인증과 접근 통제
쉽게 말하면
인증은 '당신이 누구인지' 확인하는 거고, 접근 통제는 '무엇을 할 수 있는지' 정하는 거예요. 인증에는 아는 것(비밀번호), 가진 것(OTP 기기), 내 몸(지문), 내 행동(서명 습관)이 쓰여요. 접근 통제는 소유자가 마음대로 권한을 주는 DAC, 등급에 따라 시스템이 정하는 MAC, 역할(직책)에 따라 정하는 RBAC으로 나뉘어요.
시험용 정의
인증(Authentication)은 사용자가 주장한 신원을 확인하는 것으로 유형은 지식 기반(비밀번호, PIN), 소유 기반(OTP, 스마트카드, 공인 인증서), 생체 기반(지문, 홍채, 얼굴), 행위 기반(서명, 걸음걸이), 위치 기반이 있고, 둘 이상을 섞으면 다중 요소 인증이다. 보안 프레임워크 AAA는 인증(Authentication), 인가(Authorization, 권한 부여), 계정 관리(Accounting, 사용 기록)다. 접근 통제 정책: DAC(임의적, 데이터 소유자가 신원에 따라 권한 부여), MAC(강제적, 주체의 보안 등급과 객체의 보안 레이블에 따라 시스템이 결정), RBAC(역할 기반, 중앙 관리자가 역할에 권한 부여). 보안 모델: 벨-라파듈라(기밀성, No Read Up, No Write Down), 비바(무결성, No Read Down, No Write Up), 클락-윌슨(무결성, 상업용), 만리장성(이해 충돌 방지). 한 번 로그인으로 여러 시스템을 쓰는 SSO, 비밀번호를 주지 않고 권한을 위임하는 OAuth도 있다.
비유로 이해하기
회사 출입으로 비유하면 인증은 출입증과 얼굴 대조, 접근 통제는 어느 층에 들어갈 수 있느냐다. DAC는 방 주인이 열쇠를 나눠 주는 것, MAC는 보안 등급대로 시스템이 문을 여는 것, RBAC는 '경리팀'이라는 직책에 금고실 권한을 주는 것이다.
자세히
먼저 알아 둘 말
| 말 | 뜻 |
|---|---|
| 주체 / 객체 | 접근하는 사용자·프로세스 / 접근 대상인 파일·데이터 |
| 인가 | 인증된 사용자에게 무엇을 할 수 있는지 권한을 주는 것 |
| 보안 레이블 | 객체에 붙인 비밀 등급 (일급비밀, 비밀, 대외비) |
| OTP | 한 번만 쓰는 일회용 비밀번호 |
| SSO | 한 번 인증으로 여러 시스템에 접근 (Single Sign-On) |
접근 통제 정책 비교
| 정책 | 권한 결정 | 특징 |
|---|---|---|
| DAC (임의적) | 데이터 소유자 | 신원 기반, 유연함. 권한이 쉽게 퍼질 수 있음 |
| MAC (강제적) | 시스템 (보안 등급과 레이블 비교) | 규칙 기반, 엄격. 군사·정부 |
| RBAC (역할 기반) | 중앙 관리자 (역할에 권한) | 직무 변경에 강함, 관리 쉬움 |
보안 모델
| 모델 | 목적 | 규칙 |
|---|---|---|
| 벨-라파듈라 | 기밀성 | 자기보다 높은 등급은 읽기 금지(No Read Up), 낮은 등급에 쓰기 금지(No Write Down) |
| 비바 | 무결성 | 낮은 등급 읽기 금지(No Read Down), 높은 등급에 쓰기 금지(No Write Up) |
| 클락-윌슨 | 무결성 | 직무 분리, 정해진 프로그램으로만 데이터 변경 (상업용) |
| 만리장성 (브루어-내시) | 이해 충돌 방지 | 경쟁 관계 회사 정보에 함께 접근 금지 |
AAA
- Authentication 인증: 신원 확인
- Authorization 인가: 권한 부여
- Accounting 계정 관리: 사용 시간·자원 기록 (과금, 감사)
접근 통제 목록(ACL)은 객체별로 누가 어떤 권한을 갖는지 적은 목록이다.
