공개키 기반구조와 역할기반 접근제어 기법을 이용한 은행 통합인증시스템 개념적 아키텍쳐 = (A) Conceptual Architecture of Bank Enterprise Authentication System using Public Key Infrastructure and Role Based Access Control

국문 초록 (Abstract)

은행 정보시스템에 대한 사용자의 접근제어는 중요하다. 정보시스템 환경이 과거의 폐쇄된 형태에서 최근 인터넷 기술로 대변되는 웹, TCP/IP 등의 개방화 기술을 채택하고 시스템의 기획, 개발, 운영에 참여하는 인적 구성이 사회적인 영향으로 다원화되는 상황에서는 더욱 중요하다. 각각의 플랫폼별로 구현되는 분산된 접근제어 체계는 시스템 사용자의 변동을 반영하는데 많은 노력이 필요하고, 특정 시점에서 유효하고 정확한 상태를 반영하기가 어렵다. 또한 사용자에게 투명하지 못하며 인증에 필요한 정보를 일관되게 요구하지 않음으로 인해 보안수준을 낮추는 결과를 야기한다. 이는 은행 입장에서는 실제적인 보안정책을 구현하지 못하면서도 많은 비용을 지불하게 한다.
본 논문에서는 개방화 기술환경에서 데이터의 기밀성, 무결성 및 사용자의 추적성을 보장해주는 공개키기반 암호기술과 최근 기업환경에서 접근제어 모델로 각광을 받고 있는 역할기반 접근제어 기법을 토대로 중앙집중형 통합인증시스템을 제안하고자 한다. 제안된 모델은 보안 인프라 중 인증, 허가 및 관리 컴포넌트의 집중적인 분석을 기반으로 연구되었다. 통합인증시스템은 분산된 인증체계를 단일체계로 통합하고, 보안 관련 업무처리 요청을 중앙집중화 하였다. 요청받은 시스템은 X.509인증서로 정당한 사용자임을 확인하고, 통합인증시스템에 요청하여 역할기반 접근제어 정책에 따라 권한을 배정한다. 제안하는 통합인증시스템은 '투명성과 정보의 일관성', '보안관리업무의 복잡성' 및 정보의 취급과 보안수준' 문제를 해결하였다.

다국어 초록 (Multilingual Abstract)

User access control is very important in the banking information system. It is more important in the situation that open technology, such as Web and TCP/IP, is selected and human resource is separated into planning, developing and operating sections. It requires much labor to reflect changes of user and it is very difficult to understand effective and exact situation in the distributed access control system which is materialized on each platform. And also it is not transparent to user and makes a level of security lower because information for authentication is not demanded consistently. Although cost is increased, bank didn't realized its policy.
In this thesis, we propose the centralized Integration Authentication System as a base of role-based access control, recently highlighted in enterprise environment and cryptograph technology which guarantees confidentiality, integrity and audit trail. Founded on analysis of authentication, authorization and component management, the model we proposed was studied. Integrated Authentication System made distributed authentication system into one and centralized requests of business process. The system confirmed a authorized user with a X.509 certification and assign a proper authority in accordance with role-based access control policy of Integrated Authentication System. Integrated Authentication System we proposed solved a problem of 〈transparence and consistence of information〉, 〈complexity of security management〉 and 〈access information and security level〉.

목차 (Table of Contents)

• 목차 = ⅰ
• 표 및 그림차례 = ⅲ
• Abstract = ⅳ
• 요약 = ⅴ
• Ⅰ. 서론 = 1
• Ⅱ. 관련 연구 = 2
• 2.1 공개키기반구조 = 2
• 2.1.1 인증기관 = 2
• 2.1.2 등록기관 = 4
• 2.1.3 사용자 = 4
• 2.1.4 디렉토리 서버 = 5
• 2.2 역할기반 접근제어 = 5
• Ⅲ. 은행 정보시스템 인증체계 현황분석 = 7
• 3.1 연구의 동기 = 7
• 3.2 인증체계 현황분석 = 8
• 3.2.1 계정계 = 8
• 3.2.2 정보계 = 9
• 3.2.3 그룹웨어 = 10
• 3.2.4 개발자와 시스템관리자 = 10
• 3.2.5 고객 = 10
• 3.3 문제 설정 = 11
• 3.3.1 투명성과 정보의 일관성 = 11
• 3.3.2 보안관리업무의 복잡성 = 11
• 3.3.3 정보의 취급과 보안수준 = 12
• Ⅳ. 인증체계 개선을 위한 보안컴포넌트 상세 분석 = 13
• 4.1 보안 개념적 구조 = 13
• 4.2 인증 컴포넌트 = 15
• 4.2.1 계층 인증 = 17
• 4.2.2 강력한 인증 = 18
• 4.2.3 통합된 싱글 사인온 = 18
• 4.2.4 역할 기반 접근 지원 = 19
• 4.3 허가 컴포넌트 = 19
• 4.3.1 소유권 및 허가 = 20
• 4.3.2 역할 및 서비스 기반 접근 제어 = 23
• 4.4 관리 컴포넌트 = 24
• 4.4.1 보안 요청 및 처리 시스템의 요건 = 25
• 4.4.2 요청의 유형 = 25
• 4.4.3 요청 입력 및 라우팅 = 26
• Ⅴ. 은행 정보시스템 통합인증 아키텍쳐 설계 = 27
• 5.1 통합인증시스템 요구사항 = 27
• 5.2 통합인증시스템 설계 = 28
• 5.2.1 공개키기반 인증체계 = 28
• 5.2.2 접근제어체계 = 29
• 5.3 통합 인증시스템의 접근제어 시나리오 = 31
• Ⅵ. 기존 인증체계와의 비교 분석 = 33
• Ⅶ. 결론 = 37
• 참고문헌 = 39