WO2013085281A1 - 클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치 - Google Patents

클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치 Download PDF

Info

Publication number
WO2013085281A1
WO2013085281A1 PCT/KR2012/010487 KR2012010487W WO2013085281A1 WO 2013085281 A1 WO2013085281 A1 WO 2013085281A1 KR 2012010487 W KR2012010487 W KR 2012010487W WO 2013085281 A1 WO2013085281 A1 WO 2013085281A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
user
cloud
cloud service
terminal
Prior art date
Application number
PCT/KR2012/010487
Other languages
English (en)
French (fr)
Inventor
허의남
나상호
박준영
김진택
Original Assignee
인텔렉추얼디스커버리 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인텔렉추얼디스커버리 주식회사 filed Critical 인텔렉추얼디스커버리 주식회사
Priority to US14/345,177 priority Critical patent/US20150012977A1/en
Publication of WO2013085281A1 publication Critical patent/WO2013085281A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/468—Specific access rights for resources, e.g. using capability register
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Definitions

  • the following embodiments relate to security in cloud computing services, and more particularly to security methods, apparatus and systems for providing personal cloud services through cloud computing security elements.
  • Cloud computing is a technology that provides large-scale IT resources by utilizing visualization technology and distributed processing technology.
  • the cloud computing service allows a user to be provided with a service for computing resources through the Internet.
  • the computing resource may include a memory resource, a central processing unit (CPU) resource, a network resource, and a storage resource.
  • the user may pay a fee corresponding to a computing resource used by the user to the operating entity of the cloud computing service.
  • cloud computing is a technology for integrating computing resources existing in different physical locations into one computing resource through virtualization technology and providing the integrated computing resources to users.
  • cloud computing may be regarded as 'user-oriented outsourcing service technology based on the Internet'.
  • the cloud computing service charges the user as much as the resources used by the user.
  • the user may be provided with all services such as hardware services, software services, and after-services through the computing environment of the cloud computing service.
  • cloud computing services have attracted attention, cloud computing services have become widespread, led by large IT companies.
  • cloud computing services there are four types of cloud computing services such as public cloud, private cloud, and the like.
  • Public cloud services provide cloud services over the Internet to a large number of unspecified users.
  • Public cloud service does not mean providing free service, nor does it mean opening of data and sources related to the service. Even in public cloud services, services such as user access control and billing may be provided. Under public cloud services, the provider of the service manages the user's information, and the resources of all cloud computing services are shared. Therefore, the public cloud service has a vulnerability in protecting a user's personal information.
  • Private cloud services provide the same computing environment as public cloud services.
  • Private cloud service means a cloud service that directly manages cloud computing services, data, and processes in a specific enterprise or institution.
  • private cloud services are a type of closed cloud service that avoids access from the outside for security and allows only authorized users access.
  • Communication cloud services are cloud computing services for specific groups of users. Communication cloud services only grant access to members of a specific group. Group members share data and applications with each other through communication cloud services.
  • Hybrid cloud services are a combination of public cloud services and private cloud services. Hybrid cloud services provide public cloud services by default and follow the policy of private cloud services for data and services that users do not want to share.
  • the structure of the cloud computing service may be classified into an infrastructure type service structure, a platform type service structure, and a software service structure.
  • Infra-structured service architecture provides users' own computing environment according to their needs.
  • the platform type service structure provides an environment in which a user selects a platform and uses the selected platform according to the computing purpose of the user.
  • the software service structure provides an environment in which a user can select and use software suitable for the purpose of use.
  • the model of cloud computing service may assume that the cloud service provider is single. However, new user-customized cloud services that combine various cloud services can be expected to emerge through collaboration among various operators.
  • the Internet has a host-client structure.
  • the user's terminal accesses the server through the Internet, and the terminal receives a service from the server through the Internet.
  • Cloud computing components may include a terminal and a provider of cloud services.
  • information of a user of the cloud service must be transmitted, processed, and processed between service providers.
  • the user's information may include personal information and service related information.
  • solutions to various problems such as reliability, security, legal issues, privacy and standardization of cloud computing are required.
  • One embodiment may provide a robust and systematic security system and security method for providing a cloud computing environment.
