[정보보안기사] 접근통제

1. 인증

1) 메시지 인증

- 전달되는 메시지의 이상유무를 확인할 수 있는 기능이다. (메시지 내용 변경, 순서 변경, 삭제 여부확인)

- 인증방식은 '메시지 암호화 방식' , 'MAC 방식' , '해시함수 이용하는 방식' 등이 있다.

2) 사용자 인증

- 주요정보 절취, 정보의 변경 등의 범죄를 예방하기 위해 인가된 가입자만 접속가능해야한다.

- 정당한 가입자의 접속인지 확인을 위해 사용자 인증은 필수적인 요건이다.

3) 사용자 인증의 유형

유형	설명	사용용도
Type1(지식기반)	알고있는 것을 보여줌.	비밀번호, 핀번호
Type2(소유기반)	가지고 있는 것을 보여줌.	토큰, 스마트카드
Type3(존재기반)	나타내는 것을 보여줌.	생체인증
Type4(행위기반)	하는 것을 보여줌.	서명, 움직임, 음성
Two Factor	위 타입중 두가지 매커니즘을 결합해 구현	토큰 + PIN
Multi Factor	가장 강한 인증으로 세가지 이상의 메커니즘 사용	토큰 + PIN + 지문인식

4) 강한 인증을 위한 혼합 인증

- 두가지 이상의 인증 기법들이 결합되어야 실현 가능함.

- ATM을 예를들어 두가지 인증기법을 사용하는데, PIN과 ATM 카드를 이용한다.

- 신용카드 거래를 위해서는 신용카드와 수기 서명의 두가지 기법을 이용한다.

2. 사용자 인증 기법

1) 지식 기반 인증

- 사용자가 알고있는 어떤것에 의존하는 인증방법이다.

- 신원을 입증하기 위한 신원정보를 제공하고, 제공된 지식요인은 신분확인을 통해 획득한 참조지식과 비교된다.(일대일 검증)

- 보안성은 비밀번호의 크기 및 랜덤성에 달려있음.

(1) 장점

- 다양한 분야에서 사용가능

- 검증 확실성 (Ex. 비밀번호)

- 관리비용의 저렴함

- 편리성

(2) 단점

- 소유자가 비밀번호를 잊어버릴 수 있음.

- 공격자에 의해 추측이 가능하다.

- 사회공학적 공격에 취약

- 사용자에 의한 관리 부주의

2) 패스워드

- 가장 간단하고 오랫동안 사용된 인증 방법이다.

- 고정된 패스워드와 일회용 패스워드인 OTP가 있다.

(1) 고정된 패스워드

- 접속 시 반복해서 사용하는 패스워드

- 메모장같은 프로그램을 이용하여 아이디 및 비밀번호를 저장

- 평문으로 저장하는 것 보다 패스워드의 해시를 저장

- 솔팅된 패스워드에 해시함수를 적용해 저장

(2) 일회용 패스워드(OTP)

- 오직 한번만 사용되는 패스워드 (도청이나 도난이 무의미)

- 각각 인증시에 사용되었던 서로 다룬 패스워드를 구분하며, 재전송 공격을 방지한다.

- 사용자와 시스템은 패스워드 목록에 대해 합의를 한 후, 목록의 각 패스워드는 오직 한번만 사용한다.

- 패스워드를 순차적으로 업데이트하기로 합의함.

- 해시함수를 이용하여 순차적으로 업데이트된 패스워드를 생성

(3) 패스워드 인증의 문제점과 보안 정책

@문제점

- 개인정보등을 사용하면 추측이 쉽다.

- 크래킹툴 NTCrack , John the ripper 같은 소프트웨어로 크랙하기 쉽다.

@정책

- 최소한 8자리 이상의 문자와 4가지 유형의 문자를 사용

- 동일한 패스워드 사용 및 공유는 X

- 실패한 로그인 시도 횟수를 제한

- 책임추적성 확보

- 쉽게 짐작할 수 없어야한다.