KR101575050B1 - 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템 - Google Patents

이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템 Download PDF

Info

Publication number
KR101575050B1
KR101575050B1 KR1020150061324A KR20150061324A KR101575050B1 KR 101575050 B1 KR101575050 B1 KR 101575050B1 KR 1020150061324 A KR1020150061324 A KR 1020150061324A KR 20150061324 A KR20150061324 A KR 20150061324A KR 101575050 B1 KR101575050 B1 KR 101575050B1
Authority
KR
South Korea
Prior art keywords
layer
security
data
communication
key
Prior art date
Application number
KR1020150061324A
Other languages
English (en)
Inventor
이옥연
Original Assignee
이옥연
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 이옥연 filed Critical 이옥연
Priority to KR1020150061324A priority Critical patent/KR101575050B1/ko
Application granted granted Critical
Publication of KR101575050B1 publication Critical patent/KR101575050B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/12—Transmitting and receiving encryption devices synchronised or initially set up in a particular manner
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템에 관한 것이다. 상위계층 및 제 1 내지 제 3계층으로 구성되는 제 1통신개체와, 제 1통신개체와 동일한 구조를 갖는 제 2통신개체로 이루어지는 통신 시스템에 있어서, 제 1 및 제 2통신개체의 제 2계층과 제 3계층 사이에 각각 배치되는 2.5계층 보안장치를 포함하며, 상기 2.5계층 보안장치는 상위 인터페이스가 연결되는 입,출력 포트와; 하위 인터페이스가 연결되는 입,출력 포트와; 상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 데이터의 보안절차를 진행하는 보안 에이전트와; 그리고 보안 에이전트에 연결되어 암호화를 실시하는 암호모듈을 포함한다.

