IT 위키 - 사용자 기여 [ko]

X.509

2019-08-09T06:01:39Z

가입안돼:

[[분류:보안]]

== X.509 인증서 ==
[[파일:X.509.png]]
* 버전 : X.509 인증서 형식의 버전으로, 현재 v1-v3까지 있음
* 일련번호 : CA에서 인증서를 발행할 때 마다 할당되는 유일한 번호
* 알고리즘 식별자 : CA가 사용한 서명 알고리즘의 OID.sha1withRSAEncryption의 OID는 1.2.840.113549.1.1.5
* 발행자 : 인증서를 발행한 CA의 이름
* 유효 개시 기간(Validity from) : 인증서가 유효한 최초 시간
* 유효 만기 시간(Validity to) : 인증서가 유효한 마지막 시간
* 주체 : 인증서의 증명대상의 DN(Distinguished Name). 사람뿐만 아니라 서버도 해당
* 주체 공개키 정보 : 암호용 또는 서명용 공개키, 키가 사용될 알고리즘의 종류, 키 길이 등 정보로 구성
* 알고리즘 : 공개키 알고리즘의 OID
* 공개키 : 주체의 공개키 값
* 서명 : CA의 서명 값

== X.509 버전별 추가사항 ==
* '''버전 2에서 추가된 영역'''
** 인증 기관 고유 식별자 : 한 주체에 대해 둘 이상의 인증기관으로부터 인증서가 발급된 경우, 인증기관 구분
** 주체 고유 식별자 : 주체를 식별하는 값, 예를 들어 같은 회사에 동명이인이 있는 경우 구분하기 위해 사용
* '''버전 3에서 추가된 영역'''
** 인증기관 키 식별자 : 하나의 인증기관이 여러 개의 비밀키로 인증서를 발급한 경우, 서명 검증용 공개키를 식별하기 위해 사용. SHA-1해시 값인 KeyIdentifier, 발행기관 이름, 일련 번호로 구성
** 주체 키 식별자 : 한 주체가 여러 키 쌍에 대해 발급받은 인증서를 가지고 있을 때, 인증서에 포함된 공개키를 구별하는데 사용
** 키 용도 : 해당 공개키가 암호용인지 서명용인지를 해당 비트로 표시
** 비밀키 사용기간 : 인증서의 유효기간과 서명용 비밀키의 사용시간이 다를 때 사용
** 확장 키 사용 : Key usage 항목으로 표시할 수 없는 세부적인 추가용도를 OID 형태로 표시. TLS 웹 서버 인증용, TLS 웹 클라이언트 인증용, 코드 서명용, 전자 우편용, IPSec 용 등을 지시
** CRL 배포 지점 : 폐기한 인증서의 리스트가 저장되어있는 곳의 URL
** 주체 대체 이름 : DNS 이름, IP 주소, 메일 주소, 커버로스 이름 등 주체 이름에 대한 또 다른 이름
** 발행자 대체 이름 : CA의 또 다른 이름
** 기본 제한 : {CA 플래그, pathLenConstraint로 구성}
** 기관 정보 액세스 : 인증기관이 제공하는 인증서 관련 서비스에 접근할 수 있는 URL이나 프로토콜 관련 정보
** 주체 정보 액세스 : 인증서 주체가 제공할 수 있는 정보와 서비스에 접근하는 방법 제공, 주로 CA의 루트 인증서에 사용

== 키 종류 및 용도 ==
* digitalSignature : keyCertSign, cRLSign을 제외한 서명용도의 공개키
* nonRepudiation : 부인방지를 위한 서명용 공개키
* keyEncipherment : 공유 비밀키를 암호화할 때 사용하는 공개키
* dataEncipherment : 데이터 암호용 공개키
* keyAgreement : 키 분배 프로토콜에 사용할 공개키
* keyCertSign : 루트 인증서의 서명용 공개키
* CRLSign : CRL 서명용 공개키
* encipheronly : keyAgreement 비트가 1일 때, 암호 전용 공개키 임을 지시
* dncipheronly : keyAgreement 비트가 1일 때, 복호 전용 공개키 임을 지시

X.509

2019-08-09T06:00:08Z

가입안돼:

X.509

2019-08-09T05:57:46Z

가입안돼: 새 문서: 분류:보안 == X.509 인증서 == 파일:X.509.png * 버전 : X.509 인증서 형식의 버전으로, 현재 v1-v3까지 있음 * 일련번호 : CA에서 인증서를 발행...

