KR930004434B1

KR930004434B1 - 다중 등급기밀 데이타 보호용 액세스 제어방법

Info

Publication number: KR930004434B1
Application number: KR1019910006758A
Authority: KR
Inventors: 이철원; 홍기융; 박태규; 김대호
Original assignee: 재단법인 한국전자통신연구소; 경상현
Priority date: 1991-04-26
Filing date: 1991-04-26
Publication date: 1993-05-27
Also published as: KR920020324A

Abstract

내용 없음.

Description

다중 등급기밀 데이타 보호용 액세스 제어방법

제1도는 본 발명이 적용되는 하드웨어 시스템의 구성도.

제2도는 본 발명에 의한 액세스 제어방법의 소프트웨어 구성도.

제3도는 제2도의 MLS 액세스 제어부의 세부구성도.

제4도는 제2도의 기밀 등급 관리부의 세부구성도.

제5도는 본 발명에 의한 액세스 제어방법의 흐름도.

* 도면의 주요부분에 대한 부호의 설명

1 : 보조기억장치 2 : 주기억장치

3 : MLS 액세스 제어부 4 : 명령어 위치주소 계산기

5 : DAC 비교기 6 : 명령어 해석기

7 : 화일 액세스부 11,11a : 사용자

12,12a,12b : 응용프로그램 13 : 소프트웨어 라이브러리 인터페이스 함수

14 : 시스템 호출 인터페이스 15 : 기밀등급 관리부

16 : MLS 액세스 제어부 17 : MLS 위반기록부

18 : 객체 기밀등급 설정부 19 : 내부적 커널 함수

20 : 주체 21 : 액세스 제어 결정부

22 : MAC 모듈 23 : DAC 모듈

24 : 액세스 제어 정보 저장소 25 : 객체

26 : 기밀등급 조회부 27 : 기밀등급 변경부

본 발명은 데이타를 저장하고 처리하는 컴퓨터 시스템에서 사용자의 시스템 자원에 대한 불법적인 액세스를 제어하는 방법에 관한 것으로, 특히 사용자의 기밀등급(security level)별 신원허가와 화일에 포함된 데이타의 기밀성에 근거하여 화일에 대한 액세스를 제어하는 방법에 관한 것이다.

일반적인 기존의 컴퓨터 시스템에서는 시스템의 자원에 대한 불법적인 액세스의 방지 방법으로 사용자의 식별자(Identification:ID)에 근간한 임의적인 액세스 제어(Discretionary Access Control:DAC)만을 실행하고 있다.

그런데, 임의적인 액세스 제어(DAC)는 그 속성상 시스템 자원에 대한 액세스를 사용자를 식별자(ID)에 전적으로 근거를 두고 있으므로 DAC 메카니즘은 데이타의 기밀등급을 위한 정보유지방법을 가지고 있지 않으며, 이러한 기밀등급 정보에 근거한 액세스 제어를 수행하지 못한다.

따라서, 상기와 같이 주체(사용자)의 식별자가 매우 중요하므로 만약 다른 사용자의 식별자를 사용하여 어떤 액세스 행위가 이루어질 수 있다면 DAC에 의한 액세스 제어는 안전성을 보장하기 못하게 되며, 소프트웨어가 정상적인 기능이외에 컴퓨터내에 저장된 데이타를 불법적으로 변경, 제거등의 행위를 시도하거나 시스템에게 오동작을 하도록 하므로써 안정성을 침해하는 시스템 공격형태의 한 행위인 트로이 목마에 대한 취약점을 가지는 문제점이 있었다.

상기 문제점을 개선하기 위해 안출된 본 발명은 사용자의 기밀등급과 화일에 포함된 데이타의 기밀성에 근거하여 화일에 대한 액세스를 제어할 수 있는 강제적 액세스 제어(Mandatory Access Control)에 따른 다중등급기밀(Multi-Level Security:MLS) 데이타 보호용 액세스 제조방법을 제공함에 그 목적이 있다.