Description

이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템{Different Units Same Security}
본 발명은 보안 시스템에 관한 것으로서, 서로 다른 통신방식을 사용하는 통신개체간의 보안을 가능하게 하기 위하여 2계층과 3계층의 사이에 형성되는 2.5계층에 보안 시스템을 적용한 기술에 관한 것이다.
통상적으로 산업제어시스템(ICS : Industrial Control System)은 전기, 수도, 수송, 화학, 제지, 자동차, 석유 및 가스와 같은 산업시설에서 사용하는 제어시스템을 의미한다. 이러한 산업제어시스템은 다양한 형태가 존재하며, 예를 들면 SCADA(Supervisory Control and Data Acquisition) 시스템이나, DCS(Distributed Control System) 등이 있다.
그리고, 이러한 제어 시스템은 통신을 기반으로 하는 바, 통신 시스템은 개방형 시스템간 상호 접속(Open System Interconnection; OSI) 기준모델을 따른다.
즉, 도 1에 도시된 바와 같이, OSI 모델은 상위계층과, 인터페이스와, 하위 계층의 7계층으로 구성된다. 하위계층은 제1계층(물리계층), 제 2계층(데이터 링크계층), 제 3계층(네트워크 계층)으로 구분될 수 있다. 그리고, 인터페이스는 제 4계층(전송계층)이고, 상위 계층은 제 5계층(세션계층), 제 6계층(표현계층), 제 7계층(응용계층)으로 구분될 수 있다.
제 1계층은 물리계층으로서 물리채널(Physical Channel)을 이용하여 상위 계층과 정보 전송 서비스(Information Transfer Service)를 주고 받는다. 물리계층은 상위에 있는 매체접속제어(Medium Access Control) 계층과는 전송채널(Transport Channel)을 통해 연결되어 있으며, 이 전송채널을 통해 매체접속제어 계층과 물리계층 사이의 데이터가 이동한다. 그리고, 서로 다른 물리계층 사이, 즉 송신측과 수신측의 물리계층 사이는 물리채널을 통해 데이터가 이동한다.
제 2계층은 매체접속제어(Medium Access Control; 이하 MAC이라 약칭함) 계층으로서 논리채널(Logical Channel)을 통해 하위계층인 링크제어(Link Control) 계층과 서비스를 주고 받는다. 제 2계층은 오류제어 및 흐름제어를 한 후 상위 계층(네트워크 계층)에서 받은 비트열의 데이터로 프레임을 구성하여 하위 계층(물리계층)으로 전달함으로써 신뢰성 있는 데이터의 전송을 지원한다.
제 2계층의 PDCP 계층은 IPv4 나 IPv6와 같은 IP 패킷을 이용하여 전송되는 데이터가 상대적으로 대역폭이 작은 무선 구간에서 효율적으로 전송하기 위해 불필요한 제어정보를 줄여주는 헤더 압축(Header Compression) 기능을 수행한다.
이러한 제 2계층은 이더넷, HDLC, ADCCP, LLC, ALOHA 등이 있다.
제 3계층은 네트워크 계층으로서, 통신노드에서 다양한 경로를 설정하고, 메시지 등을 라우팅하며, 망 노드간에 트랙픽을 제어함으로써 데이터가 각 노드를 거칠 때마다 정확한 경로를 찾아주는 역할을 한다.
이러한 제 3계층은 라우팅(Routing), 주소변환, 순서제어, 다중화를 수행하며, 라우터, L3 스위치 등이 있다.
제 4계층은 전송 계층(Transport Layer)으로, 계층 구조의 네트워크 구성요소와 프로토콜 내에서 송신자와 수신자를 연결하는 통신 서비스를 제공한다.
이러한 제 4계층은 하위계층을 구성하는 각종 통신망의 품질의 차이를 보상하고, 통신에 적합한 2개의 종단 프로세스 간에서 투과적인 데이터 전송을 보장하는 계층이다. 즉, 제 4계층은 네트워크 층 이하에서 전송되는 데이터가 확실히 상대방에 도착할 수 있도록 제어를 한다.
이러한 제 4계층에서는 포트 주소 지정, 분할 및 재조립, 종단간 메시지 전달, 연결제어를 수행한다.
제 5계층은 세션계층(Session Layer)으로서, 송신측과 수신측 사이에 프로세스를 서로 연결, 유지 및 해제하는 역할을 하며, 다양한 응용 기능의 요구를 충족시키기 위한 전송 제어 기능을 표현 계층에 제공하며, 이를 위하여 세션접속을 설정하고 데이터 제어를 수행한다.
제 6계층은 표현계층(Presentation Layer)으로서, 응용계층에 사용하는 추상구문의 요구에 맞춘 전송구문을 정하여 실제 테이터를 전송할 때 정보 형식들을 변환한다.
