SSL/TLS의 안정성과 보안성을 확보하는 방법, HSM(Hardware Security Module)

SSL 프로토콜을 사용하는 이유과 위험성

SSL (Secure Sockets Layer)은 정확하게는 TLS (Transport Layer Security)라고하지만, 이것은 신중하게 처리 할 데이터를 인터넷상에서 통신 할 경우에 보호하는 기본 방법입니다. Secure Socket Layer 프로토콜은 공용 키와 강력한 암호화를 통해서 클라이언트와 서버간의 통신시 세션을 안전하게 보호할 수 있습니다. 

SSL은 암호화 키와 관련된 협상을 할 수 있을 뿐만 아니라 상위 응용프로그램이 정보를 서버와 교환하기 전에 서버의 진위를 확인해 줄 수 있기 때문에 기존에 온라인 결제서비스에서만 한정적으로 사용하던 SSL은 현재 많은 개인정보를 다루는 곳에서 필수적으로 해야합니다.

반면에 단점도 존재합니다. 일반 통신 방법보다 안전한 만큼 SSL 세션처리를 위해서 암호화화 복호화를 하게 되면 웹 서버의 성능저하가 일어나고 리소스가 많이 필요하게 될 수 있으며, 웹서버 인증서가 탈취되거나 복제가 될 수 있는 보안적인 문제점도 있습니다.

그렇게 때문에, SSL 세션에 참여하려면 자격을 증명하는 디지털 인증서가 반드시 필요하게 됩니다. SSL에서는 CA(Certificate Authority)에서 발행을 하고 사용자의 신원을 확인하는 역할을 합니다. 

[SSL / TLS 핸드쉐이크 프로토콜]

클라이언트와 서버 통신 간에는 메시지 인증 코드(Hash based Message Authentication Code)를 사용하여 메시지를 교환하며, 메시지의 무결성과 신뢰성을 확인하는 방법으로 사용하게 됩니다. 만약에 이 HMAC 값이 일치하지 않는 경우에는 처음부터 다시 검증을 시작하게 됩니다. 이 일련의 과정을 SSL 핸드쉐이크라고 합니다. 

하지만, SSL에서 사설 키를 탈취당하거나 SSL 사설 키 복사본을 사용하면, SSL 사설 키 복사본을 이용하여 신뢰할 수 있는 서버로 위장하여 SSL 핸드쉐이크를 처리할 수 있게 됩니다. 그렇게 되면, 클라이언트가 원래 접속하려는 사이트가 아니라 가짜사이트로 접속경로를 변경시킬 수 있습니다.

일반적인 대부분의 SSL 인증 키는 암호화된 형태로 클라이언트 컴퓨터 하드디스크에 저장됩니다. 그렇기 때문에 이를 탈취하거나 무단 복제가 가능합니다. 

 

SSL : (Secure Socket Layer) 도입시 위험성

1. SSL 키에 액세스 한 공격자는 비밀 정보를 도용하거나 진짜 사이트로 위장하는 것으로, 피해를 줍니다.

2. 소프트웨어에 저장된 SSL 키는 내부 공격에 취약 할 수 있습니다.

3. SSL 암호화 / 복호화 과정은 많은 자원을 소모하기 때문에 서버 및 대량 데이터를 처리하는 응용 프로그램의 성능을 저하시킬 수 있습니다.

4. SSL 기반 작업은 웹 서버 및 비즈니스 응용 프로그램에만 한정되는 것은 아닙니다. SSL 연결은 네트워크 어플라이언스 트래픽 검사 용 게이트웨이나 방화벽 및 기타 성능 모니터링 장치에서 종료되는 경우가 많아지고 있습니다. 이러한 모든 경우에도 키는 일관된 형태로 보호해야 합니다.

SSL 인증 키를 안전하게 관리하는 방법 : HSM의 도입

HSM은 하드웨어보안모듈(Hardware Security Module)로 불리우는 하드웨어 장비로, SSL 인증 키를 안전하게 보호할 수 있는 기능을 가지고 있는 전용 하드웨어 장비입니다. 가장 큰 특징은 HSM 장비 안에서 SSL 인증 키를 생성하고 사용하고, 저장 및 관리 까지 가능하게 할 수 있다는 점으로 보안 안정성이 크게 향상됩니다. 

키 관련 정보가 애플리케이션에서 물리적, 논리적으로 완전히 분리시키기 때문에 네트워크를 통한 공격이 불가능합니다. 

