KR100847659B1

KR100847659B1 - 키 록 보드와 보안 유에스비 메모리의 아이디 검증방식을이용한 데이터 유출 방지 방법 및 그 장치

Info

Publication number: KR100847659B1
Application number: KR1020070099001A
Authority: KR
Inventors: 김홍균; 채정식; 황차동
Original assignee: 김홍균; 채정식; 황차동
Priority date: 2007-10-02
Filing date: 2007-10-02
Publication date: 2008-07-21

Abstract

본 발명은 키 록 보드와 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 방법 및 그 장치에 관한 것이다.

본 발명은 롬 바이오스의 스타트업(start-up) 루틴에 있어서, 오퍼레이팅 시스템이 로딩되기 이전에 플로피 디스크 드라이버, CD-ROM 드라이버, ZIP 드라이버 등을 포함하는 외부 입출력 장치를 읽기 전용 모드로 설정할 수 있도록 마더 보드에 설치되는 키 록 보드와; 저장되는 데이터가 암복호화 처리되며, 외부와 데이터를 쓰거나 읽을 수 있는 유일한 저장 장치가 되는 보안 USB 메모리와; 비밀자료가 내장되어 서버와 온라인(On-Line) 된 상태에서 상기 키 록 보드와 상기 보안 USB 메모리의 하드웨어 ID 넘버가 확인된 후에 가동되는 사용자 컴퓨터와; 보안 USB 메모리와 사용자 컴퓨터의 모든 ID 및 시스템의 맥 어드레스(MAC Address, Media Access Control address)를 관장하는 메인 서버 시스템(Main Server System)으로 구성되어, 보안 USB 메모리의 프로필을 메인 서버 시스템에 등록하여 네트워크 상에서 등록된 보안 USB 메모리의 접속이 감지되면 사용자 인증을 요구하여 인증에 실패하였을 때에는 데이터 영역의 접근을 거부 및 데이터 삭제 등과 같은 필요한 조치를 수행하고, 보안 USB 메모리가 사용된 PC의 IP를 추적하여 메인 서버 시스템에 저장하여 불법적인 데이터의 유출을 방지할 수 있게 되는 것이다.

개인용 컴퓨터, 보안, USB, 네트워크, 인증

Description

키 록 보드와 보안 유에스비 메모리의 아이디 검증방식을 이용한 데이터 유출 방지 방법 및 그 장치{.}

본 발명은 퍼스널 컴퓨터(Personal Computer, PC) 내부의 데이터 및 정보를 타인이 무단으로 사용하지 못하도록 하는 컴퓨터 보안방법 및 보안장치에 관한 것으로, 보다 구체적으로는 사용자 인증을 수행하기 위하여 PC의 부팅을 수행하는 롬 바이오스 루틴(ROM BIOS Routine)을 이용하지 않고, 키 록 보드(Key Lock Board)를 이용하여 하드디스크 부팅 영역(Booting area)에 있는 오퍼레이팅 시스템(Opertating Sysyem, OS)이 수행되기 전에 하드 디스크와 유에스비(Universal Serial Bus, USB) 메모리 인터페이스를 제외한 직렬 병렬 통신 입출력 인터페이스를 특수 보호 모드(Special Protection mode)로 설정하여 USB 메모리 이외의 저장 장치를 통한 데이터 불법복제를 근절하고, USB 메모리에 탑재된 보안 솔루션과 서버에 탑재된 사용자 인증 프로그램을 이용하여 USB 메모리 사용자에 대한 데이터 접근 통제 및 인증을 수행하게 되고, USB 메모리 분실시 저장 데이터의 보호를 위한 자동 삭제 기능이 수행됨으로써 불법적인 사용자의 접근을 차단하고, 중요데이터 유출을 방지할 수 있는 키 록 보드와 보안 USB 메모리의 아이디(Identification, ID) 검증방식을 이용한 데이터 유출 방지 방법 및 그 장치에 관한 것이다.

일반적으로 퍼스널 컴퓨터 시스템, 특히 아이비엠 퍼스널 컴퓨터 시스템(IBM Personal Computer System)은 오늘날의 일상생활과 업무, 정보, 통신 분야에서 널리 보급되어 왔다. 퍼스널 컴퓨터 시스템은 단일 시스템 프로세서와, 시스템 프로세서와 관련된 휘발성(volatile) 및 비휘발성(non-volatile)메모리, 디스플레이 모니터, 키보드, 하나 또는 그 이상의 디스켓 구동기(diskette drives), 고정 디스크 기억장치 및 프린팅 수단을 갖춘 시스템 유니트로 구성된 데스크-탑(desk-top), 플로어 스탠딩(floor standing) 또는 휴대용 마이크로 컴퓨터로 정의된다. 이러한 시스템들은 주로 한명의 사용자에게 독자적인 컴퓨팅 환경을 제공하도록 설계되고, 인터넷 또는 인트라넷 등과 같은 네트워킹 수단에 의하여 상호 연결되어 정보가 공유될 수 있으며, 개인 또는 소규모 사업자가 구입할 수 있도록 저렴한 가격으로 공급되고 있다.

