03 식별, 인증, 인가, 책임추적성

주체가 객체에 접근하기 위해서는 식별, 인증, 인가, 책임추적성 네 단계를 거쳐야 하며, 접근통제(access controls)를 통해 구현

 

이미지출처 https://www.youtube.com/watch?v=927KdwZZoU0

 

식별(identification) 

• 주체(사용자, 프로그램, 프로세스 등)가 주장하는 실재라는 것을 확인하는 방법을 설명
• 예) user name, user id, account number

 

인증(authentication)

• 정확한 식별을 위해 식별 정보에 개인이 아는 것, 개인이 가지고 있는 것, 개인 자체에 대한 정보를 함께 제공하여 주장하는 신원이 본인이라는 것을 증명하는 것(something a person knows, something a person has, something a person is)
• 지식에 의한 인증(authentication by knowledge), 소유권에 의한 인증(authentication by ownership), 특성에 의한 인증(authentication by characteristic)
• 추가로 사용자의 위치 정보를 인증 수단으로 사용하기도 한다. 위치하는 곳(somewhere you are)

 

인가(authorization)

• 접근하고자 하는 시스템이 해당 주체가 요청한 행위를 수행하기 위해 필요한 권한과 특권을 부여받았는지를 판단하여 허가하는 것
• 해당 주체가 실제로 요청한 리소스에 접근할 수 있고 요청한 작업을 수행할 수있는가를 확인

 

책임추적성(accountability)

• 고유하게 식별된 주체의 행위를 기록하여, 주체가 실행한 행위에 대해 책임을 부여하는 것
• 객체에 대한 주체의 활동을 추적하기 위한 감사 로그와 모니터링

 

070, 431 인증방법

 

TYPE1 지식에 의한 인증(authentication by knowledge)

• 개인이 기억하고 있는 정보를 이용하여 인증을 수행
• 일반적으로 구현을 위한 비용이 가장 적게 드는 방법
• 단점 : 다른 사용자가 지식을 획득하여 허가되지 않은 접근을 획득할 수 있음
• 예 : 패스워드, PIN, 자물쇠의 조합번호 등

 

TYPE2 소유권에 의한 인증(authentication by ownership)

• 개인이 가지고 있는 것을 이용하여 인증을 수행
• 시설에 접근하는 보편적인 방법으로, 시스템 인증에도 사용될 수 있음
• 단점 : 인증에 사용되는 물건을 분실, 도난 당했을 경우 허가되지 않은 접근이 유발될 수 있음
• 예 : 열쇠, 출입 카드, 신분증, OTP, 공인인증서 등

 

TYPE3 특성에 의한 인증(authentication by characteristic)

• 개인 자체에 대한 정보를 이용하여 인증을 수행
• 생체인식(biometrics) : 개인의 고유한 육체적 속성을 기반하여 사용자의 신원을 인증하는 것
• 예 : 지문, 정맥, 홍체, 성문, 필기체 서명 등

 

위치하는 곳 

• 사용자의 위치 정보를 이용하는 인증 방식
• 주로 보조 수단으로 사용
• 예: 사용자 IP, 콜백(call back) 등

 

2 팩터 인증(two-factor authentication)

• 2가지 인증 방식을 혼용하여 인증을 수행

 

다중 인증(muti-authentication)

• 두 가지 이상의 인증 방식을 혼용하여 인증을 수행하는 것