  • One embodiment may provide a security system and a security method that consider a virtual machine, a virtual resource sharing, and a virtual network to provide a virtualized environment.
  • One embodiment may provide a security system and a security method suitable for a cloud environment considering a virtualization, distributed computing, and roll-up service model that are characteristic of cloud computing.
  • receiving a request for access to a cloud service from a user terminal requesting a service provider for providing the cloud service to confirm the access authority of the user of the cloud service, the service Receiving a result of the confirmation from a provider and granting access to the cloud service to the token of the user if the result indicates that the user has access to the cloud service;
  • the cloud service method may be provided.
  • the cloud service method may further include transmitting an identifier of the terminal to an authenticator and receiving a result of authentication for the user based on the identifier from the authenticator.
  • the cloud service method may further include transmitting the token of the user to the terminal.
  • the cloud service method may further include receiving a request for registration information of the cloud service and authorization information of the user from the service provider and transmitting the registration information and the authorization information to the service provider. have.
  • the cloud service method may further include generating a configuration for providing the cloud service on the service provider.
  • the configuration for providing the cloud service may be a virtual machine performed on the service provider.
  • the cloud service may be provided to the terminal by the service provider through a virtual network.
  • the cloud service may be plural.
  • the access right may be granted to the token based on a policy for the cloud service of the service provider.
  • Cloud service integration server including a service component for generating a configuration for providing the cloud service on the study can be provided.
  • the access control unit may transmit an identifier of the terminal to the authentication unit, and may receive a result of authentication of the user based on the identifier from the authentication unit.
  • the access control unit may transmit the token of the user to the terminal.
  • the access controller may receive a request for registration information of the cloud service and authority information of the user from the service provider, and transmit the registration information and the authority information to the service provider.
  • a security system and a security method using an access control method, an authority delegation, and an authorization policy that match the characteristics of a personal cloud service are provided.
  • 1 illustrates 15 security domains of a CSA cloud.
  • FIG. 2 illustrates a cloud service model
  • FIG. 4 is a cloud computing service system according to an exemplary embodiment.
  • FIG. 5 is a structural diagram of a service integrator according to an embodiment.
  • FIG. 6 is a flowchart of a cloud service method according to an exemplary embodiment.
  • FIG. 7 is a cloud computing service system according to an exemplary embodiment.
  • FIG. 8 is a flowchart illustrating a procedure in which a user registers as a member of an ISP according to an exemplary embodiment.
  • FIG. 9 is a structural diagram of an MCSP according to an embodiment.
  • FIG. 10 illustrates a process of delegating and logging in personal information of a user, according to an exemplary embodiment.
  • FIG. 11 is a flowchart illustrating a user service configuration process according to an embodiment.
  • FIG. 12 illustrates an MCSP membership and MCSP usage procedure according to an embodiment.
  • URL Uniform Resource Locator
  • URI Uniform Resource Identifier
  • Amazon's EC2 can be an Infrastructure as a Service (IaaS) cloud that provides a virtual machine (VM) for the services that a user client wants.
  • Client software can reside within a virtual machine.
  • Amazon may not be responsible for services running inside virtual machines other than infrastructure services.
  • Amazon can provide powerful security devices, such as one-time token devices.
  • companies using security devices such as one-time token devices can use monitoring and management tools.
  • Monitoring and management tools may provide functions such as integrated identifier management, active tracking and remote control of authentication systems.
  • the method of revocation of the token used may be the key to security issues.
  • security services can only be provided within Amazon's own infrastructure.
  • EC2 clients can be solely responsible for the protection of data and programs inside the virtual server.
  • modifying security policies can be very difficult because data and software must be encrypted inside the service.
  • the code deployment documentation provided by Google describes the security services of the App Engine.
  • the security related information can be described in detail in the XML configuration file used when the service is loaded into the App Engine.
  • a problem with App Engine security solutions such as those described above may be that they can only provide authentication services associated with the Google account service.
  • Google accounts can be very vulnerable to security because they use a simple username and password authentication scheme.
  • the security service of the App Engine may be performed only in a service unit provided by the App Engine.
  • the client access control method for each selected element of the service function may have an unclear security service structure.