제 7계층은 응용계층(Application Layer)으로서, OSI 모델의 최상위 계층을 의미하며, 사용자에게 직접 제공하는 서비스로 제반적인 응용작업 등의 서비스를 제공한다.
그러나, 종래의 이러한 통신 시스템은 각 계층끼리 통신하는 방식으로서, 상위 계층끼리, 3계층끼리 혹은 2계층간에 보안을 하게 되는 방식이므로, 멀티홉 기반의 종단간 암호를 취하기 위해서는 3계층 이상에서만 가능한 바, 특정설비, 예를 들면 수배전반의 경우 상위계층 혹은 3계층에 보안시스템이 없으며, 2계층에 보안 시스템을 적용하는 방식으로는 멀티홉 기반의 종단간 암호설정이 어려우며, 결국 종단간에는 암호 시스템이 적용되지 않은 문제점이 있다.
특허출원 제10-2013-17389호(명칭: 이중화를 지원하는 배전반용 보안 시스템)
따라서, 본 출원은 이러한 문제점을 해결하기 위하여 제안된 것으로서, 본 출원의 목적은 서로 다른 통신방식을 사용하여 보안 방식이 상이한 각각의 시스템 간에 모두 적용가능한 보안 시스템을 제공하는 것이다.
상기한 과제를 달성하기 위하여, 본 발명의 일 실시예는,
상위계층 및 제 1 내지 제 3계층으로 구성되는 제 1통신개체와, 제 1통신개체와 동일한 구조를 갖는 제 2통신개체로 이루어지는 산업제어 시스템의 통신 시스템에 있어서,
제 1 및 제 2통신개체의 제 2계층과 제 3계층 사이에 각각 탈착식으로 배치되는 2.5 계층 보안장치를 포함하며,
상기 2.5 계층 보안장치는 통신처리부와;
상위 인터페이스가 연결되는 입,출력 포트와;
하위 인터페이스가 연결되는 입,출력 포트와;
상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 데이터의 보안절차를 진행하는 보안 에이전트와;
보안 에이전트에 연결되어 암호화를 실시하는 암호모듈과; 그리고
CPU 및 전원을 포함하며,
보안 에이전트는 데이터의 기밀성을 보장하기 위하여 데이터를 암호화하는 암호화부와; 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하고,
암호모듈은 암호기능 유닛과, 관리 유닛을 포함한다.
본 발명의 다른 실시예는, 상위계층 및 제 1 내지 제 3계층으로 구성되는 제 1통신개체와, 제 1통신개체와 동일한 또는 상이한 구조를 갖는 제 2통신개체로 이루어지는 산업제어 시스템의 통신 시스템에 있어서,
제 1통신개체의 제 1계층과 탈착식으로 직결하거나, 제 1통신개체의 제 2계층과 탈착식으로 직결되는 제 1보안장치와;
제 2통신개체의 제 1계층과 탈착식으로 직결되거나, 제 2통신개체의 제 2계층과 탈착식으로 직결되며, 제 1보안장치와 연결되는 제 2보안장치를 포함하며,
상기 제 1 및 제 2보안장치는 복수개의 제 1계층과, 복수개의 제 2계층과, 상위 계층으로서의 2.5계층 보안장치를 각각 포함하며,
2.5계층 보안장치는 통신 처리부와;
상위 인터페이스가 연결되는 입,출력 포트와;
하위 인터페이스가 연결되는 입,출력 포트와;
상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 데이터의 보안절차를 진행하는 보안 에이전트와;
보안 에이전트에 연결되어 암호화를 실시하는 암호모듈과; 그리고
CPU 및 전원을 포함하며,
보안 에이전트는 데이터의 기밀성을 보장하기 위하여 데이터를 암호화하는 암호화부와; 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하고,
암호모듈은 암호기능 유닛과, 관리 유닛을 포함한다.
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
본 발명은 3계층과 2계층의 사이인 2.5계층에 보안 장치를 적용함으로써 종단간 암호설정이 어려운 경우, 또는 3계층 이상에서만 보안이 가능한 시스템에도 보안이 가능한 장점이 있다.
도 1은 종래 기술에 따른 통신 시스템을 개략적으로 보여주는 도면이다.
도 2는 본 발명의 일 실시예에 따른 2.5계층 보안 장치가 내장형 또는 일체형으로 적용된 통신 시스템을 개략적으로 보여주는 도면이다.
도 3은 도 2에 도시된 2.5계층 보안 장치와 외부장치간의 신호 전달 구조를 개략적으로 보여주는 도면이다.
도 4는 도 3의 2.5계층 보안 장치의 구조를 개략적으로 보여주는 도면이다.
도 5는 도 4의 2.5계층 보안장치의 내부 구조를 개략적으로 보여주는 구조도이다.
도 6은 본 발명의 다른 실시예에 따른 2.5계층 보안장치가 외장형으로 적용된 통신 시스템을 개략적으로 보여주는 도면이다.
이하, 본 발명의 일 실시예에 따른 보안 시스템을 첨부된 도면을 참조하여 상세하게 설명한다.