이렇듯 세계적인 퍼스널 컴퓨터의 경이적 증가와 사용에 의하여 더 많은 데이터 또는 정보들이 수집되어 PC 시스템에 저장되는데, 저장되는 데이터의 많은 부분은 속성상 매우 민감하다. 따라서 불순한 목적을 가진 자에 의하여 데이터가 유출되면 개인정보 유출에 따르는 피해는 물론이고, 사업자가 경쟁적 지위를 상실하는 등 크나큰 손실을 입을 수 있다. 따라서 사용자가 데이터의 민감한 성질과 가치를 깨달을수록 데이터의 오용과 무단복제를 방지할 수 있는 수단이 요구된다.
이렇게 현재와 미래 사회에서의 문명의 이기로 자리 잡은 PC는 데이터의 보안관리를 중요시하게 됨에 따라 저장된 데이터에 관련하여 불법적 접근으로부터 보호하기 위하여 사용자들은 그들이 구입하는 퍼스널 컴퓨터 내에 보안 및 무결성 대책 기능을 요구하고 있다.

보안기능을 갖는 컴퓨터 보안시스템의 일례를 살펴보면 키보드로부터의 키 코드 입력정보를 안전하게 컴퓨터 시스템으로 전달하는 보안 어댑터와 그것을 포함한 컴퓨터 보안 시스템에 관한 것으로서, 컴퓨터 시스템으로부터의 보안모드 설정 명령을 받은 경우에 키보드로부터의 키코드 입력정보를 암호화하여 컴퓨터 시스템에 전달하고 보안모드 해제 명령을 받거나 보안모드 해제 상태에서는 키보드로부터의 키코드 입력정보를 암호화하지 않고 컴퓨터 시스템으로 전달하는 구성으로 되어있다. 또한, 별도로 보안을 요하는 자료의 저장 및 처리를 필요로 하는 경우에는 사용자가 올바른 비밀번호를 입력할 때에만 자료를 암호화 내지 복호화할 수 있고, 별도로 비밀번호를 저장하지 않는 세이프 메모리부를 부가하는 기술일 수 있다.

기존의 데이터 유출 방지 장치의 또 다른 일례로서, 서버를 이용하여 사용하고자 하는 컴퓨터의 비밀번호 및 암호를 확인한 후 실행 ID를 얻어와 검증하는 방법이거나 혹은 특정 목적의 프로그램이 저장된 USB 메모리를 이용하여 데이터의 유출을 방지하는 방식이 사용되었다.

그러나 비밀자료 유출 방지 장치가 내장된 컴퓨터라고 할지라도 인증된 사용자가 정상적인 절차가 아닌 특수한 방법을 이용하였을 경우 자료를 손쉽게 외부에 유출할 수 있음은 물론, 경우에 따라서는 인증된 사용자가 너무나 자연스럽게 정보를 유출시킬 수 있다는 보안상의 취약성을 가지고 있다.

주지된 바와 같이 퍼스널 컴퓨터가 부팅을 개시될 때에는 먼저 컴퓨터의 기본적인 입출력 사항에 관한 모든 것을 관장하는 롬 바이오스(ROM BIOS)의 펌웨어가 실행되는데, 롬 바이오스의 동작은 크게 포스트기능과 입출력 기능으로 나누어진다.

포스트(POST : Power-On self Test)는 컴퓨터 전원을 켰을 때 각 장치가 정상적으로 동작을 할 수 있는지 여부를 파악하고, 입출력 기능은 다시 키보드를 통한 데이터의 입출력, 화상 데이터 입출력, 디스크 제어 기능으로 나뉠 수 있다. 이러한 기능은 대부분 소프트웨어 인터럽트방식을 통해 이루어진다.

종래에는 PC 보안을 위하여 OS 부팅과정 전의 롬 바이오스에서 수행되는 패스워드 인증을 이용하여 보안을 수행하였다. 이러한 바이오스 레벨에서의 사용자 인증은 위조의 가능성이 없는 롬의 코드를 이용함으로써 영구성을 가지고 있다. 그러나 이 방법은 사용자가 패스워드를 잊어버리는 것에 대비하여 마더보드(Motherboard)에 특정 점퍼(jumper)를 설정할 수 있다는 점을 이용하여 이 점퍼를 조작하여 패스워드를 입력 요청을 실행할 수 없게 함으므로써 사용자 인증과정을 생략할 수 있다. 이것은 마더보드 매뉴얼에 기재된 점퍼 관련 정보를 이용하면 롬 바이오스에 대한 접근이 가능하여 얼마든지 데이터를 유출할 수 있다는 보안상의 문제점이 있다.

삭제

또한 부팅디스켓을 이용하거나 안전모드로 부팅한 다음 관련 디바이스를 삭제하는 등 다른 입출력장치를 통하여 접근을 시도한 경우, 또는 하드디스크를 분리하여 다른 장소에 마련된 PC에 장착하는 경우 하드디스크에 대한 접근이 가능하게 되어 보안을 유지할 수 없는 문제점이 발생하게 된다.