파일:X.509.png

2019-08-09T05:56:19Z

가입안돼: 출처: 한국항공대학교

출처: 한국항공대학교

전자서명

2019-08-09T05:47:30Z

가입안돼:

[[분류:보안]][[분류:컴플라이언스]][[분류:정보보안기사]]
;공개키 알고리즘을 이용하여 데이터에 대한 무결성을 보장하고, 인증과 부인방지를 도모하는 기술을 말한다.

== 기본 개념 ==
송신자의 '''개인키로 서명'''하고 송신자와 수신자가 모두 가지고 있는 '''공개키로 검증'''한다.

== 전자서명의 목적(기능) 3가지 ==
* 무결성(Integrity)
* 인증(Authentication)
* 부인방지(Non-repudiation)

== 전자서명의 조건 5가지 ==
* 위조 불가(Unforgeable)
* 서명자 인증(User authentication)
* 부인 방지(Non-repudiation)
* 변경 불가(Unalterable)
* 재사용 불가(Not reusable)

== 구분 ==
=== 메시지 복원형 전자서명 ===
* 메시지 전체를 암호화한 후 복호화하면 원래 메시지가 복원되는 방식으로 검증한다.
* 메시지 전체를 일정한 블록으로 나눠 전체 블록을 암호화 해야 하므로 검증 부하가 크다.

=== 메시지 부가형 전자서명 ===
* 메시지를 해시 암호화 하여 일정 길이의 해시값으로 압축한다.
* 해시된 값에 해시된 값으로 전자서명한 값을 덧붙여서 보낸다.
* 송신자는 공개키를 이용해 전자서명값과 해시값을 비교하여 메시질르 검증한다.
* 메시지 복원형에 비해 부하가 훨씬 작다.

== 국내법에서의 전자서명 ==
=== 전사저명 법 ===
* 용어 정의
** "전자문서"라 함은 정보처리시스템에 의하여 전자적 형태로 작성되어 송신 또는 수신되거나 저장된 정보를 말한다.
** "전자서명"이라 함은 서명자를 확인하고 서명자가 당해 전자문서에 서명을 하였음을 나타내는데 이용하기 위하여 당해 전자문서에 첨부되거나 논리적으로 결합된 전자적 형태의 정보를 말한다.
** "공인전자서명"이라 함은 다음 각목의 요건을 갖추고 공인인증서에 기초한 전자서명을 말한다.
*** 가. 전자서명생성정보가 가입자에게 유일하게 속할 것
*** 나. 서명 당시 가입자가 전자서명생성정보를 지배ㆍ관리하고 있을 것
*** 다. 전자서명이 있은 후에 당해 전자서명에 대한 변경여부를 확인할 수 있을 것
*** 라. 전자서명이 있은 후에 당해 전자문서의 변경여부를 확인할 수 있을 것
**4. "전자서명생성정보"라 함은 전자서명을 생성하기 위하여 이용하는 전자적 정보를 말한다.
** 5. "전자서명검증정보"라 함은 전자서명을 검증하기 위하여 이용하는 전자적 정보를 말한다.

