개인 공개키 기반 사용자 중심 보안 서비스

Abstract

인터넷 서비스의 대부분은 모바일 사용자를 위한 서비스이다. 스마트폰, 태블릿PC는 누구나 한 대쯤 갖고 있는 필수 소지품이 되었다. 소형화된 기기와 향상된 네트워크 기술을 통해 대부분의 사용자 정보가 아웃소싱 되고 있다. 소셜 네트워크 서비스, 클라우드 서비스, 인스턴트 메시징 서비스가 그 대표적인 예이다. 서비스 제공자는 언제, 어디서든지 사용자가 데이터에 접근 가능할 수 있는 저장창고를 제공하며, 사용자들은 이를 통해 실시간으로 정보를 공유할 수 있다. 외부에 저장된 자신의 정보를 로컬에 저장된 데이터로 착각할 만큼 서비스의 질은 향상되었고, 경고표시가 없다는 것이 보호되고 있다는 것으로 간주해버릴 만큼 서비스는 일상이 되었다. 이 믿음은 민감한 정보를 의심 없이 그대로 전송하게 만들었고, 결국 프라이버시 침해라는 결과를 안겨 주었다. 최근 카카오톡 검열 사건, 클라우드 계정 해킹 사건 등은 그 폐해를 대변한다. 보안 사고의 근본적인 문제는 서비스 구조 자체에 있다. 서비스 제공자는 여전히 데이터를 수집할 수 있고 그들의 의도와 상관없이 악의적 목적으로 활용될 수 있다. 그들이 제공할 수 있는 보안 서비스는 그들에게 정보가 도착하기 이전까지 뿐이며, 어떠한 보안을 설정해도 근분 문제는 같다. 본 논문에서는 사용자가 직접 보안서비스를 실행하는 기법을 제시한다. 서비스 제공자는 서비스만 제공할 뿐, 사용자들 사이의 트랜잭션을 분별할 수 없다. 이는 또한 서비스 제공자는 보안 서비스를 제공할 필요가 없다는 의미이기도 하다. 사용자가 직접 판단하고 보안 모드를 설정한다. 서버에 의존하지 않고 자신이 선택한 데이터에 자신이 선택한 키로 암호화를 수행할 수 있다. 공격자가 사용자 계정에 접근할 수 있다고 해도 키가 없다면 메시지를 해석할 수 없다. 데이터 공유도 사용자들이 직접 교환한 키를 이용해 암호화한다. 즉, 기존의 서버 중심의 보안서비스가 아닌 사용자 중심의 보안서비스를 제공하는 것이다. 제안 기법의 핵심 기술은 사용자의 개인키 링(PKR, Personal Key Ring)에 의존한다. 사용자는 자신의 생성한 개인 공개키를 다른 사용자와 공유하고 이를 이용하여 사용자의 메시지에 기밀성과 무결성을 보장할 수 있다. 공개키의 사용에 있어 가장 중요한 점은 키의 인증이다. 기존의 인터넷 환경에서의 공개키 인증은 계층적 구조의 형태로 이루어진다. 신뢰기관이 발급해준 인증서를 통해 신뢰관계를 형성하는 것이다. 반대로 신뢰기관이 해킹당하면 해당 기관이 발행한 모든 인증서는 무효 처리되고 상당한 피해를 발생시킨다. 또한 인증서 발행기관은 폐기 관리도 수행하여야 한다. 이로 인해 사용자들은 공개키를 사용하기 이전에, 해당 공개키가 유효한지 판단하기 위해 주기적으로 발급된 폐기인증서를 모두 검토해야 한다. 이는 상당한 계산량과 대역폭을 소모한다. 본 제안기법에서는 타인의 인증서를 사용하지 않으며, 주관적 관점의 신뢰관계에 의존해 공개키를 인증한다. 즉 수평 신뢰구조를 바탕으로 공개키 인증을 수행한다. 키의 인증 방법은 전달, 인증, 확인의 세 단계로 구분하며, 사용자가 물리적으로 만났을 때뿐만 아니라 전화상으로도 인증을 수행할 수 있는 기법을 제시했다. 사용자는 자신만의 인증된 전화번호부, 크리덴셜을 가지고 있으며, 이를 이용하여 메시지 암호화, 메시지 인증, 사용자 인증, 디지털 서명, 그룹 보안을 수행할 수 있다. 실제 활용영역으로는 인터넷 전화, 이메일, SMS/MMS, 인스턴트 메신저, 소셜 네트워크, 클라우드 서비스 영역에서의 프라이버시 보호에 적용가능하다. 또한 개인 공개키를 이용한 클라이언트 인증기법과 NFC 인증기법, 공격의 방어 기법에 대해 제안하였다. 기존의 서비스 제공자는 보안 옵션을 설정하지 않아도 되는 이점 때문에 서비스의 질 향성에 초점을 맞출 수 있으며 기존의 시스템을 변화할 필요 없이 사용자가 직접 보안을 설정하므로 추가비용 없이 구현가능하다. 사용자 입장에서도 자신의 정보가 노출될 염려를 하지 않으므로 서비스 제공자를 더욱 신뢰할 수 있게 된다. 사용자는 개인키 인증이라는 번거로움이 수반되지만, 이는 서로가 만났을 때 또는 전화를 이용해 짧은 시간 안에 수행가능 하므로 부담이 없다. 마치 전화번호를 교환하듯 자연스럽게 진행될 것이며, 직접 인증한 공개키 목록은 사용자만의 Root CA, Certificate Pinning이 된다. 즉 사용자가 인증하는 기기와 네트워크, 커뮤니티, 기관, 웹 사이트에 대한 인증서를 발행하고 확인한다면, 기존 인터넷뿐만 아니라, 사물인터넷과 같은 다양한 영역에 적용될 수 있다.