기존의 USB 메모리를 이용한 보안 제품은 USB 메모리를 제외한 기타 보조기억매체에 대한 보안이 불가능하여 부팅시 하드디스크가 실행될 때 스페셜 에이전트(Special Agent)가 실행되면서 구동되기 때문에 하드 디스크 드라이버(HDD)가 아닌 플로피 디스크 드라이버(FDD), USB, 씨디-롬(CD-ROM) 등으로 부팅되었을 때는 스페셜 에이전트가 실행되지 않기 때문에 쉽게 내부 자료를 유출할 수 있는 문제점이 있다. 따라서 어떤 상황에서도 관리자의 인증 없이 내부 자료를 유출할 수 없는 시스템을 필요로 하고 있다.
다양한 사용자에 대한 관리는 사용자의 보안등급을 요구하며, 보안등급을 구분하기 위해서는 책임 및 권한별로 보안 관리를 수행하거나 정책 설정에 필요한 인증체계가 필요하다. 이것은 하나의 PC를 다양한 사용자들이 공유하는 조직에서는 책임에 대한 소재가 불분명해질 수 있는 단점을 배제할 수 있다.

개인용 컴퓨터(PC)에 사용되는 대표적인 오퍼레이팅 시스템은 마이크로소프트사의 MS-DOS, 윈도우, 비스타 등이 과거에서 현재에 이르기 까지 보급되어 왔고, IBM사의 OS/2, 애플사의 맥 OS 등이 있으며, 워크스테이션급으로는 AT&T사가 개발한 유닉스(UNIX), 리눅스(Linux) 등이 있다. 이와 같은 운영체제는 보안상의 결함으로 인하여 발생 가능한 각종 해킹으로부터 시스템을 보호하기 위하여 보안 기능이 추가되어 서버의 보호, 시스템 접근 제한, 시스템 관리자에 의한 권한 남용 제한, 사용자의 권한 내 정보 접근 허용, 응용 프로그램 버그를 악용한 공격으로부터 보호할 수 있다. 그러나 불법적인 사용자는 플로피 디스크 드라이브나 CD-ROM을 통해서도 부팅을 시도를 시도할 수 있는데, 이 경우 종래의 암호화 인증 시스템은 보안상의 특정한 시스템 설정 과정을 거치지 않고, 운영체제가 먼저 로딩되고 나서 시스템의 프로그램이 실행됨으로써 자료에 접근할 수 있게 되는 것이다.

본 발명은 개인용 컴퓨터(PC)와 주변 장치의 신뢰성 보안 기능은 소프트웨어보다 하드웨어 기반의 보안이 더 신뢰성이 있다는 바탕 아래 마더보드 등에 보안 기능을 부가한 것이다. 이는 마더 보드의 슬롯에 설치되는 키 록 보드(Key Lock Board) 시스템에 의하여 예비적 보안 절차가 선행되는 부팅 시퀀스를 수행토록 함으로써 불법적인 사용자에 의한 데이터 복제를 차단할 수 있는 PC보안 유지방법을 제공하고자 하는 것이다.

또한 본 발명은 분실된 보안 USB 메모리가 외부의 PC에서 접속되어 사용될 때에 정상적인 사용자 인지의 여부에 대한 인증 절차를 거치게 되고, 또한 인증된 사용자가 외부의 PC에서 보안 USB 메모리를 사용할 경우에도 인증절차에 따르는 보안 USB 메모리의 이력과 접속된 PC의 IP를 추적 저장함으로써 불법적인 데이터 복제를 차단할 수 있는 PC보안 유지방법을 제공하고자 하는 것이다.

데이터를 복사 및 이동시킬 수 있는 저장장치를 원천적으로 사용할 수 없게 하는 것은 저장장치가 자료를 백업하는 목적으로 사용되는 것 뿐만이 아니라, 공인인증서나 기타 프로그램 인스톨 등을 수행할 필요가 있기 때문에 실질적인 업무 마비 사태를 초래할 수 있으므로 이를 해결하기 위한 방안으로는 특수 보호 모드(Special Protection mode)가 가장 현실적인 대안이 될 수 있다. 따라서 USB 포트 이외에 FDD, CD-ROM, 통신포트 등과 같은 모든 외부 저장 장치에 대하여 특수 보호 모드로 강제 전환시키는 물리적 보안을 수행하는 보안 시스템을 제공하게 된다면 유출 가능한 모든 형태에 대한 보안체계를 구축할 수 있는 PC의 데이터 유출 방지 방법을 제공할 수 있게 된다.

본 발명이 의도하는 목적을 달성하기 위한 본 발명의 키 록 보드에 의한 데이터 유출 방지 방법은 :

메모리의 결함을 체크하고, 컴퓨터의 오동작 여부를 검사하기 위한 테스트를 수행하는 포스트(Power-On Self-Test, POST) 루틴과, 확인된 모든 주변 장치들을 초기화하는 시스템 초기화 루틴을 거쳐서 오퍼레이팅 시스템을 로드하는 부트(boot)루틴을 수행하는 롬 바이오스의 스타트업(start-up) 루틴에 있어서, 사용자 컴퓨터의 맥 어드레스(Mac-Address,Media Access Control address), 하드디스크 드라이버 넘버를 저장하고 운영체제의 시스템 파일이 메모리에 적재되기 전에 사용자 컴퓨터의 시스템 상태를 인식한 후 모든 메모리와 기본 수행 명령을 선점하여 플로피 디스크 드라이버, 하드 디스크 드라이버, CD-ROM 드라이버, ZIP 드라이버 와 같은 외부 입출력 장치를 읽기 전용 모드로 설정한 이후에 오퍼레이팅 시스템이 로딩되는 특정 보호 모드를 포함하는 것을 특징으로 한다.

