🤔 보안의 3대 요소

해킹 알려줄게

15화: 보안의 3대 요소(Confidentiality, Integrity, Availability)

안녕하세요~! 👋 이번 주도 돌아온 해킹 알려줄게입니다.

오늘은 몇 가지 키워드를 제시하며 시작해보겠습니다. 해킹 보안... 그리고 CIA라고하면 무엇이 떠오르시나요? 🤔

뭔가...슈트를 입고 총을 든 채 적진에 잠입해 해킹 임무를 수행하는 중앙 정보국(CIA, Central Intelligence Agency) 요원이 생각날 수도 있겠네요.🕵️

하지만 오늘 가져온 CIA는 정보보호 분야에서 말하는 CIA인데요. 정보 자산에 대한 평가 기준에 되기도 하고 보안의 속성 그 자체를 설명할 수 있는 개념입니다! 각 개념과 예시를 함께 살펴보러 가볼까요? 😎

CIA...넌 누구냐...?

정보보호 분야에서 CIA는 보안의 3대 요소를 말해요. 그리고 그 3가지 속성에는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)이 있는데, 각 단어의 첫 알파벳들을 따서 CIA라고 부릅니다! 😉

기밀성(Confidentiality)

기밀성부터 살펴보도록 할게요. 단어부터 의미가 유추되는 것 같죠? 기밀이란 통신하는 당사자만이 아는 비밀을 말하는데, 단어의 의미처럼 기밀성은 특정 정보에 대해 정해진 대상만 접근할 수 있도록 하는 특성을 말합니다. 즉, 노출로부터 얼마나 안전하냐가 기밀성이라고 할 수 있는 것이죠. 대부분의 조직에서는 반드시 요구되는 속성입니다.

만약, 군 암호 체계 문서, 특정 사건에 대한 조사 문서와 같이 유출되면 안 되는 군사 기밀 문서가 유출된다면 어떻게 될까요? 사회에 큰 혼란을 가져올 수도 있고 아니면 적국에 넘어가 국가 안보를 위협할 수도 있겠네요. 😱

조금 친근한 예시로 RPG 게임의 예시를 들어 보겠습니다. 한 RPG게임의 상세한 업데이트 내용이 유출된다면 마치 가격이 오르는 주식을 미리 아는 것처럼 미리 수요가 많아질 아이템을 사재기해 게임 내에서 형성된 아이템들의 시세에 영향을 미쳐 게임 내 경제 체제가 완전히 망가질 수도 있겠네요. 😭

그럼 실제로 기밀성을 침해하는 공격기법은 무엇이 있을까요? 맞아요! 이전 해킹 알려줄게에서 살펴본 Sniffing이 기밀성을 침해하는 대표적인 공격기법의 예시라고 할 수 있겠죠! 또, 간단한 기법으로서 Shoulder Surfing이라는 기법이 있는데, 이 기법은 어깨 너머로 중요한 정보를 훔쳐보는 것을 일컫는 말입니다. 친구의 휴대폰에 남은 지문을 보고 패턴을 푸는 것이 간단한 Shoulder Surfing의 예시일 수 있겠네요! 🤣 사회공학 해킹에 대한 자세한 내용은 해킹 알려줄게-Social Engineering편을 참고해 주세요. 😉

무결성(Integrity)

다음 속성은 무결성입니다. 무결성이라고 하시면 Steam과 같은 게임 공유 플랫폼에서 제공하는 무결성 검사를 떠올리실 수도 있는데, 맞아요! 오류 발생 시 게임 파일이 이상하게 변경된 점이 있는지 확인하고 해당 파일에 대한 복구를 진행하는 무결성 검사처럼 무결성은 데이터의 변조가 허가된 대상에게서만 가능하게 하는 특성입니다. 다시 말해, 데이터 위·변조로부터 얼마나 안전하냐를 알려주는 속성인 것이죠!

MAC(Message Authentication Code)은 아주 간단한 무결성 검사 기법입니다.

간단히 설명하면, 송신자와 수신자는 같은 키 K를 공유하고 송신자는 보내고자 하는 메세지 M을 K와 결합하여 M의 인증값(MAC)을 생성하여 메세지와 MAC을 수신자에게 전송합니다. 메세지와 MAC을 받은 수신자는 다시 메세지와 키를 결합하여 생성된 값과 받은 MAC이 일치하는지 비교하여 무결성을 확인할 수 있습니다.

MAC에 대해 더 자세한 내용은 Hackyboiz 블로그의 해키피디아를 참고해 주세요!

[해키피디아] MAC(Message Authentication Code)

가용성(Availability)

마지막 속성인 가용성에 대해 살펴보겠습니다. 가용성은 단어 의미 그대로 원하는 때에 언제든 사용할 수 있는지에 대한 속성입니다. '어떤 것을 사용할 수 있나?' 🤔 라고 물으신다면 서버와 네트워크 그리고 프로그램 등의 서비스나 전반적인 시스템을 말하기도 하고 사용자가 이용하고자 하는 정보 그 자체를 말하기도 해요. 그러므로 서비스를 제공하는 대부분의 기업에서 최우선으로 생각하는 속성입니다.

DDoS 공격이 가용성을 침해하는 대표적인 예시입니다. 은행 업무를 봐야 하는데 누군가 고의로 은행 전산 서버에 DDoS 공격을 가해 고객들이 정해진 시간에 은행 업무를 보지 못한다면 이는 정보 자산인 은행 전산망을 이용하지 못한 것이기 때문에 가용성을 침해했다고 볼 수 있습니다.

보안에 대한 이해와 목적의 기준이 되어주는 CIA 개념! 재밌게 보셨나요? 해킹 알려줄게는 다음 주에 더 재밌는 주제로 다시 돌아오겠습니다. 안녕~! 🤗

✏️ 해킹짹짹 뉴스레터에서 다루는 기술들은 오로지 교육적인 목적으로 사용되며, 이를 악용하여 발생하는 모든 책임은 본인에게 있습니다.

by poosic

해킹짹짹 뉴스레터 후원하기(카카오페이)

지속해서 더 좋은 뉴스레터를 제공하기 위한 것으로 긍정적으로 생각해주시면 감사하겠습니다!

카카오뱅크 3333-21-5085994 ㅎㅅㅇ

오늘 전해드린 내용이 마음에 드셨나요?

주위 친구들에게 뉴스레터를 추천해주세요!

다음주에도 알찬 내용으로 돌아오겠습니다. 😙