SSL

Ⅰ. 웹 데이터 전송 보안 표준 보안 프로토콜, SSL 개요

가. SSL (Secure Socket Layer) 의 정의

- TCP/IP계층과 어플리케이션 계층(HTTP, Telnet, FTP등)사이에 위치하여 송수신하는

두 컴퓨터 사이 종단간 보안 서비스 메커니즘

- TLS(Transport Layer Security)로 표준화 되었으며 기본적으로 인증(Authentication)

, 암호화(Encryption), 무결성(Integrity)을 보장

나. SSL의 특징

구분	설명
공개키 기반 인증방식	RSA방식과 X.509 v3인증서를 사용함
운영(인증)모드	익명 인증 모드(An, Anonymous), 서버 인증 모드(SA, Server Authentication), 클라이언트-서버인증 모드(MA, Mutual authentication)
연결주소	https:// 로 시작하는 연결주소
지정포트	443번 포트,  OSI 7 Layer에서 전송~응용계층에서 동작
보안서비스 제공	비밀성,무결성,인증 및 효율성을 위한 데이터 압축 기능 제공
다양한 알고리즘 지원	여러 알고리즘을 지원하고, 실행과정에서 이들을 선택하여  사용가능
핸드쉐이크를 통한 통신	클라이언트와 서버간 핸드쉐이크 프로토콜을 통한 인증 절차 진행

다. SSL 관련 프로토콜

구분	설명
SSL	- Secure Socket Layer - OSI의 L7와 L4 계층 동작 통신 보안 프로토콜 - TCP 기반 App간 메시지 보안 서비스 메커니즘 - Netscape사 개발. SSL1.0, SSL2.0 - IETF에서 TLS버전 공개 이후로 버전없음
TLS	- Transport Layer Security - 인터넷 상에서 서버와 클라이언트 간의 메시지 전송 표준 프로토콜 - IETF상에서 SSL 3.0을 기초로 하여 표준화   * IETF(Internet Engineering Task Force) - Handshake Protocol: 보안협상, 클라이언트/서버간 인증 - Data Exchange Protocol: 무결성, 기밀성 제공
WTLS	- Wireless Transport Layer Security - 무선 단말과 WAP Gateway 사이 보안통신 프로토콜 - TLS 기반으로 개발됨

    - SSL은 TCP/IP만 지원, TLS는 apple-talk, 노벨의 Netware등 타 프로토콜 지원,

현재의 표준은 TLS이며, 최신의 브라우저는 TLS만 지원(IETF에서 SSL과 유사하고

역호환이 가능하도록 만든 표준 프로토콜)

 

Ⅱ. SSL의 구조 및 동작 원리

가. SSL 프로토콜의 구조: 핸사엘레트

    

- 두 응용간의 메시지 보안 서비스 제공, Client와 Server간 상호 인증 서비스 제공

구분	내용
Handshake 프로토콜	사용알고리즘 선택, 키분배, 사용자 인증
Change Cipher Spec프로토콜	변경 암호 스펙 송수신
SSL Alert 프토토콜	통신대상에 SSL 관련 경보(경보수준 : Warning, Critical, Fatal)전달에 사용
Record 프로토콜	TCP와 핸드세이크 사이. 메시지 압축/해제, 암호화/복호화
Transport 프토토콜	WDP(Wireless Datagram Protocol), UDP(User Datagram Protocol)

 

 

 나. SSL 동작 원리

 

 

 

Ⅲ. OSI 모델, S-HTTP, IPSEC과의 비교

가.   OSI 모델과의 비교

 

-      SSL 프로토콜을 OSI 모델로 도식화 하면 TCP 층과 어플리케이션 층 사이에 위치하며, 이는 상위의 어플리케이션 층으로부터 암호화된 정책을 바탕으로 통신을 가능하게 함.

 

 

나.    S-HTTP와의 비교

구분	S-HTTP	SSL
보안범위	웹에만 적용	telnet, ftp 등 응용(Application)프로토콜 지원
인증방식	각각 인증서가 필요	클라이언트의 인증 선택
인증서	클라이언트에서 인증서를 보낼 수 있음	오직 서버만인 인증
암호화와 인증단위	메시지 단위	서비스 단위
연결주소	shttp:// 형식	https:// 형식

다. IPSEC VPN과 SSL VPN 비교(기출)

구분	IPSec VPN	SSL VPN
접근제어	어플리케이션 차원의 정교한 접근제어 미흡	어플리케이션 차원의 정교한 접근제어 가능
적용계층	TCP/IP의 3계층	TCP/IP의 5계층
지원성	별도의 소프트웨어 설치 필요	웹 브라우저 자체 지원
암호화	DES/3DES/AES/RC4, MD5/SHA-1( 패킷단위)	DES/3DES/RC4, MD5/SHA-1 (메시지 단위)
적합성	Site to Site	Site to Remote
장점	-단대단 보안 가능 -종단 부하 없음	-접속 및 관리의 편리성 -Client Server 모드 인증 가능

 

IV.. SSL 보안 효과 및 인터넷 비즈니스 보안 적용 방안

가 . 보안 효과

효과	설명
스니핑(sniffing) 방지	웹사이트에서 로그인 또는 전자상거래를 위해 ID, 비밀번호, 신용카드번호 등의 정보입력때 커의 도청 방지
피싱(phishing) 방지	메일위장으로 개인의 신용카드번호, 계좌정보 등을 불법적으로 이용하는 사기수법인 피싱 방지
변조 (Falsification)방지	통신망에 침입해 타인의 메일이나 데이터를 통신 도중에 갈취해서 정보를 변경하거나 삭제하는 행위를 방지.

 

나. 인터넷 비즈니스 보안 적용 방안

- SSL VPN기반의 가볍고 간편한 VPN망을 통한 원격지 보안 데이터 전송.

- 모바일 환경 적용이 가능, 다양한 암호화 알고리즘이 적용되어 보안 기능이 강화됨.

- TLS1.0으로 통합 되면서 유무선 전자상거래, 개인정보 보호의 기본적인 보안 수단으로 이용되고 있음.

- 보안성이 강화된 암호화 알고리즘 도입 추진전망(DES->Rijndael)

다. 장단점

장점	- 데이터의 암호화, 무결성 검증 및 서버와 클라이언트에 대한 인증기능 수행, 저렴한 비용으로 구축가능, - Telnet, FTP 등 기존 TCP/IP 응용프로그램을 SSL로 포팅 용이
단점	- 전자상거래 적용 시 개인정보가 업체에 저장 - 데이터 전송에 사용되는 DES 알고리즘의 안전성 문제