분산 환경에서의 도전

네트워크 환경에서의 주된 과제는 다음을 유지해야 합니다:

데이터 절도(Data Theft)

대부분의 네트워크에서 워크스테이션이나 PC의 네트워크 케이블에 침투하여 회선을 통하여 모든 트래픽 흐름을 포착하는 것은 쉬운 일입니다. 이것은 광역(wide area)과 협역(local area) 네트워크와, 대개의 케이블 유형을 포함하여 거의 모든 네트워크 유형에 적용됩니다.

비록 Oracle 7.1 이상의 버전에서는 로그인 시(패스워드 변경 작업 동안이 아님)에 패스워드를 암호화하지만 데이터와 패스워드 모두 위험에 노출됩니다.

데이터 변경

공격자가 데이터를 훔치는 것만큼 아주 쉽게 공격자는 (논리적으로나 물리적으로) 네트워크를“절단”하여 통신하는 두 대상(클라이언트와 서버) 사이에 워크스테이션을 삽입할 수 있습니다. 많은 보통의 네트워크 프로토콜(TCP/IP같은)은 공격자의 워크스테이션을 통하여 소프트웨어를 모든 패킷으로 전송하는 네트워크 routing을 속이는 소프트웨어를 사용하는 이런 유형의 공격을 허용합니다.
일단  이것이  되면  두  기계들  사이의  데이터  흐름에  많은  다른  일들이  일어날 수 있습니다. 데이터 패킷은 어떤 다른 데이터를 포함하도록 변경될 수 있습니다 (예를 들면, 은행 예금이 $1000이 아니라 $2000로 변경될 수 있습니다.)

데이터 파괴

전체 패킷을 파괴하는 것은 데이터 패킷을 변경하는 것만큼이나 위험합니다.
명령은 여러 번 전송될 것입니다 (예를 들면, $1000에 대한 은행 예금 처리가 여러 번 서버에 전송될 수 있습니다.) 명령이 데이터 스트림으로부터 삭제될 수도 있습니다.(예를 들면,  예금 취소 처리가 서버에 도달하지 못하도록 막혀질 수 있습니다.)
이처럼, 전산 시스템은 점점 산업 방해자 ( industrial sabotage ) 의 목표물이 되고 있습니다.

인증 약속(Compromized Authentication)

사용자 아이덴티티(User Identity) 설정은 분산 환경의 기본적인 개념입니다. 그렇지 않으면, 사용자에 의한 권한 제한을 신뢰할 수 없을 수도 있습니다. 예를 들면, 사용자 인증 기법에 문제가 있을 경우, Client B에서 Server B로 접속하는 사용자 Scott이 정말로 사용자 Scott인지 어떻게 확신할 수 있습니까?

권한 약속(Compromized Authorization)

사용자 Scott이 Scott이라는 확신뿐만 아니라 Client B와 Client A가 또한 그 올바른 클라이언트들이라는 확신을 가지기 위해서 클라이언트와 서버가 네트워크 상에서 다른 클라이언트나 서버에 인식되는 방법에서 확신을 가질 필요가 있습니다.

고급 네트워크 옵션

Oracle  Advanced  Networking  Option 은 MD5  알고리즘을 사용하여 암호화된 체크섬을 통해 데이터 무결성을 보증합니다. 또한 암호화를 통하여 데이터 비밀성을 보증합니다. Release 8.0.3은 40-bit, 56-bit DES 알고리즘 뿐만 아니라 40-bit, 56-bit, 128-bit RSA RC4 알고리즘을 제공합니다.
Oracle Advanced Networking Option release 8.0.3은 Kerberos, CyberSAFE Challenger (a Kerberos-based authentication server), SecureID, Identix TouchNet II 같은 제3의 인증 서비스를 지원하는 Oracle authentication adapter를 통하여 이 인증 능력을 제공합니다.

데이터 암호화

암호화는 어떤 키를 사용하여 데이터를 휘젓는(scramble) 기술입니다. 키가 없다면 데이터는 원상태로 돌아올 수 없습니다. 특별한 하드웨어가 데이터  암호화에  사용됩니다.

암호화를 위해서 두가지 알고리즘이 사용됩니다. 알고리즘은 다음과 같습니다:

키 길이(Key Length)

보다 긴 키의 길이는 암호화를 보다 강력하게 합니다. 보다 강력한 암호화는 코드를 파괴하는 것을 보다 어렵게 합니다.

이용 가능한 키의 길이는 다음과 같습니다:

Sequencing의 기능

MD5 알고리즘의 기능

메시지 정리 알고리즘은 RSA에서 이용할 수 있습니다. 이것은 다음의 작업을 수행합니다:

서버는 값이 변경되었는지를 알아보기 위해서 동일한 해쉬 계산을 합니다.