도 2 내지 도 5에 도시된 바와 같이, 본 발명이 제안하는 보안 시스템은 제 1통신개체(1)와 제 2통신개체(3)로 이루어지며, 각 통신개체는 제 1계층(PHY 계층)과 제 2계층(Mac 계층) 등의 동일한 통신 계층구조를 갖음으로 이하 제 1통신개체(1)에 의하여 설명한다.
제 1통신개체(1)는 상위계층(5) 및 제 1 내지 제 3계층(L1,L2,L3)으로 이루어지는 통신 시스템으로서, 제 2계층(L2)과 제 3계층(L3) 사이에 배치되는 2.5계층 보안장치(7)를 내부에 포함하며,
상기 2.5계층 보안장치(7)는 상위 인터페이스가 연결되는 입,출력 포트(9)와;
하위 인터페이스가 연결되는 입,출력 포트(11)와;
상위 및 하위 인터페이스의 입,출력 포트(9,11)에 연결되며, 데이터의 보안절차를 진행하는 보안 에이전트(13)와;
보안 에이전트(13)에 연결되어 암호화를 실시하는 암호모듈(15)을 포함한다.
이러한 구조를 갖는 보안 시스템에 있어서, 상위 인터페이스는 제 3계층(L3)인 네트워크 계층을 의미하며, 예를 들면 라우터, L3 스위치 등에 연결된다.
그리고, 상위 인터페이스 입,출력포트(9)는 네트워크 계층(L3)으로부터 데이터가 입력되거나 출력되는 포트(9)를 의미한다.
또한, 하위 인터페이스는 제 2계층(L2)인 데이터 링크 계층을 의미하며, 예를 들면 이더넷, HDLC, ADCCP, LLC, ALOHA, WiFi, LTE, Serial, Optic, TV White Space 등에 연결된다.
그리고, 하위 인터페이스 입,출력포트(11)는 데이터 링크 계층(L2)으로부터 데이터가 입력되거나 출력되는 포트(11)를 의미한다.
따라서, LAN은 Mac 주소를 통해 통신을 하고, Wan은 IP 주소를 통해 통신을 한다. 또한, ARP는 IP주소를 통해 Mac주소를 얻고, RARP는 Mac 주소를 통해 IP주소를 얻어온다.
그리고, 보안 에이전트(13)는 암호모듈(15)과 연동하여 입,출력되는 데이터의 암호화 및 복호화, 인증, 전자서명을 진행한다.
즉, 보안 에이전트(13)는 데이터의 기밀성을 보장하기 위하여 데이터를 암호화하는 암호화부(17)와; 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부(19)와; 메시지 무결성과 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부(21)와; 신원 확인을 위한 양방향 인증부(23)로 구성된다.
보다 상세하게 설명하면, 암호화부(17)에 의하여 데이터의 암호화가 진행될 수 있다. 즉, 암호화를 이용해서 보호해야 할 데이터를 평문(Plaintext)이라 하고, 평문을 암호화 알고리즘을 이용해서 변환된 것을 암호문(Ciphertext)이라 한다. 이때 평문을 암호문으로 변환하는 과정을 암호화(Encryption), 암호문을 평문으로 변환하는 과정을 복호화(Decryption)라고 한다.
그리고, 이 과정에서 대칭키 또는 공개키 등의 키(Key)가 사용되며, 해당 키에 의하여만 정상적으로 암호화와 복호화를 진행할 수 있다.
이러한 키의 사용은 키 관리부(19)에 의하여 진행되며, 키 관리부(19)는 키를 교환 하거나 일치여부를 확인한다.
키는 대칭키 방식(비밀키)과 비대칭키 방식(공개키)이 사용될 수 있다.
대칭키 방식은 암호화할 때 사용하는 키와 복호화할 때 사용하는 키가 동일한 방식이다. 이 암호 방식은 공개키 암호 방식보다 연산 속도가 빨라서 대량의 데이터 암호화에 많이 사용한다. 그러나 송신자와 수신자 모두 동일한 키를 공유해야 하므로 키 관리가 어렵다는 문제점이 있다.
반면에, 공개키 암호는 비밀키 암호와 달리 암호화와 복호화에 사용하는 키가 서로 다른 비대칭키 방식이다. 즉, 특정 알고리즘을 사용하여 공개키와 개인키로 이루어진 키쌍(KeyPair)을 생성한다. 그런 다음 공개키로 메시지를 암호화하고, 개인키로 메시지를 복호화하는 방식이다.
한편, 양방향 인증부(23)는 제 1통신개체(1)와 제 2통신개체(3)가 상대방이 자신이 의도한 정당한 사용자인지를 서로 확인한다.
양방향 인증을 하기 위해서는 암호화에 사용하는 비밀키와 같이 제 1통신개체(1)와 제 2통신개체(3)만이 알고 있는 인증키를 사용한다. 따라서, 데이터를 송수신할 때 그 메시지에 대한 무결성과 출처인증을 위해 그 인증키로 메시지 인증코드(Message Authentication Code)를 생성한다.
이 메시지 인증코드를 데이터와 함께 상대방에게 전달하면 상대는 수신된 데이터와 자신이 가진 인증키로 인증코드를 생성하고, 이렇게 생성된 인증코드가 수신된 인증코드와 동일한지 확인한다