  • the service may need to ensure its own security. However, there may be nothing specified about security for service resources.
  • Azure's security services can be considered relatively superior to other cloud security services.
  • Clients or providers of cloud services can create, provide, and manage services by using Azure, a platform-type service (PasS).
  • PasS platform-type service
  • Azure may provide a security mechanism based on Secure Assertions Markup Language (SAMP).
  • SAMP may allow providers of cloud services to control access to users of the service.
  • the client or service requester may present credentials that enable authentication to itself upon request for service access.
  • the credentials presented may be issued by an Identity Provider (IP).
  • Credentials may be signed by an identity provider.
  • the signature allows the client or service requester to be authenticated.
  • Azure may provide a credential conversion service.
  • Azure can implement Azure's request to access control services and credential checking.
  • Azure the developer of the Azure service may have to manually determine the security policy.
  • Resources in the cloud can only be provided through cloud services. Therefore, resource security may be required and an optimal solution for resource security may be required.
  • the service can run after the resource security is guaranteed.
  • Resource protection can be implemented through the following methods.
  • Discretionary System A cloud service provider may grant or deny a client's access to resources. The greatest vulnerability of discretionary systems may be to not consider the meaning of client authentication with respect to stored data.
  • Non-discretionary System Approval or denial of resource access rights can be made based on classification and authentication by client.
  • the classification may be a classification for data or an application.
  • ACM Access Control Matrix
  • ACM may be one of the most commonly used of security approaches. Because ACM uses a matrix, you can easily approve, revoke, and make decisions. However, ACM may not work well in a centralized distributed computing environment.
  • the access control matrix may be composed of a row representing Access Control Lists (ACLs) and a column representing capabilities.
  • ACLs Access Control Lists
  • Each resource in the system may have a list of services.
  • the service list may have execution rights for each of the services and for each of the services.
  • ACLs can be applied across resources. Thus, the process classification of an ACL may not be detailed, while permission management of an ACL may be facilitated.
  • a security system using credentials can assign privileges to clients or services assigned to clients. In general, user credentials can define resources and permissions for resources. Credentials and ACLs can complement each other in their strengths and weaknesses.
  • ABAC Attribute Based Access Control
  • ABACs and ACMs can differ from each other in 1) the attributes assigned to services and resources, and 2) the way of granting rights through policies.
  • the service may be assigned attributes such as name and role. Resources can be assigned owners and domains. Specific functions of the service may be performed within a range that satisfies a policy rule. The scope of satisfying the policy rule may be determined by comparing each attribute of the service and each attribute of the resource with each other. In ABAC, there may be issues with attribute attestation depending on the use of the attribute.
  • Access rights can be granted based on stored confidential data and user approval.
  • a model capable of extending functionality and modifying ACLs can be proposed.
  • the clearance capability may be a trusted identifier that includes additional capabilities for data protection.
  • the authorization function may include a security step to provide client authorization for accessing specific classes of information.
  • the following comparison procedure may be performed. First, the content of the approval field and the classification of the requested resource can be compared. If the content of the approval field corresponds to the classification of the requested resource, the security state may be determined to be "secure”. Otherwise, access requested by the client may be denied. If the security state is "secure", the access rights field and the requested operation can be compared. If the access right field corresponds to the requested operation, the client can access the requested resource.
  • Resources within the cloud can change from simple information storage to complete business workflows. Data security in a shared environment can be complex because all clients must be identified. In addition, although encryption may be provided for the protection of the stored data, a high cost may be incurred each time encrypted data is used.
  • Transport Layer Security TLS
  • Transport Layer Security Processor Transport Layer Security Processor
  • SSL Secure Sockets Layer
  • HTTPS may provide communication security for networks that are directly connected to the Internet or the cloud as an encryption protocol.
  • the encryption system may use a symmetric encryption method or an asymmetric encryption method.
  • Symmetric encryption may have a simple structure, but may have a weak point in key management.
  • the asymmetric encryption method can compensate for the weaknesses of the symmetric encryption method and use different keys for encrypting and decrypting data.
