인터넷 보안과 전자인증(전자상거래 보안 기술)

목차

1. 인증서란
2. 인증서의 발급 등
3. 인증서의 효력
4.. 인증서의 폐지
5. 인증관리체계의 운영
6. 전자서명생성키의 관리
7. 인증업무에 관한 기록의 관리
8. 개인정보의 보호
9. 전자서명인증관리업무
10. 배상책임
11.공인인증기관의 지정
12. 결격사유
13.인증업무준칙의 신고
14.공인인증기관의 업무수행
15. 인증업무의 휴지·폐지 등
16. 인증업무의 정지 및 지정취소 등
17. 과징금의 부과

제1장 전자상거래에 있어서의 신뢰성 확인
제1절 전자상거래 보안 요구 사항
제2절 전자 상거래 보안 기술 체계
제3절 전자상거래의 신뢰성 증진 방안

제2장 보안이론

제3장 시스템 보안
제1절 시스템 보안 개요
제2절 해킹 및 인터넷 보안 사고 유형
제3절 보안대책

제4장 방화벽
제1절 방화벽의 원리
제2절 방화벽 기술
제3절 방화벽 구축
제4절 방화벽 성능 인증
제5절 방화벽 운영

제5장 인터넷상에서의 지불과 보안
제1절 인터넷상의 지불방식
제2절 일반적인 WEB 보안 메커니즘
제3절 웹 보안 관련 표준
제4절 지불자료 보안