이때, 메시지 인증코드를 생성하기 위해서 해시함수를 사용하거나 블록 암호를 사용한다.
그리고, 전자서명(Digital Signatures)은 메시지 인증코드와 비슷하지만, 대칭키 방식의 메시지 인증코드와 달리 공개키 암호 방식을 사용한다.
즉, 메시지 인증코드는 인증키라는 동일한 키를 가지고 인증과 검증을 하지만, 전자서명은 개인키로 서명값을 생성하고, 공개키로 서명값을 검증하므로 메시지의 훼손여부와 상대가 정당한 사용자인지 여부를 입증할 수 있다.
예를 들면, 제 1통신개체(1)가 키 생성 알고리즘으로 공개키 및 비밀키의 키쌍을 생성하고 제 2통신개체(3)에 데이터를 전달할 때 비밀키와 서명 알고리즘으로 서명값을 생성하여 데이터와 서명값을 같이 전달하게 되며, 제 2통신개체(3)는 서명을 검증하기 위해 제 1통신개체(1)의 공개키를 사용한다.
제 2통신개체(3)는 제 1통신개체(1)의 공개키와 전자서명의 검증 알고리즘으로 수신한 데이터와 서명값이 제 1통신개체(1)가 전송한 것인지 확인할 수 있다.
이러한 전자서명의 보호함수로는 RSA-PSS, KCDSA, ECDSA, EC-KCDSA 등이 사용된다.
아울러, 메시지 인증코드는 인증키를 가진 제 1 및 제 2통신개체(1,3) 모두 생성할 수 있어서 메시지 인증코드로는 누가 인증코드를 생성했는지는 알 수 없다.
그러나, 전자서명은 제 1통신개체(1) 혹은 제 2통신개체(3) 자신의 개인키로 서명값을 생성하므로 상대는 서명값을 생성할 수 없다. 따라서, 서명값을 검증할 때에도 상대의 공개키만 있으면 서명자를 확인할 수 있다.
한편, 상기한 암호모듈(15)은 암호화 및 복호화를 실시하는 암호기능 유닛(25)과, 암호를 관리하기 위한 기능을 보유하는 관리 유닛(27)으로 구성된다.
이러한 암호모듈(15)에 있어서, 암호기능 유닛(25)은 블록 암호를 반복적으로 사용하여 데이터에 대한 기밀 및 인증(35) 등을 지원하는 블록암호 운영모드(29); 해시함수(Hash Function;31)와; 메시지 인증코드를 생성하기 위한 모드(33)를 포함한다.
블록암호 운영모드(29)는 블록 암호를 반복적으로 사용하기 위한 것이다.
즉, 암호화하려는 평문의 길이는 매우 다양한 반면, 블록 암호는 고정된 길이 단위로 동작하므로 암호화하기 위해서는 가변 길이의 데이터를 블록 단위로 나누어야 한다. 이렇게 나누어진 블록들을 어떤 방식으로 사용할지 결정해야 하는데, 이 방법을 블록암호 운영 모드라고 한다.
보다 상세하게 설명하면, 블록암호 방식은 고정된 크기의 블록 단위로 데이터를 암/복호화하는 함수로, 주로 사용하는 블록 단위의 크기는 128비트다. 즉, 128비트의 평문을 입력받아서 128비트의 암호문을 생성하고, 복호화는 128비트의 암호문을 입력받아서 128비트의 평문을 생성한다. 이처럼 블록 암호는 평문과 암호문의 크기가 동일하며, 그 블록의 크기는 기본이 되는 블록암호에 따라 결정된다.
이러한 블록 암호에서 암/복호화하려면 키가 필요한데, 이 키를 보통 대칭키라고 부른다. 대칭키의 크기는 암호 알고리즘에 따라 다르지만, 일반적으로 128비트, 192비트 또는 256비트다.
이러한 블록암호 운영모드(29)는 ECB(Electronic Codebook), CBC(Cipher Block Chaining), CFB(Cipher Feedback), OFB(Output Feedback), CTR(Counter) 등 다양한 종류로 구분된다.
그리고, 상기 해시함수(31)에 있어서, 해시함수는 임의의 길이의 데이터를 고정된 길이의 데이터로 매핑하는 알고리즘이다.
또한, 해시함수는 입력값이 같은 경우에는 항상 같은 결과값이 나오므로, 만약 의 두 해시 값이 다르다면 그 해시값에 대한 원래 데이터도 달라야 한다. 즉 역은 성립하지 않는다. 따라서, 입력 데이터에 대한 지문(Finger Print)을 생성함으로써 데이터의 오류나 변조를 탐지할 수 있는 무결성을 제공한다. 또한, 암호학적 의사난수를 만들어 키를 생성하거나 전자서명에서 메시지를 축약할 때 사용한다.
이러한 해시함수는 암호학적 해시함수(Cryptographic Hash Function)와 비암호학적 해시함수로 구분될 수 있다.
그리고, 암호학적 해시함수의 종류로는 MD5, SHA계열 해시함수가 있으며, 비암호학적 해시함수로는 CRC32 등이 있다.