상기 목적을 달성하기 위해 본 발명은 주기억장치, 상기 주기억장치에 연결된 보조기억장치, 상기 주기억장치에 연결된 명령어 해석수단, 상기 명령어 해석수단에 연결된 DAC(Discretionary Access Control) 비교수단, 상기 DAC 비교수단과 명령어 해석수단에 연결된 MLS(Multi-Level Security) 액세스 제어수단, 상기 주기억장치와 MLS 액세스 제어수단에 연결된 명령어 위치 주소 계산수단, 및 상기 명령어 해석수단과 보조기억장치에 연결된 화일 액세스 수단을 포함하여 구성된 컴퓨터 시스템의 다중 등급기밀 데이타 보호용 액세스 제조방법에 있어서, 상기 컴퓨터 시스템을 사용하려고 하는 사용자가 상기 컴퓨터 시스템으로의 진입을 위한 로그인 작업을 수행하는 제1단계, 상기 사용자가 원하는 자원을 액세스하고자 하는 명령어를 입력시키고 상기 입력된 명령어를 실행하기 위한 주체를 생성하는 제2단계, 상기 주체에 대한 액세스 제어 결정을 위해 DAC 조사를 수행하여 액세스 제어 특성의 만족 여부를 검색하는 제3단계, 및 상기 DAC 조사단계에서 액세스 제어 특성을 만족하면 MAC(Mandatory Access Control) 조사를 수행하여 액세스 제어특성의 만족 여부를 검색하여 만족하면 사용자가 원하는 객체를 액세스하는 제4단계에 의해 수행된다.

이하, 첨부한 도면을 참조하여 본 발명의 일실시예를 상세히 설명한다.

제1도는 본 발명이 적용되는 하드웨어 시스템의 구성도로, 1은 보조기억장치, 2는 주기억장치, 3은 MLS 액세스 제어부, 4는 명령어 위치 주소 계산기, 5는 DAC 비교기, 6은 명령어 해독기, 7은 화일 액세스부를 각각 나타낸다.

본 발명이 적용되는 하드웨어 시스템은 제1도에 도시한 바와 같이 주기억장치(2), 상기 주기억장치(2)에 연결된 보조기억장치(1), 상기 주기억장치(2)에 연결된 명령어 위치 주소 계산기(4), 상기 명령어 위치 주소 계산기(4)에 연결된 MLS 액세스 제어부(3), 상기 MLS 액세스 제어부(3)에 연결된 DAC 비교기(5), 상기 주기억장치(1)와 MLS 액세스 제어부(3)와 DAC 비교기(5)에 연결된 명령어 해석기(6) 및 상기 명령어 해석기(6)와 보조기억장치(1)에 연결된 화일액세스부(7)로 구성된다.

상기 보조기억장치(1)는 패스워드화일, 신원허가화일, 및 기밀 데이타가 담긴 객체 화일을 저장하고 있는 기억장치이다.

상기 주기억장치(2)는 사용자(주체)의 액세스 제어정보를 저장하는 저장소, 화일(객체)의 액세스 제어정보를 저장하는 저장소, 및 명령어를 저장하는 저장소를 포함하여 구성된 기억장치이다.

상기와 같이 구성된 하드웨어 시스템의 동작을 설명하면 다음과 같다.

사용자의 식별자의 사용자 기미등급은 상기 보조기억장치(1)의 패스워드 화일과 신원허가 화일로부터 주기억장치(2)의 저장소로 저장되고, 화일의 오우너(OWNER) 식별자와 허가권한 비트(Permission Bit)와 화일 기밀등급은 보조기억장치(1)의 객체화일로부터 주기억장치(2)의 저장소로 옮겨 저장된다.

사용자의 명령어는 상기 주기억장치(2)의 명령어 저장소로부터 명령어 해석기(6)로 보내기고 명령어가 판독 액세스이면 DAC 비교기(5)에서 사용자 식별자와 허가권한 비트와 비교하여 판독 액세스가 정의되었는지 검색한다. 상기 검색결과가 MLS 액세스 제어부(3)로 입력되고 상기 MLS 엑세스 제어부(3)에서는 사용자 기밀등급과 화일 기밀등급을 참조하여 이들간의 값을 비교하여 사용자의 기밀등급이 화일의 기밀등급 보다 크거나 같고 상기 DAC 비교기(5)에서의 비교 결과가 참(true)이고, 판독 액세스 요청이면 판독 액세스가 허가된다.