본문내용

키를 서로 생성해서 주고받는
메커니즘
4. Kerberos
) 케버로스 (Kerberos) [KISA96]
케버로스는 MIT에서 프로젝트 Athena의 일환으로 개발된 분산환경에서 개체 인증 서비스를 제공하기 위한 시스템으로써 다음과 같은 보안위협에 대한 대처 방안을 제공한다.
. 불법적인 사용자(Application client)가 특정한 서버(Application server)에 접속한 후 정당한 다른 사용자가 그 서버를 사용하고 있는 것처럼 할 수 있다.
. 불법적인 사용자가 자신의 워크스테이션의 네트워크주소를 정당한 주소로 변경해서 서버에 요구(Request)를 보낼 수 있다. 즉, 서버에 보내지는 요구가 다른 정당한 워크스테이션으로부터 온 것처럼 가장할 수 있다.
. 불법적인 사용자가 정당한 사용자와 서버간의 통신정보를 엿듣고, 재전송(Replay)에 사용할 수 있다.
Kerberos는 각 서버마다 독자적인 인증 프로토콜을 만드는 것보다 중앙집중식 인증서버를 제공하며, 공개키 암호 방식을 전혀 사용하지 않고 전적으로 대칭키 암호 방식에 의존한다. 일반적으로 두가지 버전의 Kerberos가 사용되는데, 버전 4(1988년 발표)가 가장 널리 사용되고 있으며, 새로운 버전 5(1994년 발표)는 버전 4의 보안결함 몇 가지를 수정했고 인터넷 드래프트(Draft) 표준으로 발표되었다. [Kohl93]
(그림 ) Kerberos의 인증절차 개요
[ 정보 보호 센터, '개방형 통신망 환경에서의 인증 및 접근통제 기술' ]
: 안정성이 보장되지 않는 통신 선로 상에서 클라이언트와 서버 사이에서 서로의 신원을 확인해 주는 상호 인증 시스템
제4절 지불자료 보안
1. 보안 필요성
① 위험성: 브라우저와 서버의 사이에서 정보 누출 가능
② 전자 지불 시스템의 유형: 전자현금, 신용카드형, 전자수표형, 스마트카드형
( 교재 P.503 표 참고 )
2. 전자 현금 방식 (교재 P.504 참고)
3. 브로커방식의 지불 방법 구분
: 기존의 신용카드를 대금 지불 수단으로 사용하는 것이 일반적
① IBM의 IKP와 FV(First Virtual)사의 Green Commerce
: 상거래 시 통신상의 원격지 상인에게 신용카드번호를 가르쳐 주는 대신 PIN 번호만 알려 줌으로써 거래 성립, 케베로스와 유사한 방법
② VISA와 Master Card사의 SET(Secure Electronic Transaction)
: 지불금액에 대한 정보를 암호화하여 타인에게 노출시키지 않고 신용카드회사에 전송 하는 역할 대행, 이 방법은 보낸 사람의 신원을 확인해 주는 인증성, 금액 내용에 대 한 기밀성 및 무결성 보증, 국내 데이콤과 페이게이트웨이가 적용하는 방식
4. SET 프로토콜
) SET (Secure Electronic Transaction)
▷ 인터넷과 같은 공개된 네트워크(Open Network) 상에서의 신용카드 지불을 위한
프로토콜.
▷ SET 표준안에서 정의한 주요 Business 요구 (SET의 특징)
·지불정보와 주문정보에 대한 기밀성(Confidentiality)의 제공
·전송된 데이터에 대한 무결성(Integrity)의 보장
·카드 소지자(Cardholder)가 적법한 사용자임을 확인하는 인증(Authentication)제공
·상인(Merchant)에 대한 인증 제공
·최고의 시스템 설계 및 보안 수단 확보
·전송 암호화 방식에 종속되지 않는 프로토콜의 개발
·소프트웨어 및 네트워크 공급자의 상호 운영성(Interoperability)제공
▷ 사용용도
전자거래의 양측에 있는 송신자, 수신자 모두에게 암호 키를 제공함으로써 해킹을 방지함.
금전정보, 신상정보 등을 담고 있는 메시지를 64bit 알고리즘을 이용해 암호화한 후 이 키 값을 1024비트 알고리즘으로 다시 한번 암호화하는 것이다. 또 매 트랜잭션마다 암호값을 새로 설정해서 해킹을 거의 불가능하게 함. 신용카드 및 직불카드 등의 기존의 현금대체 카드들을 이용하며 소액거래에는 적합하지 않다.
▷ SET의 기본 구성
·카드 소지자(Cardholder)
·카드 발급사(Issuer)
·상인(Merchant)카드 가맹점
·카드전표 매입사(Acquirer)
·지불 게이트웨이(Payment Gateway)
▷ First Virtual
별도의 전용 프로그램이나 보안의 강화를 위한 특별한 프로토콜을 이용하지 않고 기본적인 웹 브라우저와 전자우편, 전화, 팩스 등만을 이용한 인터넷상의 신용카드 지급 시스템.
▶ SET ( 대전 스터디 1조 자료 '보안 기술' )
SET은 인터넷과 같은 오픈 네트워크 상에서 신용카드 거래를 안전하게 하기 위한 기술사양을 말한다. SET은 보안상의 허점을 보완하고자 신용카드 회사인 비자, 마스터카드와 IBM, 넷스케이프, 마이크로소프트 그리고 VeriSign의 기술적인 도움으로 개발되었다. SET은 RSA 데이터 보안회사의 암호화 기술에 기초를 두고 있으며, 기술사양 자체가 공개이므로 누구나 자유롭게 SET 프로토콜을 사용하는 소프트웨어를 개발할 수 있다. 현재 전자상거래 환경에서 널리 사용되는 SSL(Secure Socket Layer)프로토콜은 웹 서버와 웹 클라이언트 사이에 데이터를 안전하게 주고받기 위한 보안기법으로 넷스케이프사에서 제작한 프로토콜이다. 표1에서 기존의 SSL과 SET을 자세하게 비교한다.
[ 표-1. SET와 SSL ]
S E T
S S L
.전자상거래에 사용하기 위해 제작.
.SET 규약에 맞게 제작시 제품 호환 성에 문제가 없음
.전자지갑을 반드시 사용해야 한다.
(영수증 보관, 거래내역 안전하게 보관)
.보안 문제를 해결해 줄 수 있는 최 상의 방법.
.전자상거래를 염두에 두지 않고 제작.
.상세한 규약이 없으므로 호환성에 문제
발생.
.전자지갑을 사용할 필요 없음.
.분실, 도난, 만기된 카드 사용에 대한 제한방법이 없다.
1) 요구 조건
① 비밀성
② 인증
③ 무결성
④ 암호알고리즘 및 프로토콜
⑤ 상호 운용성
⑥ 수용성
2) 프로토콜
① 메시지의 암호화
② 개인을 인증할 수 있는 전자증명서
③ 디지털 서명
3) SET의 기술 구조 ( 교재 P.506 참고 )

키워드

인증서,   전자상거래,   방화벽,   인증서의 효력,   인증관리체계의 운영,   전자서명생성키의 관리