  • AKK Asymmetric Key Cryptosystem
  • AKC can use two keys: a private key and a public key. If the data is asymmetrically encrypted using one of the public key or the private key, the remaining key can be used to decrypt the data. In asymmetric encryption, two keys may have a one-way characteristic. The public key can be open to anyone. Thus, asymmetric encryption can be vulnerable to Man In The Middle Attack (MITMA). The problem that asymmetric encryption is vulnerable to MITMA can be solved by Certificate Authority (CA).
  • MITMA Man In The Middle Attack
  • CA Certificate Authority
  • Dual authentication may be to perform client authentication by using two of the three presented authentication means.
  • three authentication means may be "something you know” such as a password, "something you have” such as a token or smart card, and "user” such as a fingerprint. (something you are) ".
  • mutual authentication the implementation of two-factor authentication can be difficult.
  • the client may need to authenticate to the cloud service.
  • cloud services in a workflow may need to mutually authenticate each other.
  • the message can be converted to a hash value by a hash function.
  • the digital signature can be generated by applying a private key to the hash value.
  • the digital signature can be sent with the original message.
  • the recipient receiving the message may convert the original message into a first hash value.
  • the recipient can also generate the second hash value by decrypting the digital signature using the public key.
  • the receiver can compare the first hash value and the second hash value, and if the first hash value and the second hash value match, the receiver can confirm that the original message has not been tampered with.
  • Kerberos can authenticate a user without sending a user ID and password. Kerberos can use asymmetric encryption. A ticket is a strongly encrypted, electronically signed token. Authentication for service access from a remote domain can be performed through key sharing between Kerberoses. Kerberos can provide a very powerful and secure infrastructure environment. Kerberos can also be provided in a distributed computing environment. Thus, Kerberos can be applied to cloud environments.
  • the Cloud Security Alliance (CSA) White Paper can be applied to security threats, domains, and security controls in the cloud.
  • cloud service model There may be three cloud service models. There may be 15 security domains and 7 top threats in relation to the three cloud service models above. Also, 10 security control models to address the threats. And a security architecture of cloud computing consisting of related standard technologies.
  • 1 illustrates 15 security domains of a CSA cloud.
  • FIG. 1 names of 15 domains are shown, from the first domain to the fifteenth domain.
  • Security control can describe security requirements and definitions of security control methods required in relation to security threats and domains.
  • Resource management needs to manage all of the hardware, network, and software assets that make up the cloud infrastructure.
  • the software asset may be a physical software asset or a virtual software asset.
  • accounts may be accessed that access the physical or network foundation of the asset for audit and compliance.
  • Security systems may require infrastructure for management of encryption keys and credentials.
  • security systems may include standards-based encryption functions and services to protect information.
  • data may be stored encrypted.
  • some cloud service users may want to store data in separate spaces from other users to protect their data.
  • Limited endpoint security can be provided depending on network protocols and device types.
  • Identification, roles, authorizations and attributes need to be defined to implement effective access controls and enforce security policies for cloud-based resources.
  • Authorization may correspond to delegation.
  • the attribute may be determined according to the user and the service.
  • Protection against network traffic at the switch, router, and packet levels may be required. Security on the IP stack may also be required.
  • policies for access control, resource allocation and consistent decisions may be defined and determined.
  • enforcement of the security policy may be required.
  • the definition of the policy can be done automatically in accordance with the Service Level Alliance (SLA) and the license.
  • SLA Service Level Alliance
  • the security control flow of security audits can be automated.
  • management and analysis of the process can be automated.
  • the service automation may be notified to the administrator through an event when a violation of the user's security policy or license occurs.
  • configuration, operation and monitoring services may be provided.
  • FIG. 2 illustrates a cloud service model
  • the items under "Security Risks” shown on the left are seven threats defined based on vulnerabilities that exist in cloud computing.
  • the items under “Security Control” shown in the middle represent security controls corresponding to security risks.
  • the items under “Applicable Standard Technology” shown on the right represent standard technologies corresponding to security controls.
  • IaaS Infrastructure as a Service
  • the following items may be included as key threats to cloud computing.
  • the first threat may be an abuse and nefarious use of cloud computing.
  • the potential risk can be regarded as greater than that of existing botnets because of the nature of the cloud where information exists in virtual space.