파라미터 암호화와 체크섬 작업

고급 네트워크 옵션(Advanced Networking Option)의 네가지 구성 파라미터를 명시하여 암호화나 체크섬 작업이 활성화되었는지의 여부를 진단할 수 있습니다.

주

암호화의 시드 값(seed value)은 70자까지 가능합니다. 사용된 문자의 수가 많으면 많을수록,  그리고  문자의  변동이  크면  클수록  보안이  더욱 더 좋아집니다. 위의 예에서는 DES40이 사용되고 있습니다.
또한 DES 56과 RC4 128이 사용될 수 있습니다.
위의 예에서 기계는 암호화를 사용하는 클라이언트와 체크섬 작업을 사용하는 서버로 구성되어 있습니다.

암호화 및 체크섬 작업의 디폴트 값

  • 서버 암호화, 클라이언트 암호화, 서버 체크섬, 또는 클라이언트 체크섬에 어떤 값을 명시하지 않았다면, 해당 구성 파라미터는 sqlnet.ora 파일에 나타나지 않을 것입니다. 그러나, Oracle Advanced Networking Option은 ACCEPTED가 디폴트 값입니다.
  • 서버 암호화, 클라이언트 암호화, 서버 체크섬 또는 클라이언트 체크섬 페이지에 암호화나 체크섬 알고리즘이 명시되어 있지 않다면, 접속의 서버측은 인스톨된 알고리즘의 클라이언트의 목록에도 나타나는 자신의 인스톨된 알고리즘의 목록에서 첫번째 알고리즘을 사용합니다.
  • 암호화와 체크섬 작업의 기능은 서로 독립적입니다. 암호화는 체크섬 작업이 off이거나, 반대의 경우에 동작될 수 있습니다.  

암호화 및 체크섬 작업의 모드

클라이언트와 서버 구성 파라미터의 조합에서, 위 테이블은 암호화나 체크섬 작업이 활성화 되었는지의 여부를 보여줍니다.
   
각각의 모드에 대한 설명은 다음과 같습니다:

  • Accepted: 상대쪽이 서비스가 request되거나 require되었다고 말하면 서비스는 활성화됩니다.
  • Rejected: 상대쪽이 서비스가 require되었다고 말하면 서비스는 전혀 활성화되지 않으며 접속도  실패합니다.
  • Requested: 상대쪽이 서비스가 accept, request, 또는 require되었다고 말하면 서비스는 활성화됩니다.
  • Required: 상대쪽이 서비스를 accept하거나 require하는 경우에만 활성화됩니다. 상대쪽이 서비스가 reject되었다고 말하면 접속은 실패합니다.

알고리즘 진단

어떤 네트워크 접속에서는 클라이언트와 서버 모두가 하나 이상의 암호화 알고리즘과 하나 이상의 암호화 체크섬 작업 알고리즘을 지원하는 것이 가능합니다. 그럴 경우, 각각의 접속이 설정될 때 서버는 각각의 접속에서 이용할 수 있는 알고리즘과 Net8 구성 파일에서 명시되어 있는 환경설정(preference)을 바탕으로 사용할 알고리즘을 결정합니다.

네트워크 인증 서비스(Network Authentication Service)

네트워크 인증 서비스는 ACE/Server, Kerberos, CyberSAFE같은 사용자와 서버의 안전하고 집중적인 인증을 제공합니다.

토큰 카드(Token Card)

토큰 카드 인증은 SecurID같은 한번의 패스워드를 제공합니다.

수명측정 인증 어댑터(Biometric Authentication Adapter)

수명측정 인증 어댑터는 아직 유효한 사용자와 그들을 인증하는 데이터베이스 서버 집중 관리를 허용합니다.

네트워크 인증 서비스(Network Authentication Service)

사용자와 호스트의  아이덴티티에  대한 확신은 호스트와 사용자 스스로 직접 다른 호스트나 사용자를 인식하는데 의존한다기 보다는 집중되고 안전한 인증 서비스를 사용하여 이룰 수 있습니다.

단독 개시(Single Sign-on)

네트워크 인증 서비스는 사용자에 대해서 단독 개시의 장점을 제공합니다.
일반적으로 사용자는 다음의 두가지 방법 중의 하나로 다중 계정에 응답합니다:

  • 사용자가 자신의 패스워드를 선택할 수 있다면, (패스워드가 위협된 이벤트에서 잠재적으로 노출 위험이 큰) 모든 기계 상에서 동일하기 위해서 패스워드를 표준화시킬 수 있습니다.
  • (한 패스워드를 통해서 쉽게 추측이 가능한) 변동이 거의 없는 패스워드를 사용한다면, 패스워드를 그냥 적거나 잊어버릴 수 있는데 그것은 패스워드 비밀과 서비스 이용도를 심각하게 위협합니다.