상기와 같은 방법으로 상기 명령어 해석기(6)에서의 기록 액세스 요청과 실행액세스 요청의 허가 결정이 이루어지면 최종적으로 MLS 액세스 제어가 이루어진다. 즉 액세스 요청이 허가되면 명령어 위치 주소 계산기(4)에서 명령어의 위치 주소를 계산하여 상기 주기억장치(2)의 명령어 자장소로 보내고, 다시 명령어 해석기(6)에서 읽어들여 화일액세스부(7)에서 화일액세스를 실행하도록 한다.

제2도는 본 발명에 의한 액세스 제어방법의 소프트웨어 구성도로, 11,11a는 사용자, 12,12a,12b는 응용프로그램, 13은 소프트웨어 라이브러리 인터페이스 함수, 14는 시스템 호출 인터페이스, 15는 기밀등급 관리부, 16은 MLS 액세스 제어부, 17은 MLS 위반 기록부, 18은 객체 기밀등급 설정부, 19는 내부적 커널함수를 각각 나타낸다.

본 발명에 의한 액세스 제조방법의 소프트웨어는 제2도에 도시한 바와 같이 사용자의 내부적인 커널 함수(19)를 통한 자원의 액세스 요청시에 사용자가 합법적인 사용자 인지와 사용자의 요구가 정당한지를 판정하여 합법적인 사용자이며 사용자의 요구가 정당할시에만 자원에 대한 액세스를 허가하도록 하는 MLS 액세스 제어부(16)와 액세스 제어 위반시 이를 감시할 수 있도록 콘솔에 메시지를 출력하는 MLS 위반 기록부(17), 그리고 객체 및 주체의 기밀등급을 설정 및 관리하는 기밀등급 관리부(15)와 기미등급 설정부(18)로 이루어진다.

컴퓨터 시스템의 사용자(11)(11a)들은 그들의 응용프로그램(12,12a,12b)을 통하여 시스템내의 어떤 자원을 액세스하려고 할대 소프트웨어 라이브러리 인터페이스 함수(13) 또는 시스템 호출 인터페이스(14)를 통하여 내부적 커널 함수(19)에 도달하게 되는데 이때 사용자의 모든 액세스 요구는 MLS 액세스 제어부(16)를 거쳐 통제를 받게된다. 상기 MLS 액세스 제어부(16)에서는 사용자에게 부여된 기밀등급과 객체에게 설정된 기밀등급을 비교함으로써 액세스 요구를 허가할 것인지 아니면 거절할 것인지를 결정한다. 정당한 사용자의 요구이면 액세스를 허가하여 내부적 커널 함수(19)의 서비스를 제공하며, 불법적인 사용자의 요구일 경우에는 액세스를 거절하고 MLS 위반 기록부(17)에 상기 사실을 알린다.

객체가 시스템에서 처음 생성될 때에는 상기 MLS 액세스 제어부(16)에서 생성허가가 결정된 후 객체 기밀등급 설정부(18)를 통하여 해당된 기밀등급을 객체에게 부여한다. 주체 및 객체들의 기밀등급을 조회하거나 설정된 기밀등급을 변경하고자 할때에는 기밀등급 관리부(15)를 통하여 이루어진다.

상기와 같이 사용자의 자원에 대한 액세스 요구를 제어함으로서 중요한 기밀데이타가 저장되어 있는 객체들의 기밀성을 보장하게 된다.

제3도는 제2도의 MLS 액세스 제어부(16)의 세부 구성도로, 20은 주체, 21은 액세스 제어 결정부, 22는 MAC 모듈, 23은 DAC 모듈, 24는 액세스 제어 정보 저장소, 25는 객체를 각각 나타낸다.

상기 MLS 액세스 제어부(16)는 제3도에 도시한 바와 같이 주체(20)의 객체(25)에 대한 모든 액세스 시도가 액세스 제어 결정부(21)를 통하도록 하여 사용자의 불법적인 액세스 시도를 방지하도록 구성하였으며 액세스 제어 결정부(21)와 MAC 모듈(22)과 DAC 모듈(23)도 포함하여 이루어진다.

상기 주체(20)는 사용자 또는 사용자를 대신한 프로세스(process)를 의미하여 상기 객체(25)는 시스템 자원, 즉 화일을 나타낸다.

상기 액세스 제어정보 저장소(24)는 컴퓨터 시스템에 등록된 모든 사용자에 관한 정보 즉, 패스워드 및 신원허가 정보 그리고 객체에 대한 모든 정보 즉, 기밀등급과 카테고리(categories) 정보를 포함하고 있다.