본 발명의 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 방법은 :

보안 USB 메모리의 프로필과 사용자 프로필을 메인 서버 시스템에 등록하는 제1단계(S_10);

상기 제1단계에서 등록된 프로필에 해당하는 보안 USB 메모리의 접속 여부를 감지하는 제2단계(S_20);

상기 제2단계에서 등록된 보안 USB 메모리의 접속이 감지되면 사용자 인증을 요구하는 제3단계(S_30);

상기 제3단계에서 사용자에 의하여 입력된 정보와 메인 서버 시스템에 등록된 정보를 비교하여 인증절차를 수행하는 제4단계(S_40);

상기 제4단계에서 인증절차를 통과하였을 때 입력된 사용자 정보와 보안 USB 메모리의 사용을 허락하고, 접속 이력을 메인 서버 시스템에 저장하는 제5단계(S_50);

상기 제4단계에서 인증 절차에 통과하지 못하였을 경우에 비밀번호의 입력이 설정된 일정횟수를 초과하였는지의 여부를 기록 갱신하는 제6단계(S_60);

상기 제6단계에서 비밀번호의 입력 횟수가 설정된 횟수를 초과하지 아니하였을 때에는 사용자 인증을 요구하는 상기 제3단계 및 제4단계를 반복 수행하고, 비밀번호의 입력 횟수가 설정된 횟수를 초과하였을 때에는 사용을 차단하고 데이터 영역의 접근을 거부 및 데이터 삭제 등과 같은 필요한 조치를 수행하는 제7단계(S_70);

상기 제7단계에서 수행되는 조치에 따라 보안 USB 메모리가 사용된 PC의 IP를 추적하여 메인 서버 시스템에 저장하는 제8단계(S_80)에 의하여 수행된다.

상기 제2단계는 인트라넷에 연결된 사용자 컴퓨터에서 실행 ID가 생성되어 상기 키 록 보드에 의한 데이터 유출을 방지하는 특정 보호 모드를 더 포함한다.

즉 부팅 스타트업을 하는 단계(S_100); 상기 단계(S_100)에서 사용자 컴퓨터의 시스템 상태를 인식하여 키록 보드의 ID와 보안 USB의 ID를 검증한 후 OS가 사용자 컴퓨터를 셋업하기 전에 모든 메모리와 기본 수행 명령을 선점하여 플로피 디스크 드라이버, CD-ROM 드라이버, ZIP 드라이버와 같은 외부 입출력 장치를 읽기 전용 모드로 설정한 다음 OS가 로딩되도록 보안 프로그램이 작동하는 단계(S_200); 상기 단계(S_200)에 따라 OS 부팅 서비스가 개시되는 단계(S_300); 상기 단계(S_300)에 따라 사용자 컴퓨터와 메인 서버가 네트워크로 연결되어 사용자 컴퓨터의 맥 어드레스 ID와, 사용자 ID와, 보안 USB 메모리의 맥 넘버와, 하드 디스크 넘버와, 네트워크 IP를 감시하는 단계(S_300)가 더 포함될 수 있다.

이러한 본 발명의 키 록 보드 및 이를 포함한 컴퓨터 보안 시스템을 사용하면, 외부로 유출된 USB 메모리가 외부의 컴퓨터에 접속되었을 때에 사용자 인증을 요청하게 되고, 인증키 값이 일정 횟수 이상 틀렸을 경우에는 사용차단 및 데이터 영역에 대한 접근을 거부하고, 서버로 현재 사용되고 있는 컴퓨터의 IP 및 컴퓨터의 정보값을 전송하여 위치 추적을 할 수 있게 함으로서 외부로 유출된 USB 메모리에서 보안 데이터가 유출되는 것을 방지할 수 있다.

이와 같이 하드웨어 기반의 PC 데이터 보안은 각 단말이 자신의 신뢰 수준과 요구 사항에 맞게 다양한 종류의 접근이 가능하도록 프로그래밍 되어졌기 때문에 무자격의 관리나 불안전한 규정에 따른 보안 관리로부터 데이터 보안을 충실하게 수행할 수 있다.

상기한 데이터 유출 방지 방법을 실현하는 키 록 보드와 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 장치는 저장되는 데이터가 암복호화 처리되며, 외부와 데이터를 쓰거나 읽을 수 있는 유일한 저장 장치가 되는 보안 USB 메모리와; 비밀자료가 내장되어 서버와 온라인(On-Line) 된 상태에서 키 록 보드와 보안 USB 메모리의 하드웨어의 ID 넘버가 확인된 후에 가동되는 사용자 컴퓨터(User PC)와; 사용자 컴퓨터의 맥 어드레스, HDD 넘버의 정보를 저장하고 OS가 사용자 컴퓨터를 셋업하기 전에 사용자 컴퓨터의 시스템 상태를 인식한 후 모든 메모리와 기본 수행 명령을 선점하여 특정의 명령들, 예를 들면 하드 디스크 드라이브 인식, 외부 카피, 네트워크 통신 등을 수행하는 키 록 보드와; 상기 USB 메모리와 상기 사용자 컴퓨터의 모든 ID 및 시스템의 맥 어드레스를 관장하는 메인 서버 시스템(Main Server System)으로 구성되는 것을 기술적인 특징으로 한다.