단독 개시(Single Sign-on)를 제공함으로써 사용자는 단일 패스워드를 가지고 다중 계정과  애플리케이션을  액세스할  수  있으며,  사용자에  대한  다중  패스워드의 필요성을  제거하며,  시스템  관리자에  대한  사용자  계정  및  패스워드의  관리를 간단하게 합니다.

인증 이벤트의 논리적 표시

   1   클라이언트는 서버로부터 인증을 요구합니다.
   2   인증 서버는 티켓이나 신임장을 클라이언트에게 다시 전달합니다.
   3   클라이언트는 이러한 신임장을 가지고 데이터베이스에의 접속같은 서비스를 요구
        하는 동안에 신임장을 서버에게 전달합니다.
   4   신임장을 검증하기 위해서 서버는 인증 서버에게 신임장을 다시 송부합니다.
   5   인증 서버가 신임장을 수락하면 서버에게 통보합니다.
   6   서버는 요청 서비스를 제공합니다. 그렇지 않으면, 요청은 거부됩니다.

지원되는 인증 서비스

인증 서비스에 대한 지원은 기존의 Net8 프로토콜 어댑터와 거의 같은 인증 어댑터를 통하여 제공됩니다. 인증 어댑터는 Net8에 통합되며 애플리케이션을 변경하지 않고 새로운 인증 시스템을 명료하게 이용하는 데에 기존의 애플리케이션을 사용하도록 합니다.
Kerberos는 공유 비밀 ( shared secret ) 에 의존하는  믿을  만한 제3의 인증 시스템입니다. 이것은 제3의 인증 시스템이 안전하다는 것을 가정합니다. 이것은 단독 개시 ( Single Sign-on ) 능력,  집중화된 패스워드 스토리지,  데이터베이스 링크  인증, 그리고 고급 PC 보안을 제공합니다.

Kerberos 인증 서비스의 다음 두 가지 어댑터는 오라클에 의해 제공됩니다:

  • Kerberos 인증 어댑터
  • CyberSAFE Challenger 인증 어댑터 

토큰 카드 인증(Token Card Authentication)의 장점

지원되는 토큰 카드

Oracle Advanced Networking Option은 Security Dynamics’ SecurID card를 지원합니다. SecurID는 사용자 식별을 위한 두가지 요소를 제공합니다:

단일 사용 액세스 코드(Single-use access code)는 60초마다 자동적으로 변하며, 동시에 두개의 카드가 동일한 번호를 디스플레이하는 경우는 없습니다.

수명측정 인증(Biometric Authentication)

Oracle Advanced Networking Option은 Oracle Biometric Authentication Adapter를 위한 지원을 제공합니다. 인증 어댑터는 인증 서버와 클라이언트 사이에서 수명측정 인증 데이터를 통신하기 위해서 클라이언트와 데이터베이스서버 모두에서 사용됩니다.

지원되는 수명측정 인증 장치(Biometric Authentication Device)

어떤 사용자의 지문은 유일하기 때문에, 오직 저장된 지문 스캔과 일치하는 사용자만이 "참"이 될 것입니다. 오라클은 Identix Touchsafe II Biometric Device를 지원합니다.

구성 권장사항

  1. Advanced Networking Option의 4가 구성 파라미터를 명시하여 암호화나 체크섬 작업이 활성화되었는지의 여부를 진단하고자 할 때 살펴보는 파일은?
    A. tnsnames.ora
    B. sqlnet.ora
    C. listener.ora
    D. names.ora
    답
    X 정답:B


  2. Advanced Networking Option이 설치되어 암호화 체크섬 기능을 이용할 수 있게 되었다. 클라이언트로부터 서버로 데이터가 전송되어질 때, 서버쪽에서는 전송되어진 데이터가 전송도중 변경되었는지의 여부를 어떻게 알 수 있는가?
    A. 클라이언트쪽에서 사용된 동일한 hash calculation에 의해서
    B. 전송되어진 데이터 패킷 앞쪽에 첨부된 key를 디코딩함으로써
    C. 전송되어진 각 데이터 패킷에 포함된 문자수를 패킷에 첨부된 key와 비교함으로써
    답
    X 정답:A


  3. 다음중 Biometric Authentication에서 인증수단으로 사용하는 것은?
    A. Token Card
    B. Ticket
    C. Fingerprint
    D. SecurID card
    답
    X 정답:C


  4. 다음중 암호화 알고리즘이 아닌 것은?
    A. DES
    B. RSA RC4
    C. MD5
    답
    X 정답:C


  5. 다음중 인증기법(Authentication Mechanism)이 아닌 것은?
    A. Network authentication service
    B. Token card
    C. Biometric authentication
    D. Cryptographic checksuming
    답
    X 정답:D