=== 전자금융감독규정 ===
* 제6조(추심이체 출금 동의의 방법 등) ① 시행령 제10조제1호에서 "금융위원회가 정하여 고시하는 전자문서"라 함은 다음 각 전자문서을 말한다.
** 1. 「전자서명법」 제2조제2호에 따른 전자서명으로 다음 각 목의 요건을 구비된 전자서명을 한 전자문서
*** 가. 전자서명을 생성하기 위하여 이용하는 전자적 정보(이하 "전자서명생성정보"라함)가 본인에게 유일하게 속할 것
*** 나. 전자서명 당시 본인이 전자서명생성정보를 지배·관리하고 있을 것
*** 다. 전자서명이 있은 후에 당해 전자서명에 대한 변경여부를 확인할 수 있을 것
*** 라. 전자서명이 있은 후에 당해 전자문서의 변경여부를 확인할 수 있을 것
** 2. 「전자서명법」 제2조제2호에 따른 전자서명으로 다음 각 목의 요건을 구비된 전자서명을 한 전자문서
*** 가. 서명 전 실명증표를 통해 본인확인
*** 나. 전자문서가 생성된 이후 서명자가 지급인 본인임을 확인 가능
*** 다. 전자서명 및 전자문서에 대한 위변조 여부 확인이 가능
*** 라. 전자문서를 고객에게 전송한 이후 고객이 취소할 수 있는 충분한 기간 부여

아일랜드 호핑

2019-08-09T05:41:25Z

가입안돼:

[[분류:보안 공격]]
;Island Hopping
공격자들이 한 조직을 공격해 해당 조직의 고객이나 파트너사, 그 외 협력사 등의 네트워크들을 차례차례 공략하는 것

* 2018년 11월 웹사이트 통계 사이트인 스탯카운터를 통해 암호화폐 거래소로 '아일랜드 호핑' 공격<ref>[https://www.boannews.com/media/view.asp?idx=74442 관련기사]</ref>

== 대응 ==
* 서드파티 계약 및 시스템 연계 시 보안 고려 필수

아일랜드 호핑

2019-08-09T05:40:56Z

가입안돼: 새 문서: 분류:보안 공격 ;Island Hopping 공격자들이 한 조직을 공격해 해당 조직의 고객이나 파트너사, 그 외 협력사 등의 네트워크들을 차례차례...

[[분류:보안 공격]]
;Island Hopping
공격자들이 한 조직을 공격해 해당 조직의 고객이나 파트너사, 그 외 협력사 등의 네트워크들을 차례차례 공략하는 것

* 2018년 11월 웹사이트 통계 사이트인 스탯카운터를 통해 암호화폐 거래소로 '아일랜드 호핑' 공격

== 대응 ==
* 서드파티 계약 및 시스템 연계 시 보안 고려 필수

워터링 홀

2019-08-09T05:35:15Z

가입안돼:

;Watering Hole Attack
;[[APT 공격]]의 한 방법으로, 공격 대상이 방문할 가능성이 있는 합적 웹사이트를 미리 감염시킨 뒤 잠복하였다가 피해자가 접속하면 감염시키는 공격

* 공격 대상 기관의 직원들이 자주 방문하는 사이트 중 보안이 취약한 사이트들을 제로데이 취약점 등을 이용해 감염시켜 둔다.
* 웹 사이트들을 통해 공격 대상 기관의 직원들을 감염시키고, 그 직원을 매개체로 이용한다.
* 보안이 상대적으로 강한 대상에 대한 길목을 만들어 나가는 순차적 공격 기법이다.

= 관련 통계 =
* 21%의 금융기관이 과거 1년(2018년) 동안 워터링 홀 공격을 겪은 것으로 조사(2019.3, Modern Bank Heists: The Bank Robbery Shifts to Cyberspace, Optiv)

[[분류:보안]]
[[분류:정보보안기사]]
[[분류:보안 공격]]

정보보호 최고책임자

2019-08-09T05:33:31Z

가입안돼: /* 관련 통계 */

[[분류:컴플라이언스]][[분류:보안]][[분류:정보보안기사]]
;Chief Information Security Officer, CISO; 정보보호최고임원
;기업에서 정보 보안을 위한 기술적 대책과 법률 대응까지 총괄 책임을 지는 최고 임원

= 국내 법률에서의 CISO =
== 정보통신망법 ==
[http://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률 정보통신망법]
* 지정 및 신고 의무 대상: [[정보통신서비스 제공자]]
** 자본금 1억원 이하의 [[부가통신사업자]], [[소상공인]], [[소기업]](전기통신사업자, 집적정보통신시설사업자 제외) 제외
=== 역할 ===
;아래의 역할을 수행<ref>정보통신망법 제45조의3 제4항</ref>
# 정보보호관리체계의 수립 및 관리ㆍ운영
# 정보보호 취약점 분석ㆍ평가 및 개선
# 침해사고의 예방 및 대응
# 사전 정보보호대책 마련 및 보안조치 설계ㆍ구현 등
# 정보보호 사전 보안성 검토
# 중요 정보의 암호화 및 보안서버 적합성 검토
# 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