즉, 키 록 보드는 사용자 컴퓨터의 맥 어드레스, 하드디스크와 관련된 정보를 저장하고 있으며 오퍼레이팅 시스템이 사용자 컴퓨터를 셋업하기 전에 모든 내장 메모리와 기본 수행 명령을 선점한다.

따라서 사용자 컴퓨터는 메인 서버와 네트웍으로 통신 가능하고, 자체 프로세스에 의해 하드웨어 방법으로 생성되는 키 록 보드와 보안 USB 메모리와의 하드웨어 ID가 확인된 후에야 가동될 수 있다.

또한 보안 USB 메모리에 기록되는 내용은 암호화 처리되며 이것의 관리는 메 인 서버가 관장한다.

본 발명에 따른 부팅시퀀스를 이용한 PC 보안 유지 방법은 사용자 인증을 수행하기 위하여 PC 부팅시의 일반적인 롬 바이오스 코드에 의한 루틴을 단독적으로 수행하지 않고, 하드디스크에 설치된 오퍼레이팅 시스템이 로딩되기 이전에 직렬 병렬 입출력 장치를 특수 보호 모드로 설정하는 루틴이 선행되어 하드디스크의 데이터를 복제할 수 없게 하고, 보안 USB 메모리에 탑재된 사용자 인증 프로그램을 이용하여 보안 USB 메모리의 사용을 통제하게 된다.

종래에 하드디스크의 스페셜 에이전트를 실행하지 않고 데이터를 유출할 수 있는 방법의 경우 FDD, USB, CD-ROM으로 부팅하여 하드디스크의 자료를 유출할 수 있으나, 본 발명은 PCI 타입의 전용 프로텍션 카드로 되는 키 록 보드를 장착함으로써, 부팅시 강제적으로 하드디스크를 포함한 모든 외부저장장치를 특수 보호 모드로 강제적으로 셋팅함으로써 자료의 유출을 방지할 수 있으며, 기존의 USB 보안 제품의 경우 에이전트가 단순히 하드디스크에 설치되기 때문에 스페셜 에이전트를 강제종료 시킬 경우 보안 문제 발생의 우려가 있으나 본 발명은 스페셜 에이전트를 사용자가 삭제하거나 종료시킬 수 없도록 프로텍션(Protection)영역에 설치됨으로써, 완벽한 보안체계를 구축할 수 있다.

따라서 본 발명에 따른 키 록 보드를 이용한 부팅 통제 방식 및 인증 시스템을 이용하는 PC 보안 유지 방법에 의하여 PC 접근에 따른 정보유출 및 데이터 도난 방지를 완벽하게 보장하며, 보안 USB 메모리의 도난 및 분실시에는 저장 데이터의 유출을 방지하기 위한 데이터 삭제 기능으로 타인의 사용은 물론이고, 인증된 사용자에 의한 비정상적인 부정행위에 의한 데이터 유출을 원천적으로 방지할 수 있게 된다.

그리고, 본 발명에 따르는 키 록 보드와 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 방법 및 그 장치는 등록된 보안 USB 메모리의 사용권한 및 사용영역을 설정함에 있어서 내부망, 외부망, 온라인 등의 설정을 통해 USB의 사용반경을 통제할 수 있게 됨으로써 각 기관의 보안 정책에 따른 사용자의 보안등급을 구분하여 책임 및 권한별로 보안관리를 수행할 수 있도록 프로그래밍을 하여 보안 등급별 데이터 관리에 따르는 정책 설정을 효과적으로 적용할 수 있다.

본 발명의 실시예를 첨부된 도면에 의하여 설명한다.

도 1은 본 발명이 적용되는 일반적인 컴퓨터 네트워킹 시스템의 블록도를 나타내고 있다. 이 도면에서 참조되는 바와 같이 본 발명의 보안 솔루션이 적용되는 컴퓨팅 환경은 키 록 보드(1), 사용자 컴퓨터(2), 보안 USB 메모리(3), 메인 서버(4), 상기 사용자 컴퓨터(2)와 메인 서버(4)를 포함하여 인트라넷(10)에 연결되는 불특정 다수의 사용자 컴퓨터(5,6,7,8), 상기 사용자 컴퓨터(2,5,6,7,8)가 메인 서버(4)에 게이트웨이(11)로 접속되는 네트워크를 구성하는 인터넷(9)으로 구성된다.

키 록 보드(1)는 마더보드의 PCI 슬롯에 설치되는 것으로, 도 2에서 보는 바와 같이 EEPROM 으로 되어 롬 바이오스의 스타트업(start-up) 루틴에서 메모리의 결함을 체크하고, 컴퓨터의 오동작 여부를 검사하기 위한 테스트를 수행하는 포스트(Power-On Self-Test, POST) 루틴과, 확인된 모든 주변 장치들을 초기화하는 시스템 초기화 루틴을 수행하는 과정에서 하드디스크에 설치된 오퍼레이팅 시스템이 로딩되기 이전에 직렬 병렬 입출력 장치를 읽기 전용 모드로 설정하는 루틴이 선행되어 하드디스크의 데이터를 복제할 수 없게 하는 셋업 데이터 저장부(14)와;

EEPROM 으로 되어 사용자 인증을 수행하기 위한 보안 프로그램이 탑재되는 보안 프로그램 저장부(15)와;

보안 코드 넘버를 생성하고 검증하는 ID 넘버 생성 디바이스(17)와;

셋업 데이터 저장부(14)에서 출력되는 신호에 따라 직렬 병렬 및 통신 입출력 장치를 읽기 전용 모드로 동작시키는 컨트롤러(16)로 구성되어 보안 USB 메모리 이외에 다른 저장장치를 이용하여 데이터를 복제하는 것을 원천적으로 방지하는 기능을 수행한다.