그러므로, 모든 액세스 요구가 이루어질때 마다 액세스 제어 정보 저장소(24)의 정보를 참조하여 액세스 허가를 결정한다.

상기 액세스 제어 결정부(21)는 MAC 모듈(22)과 DAC 모듈(23)의 결정에 근거하여 액세스 허가를 결정한다. MAC 모듈(22)은 주체의 기밀등급과 객체의 기밀등급간에 서로 높고 낮은 관계를 비교하며, DAC 모듈(23)은 주체가 요구한 액세스가 객체에 대하여 시스템에서 정의되어 있는가를 판단한다.

상기 MAC 모듈(22)은 다음과 같은 액세스 제어 특성을 만족하는가를 판단한다.

첫째, 주체의 액세스 요구가 판독(read)인 경우 한 주체의 기밀등급은 객체의 기밀등급보다 크거나 같아야 한다.

둘째, 주체의 액세스 요구가 실행(execute)인 경우 한 주체의 기밀등급은 객체의 기밀등급보다 크거나 같아야 한다.

셋째, 주체의 액세스 요구가 기록(write)인 경우 객체의 기밀등급은 주체의 기밀등급보다 크거나 같아야 한다.

상기 DAC 모듈(23)은 다음과 같은 액세스 제어 특성을 만족하는가를 판단한다.

첫째, 주체의 액세스 요구가 판독인 경우 상기 판독 액세스가 대상 객체에 대하여 정의되어 있어야 한다.

둘째, 주체의 액세스 요구가 실행인 경우 상기 실행 액세스가 대상 객체에 대하여 정의되어 있어야 한다.

셋째, 주체의 액세스 요구가 기록인 경우 상기 기록 액세스가 대상 객체에 대하여 정의되어 있어야 한다.

상기 DAC 모듈(23)은 주체가 객체에 대하여 가지고 있는 허가권한 비트(permission bit) 혹은 주체의 그룹(group)이 객체에 대하여 가지고 있는 허가권한 비트를 근거로 하여 객체에 대한 액세스 허가 여부를 결정하게 되는 기존의 방법으로 본 발명과 연계시켰다.

상기와 같은 방법을 이용하면, 주체(20)의 객체(25)에 대한 모든 액세스 시도는 MAC 모듈(22)의 액세스 제어 특성을 만족하고 이와 동시에 DAC 모듈(23)의 액세스 제어 특성을 모두 만족할 경우에만 액세스 제어 결정부(21)에 의하여 액세스를 허가한다. 이때, 액세스 제어 특성을 만족하지 못한 경우에, 즉 불법적인 액세스의 경우에는 MLS 위반 기록부(17)를 통하여 상기 위반 사실을 콘솔에 출력한다.

제4도는 제2도의 기밀등급 관리부(15)의 세부 구성도로, 26은 기밀등급 조회부, 27은 기밀등급 변경부를 각각 나타낸다.

상기 기밀등급 관리부(15)는 기밀등급조회부(26)와 기밀등급변경부(27)로 구성된다. 상기 기밀등급조회부(26)는 사용자가 주체(20) 혹은 객체(25)의 기밀등급을 조회하고자 할때 이용되는 것으로 해당되는 주체(20) 및 객체(25)의 기밀등급을 액세스 제어정보 저장소(24)로부터 참조하여 출력해 준다. 상기 기밀등급조회부(26)도 역시 MLS 액세스 제어부(16)의 통제를 받는다.

상기 등급등급 변경부(27)는 사용자가 주체(20) 혹은 객체(25)의 기밀등급을 변경하고자 할때 이용되는 것으로 해당되는 주체(20) 및 객체(25)의 기밀등급을 변경코자하는 기밀등급으로 변경하여 액세스 제어 정보 저장소(24)에 갱신시켜 준다. 상기 기밀등급 변경부(27)도 역시 MLS 액세스 제어부(16)의 통제를 받게 되므로 허가된 기밀등급을 위반하여 불법적으로 변경시키지는 못한다.

