접근 통제 보안 모델

왜 배우는가: 접근 통제 보안 모델은 정보 유출과 변조를 규칙으로 막는 설계 원리를 보여 준다. 실무에서 권한 정책을 설계하거나 감사할 때 기준이 되며, 기술사 시험에서는 기밀성 모델과 무결성 모델을 구분해 설명하는 능력을 확인하려고 반복해서 출제된다.

출제 이력: 제127회 2교시 6번, 제96회 3교시 3번

1. 한 줄 정의와 핵심 키워드

접근 통제 보안 모델은 주체와 객체 사이의 정보 흐름을 보안 목적에 따라 수학적 규칙으로 제한하는 정책 모델이다.

핵심 키워드

• 주체(Subject): 정보에 접근하는 사용자 또는 프로세스다.
• 객체(Object): 정보를 담는 파일, 테이블, 레코드 같은 수동적 대상이다.
• 기밀성(Confidentiality): 인가되지 않은 자에게 정보가 노출되지 않는 성질이다.
• 무결성(Integrity): 정보가 인가되지 않게 바뀌지 않고 내부·외부 일관성을 유지하는 성질이다.
• 강제적 접근 통제(MAC): 중앙 정책에 따라 사용자가 임의로 바꿀 수 없는 접근 통제다.
• 상태 기계 모델(State Machine Model): 시스템 상태 전이가 항상 안전 상태만 거치도록 증명하는 형식 기법이다.
• 보안 등급(Security Level): 주체와 객체에 부여하는 기밀 또는 무결성 등급이다.

2. 개념 풀이

쉬운 말로 하면, 누가 어떤 정보를 보고 고칠 수 있는지를 미리 정해 두는 규칙이다. 사람의 판단에 맡기지 않고 시스템이 규칙을 강제하는 것이 핵심이다.

정식 정의는 다음과 같다. 주체와 객체에 보안 등급을 부여하고, 등급 사이의 정보 흐름을 규칙으로 정의한 형식 모델이다. 목적에 따라 기밀성 모델과 무결성 모델로 나뉜다.

등급 비교는 지배 관계(dominance)로 한다. 등급 A가 등급 B보다 높거나 같고 범주 집합도 포함하면 A가 B를 지배한다. 등급은 보통 기밀(Confidential), 비밀(Secret), 일급 비밀(Top Secret)처럼 순서가 있다. 등급들이 상하 관계로 이어지므로 이를 격자 구조(Lattice)라고 부른다.

기밀성 모델은 정보가 높은 등급에서 낮은 등급으로 새는 것을 막는다. 대표가 벨 라파듈라(BLP) 모델이다. 단순 보안 속성(Simple Security Property)은 주체가 자신보다 높은 등급의 객체를 읽지 못하게 한다. 이를 읽기 상향 금지(No Read Up)라고 한다. 스타 속성(*-Property)은 주체가 자신보다 낮은 등급의 객체에 쓰지 못하게 한다. 이를 쓰기 하향 금지(No Write Down)라고 한다. 두 규칙을 합치면 허용되는 흐름은 하위 읽기와 상위 쓰기다. 이를 WURD(write up, read down)라고 요약한다. 가상의 예로, 기밀 등급 사용자가 비밀 등급 보고서를 열면 상향 읽기이므로 BLP가 차단한다.

무결성 모델은 낮은 무결성 데이터가 높은 무결성 데이터를 오염시키는 것을 막는다. 대표가 비바(Biba) 모델이다. 이 모델의 규칙 방향은 BLP의 정반대다. 단순 무결성 속성(Simple Integrity Property)은 주체가 낮은 무결성 데이터를 읽지 못하게 한다. 이를 읽기 하향 금지(No Read Down)라고 한다. 무결성 스타 속성(Integrity -Property*)은 주체가 높은 무결성 객체에 쓰지 못하게 한다. 이를 쓰기 상향 금지(No Write Up)라고 한다. 비바 모델은 기밀성을 다루지 않는다.

Clark-Wilson 모델은 등급 대신 거래(트랜잭션)를 중심으로 무결성을 지킨다. 데이터는 제한된 데이터 항목(CDI)과 비제한 데이터 항목(UDI)으로 나뉜다. CDI는 변환 절차(TP)를 통해서만 바뀐다. 무결성 검증 절차(IVP)는 CDI가 외부 현실과 일치하고 유효 상태에 있는지 확인한다. 직무 분리(separation of duties)와 감사 요구도 함께 정한다.

세 모델의 공통점은 접근 규칙을 상태 기계 위에서 정의한다는 것이다. 차이점은 기밀성과 무결성 중 무엇을 보호하는지, 그리고 규칙을 등급 중심으로 세우는지 거래 중심으로 세우는지다.