키 록 보드(1)의 프로텍션 영역(Protection Area)에 설치되는 스페셜 에이전트는 사용자에 의한 강제 종료 및 삭제를 원천 봉쇄한다.

사용자 컴퓨터(2,5,6,7,8)는 각각 상기 키 록 보드(1)가 설치되어 롬 바이오스의 스타트업 루틴 과정에서 플로피 디스크 드라이버, CD-ROM 드라이버, ZIP 드라이버와 같은 외부 입출력 장치가 특수 보호 모드로 설정되어 이들 장치에 의하여 하드 디스크 상의 데이터가 복제될 수 없게 되며, 단지 보안 USB 메모리에 의해서만 데이터를 복사할 수 있게 된다.

이러한 사용자 컴퓨터(2,5,6,7,8)는 메인 서버(4)와 네트워크로 온-라인 접속된 상태에서만 정상적으로 부팅되고, 키 록 보드(1)와 보안 USB 메모리와의 하드웨어 ID 넘버가 확인된 후에야 가동될 수 있다.

이때 상기 ID의 생성은 사용자 컴퓨터의 소프트웨어에만 의존하지 않고 키 록 보드(1)와 보안 USB 메모리(3) 및 메인서버(4)의 확인에 의해 생성 된다. 데이터의 카피는 메인 서버에서 사용자 인증이 완료된 보안 USB 메모리에 의해서만 가능하다.

보안 USB 메모리(3)는 데이터 영역과 인증영역이 분리되어, 인증영역에 사용자 인증 및 복제 방지 기능 프로그래밍이 내장되는데, 메인 서버(4) 시스템에 등록되어, 인증되지 않은 USB 메모리는 사용자 컴퓨터(2,5,6,7,8,)에서 사용이 불가능하게 된다.

이를 위해서 보안 USB 메모리(3)에는 사용자 인증 소프트웨어 및 컴퓨터에 접속시 인터넷이 되지 않는 컴퓨터에서의 사용은 무조건 인식이 안되도록 프로그래밍 하고, 인터넷이 되는 컴퓨터에 접속하였을 경우에는 메인 서버(4) 시스템으로 현재의 USB 인증키 값을 전송한 후 메인 서버(4)에서 사용을 허락하는 특정 신호가 수신되었을 경우에 사용자 인증모드로 전환되어져서 사용자 인증을 통해서 인가된 USB 메모리인 경우에만 접속된 해당 컴퓨터의 정보를 메인 서버(4)에 전송하여 저장한 후 사용인가를 할 수 있게 되고, 분실 및 도난으로 등록된 보안 USB 메모리인 경우에는 메인 서버(4)로부터 사용금지 및 데이터 폐기 루틴을 수행한다.

메인 서버(4) 시스템은 보안 USB 메모리(3)의 시리얼 넘버(Serial Number), 고유인증번호, 사용자, 기타 설정 변경 가능한 필드, 예를 들면 USB 메모리의 생성, 분실, 회수, 반출, 사용기록, 사용시간, 사용 장소, 사용 및 제한 반출처리, 폐기 등 통제를 위하여 규제되어야 할 모든 상황의 내용에 대해 데이터베이스에서 입력 변경 및 삭제할 수 있게 설계되어 있다.

또한 메인 서버(4) 시스템은 등록된 보안 USB 메모리(3)가 사용되는 컴퓨터의 IP를 추적할 수 있는 솔루션이 탑재되어, 보안 USB 메모리(3)를 분실하였거나 도난을 당했을 경우에 관리자에게 신고하여 분실 또는 도난이 된 것으로 설정되면, 신고된 보안 USB 메모리가 인터넷이 되는 어느 지역에서든지 사용되어 지면 해당 보안 USB 메모리의 정보 및 현재 사용하고 있는 컴퓨터의 IP값이나 컴퓨터의 기본정보가 메인 서버(4)에 메일 형태로 전송됨으로서 분실 도난되어 사용되어진 보안 USB 메모리의 위치를 파악할 수 있게 됨은 물론이고, 보안 USB 메모리에 수록된 데이터를 폐기 또는 삭제하는 과정을 수행한다.

이렇게 메인 서버(4)는 보안 USB 메모리에 대한 현 상태를 설정함으로써, 분실이나 사용상의 제한, 예를 들면 내부망 에서만 사용 가능하도록 설정 등 여러 가지 발생할 수 있는 상황들에 대한 통계화된 접근 제어 목록의 처리 유형을 설정할 수 있다.

