 구현이 가능하다.

이렇게 다양한 2차 인증 수단을 제공하는 보안 솔루션이 바로 RedCastle과 AuthCastle이다.


관련 포스트 보기 : APT 방어 시스템 구축 방안과 네트워크 기반 APT 방어 솔루션에 대한 오해

  • 네이버 블러그 공유하기
  • 네이버 밴드에 공유하기
  • 페이스북 공유하기
  • 카카오스토리 공유하기

댓글을 달아 주세요

">