3. 등장 배경과 필요성

컴퓨터가 여러 사용자와 여러 등급의 자료를 한 시스템에서 함께 다루면서 임의 접근 통제(DAC)만으로는 정보 누출을 막을 수 없게 되었다. 사용자가 자신의 자료를 누구에게 줄지 스스로 정하면, 낮은 등급 사용자가 복사본을 만들어 높은 등급 정보를 빼낼 수 있다. 이 문제를 규칙으로 막고 증명하려는 요구에서 접근 통제 모델이 나왔다.

• 다단계 보안(MLS) 정책의 공식화: 미국 국방부의 다단계 보안 정책을 공식화하기 위해 벨과 라파듈라가 BLP 모델을 개발했다. 객체의 보안 레이블과 주체의 허가를 이용하는 상태 전이 모델이다.
• 최초의 무결성 모델: Biba 모델은 1977년에 처음 발표된 무결성 모델이다. 기밀성 모델의 규칙을 뒤집어 무결성 문제를 다룬다.
• 상업 환경의 요구: 상업 환경에서는 기밀 노출보다 자료의 부정 변조와 잘못된 입력이 더 큰 피해를 주는 경우가 많다. 그래서 Clark-Wilson 모델은 1987년 상업 활동을 염두에 두고 개발되었다.
• 현대적 보완: 역할 기반 접근 통제(RBAC)는 권한을 역할 단위로 묶어 대규모 조직의 관리 부담을 줄인다. 다만 등급 기반 규칙을 대신하지는 못하므로 MAC·DAC 및 무결성 모델과 함께 이해해야 한다.

이 모델들이 시험에서 반복되는 이유는 접근 통제 정책을 증명 가능한 형태로 설명하는 능력을 보기 위함이다. 기밀성과 무결성을 구분하고, 규칙의 방향을 정확히 쓰는 것이 감점을 줄이는 출발점이다.

4. 구성요소·원리·절차

접근 통제 보안 모델은 주체(Subject)와 객체(Object)의 관계를 몇 개의 규칙으로 정의하고, 그 규칙을 어기는 접근을 시스템이 차단하도록 만든 정책 모델이다. 세 모델은 보호 대상이 다르다. BLP는 기밀성, BIBA는 무결성, Clark-Wilson은 상업적 무결성(거래 무결성)을 보호한다. 구성요소와 규칙의 방향을 함께 알아야 답안에서 정확히 비교할 수 있다.

표 아래 설명: BLP와 BIBA는 등급을 가진 라티스(Lattice) 구조를 쓰고, Clark-Wilson은 등급 대신 주체·프로그램·데이터의 3자 관계를 쓴다. 따라서 세 모델의 구성요소는 직접 대응하지 않는다.

원리 측면에서 BLP는 정보가 등급을 거슬러 아래로 흐르지 않도록 막는다. BIBA는 그 반대로 낮은 무결성 데이터가 높은 무결성 객체로 흘러 들어가지 않도록 막는다. Clark-Wilson은 데이터 변경 경로 자체를 프로그램(TP)으로 제한하고, 변경 후 IVP로 데이터가 외부 현실과 일치하는지 검증한다.

Clark-Wilson 거래 절차는 다음과 같다.

• 사용자(UDI 입력)가 TP를 호출한다.
• TP가 CDI를 입력받아 새로운 CDI를 만든다. TP는 시스템을 유효 상태에서 다른 유효 상태로만 옮긴다.
• 직무분리에 따라 거래 인증자와 실행자가 다른 주체인지 확인한다.
• IVP가 모든 CDI의 유효성을 검증한다.
• 거래 기록을 감사 로그로 남긴다.

BLP 규칙은 다음과 같다. Simple Security Property는 주체가 자신보다 높은 등급의 객체를 읽지 못한다(No Read Up). -Property는 주체가 자신보다 낮은 등급의 객체에 쓰지 못한다(No Write Down). 신뢰 주체(Trusted Subject)는 -Property의 제한을 받지 않는다. 이 예외는 보안 정책상 신뢰성이 입증된 주체에만 허용된다.

BIBA 규칙은 BLP의 방향을 뒤집은 것이다. Simple Integrity Property는 주체가 낮은 무결성 데이터를 읽지 못한다(No Read Down). *-Integrity Property는 주체가 높은 무결성 객체에 쓰지 못한다(No Write Up). Invocation Property는 주체가 더 높은 무결성 서비스를 호출하지 못하게 한다.

5. 관련 법령·기준·표준

세 모델은 법령으로 정해진 기준값이 없는 이론 모델이다. 다만 등급 체계와 접근 규칙은 국가 보안 기준에서 쓰인다. 국내 기준으로는 다음 항목을 함께 확인한다.