접근 제어 목록은 객체에 대한 접근이 허가된 주체들과 이들 주체가 허가받은 접근 종류들이 기록된 목록. 개개의 사용자들이 디렉터리나 파일과 같은 특정 시스템 객체에 접근할 수 있는 권한을 컴퓨터의 운영 체계에 알리기 위해 설정해 놓은 목록이다. 각 객체는 접근 통제 목록을 식별할 수 있는 보안 속성을 가지며, 그 목록은 각 객체에 대하여 접근 권한을 가진 각 시스템 사용자들로 구성된 엔트리를 소유한다. 접근 권한에는 특정한 디렉터리, 파일, 실행, 읽기, 쓰기 등의 권한이 있다. 시스템은 이러한 접근 권한을 접근 제어 목록에 저장하고 참조하여 사용자가 요청한 작업을 허가 또는 거부한다.

따라서 등록된 보안 USB 메모리의 사용권한 및 사용 영역은 내부망, 외부망, 온라인 등의 설정을 통해서 사용반경을 통제할 수 있다.

이와 같이 구성되는 본 발명의 보안 시스템에 의하여 PC 데이터의 보안이 이루어지는 상태를 살펴보면 다음과 같다.

우선 보안 USB 메모리(3)의 프로필을 메인 서버(4) 시스템에 등록한다. <S_10>

보안 USB 메모리(3)의 프로필은 메모리의 MAC 어드레스, 인증번호, 사용자 ID 및 보안 허용 범위가 내장되어 있다.

사용자 프로필은 기밀 보호를 필요로 하는 특정 컴퓨터 시스템 또는 다수 사용자 컴퓨터 시스템에서 허가받은 개인의 식별, 관리 및 보안 목적의 수단으로 생 성되는 사용자 계정을 구성하는 레코드로서, 허가받은 사용자의 성명, 패스워드 등 사용자가 시스템에 로그인하는 데 필요한 정보는 물론 그 사용자가 갖는 자원 접근 허가 사항과 접근 제한 사항, 지정된 단말 종류 등의 정보가 포함된다.

사용자가 특정 사용자 컴퓨터(2)에 전원을 인가하면 롬 바이오스의 스타트업 루틴이 수행되어 메모리의 결함을 체크하고, 컴퓨터의 오동작 여부를 검사하기 위한 테스트를 수행하는 포스트(Power-On Self-Test, POST) 루틴과, 확인된 모든 주변 장치들을 초기화하는 시스템 초기화 루틴을 거쳐서 오퍼레이팅 시스템을 로드하는 부팅 루틴을 수행한다.

이 과정에서 USB 시리얼 인터페이스를 제외하고 입출력 가능한 모든 시리얼 패러럴 인터페이스는 읽기 전용 모드로 강제 전환되어 등록된 보안 USB 메모리 이외에 플로피 디스크, CR-ROM 드라이브, ZIP 드라이브 등을 통해서 데이터 복사를 할 수 없게 된다.

그리고 사용자 컴퓨터(2)와 네트워크로 연결된 메인 서버(4)는 등록된 프로필에 해당하는 보안 USB 메모리(3)가 사용자 컴퓨터(2)의 USB 포트에 접속되었는지의 여부를 계속하여 감지한다. <S_20>

보안 USB 메모리(3)는 USB 시리얼 번호 및 고유인증번호가 내장되어 컴퓨터에 접속시 사용자 인증프로그램 실행하고, 메인 서버(4)와 통신하여 접속된 컴퓨터의 정보를 메인 서버(4)로 전송하는 기능을 수행한다.

메인 서버(4)는 등록된 보안 USB 메모리의 접속이 감지되면 사용자 인증을 요구하고,<S_30>, 사용자에 의하여 입력된 정보와 메인 서버(4) 시스템에 등록된 정보를 비교하여 인증절차를 수행한다. <S_40>

사용자가 인증절차를 통과하였을 때 메인 서버(4)는 입력된 사용자 정보와 보안 USB 메모리(3)의 접속 이력을 시스템에 저장하고, 사용자 컴퓨터(2) 및 보안 USB 메모리(3)의 사용을 허락하며,<S_50>, 사용자가 인증 절차에 통과하지 못하였을 경우에는 비밀번호의 입력이 설정된 일정횟수를 초과하였는지의 여부를 갱신 기록한다.<S_60>

이러한 사용자 인증 및 복제방지 기능은 보안 USB 메모리(3)를 인트라넷(10)에 포함된 사용자 컴퓨터(2,5,6,7,8) 또는 인터넷(9)에 의하여 외부망에 접속된 컴퓨터에서 사용자가 비밀번호를 입력하여 인증하게 되는데, 비밀번호가 설정된 일정 횟수 이상 잘못 입력이 되었을 때에는 불법 사용자인 것으로 판단하여 메인 서버(4)로 해당 컴퓨터의 IP와 보안 USB 메모리의 ID를 포함하는 정보값이 전송되고, 보안 USB 메모리(3)의 사용을 차단하여 데이터 영역에 대한 접근을 거부함으로써 복제 방지 기능을 수행하게 된다.

상기한 인증 과정에서 비밀번호의 입력 횟수가 설정된 횟수를 초과하지 아니하였을 때에는 사용자 인증을 요구하는 과정(S_30, S_40)을 반복 수행하고, 비밀번호의 입력 횟수가 설정된 횟수를 초과하였을 때에는 불법 사용자로 판단하고 데이터 영역의 접근을 거부하거나 데이터 삭제 등과 같은 필요한 조치를 수행한다.