안정성이 높은 HSM을 고르기 위해서는 공인된 검증이 필요합니다. HSM 제품의 안정성을 평가하는 표준 인증으로는 미국국립표준기술연구소에서 인증하는 FIPS 140-2 (Federal Information Processing Standard) 와 CC(Common Criteria) 인증이 있습니다.

        

FIPS 140-2와 CC인증은 HSM 제품을 고를때 반드시 고려해야 할 부분입니다.

Thales e-Security nShield HSM 솔루션

Thales e-Security HSM 솔루션과 고성능 SSL 암호화를 도입하면, 기업과 고객의 정보를 보호하면서 중요한 웹 응용 프로그램이 필요로 하는 성능을 실현하는데 도움이 됩니다. nShield HSM은 다음과 같은 여러 가지 방법으로 SSL 구현의 가치를 높입니다.

SSL : Thales nShield HSM

◈ 마스터 SSL 암호화 키를 보호하여 SSL 프로세스의 무결성을 보장합니다. 표준 API 및 일반 웹 플랫폼 및 SSL 도구와 이미 검증된 통합을 통해 개발자와 IT 보안 담당자는 SSL 개인 키 보호 및 관리를 nShield HSM의 보안 경계 내에서 수행 할 에서 높은 수준의 보증을 제공 할 수 있습니다.

◈ 최적화 된 HSM 장치에서 프로세스를 실행하여 SSL 세션 설정 및 연결에 걸리는 시간을 단축합니다. 상대적 통신 데이터 량이 많아 성능이 중시되는 응용 프로그램은 HSM이 제공하는 암호화 가속 기능을 사용하여 SSL 세션 핸드 쉐이킹을 실행하여 응용 프로그램의 효율성을 크게 향상시킬 수 있습니다.

◈ nShield HSM에서 제공되는 SSL 처리를 사용하면 웹 서버나 호스트가 더 인터넷 연결을 더 빨리 처리 할 수 있게 되고, 그에 따라 전반적인 능력을 향상시키고, 하드웨어 비용을 최소화 할 수 있습니다.

◈ SSL 연결의 보안을 확보합니다. 최대한의 보호를 필요로하는 애플리케이션의 경우 설계자는 nShield HSM의 CodeSafe SSL 기능의 장점을 살리고, SSL 소프트웨어 스택 전체에 해당하는 응용 프로그램 논리를 HSM의 보안 경계 내에 넣을 수 있습니다 .

◈ SSL 기능을 통합 상용 장치 및 장비의 안전의 수준을 올립니다. SSL 종단은 게이트웨이, 방화벽, 네트워크 스위치,로드 밸런서 등 다양한 유형의 장치에서 발생하기 때문에 제품 공급 업체는 이 장치와 HSM을 통합하여 높은 보증을 제공하는 고성능 FIPS 인증을 받은 SSL에 대한 대응 기능을 생성 할 수 있습니다.

Thales nShield HSM은 FIPS 140-2 Level 3 및 공통평가 기준인 CC EAL4+를 사용하여 SSL의 암호화 및 복호화 프로세스의 무결성을 보장하며, 암호화 오프로드를 통해 고 가용성 및 서버 성능의 향상을 실현 가능합니다. 

Thales nShield 제품의 세부 스펙은 여기를 클릭 하면 더 자세한 내용을 보실 수 있습니다.

안전한 SSL 구현을 위한 HSM인 Thales e-Security nShield HSM에 대한 문의는 아이마켓코리아 IT솔루션 담당자에게 연락주시면 컨설팅과 견적 상담을 해드립니다. 

(주) 아이마켓코리아
김 경 일
대리 │ IT 솔루션 영업팀
TEL : +82-2-3708-8254
Mobile : +82-10-4516-4593
E-mail : raykim7@imarketkorea.com
서울특별시 강남구 삼성동 삼성로512 삼성동빌딩 16층 우)135-090

(주) 아이마켓코리아
윤 용 비
대리 │ IT 솔루션 영업팀
TEL : +82-2-3708-8365
Mobile : +82-10-2016-8185
E-mail : security.yun@imarketkorea.com
서울특별시 강남구 삼성동 삼성로512 삼성동빌딩 16층 우)135-090

SSL, TLS, HSM, FIPS 140-2, CC인증, CC EAL4+, SSL 암호키, PKI, 공개키 암호화, CA, 디지털 인증서, 웹인증서, https, 웹서버 인증서, 아이마켓코리아, Thales hsm, hsm, Thales, Thlaes HSM, nshield, ncipher, Secure Socket Layer, SSL 핸드쉐이크