  • the second threat may be an insecure interface and an application programming interface. If an application is built by reusing and synthesizing existing code to provide added value, security vulnerabilities can occur due to the increased complexity.
  • the third threat may be malicious insiders. There may be no guidelines or criteria in hiring staff for cloud services. By increasing the likelihood of hiring people for malicious purposes, such as hackers, organized crime or corporate espionage, there may be a risk of data leaking within cloud services.
  • the fourth threat may be shared technology issues. Infrastructure services can provide scalability based on shared technology. The fourth threat may exist in the absence of effective segregation of resources for a multi-tenant architecture.
  • the fifth threat may be data loss or leakage.
  • the structural and operational nature of cloud environments can increase the risk of data leakage. There can be various causes for the fifth threat.
  • the sixth threat may be account or service hijacking.
  • account access using phishing, fraud and software vulnerabilities can be considered a common situation. Leaving account information in a cloud environment can be the same threat as exposing all of your users.
  • the seventh threat may be an unknown risk profile.
  • Software versions, code updates, vulnerability profiles, intrusion attempts, and security designs can be considered essential to an enterprise's security posture check.
  • Each of the first to seventh threats illustrated in FIG. 3 may correspond to one of the first to seventh threats described above with reference to FIG. 2.
  • Entities such as hardware, middleware, data, applications, and APIs may exist in the first cloud service provider 310 and the second cloud service provider 320.
  • the hardware may correspond to IaaS.
  • the middleware may correspond to PaaS.
  • Data, applications, and APIs may correspond to SaaS.
  • Arrows from threats to entities may indicate threats that may apply to a particular entity.
  • the second threat may be particularly applicable to the API, and the sixth threat may be applied to the client 330.
  • FIG. 4 is a cloud computing service system according to an exemplary embodiment.
  • the cloud computing service system 400 may include a terminal 410, a service integrator 420, and an authenticator 430.
  • the cloud computing service system 400 may further include one or more service providers.
  • the cloud computing service system 400 may further include a first service provider 440 and a second service provider 450 as one or more service providers.
  • the cloud computing service system 400 may be a security system for cloud computing services.
  • the service integrator 420, the authenticator 430, and the one or more service providers may be components in the same physical device.
  • the service integrator 420, the authenticator 430, and the one or more service providers may be different physical devices from each other.
  • the cloud computing service system 400 may be configured of a plurality of servers.
  • the service integrator 420 may be a cloud service integration server.
  • the authenticator 430 may be an authentication server.
  • One or more service providers may be one or more cloud servers.
  • the terminal 410 may provide a user-customized service through a program such as a web browser regardless of the type of the terminal 410.
  • the terminal 410 may request authentication of a user using a token of the user generated by using a multi-factor. Authentication for the user may be authentication for the user's use of the cloud service.
  • the multifactor may be one or more of ID, Password X 509 Proof and Email.
  • the terminal 410 may access the cloud service using an ID and a password.
  • the service integrator 420 may provide an environment for providing various cloud services to the terminal 410 and the user of the terminal 410 through a virtual private network.
  • Various cloud services may be provided to the terminal 410 as a convergence service. As various cloud services are converged, scalability of cloud services may be improved.
  • the service integrator 420 may provide the authenticator 430 with the ID of the terminal 410 requesting access.
  • the service integrator 420 may be notified of the approval of the terminal 410 from the authenticator 430.
  • the approval for the terminal 410 may be an approval for the ID of the terminal 410.
  • the authenticator 430 may be operated by a third party operating entity other than an operator of the service integrator 420 and an operator of one or more service providers.
  • the authentication unit 430 may be operated by an authorized operating entity.
  • the authenticator 430 may manage user information provided from the terminal 410.
  • the terminal 410 may provide the personal information of the user to the authenticator 430.
  • the authentication unit 430 may receive authentication for management of personal information of the user through the user terminal 410.
  • the authenticator 430 may manage personal information of the user provided from the terminal 410.
  • the authenticator 430 may be authorized to authenticate the user from a site to which the user subscribes or a site to which the user intends to subscribe.
  • the authenticator 430 may perform authentication for the user according to the delegation.