이때 메인 서버(4)와의 통신이 불가능하거나, 메인 서버(4)로부터 분실 또는 도난 신고가 된 보안 USB 메모리 라는 신호를 수신하면 즉각 프로텍션 모드로 전환 하여, 데이터의 보호, 파기 및 복제방지 기능을 하는 프로그램이 수행되어 저장 데이터의 암복호 및 메시지 송신 기능을 수행하고,<S_70>, 분실 또는 도난으로 설정된 보안 USB 메모리의 사용을 시도한 PC의 물리적 또는 논리적인 주소(address)나 경로(path), IP를 포함하는 맥 어드레스를 포함하는 컴퓨터의 정보값을 수집하여 메인 서버(4)로 송출하여 저장한다.<S_80>

따라서 메인 서버(4)에 분실 또는 도난 신고가 등록된 보안 USB 메모리가 누군가에 의하여 외부망의 컴퓨터에 접속되어 사용되어 질 때는 인가되지 않은 사용자이기 때문에 사용이 불가능하게 되고, 또한 인터넷을 통해 서버에서 USB 메모리를 통제할 수 있기 때문에 원격지에서 데이터를 삭제하여 보안을 유지할 수 있다.

도 1은 본 발명이 적용되는 일반적인 컴퓨터 네트워킹 시스템의 블록도

도 2는 본 발명에 적용되는 키 록 보드의 개략적인 구성을 나타낸 블록도

도 3은 본 발명의 실행 ID 생성 알고리즘을 나타낸 흐름도

도 4는 본 발명의 보안 처리 과정을 나타낸 순서도

* 도면의 주요 부분에 대한 부호의 설명

1 : 키 록 보드 2: 사용자 컴퓨터

3 : 보안 USB 메모리 4 : 메인 서버

14 : 셋업 데이터 저장부 15 : 보안 프로그램 저장부

16 : 컨트롤러 17 : ID 넘버 생성 디바이스

Claims

보안 USB 메모리의 프로필을 메인 서버 시스템에 등록하여 해당하는 보안 USB 메모리의 접속 여부를 감지하고, 등록된 보안 USB 메모리의 접속이 감지되면 사용자 인증절차를 수행하여 인증절차를 통과하였을 때 USB 메모리의 엑세스를 허락하고, 입력된 사용자 정보와 보안 USB 메모리의 접속 이력을 메인 서버 시스템에 저장하며, 인증 절차에 통과하지 못하였을 경우에는 사용을 차단하고 데이터 영역의 접근을 거부 및 데이터 삭제 등과 같은 필요한 조치를 수행하면서 보안 USB 메모리가 사용된 PC의 IP를 추적하여 메인 서버 시스템에 저장하는 공지된 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 방법에 있어서,

보안 USB 메모리의 접속 여부를 감지하는 과정이 메모리의 결함을 체크하고, 컴퓨터의 오동작 여부를 검사하기 위한 테스트를 수행하는 포스트 루틴과, 확인된 모든 주변 장치들을 초기화하는 시스템 초기화 루틴을 거쳐서 오퍼레이팅 시스템을 로드하는 부트 루틴을 수행하는 롬 바이오스의 스타트업 루틴에서, 사용자 컴퓨터의 맥 어드레스, 하드디스크 드라이버 넘버의 정보를 저장하고 OS가 사용자 컴퓨터를 셋업하기 전에 사용자 컴퓨터의 시스템 상태를 인식한 후 모든 메모리와 기본 수행 명령을 선점하여 플로피 디스크 드라이버, CD-ROM 드라이버, ZIP 드라이버를 포함하는 외부 입출력 장치를 읽기 전용 모드로 설정한 이후에 오퍼레이팅 시스템이 로딩되는 것을 특징으로 하는 키 록 보드와 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 방법.
저장되는 데이터가 암복호화 처리되며, 외부와 데이터를 쓰거나 읽을 수 있는 유일한 저장 장치가 되는 보안 USB 메모리와;

상기 보안 USB 메모리가 접속되는 것을 감지하면 맥 어드레스와 하드디스크 넘버의 정보를 인터넷으로 전송하고, 롬 바이오스의 스타트업(start-up) 루틴에서 사용자 컴퓨터의 시스템 상태를 인식한 후 운영체제의 시스템 파일이 메모리에 적재되기 전에 모든 메모리와 기본 수행 명령을 선점하여 플로피 디스크 드라이버, 하드 디스크 드라이버, CD-ROM 드라이버, ZIP 드라이버와 같은 외부 입출력 장치를 읽기 모드로 설정하는 키 록 보드가 마더 보드의 슬롯에 설치되고, 네트워킹으로 접속된 상태에서 상기 키 록 보드와 상기 보안 USB 메모리의 하드웨어 ID가 확인된 후에 보안 USB 메모리의 사용이 허락되면서 부팅 루틴이 완료되는 사용자 컴퓨터와;

상기 USB 메모리와 상기 사용자 컴퓨터의 모든 ID 및 시스템의 맥 어드레스를 관장하는 메인 서버 시스템을 포함하는 것을 특징으로 하는 키 록 보드와 보안 USB 메모리의 ID 검증방식을 이용한 데이터 유출 방지 장치.
삭제