메시지 인증코드 모드(33)는 메시지의 내용, 작성자, 발신처 등 메시지의 무결성을 확인하고 메시지에 대한 인증을 하는 모드이다. 임의의 길이의 메시지로부터 고정 비트 길이의 출력을 계산하는 것은 일방향 해시함수와 유사하나, 일방향 해시함수는 해시값을 계산할 때는 키를 사용하지 않으나, 그에 반해 메시지 인증코드는 제 1통신개체(1)와 제 2통신개체(3)가 공유하는 키를 사용하는 차이점이 있다.
따라서, 이 메시지 인증코드를 데이터와 함께 상대방에게 전달하면 상대는 수신된 데이터와 자신이 가진 인증키로 인증코드를 생성하고, 이 인증코드가 수신된 인증코드와 동일한지 확인한다.
그리고, 이러한 메시지 인증코드는 해쉬기반과 블록기반으로 구분되는 바, 해쉬기반의 보호함수로는 HMAC 등이 있고, 블록기반으로는 CMAC, GMAC 등이 있다.
한편, 관리유닛(27)은 난수를 생성하는 모드(37)와; 키를 생성하는 모드(39)와; 키를 삭제하는 제로화 모드(41)와; 상기 모드들과 연계하여 보안 정책에 의해 키의 생성부터 폐기까지 전 과정을 관리하는 암호키 관리모드(43)와; 암호모듈(15) 전체를 관리하는 암호모듈 관리모드(45)를 포함한다.
상기 난수 생성모드(37)는 암호화시 동일 데이터들이 같은 암호문이 되지 않도록 난수를 발생시킨다. 예를 들면, 암호문을 만들기 위해 암호 키와 알고리듬을 데이터 블록 단위로 적용하며, 난수 발생기(RNG)에 의한 초기화 벡터를 평문의 첫 블록에 조합함으로써 다음 블록들이 이전 암호 블록과 다른 암호문이 되는 방식이다.
이러한 난수 생성모드(37)에서는 보호함수로서 HASH_DRBG, CTR_DRBG, HMAC_DRBG 등을 사용한다.
키 생성모드(Key Generation Mode;39)에서는 암호화 혹은 복호화에 필요한 키를 생성하게 된다. 예를 들면 인증키, 대칭키, 비대칭키, 데이터베이스 마스터키, 서비스 마스터키 등 다양한 키들을 생성한다.
제로화 모드(Key Zeroization;41)는 암호화 이후 더 이상 사용되지 않는 값이 공개되는 것을 방지하기 위하여 암호화 모듈(15)에서 키와 같은 중요한 매개변수를 삭제한다.
상기 암호키 관리모드(43)는 키의 생성부터 등록, 인가, 등록취소, 분배, 설치, 저장, 압축, 폐지, 유도와 파괴의 전 과정을 관리한다.
또한, 암호키를 주기적으로 갱신하고, 암호키의 사용 만료시 공격자가 암호키를 획득하여 재 사용할 수 없도록 파기한다.
그리고, 암호모듈 관리모드(45)는 암호모듈(15)의 암호기능 유닛(25)과, 관리 유닛(27)을 제어함으로써 암호화 혹은 복호화 과정을 관리하게 된다.
한편, 도 6에는 본 발명의 다른 실시예에 따른 외장형 2.5계층 보안장치(50, 52)가 적용된 통신 시스템이 도시된다.
본 실시예에서는 외장형 2.5계층 보안장치(50, 52)가 제 1통신개체(1)의 2계층과 3계층의 사이에 탈착식 또는 일체형으로 장착될 수 없는 경우에 적용되는 차이점이 있다.
즉, 본 실시예에 따른 2.5계층 보안장치(50, 52)는 한 쌍으로 이루어지는 바, 한 쌍의 보안장치중 제 1보안장치(50)는 제 1통신개체(1)의 1계층에 직결되고, 제 2보안장치(52)는 제 2통신개체(3)의 1계층에 직결된다. 그리고, 제 1보안장치(50)와 제 2보안장치(52) 사이에는 유선 또는 무선 등으로 직접 또는 혼재된 네트워크로 연결되며, 인터넷 등의 연결환경을 갖는 구조이다.
또한 제 1보안장치(50)는 제 1계층은 각각 PHY_A와 PHY_B로 구성되고, 제 2계층은 MAC_A와 MAC_B로 구성된다.
그리고, 2.5계층 보안장치(7)는 전술한 도 3의 보안장치와 동일한 구조를 갖는다.
이것은 도 5의 개체_A와 개체_D가 상이한 통신 인터페이스 PHY_A와 PHY_D를 갖는 이기종 통신개체라도 동일한 보안정책 에이전트(13)를 갖게 하는 것이다.
또한, 제 2보안장치(52)도 제 1계층은 각각 PHY_C와 PHY_D로 구성되고, 제 2계층은 MAC_C와 MAC_D로 구성된다.
그리고, 2.5계층 보안장치(7)는 전술한 도 3의 보안장치와 동일한 구조를 갖는다.
또한, 제 1보안장치(50)의 제 1계층의 PHY_B와 제 2보안장치(52)의 제 1계층의 PHY_C가 서로 직결되거나 인터넷 등의 유선 또는 무선으로 연결되어 데이터의 송수신이 이루어질 수 있다.
상기한 바와 같이, 본 발명은 3계층과 2계층의 사이인 2.5계층에 보안 장치를 적용함으로써 종단간 암호설정이 어려운 경우 또는 3계층 이상에서만 보안이 가능한 시스템에도 내장형 2.5계층 보안장치(7) 또는 외장형 보안장치(50, 52)를 사용하여 동일한 보안이 가능한 장점이 있다.
1: 제 1통신개체
3: 제 2통신개체
5: 상위계층
7: 2.5계층 보안장치
13: 보안 에이전트
15: 암호모듈