기출에서 더 나온 것
| 말 | 뜻 |
|---|---|
| 인증 유형 | 지식(비밀번호·PIN), 소유(카드·OTP), 존재(지문·홍채 같은 생체), 행위(서명·음성) |
| Secure OS | 운영체제 커널에 보안 기능을 더해 운영체제 결함으로 인한 해킹을 막는 것 |
| TCP Wrapper | 외부에서 접속하면 허용 목록을 보고 인가된 곳만 받아 주는 접근 제어 도구 |
| wtmp | 사용자의 로그인·로그아웃·시스템 재부팅 기록 (last 명령으로 본다) |
| btmp | 로그인 실패 기록 (lastb) |
| utmp | 지금 로그인해 있는 사용자 정보 (who·w) |
시험에 이렇게 나와요
- 접근 통제 정책 → 임의적(DAC)·강제적(MAC)·역할 기반(RBAC) (데이터 전환 접근 통제는 없음)
- 보안 레이블로 등급 비교해 통제 → MAC / 직무·역할에 따라 → RBAC
- 벨-라파듈라 → 기밀성 모델 (위로 읽기·아래로 쓰기 금지)
- 한 번 인증으로 여러 시스템 이용 → SSO
- AAA → 인증(Authentication)·인가(Authorization)·계정 관리(Accounting)
- Secure OS → 커널에 보안 기능 추가. 식별·인증, 임의적·강제적 접근 통제, 감사 (고가용성은 아님)
확인 문제
Q1. 사용자의 직무·역할에 권한을 부여하고, 사용자를 역할에 배정하는 접근 통제는?
- ACL
- RBAC
- DAC
- MAC
정답 보기
2번 RBAC
RBAC(역할 기반)은 '팀장', '회계 담당' 같은 역할에 권한을 주고 사람을 역할에 배정한다. 인사 이동이 잦은 조직에 알맞다.
Q2. 주체의 보안 등급과 객체의 보안 레이블을 비교해 시스템이 접근 여부를 정하는 정책은?
- DAC
- SSO
- RBAC
- MAC
정답 보기
4번 MAC
MAC(강제적 접근 통제)다. 시스템이 등급을 비교해 정한다. DAC는 소유자가 권한을 정하고, RBAC는 역할에 권한을 준다. SSO는 한 번 로그인으로 여러 시스템을 쓰는 것이다.
Q3. 벨-라파듈라 모델이 주로 보호하는 것은?
- 부인 방지
- 가용성
- 무결성
- 기밀성
정답 보기
4번 기밀성
No Read Up, No Write Down으로 기밀성 보호. 비바는 무결성.
Q4. OTP 생성기나 스마트카드를 이용한 인증은 어떤 유형인가?
- 행위 기반
- 지식 기반
- 소유 기반
- 생체 기반
정답 보기
3번 소유 기반
소유 기반 인증이다. 가지고 있는 것으로 인증한다. 비밀번호는 지식 기반, 지문·홍채는 생체 기반, 서명 습관은 행위 기반이다.
Q5. AAA에서 '인증된 사용자에게 권한을 부여하는 것'은?
- Authorization
- Accounting
- Authentication
- Auditing
정답 보기
1번 Authorization
Authorization(인가)이다. AAA는 Authentication(인증: 누구인지 확인) → Authorization(인가: 권한 부여) → Accounting(계정 관리: 사용 기록)이다.
헷갈리기 쉬운 O·X
DAC는 데이터 소유자가 다른 사용자에게 권한을 임의로 줄 수 있다.
정답 보기
O
비바 모델은 기밀성을 위해 No Read Up 규칙을 쓴다.
정답 보기
X 비바는 무결성 모델로 No Read Down, No Write Up.
지문·홍채 인증은 생체 기반 인증이다.
정답 보기
O