상기 객체 기밀등급 설정부(19)는 객체(25)가 시스템내에 처음생성될때 상기 생성된 객체에게 기밀등급을 설정하는 기능을 수행한다. 생성된 객체에게는 상기 객체를 생성시킨 주체의 기밀등급이 부여되어 액세스 제어 저장소(24)에 기록된다. 이렇게 함으로써 시스템내에 생성된 모든 객체는 MLS 액세스 제어부(16)에 의하여 불법적인 액세스로부터 안정하게 보호된다.

제5도는 본 발명에 의한 액세스 제조방법의 흐름도이다.

먼저 컴퓨터 시스템을 사용하고자 하는 사용자는 시스템에 로그인(login) 과정을 거치게 된다(30,31,32,33). 즉, 사용자가 식별자와 패스워드(password)와 사용자의 등급기밀을 입력시키는 사용자 로드인 과정을 거친후에 사용자 확인 및 인증 절차를 거치게 되는데 먼저, 사용자가 입력한 패스워드와 시스템내의 패스워드화일내의 암호화된 패스워드 필드와의 일치성 여부를 조사한 후(30,31), 부합될 경우에 사용자가 입력한 기밀등급이 상기 사용자에게 허가된 사용자 신원허가 범위내에 있는지를 조사하여(32,33) 정당한 사용자가 아닐 경우에는 시스템으로의 로그인이 거절되고 수행이 종료되며(35), 정당한 사용자로 인증을 받은 후에는 일반적인 시스템 동작 순서와 마찬가지로 쉘(shell) 프로세스가 수행된다(34).

쉘 프로세스 수행후 시스템에게 명령어를 입력시킴으로써 원하는 자원을 액세스하고자 시도하게 된다(36). 시스템에 입력된 명령어를 실행하기 위해 시스템은 해당된 주체, 즉 프로세스를 생성시킨다(37). 상기와 같이 생성된 주체는 사용자를 대신하여 행위를 실행하는 대행의 프로세스이다. 상기 주체에 대한 액세스 제어 결정을 위하여 먼저 DAC 조사를 한다(38), 즉, 주체가 요구한 액세스가 객체에 대하여 시스템에 정의되어 있는가를 다음과 같은 액세스 제어 특성을 만족하는가에 따라 판단한다.

둘째, 주체의 액세스 요구가 실행인 경우 상기 실행 액세스가 대상 객채에 대하여 정의되어 있어야 한다.

셋째, 주체의 엑세스 요구가 기럭인 경우 기록 액세스가 대상 객체에 대하여 정의되어야 한다.

상기 DAC 조사 단계에서 상기와 같은 액게스 제어특성을 만족하면 MAC 조사가 이루어진다(39). 상기 MAC 조사는 사용자가 시스템에 행하는 어떤 행위, 예를들어 화일의 판독, 기록, 실행등이 다음과 같은 액세스 제어특성을 만족할 경우에만 수행됨을 보장한다.

셋째, 주체의 액세스 요구가 기록(write)인 경우 객체의 기밀등급은 주체의 등급보다 크거나 같아야 한다.

상기 MAC 조사단계에서 상기와 같은 액세스 제어특성을 만족할 경우에는 액세스 허가가 결정되어 사용자가 원하는 객체를 액세스하게 된다(40).

반면에 상기 DAC 조사와 MAC 조사단계(38,39)에서 상기 액세스 제어특성을 만족하지 못한 사용자의 행위들은 거절되며(41), 이때의 액세스 제어위반(Access Control Violation) 사항은 시스템 콘솔(console)에 프린트된다(42).

액세스가 허용된 주체는 주체가 원하는 행위를 수행한 후 전체 처리 절차를 종료하거나 상기 사용자 명령어 입력단계(36)로 돌아와 다른일을 수행하게 된다.

상기와 같이 구성되어 동작하는 본 발명은 종래의 시스템에서 제공하고 있는 DAC 기능에 다중등급 기밀 데이타 보호를 위한 액세스 제조방법을 추가함으로써 다중등급기밀을 갖는 데이타를 안전하게 보보할 수 있도록 하고, 사용자의 시스템 액세스시에 시행되는 사용자 인증 및 식별 절차를 개선함으로서 사용자의 신원 허가에 준하는 액세스 행위만을 가능하도록 하여 불법적인 사용자의 시스템 자원 사용을 강력하게 통제하였으며 시스템내의 보안 위반 사항이 콘솔에 프린트되게 함으로서 시스템 보안 관리자로 하여금 사후의 시스템 보안 관리를 용이하게 하는 적용효과가 있다.