Claims (6)

  1. 상위계층 및 제 1 내지 제 3계층으로 구성되는 제 1통신개체와, 제 1통신개체와 동일한 구조를 갖는 제 2통신개체로 이루어지는 산업제어 시스템의 통신 시스템에 있어서,
    제 1 및 제 2통신개체의 제 2계층과 제 3계층 사이에 각각 탈착식으로 배치되는 2.5 계층 보안장치를 포함하며,
    상기 2.5 계층 보안장치는 통신처리부와;
    상위 인터페이스가 연결되는 입,출력 포트와;
    하위 인터페이스가 연결되는 입,출력 포트와;
    상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 데이터의 보안절차를 진행하는 보안 에이전트와;
    보안 에이전트에 연결되어 암호화를 실시하는 암호모듈과;
    CPU 및 전원을 포함하며,
    보안 에이전트는 데이터의 기밀성을 보장하기 위하여 데이터를 암호화하는 암호화부와; 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하고,
    암호모듈은 암호기능 유닛과, 관리 유닛을 포함하는 것을 특징으로 하는 산업제어 시스템의 통신 시스템.
  2. 상위계층 및 제 1 내지 제 3계층으로 구성되는 제 1통신개체와, 제 1통신개체와 동일한 또는 상이한 구조를 갖는 제 2통신개체로 이루어지는 산업제어 시스템의 통신 시스템에 있어서,
    제 1통신개체의 제 1계층과 탈착식으로 직결하거나, 제 1통신개체의 제 2계층과 탈착식으로 직결되는 제 1보안장치와;
    제 2통신개체의 제 1계층과 탈착식으로 직결되거나, 제 2통신개체의 제 2계층과 탈착식으로 직결되며, 제 1보안장치와 연결되는 제 2보안장치를 포함하며,
    상기 제 1 및 제 2보안장치는 복수개의 제 1계층과, 복수개의 제 2계층과, 상위 계층으로서의 2.5계층 보안장치를 각각 포함하며,
    2.5계층 보안장치는 통신 처리부와;
    상위 인터페이스가 연결되는 입,출력 포트와;
    하위 인터페이스가 연결되는 입,출력 포트와;
    상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 데이터의 보안절차를 진행하는 보안 에이전트와; 그리고
    보안 에이전트에 연결되어 암호화를 실시하는 암호모듈과;
    CPU 및 전원을 포함하며,
    보안 에이전트는 데이터의 기밀성을 보장하기 위하여 데이터를 암호화하는 암호화부와; 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하고,
    암호모듈은 암호기능 유닛과, 관리 유닛을 포함하는 산업제어 시스템의 통신 시스템.
  3. 삭제
  4. 제 1항 또는 제 2항에 있어서,
    암호기능 유닛은 블록 암호를 반복적으로 사용하여 데이터에 대한 기밀 및 인증 등을 지원하는 블록암호 운영모드; 해시함수(hash function)와; 메시지 인증코드를 생성하기 위한 모드를 포함하는 산업제어 시스템의 통신 시스템.
  5. 제 1항 또는 제 2항에 있어서,
    관리유닛은 난수를 생성하는 모드와; 키를 생성하는 모드와; 키를 삭제하는 제로화 모드와; 상기 모드들과 연계하여 보안 정책에 의해 키의 생성부터 폐기까지 전 과정을 관리하는 암호키 관리모드와; 암호모듈 전체를 관리하는 암호모듈 관리모드를 포함하는 산업제어 시스템의 통신 시스템.
  6. 제 2항에 있어서,
    제 1보안장치는 제 1계층은 각각 PHY_A와 PHY_B로 구성되고, 제 2계층은 MAC_A와 MAC_B로 구성되며, 제 2보안장치는 제 1계층은 각각 PHY_C와 PHY_D로 구성되고, 제 2계층은 MAC_C와 MAC_D로 구성되며,
    제 1보안장치의 제 1계층의 PHY_B와 제 2보안장치의 제 1계층의 PHY_C가 서로 직결되거나 인터넷 등의 유선 또는 무선으로 연결되어 데이터의 송수신이 이루어 지는 것을 특징으로 하는 산업제어 시스템의 통신 시스템.
KR1020150061324A 2015-04-30 2015-04-30 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템 KR101575050B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020150061324A KR101575050B1 (ko) 2015-04-30 2015-04-30 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020150061324A KR101575050B1 (ko) 2015-04-30 2015-04-30 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템