  • the site subscribed to by the user may be the service integrator 420 or one or more service providers.
  • the terminal 410 may make a request for access to the cloud service from the service integrator 420.
  • the authentication unit 430 may perform authentication for the user.
  • the authenticator 430 may perform authentication for a user requested from another authority.
  • the authentication unit 430 may perform authentication only for a user who has previously registered through a government agency or an authorized certification authority.
  • the authentication unit 430 may issue a temporary ID to a user who has subscribed in advance. Through the issuance of the temporary ID, the authenticator 430 may perform authentication for the user without exposing the user's personal information.
  • One or more service providers may provide cloud services to the terminal 410 authenticated by the authenticator 430 through the virtual network.
  • Each of the one or more service providers may check an access right for the cloud service of the user or the terminal 410, and may provide a cloud service corresponding to the access right.
  • FIG. 5 is a structural diagram of a service integrator according to an embodiment.
  • the service integrator 420 may include an access controller 510, a service component 520, and an intrusion detector 530.
  • the function of the service integrator 420 described above with reference to FIG. 4 may be distributed to the access controller 510, the service component 520, and the intrusion detection unit 530.
  • the access controller 510 may grant access authorization and use authority to the token of the terminal 410 based on the service policy of the service provider.
  • the service provider may be one or more service providers described above with reference to FIG. 4.
  • the request for access to the service provider may be controlled by the access controller 510.
  • the access controller 510 may receive a request for access to a cloud service from the user's terminal 410.
  • the access controller 510 may transmit the ID of the terminal 410 to the authenticator 430.
  • the access controller 510 may receive a result of authentication for the user based on the ID from the authenticator 430.
  • the access controller 510 may request a service provider that provides a cloud service to confirm a user's access right to a cloud service.
  • the access control unit 510 may receive a result of confirming a user's access right to a cloud service from a service provider.
  • the access control unit 510 may grant access rights to the cloud service to the user's token when the result of the check regarding access indicates that the user has access rights to the cloud service.
  • the access control unit 510 may transmit the token granted the access right to the cloud service to the terminal 410.
  • the access controller 510 may receive a request for registration information of a cloud service and authority information of a user from a service provider.
  • the access controller 510 may transmit registration information and authority information to the service provider.
  • the service configuration unit 520 may generate a configuration for providing a cloud service on the service provider.
  • the configuration for providing a cloud service may be a virtual machine performed on a service provider.
  • the service configuration unit 520 may configure all services related to the cloud service requested by the user on the service provider.
  • the service component 520 may perform a function such as a service gateway, a service broker, a virtual private network management, a privacy management, and an audit.
  • the intrusion detection unit 530 may detect and block a physical attack against the cloud computing service system 400 or the service integrator 420 in advance.
  • the intrusion detection unit 530 may improve the availability of the cloud computing service system 400 or the service integrator 420 through proactive detection and blocking.
  • the physical attack may be a network attack using traffic congestion outside or inside the cloud computing service system 400.
  • the intrusion detector 530 may install a beginner detector in the service provider.
  • the beginner detector may be installed in a virtual machine on the service provider.
  • a beginner detector is a mandatory program that runs on a virtual machine and can be installed when the virtual machine is created.
  • the intrusion detection unit 530 may determine whether an intrusion into the cloud computing service system 400 or the service integrator 420 occurs based on the network usage rate and the resource usage rate measured by the beginner detector. If the intrusion detection unit 530 determines that an intrusion has occurred, the intrusion detection unit 530 may notify the service integrator 420 of the intrusion.
  • the beginner detector collects information of all the virtual machines in the cloud computing service system 400 to lower the possibility of erroneously determining whether an intrusion has occurred and lower the probability of false positives.
  • the intrusion detection unit 530 may exist in the service provider and may exist in the authenticator 430. In other words, the intrusion detection unit 530 may not be dependent on the service integrator 420.
  • the intrusion detecting unit 530 may collect network information and resource usage information from when a virtual machine is created in the service providing unit to provide a cloud service to the terminal 410. Entry level detectors can collect information from all the virtual machines that make up collaborative cloud computing. Intrusion detection unit 530 may determine whether the intrusion and whether the attack by detecting abnormal behavior patterns and the like based on the collected information.
