안전한 프로토콜을 만드는 요소

인증은 통신 상대의 신원을 확인하는 것을 목표로 합니다. 인증이 없으면 프로토콜은 사칭에 취약해집니다. 공격자는 신뢰할 수 있는 서버인 것처럼 가장하여 통신을 가로챌 수 있습니다. 프로토콜에서 인증은 일반적으로 디지털 인증서, 사전 공유 키 또는 비밀을 공개하지 않고도 그 지식을 보유하고 있음을 증명하는 질의-응답 메커니즘을 사용하여 이루어집니다.

기밀성은 메시지 내용에 의도한 수신자만 접근할 수 있도록 보장합니다. 이는 관련 당사자만 알고 있는 키를 사용하여 암호화함으로써 달성됩니다. 기밀성이 손상되면 도청자가 전송 중인 메시지를 읽을 수 있습니다. 기밀성만으로는 공격자가 메시지를 변조하거나 재생 공격을 수행하는 것을 막을 수 없으므로, 무결성 보호와 함께 사용해야 합니다.

무결성 보호는 수신한 메시지가 송신자가 전송한 내용과 정확히 일치하며, 추가·삭제·변경된 부분이 없도록 보장합니다. 메시지 인증 코드와 인증 암호화 모드는 무결성을 제공합니다. 무결성 보호가 없으면 공격자는 암호문을 읽지 못하더라도 예측 가능한 방식으로 특정 비트를 뒤집어 복호화된 평문을 변경할 수 있으며, 패딩 오라클 공격은 이를 악용합니다.

부인 방지는 송신자가 나중에 메시지를 보냈다는 사실을 부인할 수 없도록 하는 것을 의미합니다. 이는 비대칭 키를 사용하는 디지털 서명을 통해 달성됩니다. 개인 키 보유자만 서명을 생성할 수 있으며, 이에 대응하는 공개 키로 서명을 검증합니다. MAC는 송신자와 수신자 모두 공유 비밀을 알고 있고 어느 쪽이든 MAC를 생성할 수 있으므로 부인 방지를 제공하지 않습니다.

최신성은 과거에 유효했던 오래된 메시지를 공격자가 재생하여 동일한 효과를 다시 일으킬 수 없도록 보장합니다. 최신성을 확보하는 방법에는 논스(메시지에 포함되며 반복되어서는 안 되는 임의의 값), 유효 기간을 짧게 설정한 타임스탬프, 그리고 반드시 엄격하게 증가해야 하는 시퀀스 번호가 있습니다. 최신성이 없으면 가로챈 인증 메시지를 재생하여 인증을 완전히 우회할 수 있습니다.

완전 순방향 비밀성은 장기 키가 유출되더라도 과거의 세션 키가 노출되지 않도록 보장합니다. 이는 Diffie-Hellman을 사용하여 각 세션마다 임시 키 쌍을 생성함으로써 달성됩니다. 세션 키는 임시 키로부터 계산되며 사용 후 폐기됩니다. 나중에 서버의 장기 개인 키가 도난당하더라도 임시 키는 더 이상 존재하지 않으므로 공격자는 이전에 기록된 세션을 복호화할 수 없습니다.

단방향 인증은 한쪽 당사자만 검증합니다. HTTPS에서는 서버가 인증서를 제시하고 클라이언트가 이를 검증하지만, 서버는 일반적으로 클라이언트의 신원을 검증하지 않습니다. 상호 인증(또는 상호 TLS, mTLS)에서는 양쪽 당사자가 모두 인증서를 제시하고 검증해야 합니다. mTLS는 민감한 데이터를 교환하기 전에 양쪽 종점을 모두 검증해야 하는 마이크로서비스 아키텍처, API 게이트웨이 및 기업 VPN에서 흔히 사용됩니다.

프로토콜 설계자는 직관에만 의존할 수 없습니다. 명백히 안전해 보이는 프로토콜도 미묘한 방식으로 실패할 수 있습니다. Needham-Schroeder 공개 키 프로토콜은 1978년에 발표되었으며 안전하다고 여겨졌습니다. 1995년에 Gavin Lowe는 형식 검증 도구를 사용하여 사칭 공격을 가능하게 하는 결함을 발견했습니다. Tamarin이나 ProVerif 같은 모델 검사기를 사용한 형식 검증은 보안이 중요한 프로토콜 설계의 표준 관행이 되었습니다.

Dolev-Yao 모델은 암호 프로토콜을 분석할 때 사용하는 표준 위협 모델입니다. 이 모델에서는 공격자가 전체 네트워크를 통제한다고 가정합니다. 공격자는 모든 메시지를 가로채고, 차단하고, 수정하고, 재생하고, 주입할 수 있습니다. 암호학적 기본 요소는 완벽하며 수학적 약점이 없다고 가정합니다. 이 모델에서 프로토콜은 공격자가 모든 통신을 완전히 통제하더라도 목표를 달성할 수 있을 때만 안전합니다.

암호 프로토콜 설계는 결함이 미묘하고 쉽게 드러나지 않는 경우가 많기 때문에 특히 어렵습니다. 여러 메시지, 논스, 타임스탬프 및 키가 상호 작용하면서 예상하지 못한 공격 경로가 만들어질 수 있습니다. 각 주체가 프로토콜 상태를 서로 다르게 이해할 수도 있습니다. 동시에 실행되는 세션이 서로 간섭할 수도 있습니다. SSL, TLS, WPA2 및 802.11을 비롯한 배포된 모든 주요 프로토콜에서는 배포 후 심각한 취약점이 발견되었습니다.

SSL 3.0은 POODLE 공격으로 무력화되었습니다. TLS 1.0과 1.1은 여러 약점 때문에 사용이 중단되었습니다. WEP WiFi 암호화는 배포 첫해 안에 완전히 무력화되었습니다. PPTP VPN은 MS-CHAPv2의 약점 때문에 안전하지 않은 것으로 간주됩니다. 이러한 실패 사례는 Dolev-Yao 모델에 따른 비공식적인 보안 직관과 증명 가능한 올바른 프로토콜 설계 사이에 존재하는 간극을 보안 커뮤니티에 알려 주었습니다.

오늘 공격자가 기록한 메시지를 나중에 서버에 성공적으로 재전송하여 동작을 반복할 수 없도록 보장하는 보안 속성은 무엇입니까?

안전한 프로토콜은 인증, 기밀성, 무결성, 부인 방지 및 최신성을 달성해야 합니다. 완전 순방향 비밀성은 이후 키가 유출되더라도 과거 세션을 보호합니다. 상호 인증은 양쪽 당사자를 모두 검증합니다. Dolev-Yao 모델은 네트워크가 완전히 적대적인 환경이라고 가정합니다. 프로토콜 설계에는 직관만이 아니라 형식 검증이 필요합니다. 배포 후 모든 주요 프로토콜에서 취약점이 발견되었으며, 이는 암호 표준이 계속 발전하는 원동력이 되었습니다.