Publications (1)

Publication Number Publication Date
KR101575050B1 true KR101575050B1 (ko) 2015-12-07

Family

ID=54872491

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020150061324A KR101575050B1 (ko) 2015-04-30 2015-04-30 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템

Country Status (1)

Country Link
KR (1) KR101575050B1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20190123171A (ko) * 2018-04-23 2019-10-31 주식회사 에이피씨테크 산업 제어 시스템의 보안을 강화하는 보안 통신 장치
KR20220071643A (ko) * 2020-11-24 2022-05-31 부산대학교 산학협력단 에이전트 기반의 암호모듈 연동 시스템 및 방법

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101252529B1 (ko) 2013-02-19 2013-04-09 삼덕전기 주식회사 이중화를 지원하는 배전반용 보안 시스템

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101252529B1 (ko) 2013-02-19 2013-04-09 삼덕전기 주식회사 이중화를 지원하는 배전반용 보안 시스템

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
장영민, 한국정보통신기술협회 보고서 "이종망간의 Handover 관련 표준화 및 기술 동향" (2004.12.31. 공개)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20190123171A (ko) * 2018-04-23 2019-10-31 주식회사 에이피씨테크 산업 제어 시스템의 보안을 강화하는 보안 통신 장치
KR102073363B1 (ko) * 2018-04-23 2020-03-02 주식회사 에이피씨테크 산업 제어 시스템의 보안을 강화하는 보안 통신 장치
KR20220071643A (ko) * 2020-11-24 2022-05-31 부산대학교 산학협력단 에이전트 기반의 암호모듈 연동 시스템 및 방법
KR102423178B1 (ko) * 2020-11-24 2022-07-20 부산대학교 산학협력단 에이전트 기반의 암호모듈 연동 시스템 및 방법

Similar Documents

Publication Publication Date Title
Nilsson et al. Key management and secure software updates in wireless process control environments
US8254581B2 (en) Lightweight key distribution and management method for sensor networks
EP0998799B1 (en) Security method and system for transmissions in telecommunication networks
US8345875B2 (en) System and method of creating and sending broadcast and multicast data
US7774594B2 (en) Method and system for providing strong security in insecure networks
CN102065016B (zh) 报文发送和接收方法及装置、报文处理方法及系统
US9992177B2 (en) Method and system for modifying an authenticated and/or encrypted message
KR101485279B1 (ko) 링크 계층 보안 전송을 지원하는 스위칭 장치 및 그의 데이터 처리 방법
CN102088441B (zh) 消息中间件的数据加密传输方法和系统
CN101170413B (zh) 一种数字证书及其私钥的获得、分发方法及设备
EP2329621A1 (en) Key distribution to a set of routers
CN111726346A (zh) 数据安全传输方法、装置及系统
CN109639438A (zh) 一种基于数字签名的scada网络工业信息加密方法
CN102088352A (zh) 消息中间件的数据加密传输方法和系统
KR101575042B1 (ko) 이종의 자동제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템
CN115459912A (zh) 一种基于量子密钥集中管理的通信加密方法及系统
KR101575050B1 (ko) 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템
KR101575040B1 (ko) 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템
KR101578910B1 (ko) 이종의 통신 인터페이스를 갖는 영상 감시 시스템의 2.5계층 보안 시스템
CN101783792B (zh) 基于互联网的加密通信方法及系统
KR100582409B1 (ko) 무선랜 시스템에서의 암호키 생성 방법
KR101575048B1 (ko) 이종의 통신 인터페이스를 갖는 수배전반간의 2.5계층 보안 시스템
Seller LoRaWAN security
Wu et al. An approach of security protection for VSAT network
JP2009159220A (ja) 通信装置及び暗号変換方法

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20180923

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20190921

Year of fee payment: 5