=== 직위 ===
* 임원급<ref>정보통신망법 제45조의3 제1항</ref>
=== 자격요건 ===
# 정보보호 또는 정보기술 분야의 석사학위 이상 학위를 취득한 사람
# 정보보호 또는 정보기술 분야의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력이 있는 사람
# 정보보호 또는 정보기술 분야의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력이 있는 사람
# 정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
# 정보보호 관리체계 인증심사원의 자격을 취득한 사람
# 해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

* '''겸직 금지 요건''': 자산총액 5조원 이상인 정보통신서비스 제공자와 정보보호 관리체계 인증을 받아야 하는 정보통신서비스 제공자 중 자산총액 5천억 원 이상인 기업의 정보보호 최고책임자는 다른 직무의 겸직을 금지<ref>정보통신망법 제45조의3 제3항</ref>

== 전자금융거래법 ==
=== 역할 ===
=== 직위 ===
=== 자격요건 ===

= 관련 통계 =
* 금융권 CISO의 62%가 CIO에게 보고하는 것으로 조사(2019.3, Modern Bank Heists: The Bank Robbery Shifts to Cyberspace, Optiv)

정보보호 최고책임자

2019-08-09T05:33:18Z

가입안돼:

정보보호 최고책임자

2019-08-09T05:32:36Z

가입안돼:

[[분류:컴플라이언스]][[분류:보안]][[분류:정보보안기사]]
;Chief Information Security Officer, CISO; 정보보호최고임원
;기업에서 정보 보안을 위한 기술적 대책과 법률 대응까지 총괄 책임을 지는 최고 임원

= 국내 법률에서의 CISO =
== 정보통신망법 ==
[http://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률 정보통신망법]
* 지정 및 신고 의무 대상: [[정보통신서비스 제공자]]
** 자본금 1억원 이하의 [[부가통신사업자]], [[소상공인]], [[소기업]](전기통신사업자, 집적정보통신시설사업자 제외) 제외
=== 역할 ===
;아래의 역할을 수행<ref>정보통신망법 제45조의3 제4항</ref>
# 정보보호관리체계의 수립 및 관리ㆍ운영
# 정보보호 취약점 분석ㆍ평가 및 개선
# 침해사고의 예방 및 대응
# 사전 정보보호대책 마련 및 보안조치 설계ㆍ구현 등
# 정보보호 사전 보안성 검토
# 중요 정보의 암호화 및 보안서버 적합성 검토
# 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

=== 직위 ===
* 임원급<ref>정보통신망법 제45조의3 제1항</ref>
=== 자격요건 ===
# 정보보호 또는 정보기술 분야의 석사학위 이상 학위를 취득한 사람
# 정보보호 또는 정보기술 분야의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력이 있는 사람
# 정보보호 또는 정보기술 분야의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력이 있는 사람
# 정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
# 정보보호 관리체계 인증심사원의 자격을 취득한 사람
# 해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

* '''겸직 금지 요건''': 자산총액 5조원 이상인 정보통신서비스 제공자와 정보보호 관리체계 인증을 받아야 하는 정보통신서비스 제공자 중 자산총액 5천억 원 이상인 기업의 정보보호 최고책임자는 다른 직무의 겸직을 금지<ref>정보통신망법 제45조의3 제3항</ref>

== 전자금융거래법 ==
=== 역할 ===
=== 직위 ===
=== 자격요건 ===

= 관련 통계 =
* 금융권 CISO의 62%가 CIO에게 보고하는 것으로 조사(Modern Bank Heists: The Bank Robbery Shifts to Cyberspace, 2019.3, Optiv)

CISO

2019-08-09T05:26:18Z

가입안돼: 정보보호 최고책임자 문서로 넘겨주기

#넘겨주기 [[정보보호 최고책임자]]