Claims

주기억장치(2), 상기 주기억장치(2)에 연결된 보조기억장치(1), 상기 주기억장치(2)에 연결된 명령어 해석수단(6), 상기 명령어 해석수단(6)에 연결된 DAC(Discretionary Access Control) 비교수단(5), 상기 DAC 비교수단(5)과 명령어 해석수단(6)에 연결된 MLS(Multi-Level Security) 액세스 제어수단(3), 상기 주기억장치(2)와 MLS 액세스 제어수단(3)에 연결된 명령어 위치 주소 계산수단(4), 및 상기 명령어 해석수단(6)과 보조기억장치(1)에 연결된 화일 액세스 수단(7)을 포함하여 구성된 컴퓨터 시스템의 다중 등급 기밀 데이타 보호용 액세스 제조방법에 있어서; 상기 컴퓨터 시스템을 사용하려고 하는 사용자가 상기 컴퓨터 시스템으로의 진입을 위한 로그인 작업을 수행하는 제1단계(30,31,32,33,34,35), 상기 사용자가 원하는 자원을 액세스하고자 하는 명령어를 입력시키고 상기 입력된 명령어를 실행하기 위한 주체를 생성하는 제2단계(36,37), 상기 주체에 대한 액세스 제어 결정을 위해 DAC 조사를 수행하여 액세스 제어 특성의 만족 여부를 검색하는 제3단계(38), 및 상기 DAC 조사단계에서 액세스 제어특성을 만족하는 MAC(Mandatory Access Control) 조사를 수행하여 액세스 제어특성의 만족 여부를 검색하여 만족하면 사용자가 원하는 객체를 액세스하는 제4단계(39,40)에 의해 수행되는 것을 특징으로 하는 다중등급기밀 데이타 보호용 액세스 제조방법.
제1항에 있어서, 상기 DAC 조사 및 MAC 조사단계에서 액세스 제어특성을 만족하지 못하면 사용자가 원하는 객체의 액세스를 거절하고 액세스 제어 위반사항을 기록하는 단계(41,42)를 더 포함하여 수행되는 것을 특징으로 하는 다중등급기밀 데이타 보호용 액세스 제조방법.
제1항 또는 제2항에 있어서, 상기 로그인 작업 수행단계는 상기 사용자가 사용자 식별자와 패스워드를 입력시키고 상기 입력된 패스워드와 시스템내의 암호화된 패스워드와의 일치성 여부를 검색하는 단계(30,31), 상기 패스워드가 일치하면 상기 사용자가 사용자 기밀등급을 입력시키고 상기 입력된 사용자 기밀 등급이 사용자 신원허가 범위내에 존재하는지의 여부를 검색하는 단계(32,33), 및 상기 사용자 기밀등급이 사용자 신원허가 범위내에 존재하면 쉘(shell) 프로세스를 실행하는 단계(34)에 의해 수행되는 것을 특징으로 하는 다중등급기밀 데이타 보호용 액세스 제조방법.
제1항 또는 제2항에 있어서, 상기 DAC 조사 단계의 액세스 제어특성의 만족여부는 주체의 액세스 요구가 판독인 경우 상기 판독 액세스의 대상 객체에 대한 정의, 주체의 액세스 요구가 실행인 경우 상기 실행 액세스의 대상 객체에 대한 정의, 및 주체의 액세스 요구가 기록인 경우 상기 기록 액게스의 대상 객체에 대한 정의의 여부에 따라 결정되는 것을 특징으로 하는 다중등급기밀 데이타 보호용 액세스 제조방법.
제1항 또는 제2항에 있어서, 상기 MAC 조사단계의 액세스 제어특성의 만족여부는 주체의 액세스 요구가 판독인 경우 상기 주체의 기밀등급이 객체의 기밀등급보다 크거나 같은지의 여부, 주체의 액세스 요구가 실행인 경우 상기 주체의 기밀등급이 객체의 기밀등급보다 크거나 같은지의 여부, 및 주체의 액세스 요구가 기록인 경우 객체의 기밀등급이 주체의 기밀등급보다 크거나 같은지의 여부에 따라 결정되는 것을 특징으로 하는 다중등급기밀 데이타 보호용 액세스 제조방법.