제로 트러스트 - 무너진 보안 시스템의 신뢰도

1. TNO (Trust No One)

보안 업체와 신용 평가 기관조차 해킹당한다면 도대체 누구를 믿어야 할까요?

 

개인정보 유출 사고가 빈번하게 일어나는 요즘, 개인정보와 개인정보와 프라이버시를 안전하게 보호할 수 있는 첫걸음은 '누구도 믿지 말라'(Trust No One)원칙을 지키는 것입니다. 보안업계에 있어 오래된 원칙인 ‘누구도 믿지 말라’ 는 TNO 원칙은 인터넷 및 소프트웨어 보안 문제에 대한 접근 방식으로 널리 알려졌는데요,

 

이미지   :  언스플래시

 

어떤 종류의 비밀이 필요한 모든 인터넷 통신 및 소프트웨어 패키지에는 일반적으로 어떤 종류의 암호화가 적용됩니다.

TNO방식은 암호를 저장할때 누구도 신뢰해서는 안된다고 가르칩니다.

 

정보보안에 있어서 가장 중요한 핵심은 역시 그것을 사용하는 ‘사람’ 인데요, 해킹의 위험이 빈번해진 상황에서 파이어월이라고 부르는 방화벽을 뚫고자 하는 해커의 목표는 수단과 방법을 가리지 않고 시도됩니다.

 

해커의 위협을 생각하면 일반적으로 디지털 컨텐츠나, 인터넷을 통해서만 이루어진다고 생각하기 쉽습니다.

하지만 소프트웨어를 사용하는 중요인물이라면, 그에게 접근하길 원하는 해커는 얼마든지 있을것이며, 그가 가진 중요한 정보를 탈취하기 위해 인간 심리에 기반한 사회공학적 해킹 기술을 구사하는 해커는 오래전부터 스파이란 이름으로 활동해 왔습니다.

 

이렇게 ‘별 생각없이 호의적인 관계’ 를 맺고자 했던 행동은 해커에게 중요한 정보를 넘기게 되는 사태로 번지곤 하는데요,

 

이미지   :  픽사베이

 

최근 보안업계에는 생체정보를 통한 보안인증 방식에 대해 클라우드로 관리하는것이 이로운지, 휴대형 이동장치에 보관하는것이 안전한지에 대한논의가 제기되었습니다. 관련자의에 의하면 가능한 중요 정보에 억세스하기 위한 암호는 사용자에게 권한이 부여되어 있어야 한다고 합니다.

 

한편, 중요한 정보를 다룰수록 암호화 해야 하는 파일들 또한 많아지는데요,

 

마이크로 소프트에서는 이 trust no one 원칙에 따라 피시의 모든 파일을 암호화 하는 솔루션을 판매중이기도 합니다.(Microsoft Store의 TNO Crypt) 

 

참고 : https://www.microsoft.com/en-us/p/tno-crypt/9phgpmz9dkvf?activetab=pivot%3Aoverviewtab

 

2. Zero Trust

제로 트러스트 보안 모델은 기본적으로 기업 내•외부를 막론하고 적절한 인증 절차 없이는 그 누구도 신뢰해서는 안 되며, 시스템에 접속하고자 하는 모든 것에 접속 권한을 부여하기 전 신원 확인 과정을 거쳐야 한다는 것입니다. 제로 트러스트 모델이라는 용어는 2010년 분석 기관인 포레스트 리서치의 존 킨더버그가 만들었습니다.

 

내부 네트워크를 사용하는 사용자와 트래픽을 암묵적으로 신뢰하는 한편 외부 사용자만 신뢰할 수 없는 것으로 간주한다는 오랜 관행에 문제가 있다는 것입니다.

이미지   :  픽사베이

 

 또한 모바일 환경이 증가하고 애플리케이션과 서비스를 호스팅 하는데 클라우드 서비스를 사용하는 사례가 증가하면서 많은 기업이 네트워크 경계를 설정하고 시행하는 것이 더욱 어려워져 위협 주체만 문제가 되는 것이 아니기 때문에 보안 모델로 저런 제로 트러스트가 등장하게 되었다고 합니다.

 

이런 제로트러스트 모델은 2013년 에드워드 스노든을 통해 가시화 되기도 했는데요, 이후 국가별로 중요한 정보를 관리할때는 미국의 서버를 경유하지 않는 방식으로의 전환점을 가져오기도 했습니다.

 

제로트러스트 보안 모델 도입을 위해서는 다섯가지 단계가 필요한데요, 우선 제로트러스트를 정의하고, 관련 기술의 이행 방법에 대해 결정하고, 사용자 인증 절차가 없이는 어떤 사용자도 신뢰하지 않기 때문에 생기는 기존 사용자의 경험에 대한 이해가 필요합니다.

 

 

이미지   :  언스플래시

 

이후 적절한 기술을 활용하여 사용자및 기기예 대한 까다롭고 정확한 인증 절차를 도입한뒤, 문제점에 대비할수 있도록 하는 과정을 거치게 됩니다.

 

2019년 보안 트랜드중 하나로 많은 보안기업들이 제로트러스트 기반 모델을 고민중에 있습니다. 빠르게 변하는 인프라 환경과 교묘해지는 공격에 대한 기업 데이터와 시스템을 안전하게 보호하기 위해서는 ‘아무도 믿지 않는’ 보안을 구축하기 위한 노력이 필요합니다.

 

참고 :

https://en.wikipedia.org/wiki/Trust_no_one_(Internet_security)

https://www.microsoft.com/en-us/p/tno-crypt/9phgpmz9dkvf?activetab=pivot%3Aoverviewtab

https://www.idg.com/

IDG: #1 Tech Media Company in the World