보안의 3요소( 기밀성, 무결성, 가용성 )

보안의 3요소 : 기밀성(Confidentiality) ,무결성(Integrity), 가용성(Availability)

가용성(Availability)

  자산이 적절한 시간에 인가된 당사자에게 접근 가능해야 하는 것.

  가용성의 위협 요소 : DoS/DDoS 공격 등

기밀성(Confidentiality)

  자산이 인가(authorization)된 당사자에 의해서만 접근하는 것을 보장하는 것.

  기밀성의 위협 요소 : 도청, 사회공학(shoulder surfing 등) ,도난 등

  (shoulder surfing 은 내 어깨너머로 훔쳐보는 것을 뜻하는데요..뭘 훔쳐볼까요? 패스워드나

  비밀스러운 것들이겠죠..은행 ATM 을 예로 들어볼께요..내가 사용중인데 누가 뒤에 가까이

  서있으면 불안하잖아요..훔쳐볼까봐..이게 shoulder surfing 입니다. 그래서 원래는 ATM 사용자와

  자기 순서를 기다리는 사람과의 일정 거리를 두도록 하잖아요..훔쳐볼 수 없도록..그리고 ATM 에

  거울도 붙어 있던데...shoudler surfing 을 방지하기 위함이죠..)

 * 기밀성에 대해 좀 더 쉽게 그냥 일기장 생각하면 될 듯 합니다.

   누가 일기장 훔쳐 보는 거 싫잖아요, 자물쇠 달린 일기장도 있었던 기억이 나는데요.

   왜 그렇게 일기장의 내용을 지키려 할까요?  비밀 내용이 있으니까요...

   우리가 지키려 했던 것이 바로 기밀성입니다. 그래서 가끔 그런 친구들도 있었던 것 같아요..

   일기를 도깨비말로 쓰는 친구..ㅋ.. 네,,기밀성을 지키는 방법이 바로 암호입니다.

 

무결성(Integrity)

  자산이 인가된 당사자에 의해서,인가된 방법으로만 변경가능한 것.

  자산의 완전성과 정확성을 보장하는 것.

  무결성의 위협 요소 : 트로이 목마, 바이러스 등

   * 굳이 예를 들자면 내가 가지고 있던 새 문제집을 몰래 친구가 풀어서 답을 표시했다면..ㅎㅎ

     열받는다, 싸운다 말고..이럴 때 그 문제집의 무결성이 깨졌다..라고 표현합니다.

     참고로 무결성 검증을 위해서 Hash 값을 비교합니다. 간혹 특정 사이트에서 다운로드할 때

     해당 파일의 Hash 값을 명시해 놓은 곳이 있습니다. 다운로드한 후 Hash 값을 확인했을 때

     사이트에 명시된 Hash 값과 다르다면 어떠한 이유에서(데이터 변조 등) 다운로드한 파일과

     원본 파일은 다르다고 해석하고, 그걸 무결성이 깨졌다고 합니다.

     Hash 함수를 사용하여 일방향 암호화(복호화는 안된다는 의미)를 하는데, 그러한 일을 수행하는

     함수로 MD5, SHA-1 등이 있구요..128 bit 길이의 키를 사용하는 MD5 라는 Hash 알고리즘은

     해독이 되어졌다고 합니다. 즉, 더이상 안전하지 않다는 것이죠..SHA-1 은 160 bit 길이의 키를

     이용하고 있고, 아직 깨지지 않았습니다. 위에서 말한 Hash 함수를 확인할 수 있는 곳을 예로

     들어보겠습니다.

     http://www.php.net/downloads.php

     위에 링크걸어놓은 사이트는 php 사이트인데요..물론 php 를 다운로드할 수 있는 곳이구요

     다운로드할 파일의 MD5 를 제공하고 있는 것을 볼 수 있습니다.

    

     

     

      무결성이 깨진 데이터는 법정에서 증거로써 인정받을 수 없기 때문에 포렌식에 있어서

      무결성은 굉장히 중요합니다. 그래서 수사관들이 조사할 때 원본에서 안하고 디스크 이미징으로

      사본을 생성한 후 사본가지고 조사를 합니다. 참고로 copy 와 imaging 은 다릅니다.)

 

가용성(Availability)

  자산이 적절한 시간에 인가된 당사자에게 접근 가능해야 하는 것.

  가용성의 위협 요소 : DoS/DDoS 공격 등

  * 쉽게 얘기해서 모 전자의 컴퓨터를 구입했는데 1년 365일, 내가 원할 때, 필요할 때는 언제든지

    A/S 를 받을 수 있다면 가용성이 좋다고 이야기합니다. 그런데 내가 정작 서비스를 원할 때

    받을 수 없다면 가용성이 떨어진다고 말합니다. 도스 공격과 가용성이 무슨 관계냐구요?

    도스 공격 당한 사이트들이 어떻게 되던가요?  거의 서버 다운되고 해당 사이트에 원활하게 접속할

    수 없습니다. 나는 지금 서비스를 이용해야 하는데 도스 공격 때문에 이용할 수 없으니 가용성이

    떨어진 것 입니다. 네트워크 공부해 보신 분들은 라우터 구성할 때 Active / Standby 어쩌구 저쩌구

    들어보셨을텐데요..Active 라우터가 다운되면 Standby 가 Active 로 전환되어 서비스를 계속할 수

    있게 하잖아요..그것도 가용성을 고려해서 구성하는 것이라고 생각하시면 됩니다.

    참고로 예전에 제가 소속되어 있던 부서의 슬로건이 24/7/365 였습니다. 무슨 뜻일까요?

    24시간 내내, 일주일 동안, 365일을 서비스하겠다...실제로 그렇게 했습니다.

    (이런 걸 CA : Continual Availability, 지속적인 가용성이라고 한다네요.)

    남들과 같은 시간동안 일하고, 야근하고 , 당직하시는 분들은 그 때부터 일하고.. 

    고객의 입장에서는 좋았겠죠..하지만 엔지니어는 죽어납니다.

    아직도 동료들의 다크서클이 눈에 선합니다. ㅠ.ㅠ

http://isecure-public.blogspot.com/2009/08/%EB%B3%B4%EC%95%88-%EA%B4%80%EB%A0%A8-%EC%9A%A9%EC%96%B42%EB%B3%B4%EC%95%88%EC%9D%98-3%EC%9A%94%EC%86%8C.html