포트 기반 피어 액세스 제어 방법 document_id A220623053609

네트워크 액세스 제어는 일반적으로 3가지 시스템, 즉 사용자, 액세스 포인트, 및 사용자와 액세스 포인트를 중앙 제어하는 배경 서버를 포함한다. IEEE 802.1x는 포트 기반 네트워크 액세스 제어 프로토콜이라고 한다. 종래 케이블 네트워크에서, 최근의 액세스 방법들은 전통적인 웹 브라우저 액세스 제어 방법 및 PPPoE(Point to Point Protocol over Ethernet) 이외에 IEEE 802.1x 기술을 기반으로 하고 있다. IEEE 802.1x 기술은 제어와 서비스의 분리, 높은 유연성, 강한 적응성의 이점을 가지며, 각종 네트워크에서 널리 사용된다. IEEE 802.1x 기술은 무선 LAN(IEEE 802.11), 무선 MAN(IEEE 802.16e) 등과 같은 각종 무선 네트워크에 의해 채택되어 왔다. 인증은 네트워크 액세스 제어의 핵심으로서, 사용자와 액세스 포인트 간에 네트워크 서비스를 제공하는 기반이 되는 신뢰를 구축하는데 목적이 있다. 보안 메커니즘은 케이블 망 제어가 사용되든 무선 망 제어가 사용되든 네트워크와 사용자 간에 상호 인증을 가능하게 해야 한다. IEEE 802.1x는 링크 계층에서 인증을 구현하는 방법으로서, 포트 기반 기술이다. 시스템 포트는 시스템이 다른 시스템들의 서비스를 액세스할 수 있고 서비스를 다른 시스템에 제공할 수 있도록 하는 방법을 제공한다. IEEE 802.1x는 다음의 3 종류의 엔티티(entity)를 정의한다: 인증자(authenticator) - 한 시스템의 포트 제어 엔티티는 시스템에 의해 제공되는 서비스들이 액세스 허용되기 전에 요청자를 인증 및 허가한다. 상기 시스템은 인증자 시스템이라고 하고, 상기 시스템의 포트 제어 엔티티는 인증자라고 한다. 요청자(supplicant) - 인증자 시스템에 의해 제공되는 서비스의 액세스를 요청하는 시스템은 요청자 시스템이라고 하며, 요청자 시스템의 포트 제어 엔티티는 요청자라고 한다. 인증 서버(authentication server) - 인증 서버는 인증자에게 요청자의 권한을 식별하도록 하고, 요청자 시스템이 인증자에 의해 제공되는 서비스를 액세스하도록 허가될 수 있는지를 결정하는 엔티티이다. 인증자 시스템은 전송 매체에 대해 2개의 액세스 포인트를 가진다. 한 액세스 포인트는 제어 포트(controlled port)라고 하며, 이 제어 포트는 2가지 상태, 즉 인증 상태 및 비인증 상태를 가지며, 인증 상태일 때에만 패킷 통과를 허용하며, 다른 액세스 포인트는 비제어 포트(uncontrolled port)라고 하며, 비제어 포트는 그 상태에 관계없이 패킷 통과를 허용한다. IEEE 802.1x의 기능 엔티티들 간의 관계가 도 1에 도시되어 있다. IEEE 802.1x는 실제로 인증 및 키 협상을 제공하기 위해 확장가능 인증 프로토콜과 조합되어 사용되는 하나의 인증 프레임워크(framework for authentication)를 제공한다. IEEE 802.1x는 비대칭 구조를 가지며, 요청자와 인증자에서 그 기능이 크게 다르다. 요청자 상에는 포트 제어 기능이 없고, 인증자 상에는 인증 기능이 없다. 그러므로, 인증은 요청자와 인증 서버 사이에서 수행된다. 인증 서버와 인증자는 단일 시스템으로 구현될 수 있지만, IEEE 802.1x의 이점, 즉 인증자에 의한 중앙 제어는 크게 감소되게 된다. 현재 흔히 이용되는 바와 같이, 인증 서버와 인증자는 별개의 시스템으로 구현된다. 인증하는 중에 인증 서버는 인증 결과를 직접 인증자에 전달한다. 키 협상이 또한 요구되면, 이 키 협상은 인증 서버와 요청자 사이에서 수행되어야 하고, 협상된 키가 인증 서버에 의해 요청자에 전송되며, 요청자와 인증자는 동적 공유 키에 기초하여 인증 및 키 협상을 수행한다. 그러므로, IEEE 802.1x의 단점은 다음과 같다: 1. IEEE 802.1x의 구조는 비대칭이고, 요청자와 인증자에서 그 기능이 크게 다르다. 요청자는 포트 제어 기능이 없으나 인증자는 요청자와 인증 서버 사이에서 수행되는 인증 기능이 없다. 인증 서버와 인증자는 단일 시스템으로 구현될 수 있지만, IEEE 802.1x의 이점, 즉 인증자에 의한 중앙 제어가 크게 감소되게 된다. 2. 낮은 확장성. 미리 정의된 보안 채널이 각 인증자와 인증 서버 사이에 존재한다. 인증 서버의 필요한 시스템 자원은 증가하고, 관리는 보안 채널의 수가 증가함에 따라 더 복잡해지며, 따라서 많은 보안 채널을 구성하는데 적합하지 않고 네트워크 확장성이 제한된다. 3. 복합한 키 협상 과정. 키는 요청자와 인증자 사이에서 데이터 보호를 위해 사용되나, 협상은 요청자와 인증자 사이에서 수행될 수 있기 전에 요청자와 인증 서버 사이에서 먼저 수행되어야 한다. 4. 새로운 공격 지점들이 도입되어 보안성이 떨어진다. 요청자와 인증 서버가 협상하는 주요 키는 인증 서버에 의해 인증자에 전달된다. 네트워크를 통해 키를 전달함으로써 새로운 보안 공격 지점들이 도입된다. 5. 인증자는 독립된 아이덴티티(identity)가 없다. 요청자의 경우, 동일 인증 서버에 의해 관리되는 인증자들의 아이덴티티가 구별 불가능하다. 인증자들을 구별해야 할 때 애플리케이션 환경에서 부가적인 기능 엔티티들이 추가되어야 하며, 이에 따라 복잡성이 추가된다.