  • FIG. 6 is a flowchart of a cloud service method according to an exemplary embodiment.
  • the user terminal 410 may transmit a request for access to the cloud service to the service integrator 420.
  • the service integrator 420 may receive a request for access to the cloud service from the terminal 410.
  • the request for access to the cloud service may include the ID of the terminal 410.
  • the request of connection to the cloud service may be performed using the token.
  • the terminal 410 may transmit the token generated by using multiple factors to the service integrator 420.
  • the token may represent a request for a connection to a cloud service.
  • the request for connection to the cloud service may be a member of the cloud service.
  • the request for access to the cloud service may include information of the user of the terminal 410.
  • the user's information of the terminal 410 may include one or more of user's personal information, user's ID, and user's password.
  • the user's personal information, ID and password may be provided to the service integrator 420.
  • the service integrator 420 may transmit the ID of the terminal 410 and the user's information to the authenticator 430.
  • the request for access to the cloud service may be redirected from the service integrator 420 to the authenticator 430.
  • the authenticator 430 may perform authentication for the user of the terminal 410.
  • the authenticator 430 may authenticate the user of the terminal 410 based on the ID of the terminal 410.
  • the authentication unit 430 may generate an ID desired by the user after authenticating the user.
  • the authenticator 430 may issue an ID desired by the user to the terminal 410.
  • the authenticator 430 may transmit the issued ID to the terminal 410.
  • the authenticator 430 may transmit the issued ID to the service integrator 420, and the service integrator 420 may transmit the issued ID to the terminal 410.
  • Membership can be performed by various authentication means such as a certificate, an open ID, an ID, a password, and an e-mail.
  • the authenticator 430 may store user information.
  • the authentication unit 430 may encrypt and store the user's information.
  • the authenticator 430 may transmit a result of authentication for the user based on the ID of the terminal 410 to the service integrator 420.
  • the service integrator 410 may receive a result of authentication for the user based on the ID of the terminal 410 from the authenticator 430.
  • the following steps 640 to 695 may be performed.
  • the service integrator 420 may request the service provider 602 providing the cloud service to confirm the user's access right to the cloud service.
  • the service provider 602 may correspond to the first service provider 440 or the second service provider 450 described above with reference to FIG. 4.
  • the service provider 602 may receive a request for confirmation of a user's access right to a cloud service from the service integrator 420.
  • the service provider 602 may check an access right of the user's cloud service.
  • the service provider 602 may transmit a result of checking a user's access right to the cloud service to the service integrator 420.
  • the service integrator 420 may receive a result of confirming the access right from the service provider 602.
  • the service integrator 420 may grant the user's token access to the cloud service. .
  • the service integrator 420 may grant an access right to the token of the user based on a policy for the cloud service of the service provider 602.
  • the cloud service described above may be plural.
  • the plurality of cloud services may be provided by the plurality of service providers 602, respectively.
  • the service integrator 420 may grant access rights to each of the plurality of cloud services.
  • the service integrator 420 may transmit the token to which the access right is granted to the terminal 410.
  • the terminal 410 may receive a token granted access permission from the service integrator 420.
  • the cloud service may be provided to the terminal 410.
  • the service provider 602 may provide a cloud service to the terminal 410 through a virtual network.
  • the service integrator 420 may generate a configuration for providing a cloud service on the service provider 602.
  • the configuration for providing a cloud service may be a virtual machine performed on the service provider 602.
  • the service integrator 420 may generate a virtual machine that provides a cloud service to the terminal 410 on the service provider 602.
  • the terminal 410 may request a cloud service from the service provider 602.
  • the terminal 410 may request a cloud service from the service provider 602 using a token to which the access right is granted.
  • the terminal 410 may transmit a token to which the access right is granted to the service provider 602.
  • the service provider 602 may transmit a request for registration information of the cloud service and authority information of the user of the terminal 410 to the service integrator 420.
  • the service integrator 420 may receive a request for registration information of a cloud service and authority information of a user of the terminal 410 from the service provider 602.
  • the service integrator 420 may transmit the registration information of the cloud service and the authority information of the user of the terminal 410 to the service provider 602.
