[Secure] 인증 및 권한관리 / 접근 제어

1. 인증 및 권한관리(식별, 인증, 인가)

• 주체(Subject)가 객체(Object)를 접근하는 것을 통제하는 것
• Accounting(계정관리) -> Authentication(인증) -> Authorization(권한부여)

 

* 식별

• 유일한 식별자(ID) 부여 -> 책임 추정성(Accountability) 확보
• 계정 공유 사용 제한
• 추측 가능한 식별자 사용 제한 (ex. root, admin, manager..) -> 식별자 변경, 비활성화

* 인증

• 정보의 주체가 되는 송신자와 수신자간에 교류하는 정보의 내용이 변조, 삭제되지 않았는지 확인
• 주체가 되는 송수신자가 정당한지 확인
• 인증 유형 (수단)
  • 지식  : 사용자가 알고있는 정보에 기반 (PIN, 패스워드, 계좌번호..)
  • 소유  : 사용자가 소유하고 있는 도구에 기반 ( OTP, 스마트 카드..)
  • 존재  : 사용자의 신체나 신체의 특징에 기반 ( 홍채, 지문, 얼굴인식..)
  • Multi Facotor 인증 : 복수 개의 인증 유형을 사용하여 보안성을 향상시킨 방식

* 인가

• 신원을 기반으로 인증된 어떤 주체에게, 그 주체가 특정 객체에 접근할 수 있는 권한을 부여하는 것
• 시스템에서 모든 활동들은 인가된 활동이어야 수행 가능

---

2. 접근 제어

* 접근 제어 메커니즘

1. ACL(Access Control List : 접근 통제 목록) : 주체가 디렉토리나 특정 시스템 객체에 접근할 수 있는 허가받은 접근 종류가 기록된 목록
2. CL(Capability List : 권한 목록) : 주체에게 허가된 자원 및 권한의 목록

 

* 접근 제어 정책 

     : 시스템 자원에 접근하는 사용자의 접근 모드 및 모든 접근제한 조건 등을 정의

1. DAC(Discretionary Access Control) : 접근하고자 하는 주체의 신분(ID)에 따라 접근 권한을 부여하는 접근통제
2. MAC(Mandatory Access Control) : 주체와 객체의 등급을 비교하여 접근 권한을 부여하는 접근 통제
3. RBAC(Role Based Access Control) : 주체와 객체 사이에 역할을 부여하여 임의적, 강제적 접근 통제의 약점을 보완