[정보보안] 접근통제 방법

정보접근의 단계

식별 - 인증 - 인가

식별(Identification): 사람이나 객체의 유일성을 확인하는 절차

인증(Authentication): log-on 정보를 확인하는 보안 절차

인가(Authorization): 접근 권한 유무 판별 후 접근 권한 부여

 

 

 

접근통제(Access Control): 주체에 대한 객체의 접근을 통제

비인가된 접근을 감시

객체의 기밀성, 무결성, 가용성을 보장

 

 

인증방식에 따른 분류

인증	내용	기반	종류
Type 1	Something you know	지식	Password, Pin
Type 2	Something you have	소유	Smart Card, OTP
Type 3	Something you are	존재	홍채, 지문 , 정맥
Type 4	Something you do	행동	음성, 서명, 패턴

 

* 2-Factor 인증 *

인증방식 2가지를 동시에 사용하는 인증 방법

패스워드 + Pin (X)   홍채+패스워드(O)

 

접근통제기술

① MAC(Mandatory Access Control : 강제적 접근 통제)

오직 관리자에 의해서 권한과 자원이 할당 됨

관리자로 부터 권한을 부여 받은 목록을 Security Lable에 작성

 

② DAC(Discretionary Access Control : 임의적 접근 통제, 신분기반 )

자원에 대한 접근을 객체의 소유자가 권한을 부여 한다.

 

③ RBAC(Role Based Access Control : 역할 기반 접근통제)

관리자는 사용자에게 권리와 권한이 정의된 Role(역할)을 만들어 사용자에게 Role(역할)기반으로

권한을 할당하고 관리한다.

항목	MAC	DAC	RBAC
권한 부여자	System	Data Owner	Center Authority
접근 여부 결정 기준	Security Label (보안 등급)	신분 (identity)	역할 (Role)
장점	중앙 집중관리 안정적 시스템	유연 구현 용이	관리 용이
단점	구현 및 운영의 어려움 고비용	트로이목마 , ID 도용문제	제어정책이 제대로 반영되기 어려움
예시	방화벽 UNIX / Linux	ACL	HIPAA(보건보험)

 

접근통제 방법

① Capablity List : 주체별로 객체를 linked리스트로 연결하고 권한 할당

탐색시간이 오래걸림

② Access Control List : 주제와 객체간의 접근 권한을 테이블로 구성

사용자가 분포도가 안정적일 때 적합

 

접근통제 모델

① Bell-Lapadula

높은 등급의 정보가 낮은 레벨로 유출되는 것을 통제하는 모델 (기밀성 모델)

최초의 수학적 모델

TCSEC 근간

② Biba

주체에 의한 객체 접근의 항목 (무결성보장 모델)

No Read Down, No Write Up

③ Clark and Wilson (클락 윌슨 모델)

무결성중심의 상업용 설계, Application 보안 요구사항을 다룸

④ 만리장성 모델 (Chinese Wall = Brewer-Nash)

서로 상충 관계에 있는 객체간의 정보 접근을 통제하는 모델

기밀성중심의 상업용 설계