101~102. 데이터베이스 보안 / 암호화(B) / 접근통제(A)

암호화

• 암호화 과정 : 평문 -> 암호문
• 복호화 과정 : 암호문 -> 평문

 

개인키 암호 방식(비밀키 암호 방식)

• 동일한 키로 데이터를 암호화하고 복호화
• 비밀키는 사용자끼리 나눠 가짐
• 방법 : 전위 기법, 대체 기법, 대수 기법, 합성 기법(DES, LUCIFER)

 

공개키 암호 방식

• 서로 다른 키로 데이터를 암호화하고 복호화
• 암호화에 사용하는 공개키(Public key)는 사용자에게 공개, 복호화할 떄 비밀키(Secret key)는 관리자에게 비밀리에 관리
• 비대칭 암호방식, 대표적으로 RSA가 있다

 

접근통제

• 데이터가 저장된 객체와 이를 사용하려는 주체 사이의 정보 흐름을 제한
• 임의 접근통제(DAC), 강제 접근통제(MAC), 역할기반 접근통제(RBAC)

 

임의 접근통제(DAC)

• 데이터에 접근하는 사용자의 신원에 따라 접근 권한을 부여
• 데이터 소유자가 접근통제 권한을 지정하고 제어
• SQL 명령어에 GRANT, REVOKE가 해당

 

강제 접근통제(MAC)

• 주제와 객체의 등급을 비교하여 접근 권한을 부여하는 방식
• 시스템이 접근통제 권한 지정
• 주체는 자신보다 보안 등급이 높은 객체에 대해 읽기, 수정, 등록 X
• 객체는 보안등급이 같다는 하에 읽기, 수정, 등록 O
• 벨 라파듈라 모델 : 군대의 보안 레벨~~

 

역할기반 접근통제(RBAC)

• 사용자의 역할에 따라 접근 권한을 부여하는 방식
• 중앙관리자가 접근 통제 권한을 지정

 

접근통제 정책

• 어떤 주체가 언제, 어디서, 어떤 객체에게, 어떤 행위에 대한 허용 여부를 정의
• 신분 기반 정책 : 주체나 그룹의 신분에 근거하여 객체의 접근 제한(IBP, GBP)
• 규칙 기반 정책 : 주체가 갖는 권한에 근거하여 객체의 접근 제한(MLP,, CBP)
• 역할 기반 정책 : GBP의 변형된 정책

 

 

접근통제 보안 모델

• 기밀성 모델
  • 군사적인 목적으로 개발된 최초의 수학적 모델
  • 군대 시스템 등 특수한 환경에 주로 사용
• 무결성 모델
  • 불법적인 정보 변경을 방지하기 위해 무결성으로 개발된 모델
  • 주체 및 객체의 보안등급을 기반
• 접근통제 모델
  • 접근통제 매커니즘을 보안 모델로 발전시킨 것, 접근통제 행렬이 대표(행은 주체, 열은 객체)

 

접근통제 조건

• 값 종속 통제 : 객체에 저장된 값에 따라 다르게 접근통제를 허용해야 하는 경우 사용
• 다중 사용자 통제 : 지정된 객체에 다수의 사용자가 동시에 접근하는 경우
• 컨텍스트 기반 통제 : 특정 시간, 네트워크 주소, 접근 경로, 인증 수준 등에 근거하여 접근을 제어하는 방법