  • the service provider 602 may receive registration information of a cloud service and authority information of a user of the terminal 410 from the service integrator 420.
  • the service provider 602 may determine whether to provide the cloud service to the terminal 410 based on the registration information of the cloud service and the authority information of the user of the terminal 410.
  • the service provider 602 may determine to provide the cloud service to the terminal 410 when the authority information of the user indicates that the user has the authority to use the cloud service.
  • the service provider 602 may use the registration information of the cloud service to determine whether the user's authority information indicates that the user has a right to use the cloud service.
  • the service provider 602 may provide the cloud service to the terminal 410.
  • FIG. 7 is a cloud computing service system according to an exemplary embodiment.
  • the cloud computing service system 700 includes a terminal 710, an identification service provider (ISP) 720, a market-based cloud service portal (MCSP) 730, and a cloud service system.
  • Cloud service provider (CSP) 740 In addition to the above-described configuration, for example, other components of the cloud computing service system 400 described above with reference to FIG. 4 may be included in the cloud computing service system 700.
  • the terminal 710 may correspond to the terminal 410 described above with reference to FIG. 4.
  • the ISP 720 may correspond to the authentication unit 430 described above with reference to FIG. 4.
  • the MCSP 730 may correspond to the service integrator 420 described above with reference to FIG. 4.
  • the CSP 740 may correspond to one or more service providers described above with reference to FIG. 4.
  • the user's terminal 710 may delegate the user's information to a third authorized ISP 720.
  • the terminal 710 may provide a user-customized service through a program such as a web browser regardless of the type of the terminal 710.
  • ISP 720 may be operated by an authorized third party service provider or public authority. ISP 720 may be delegated information of the user. ISP 720 may manage the information of the delegated user. A user of the terminal 710 may join the ISP 720 by using various authentication means such as a certificate or an open ID. ISP 720 may receive a request for delegation of authentication from a site to which the user wishes to subscribe. ISP 720 may notify the site of the results of the authentication for the user.
  • the ISP 720 may encrypt the registered user's information using the user's private key. ISP 720 may manage the encrypted user information. The ISP 720 may provide an audit function for the integrity and confidentiality of the user's information according to the request of the terminal 710.
  • ISP 720 may manage Pseudo IDs (PIDs) for each of the user-customized services and various Internet-based services. For the above management, the ISP 720 may generate a virtual ID for using the requested service when the user requests a specific service. The ISP 720 may have a right to distribute a user's public key according to a prior agreement with a subscribed user.
  • PIDs Pseudo IDs
  • the ISP 720 may generate a virtual ID for the service when the user subscribes to the service according to the user's request. For example, a virtual ID for a service may be generated for each service.
  • the ISP 720 may provide authentication of a user to the cloud service provider on behalf of the terminal 710.
  • the ISP 720 may subscribe to the service to receive the service from the cloud service provider.
  • the MCSP 730 may perform a function of a broker of multiple collaboration cloud services.
  • the MCSP 730 may act as a service sales broker to sell the CSP 740.
  • the MCSP 730 may provide configuration, management, and a user environment for the service of the CSP 740 purchased by the terminal 710. To provide the above, a contract and mutual authentication between the MCSP 730 and the CSP 740 may be required.
  • the MCSP 730 may provide a user interface (UI) in the form of a web or application to the terminal 710.
  • UI user interface
  • the MCSP 730 may provide a UI or Uniform Resource Locator (URL) redirection according to the type of cloud service provided by the CSP 740.
  • the user of the terminal 710 may use the cloud service through the UI or URL redirection.
  • FIG. 8 is a flowchart illustrating a procedure in which a user registers as a member of an ISP according to an exemplary embodiment.
  • the terminal 710 may transmit the user's information, ID, and password to the ISP 720 in order to register as a member of the ISP 720.
  • the ID may be an ID that the user wants to be issued.
  • the ISP 720 may authenticate the user who requested the ISP 720 to join as a member. After authentication for the user, ISP 720 may issue an ID desired by the user.
  • the ISP 720 may encrypt and store the user's information. In addition, the ISP 720 may perform an authentication process for a user requested from another authority.
  • the ISP 720 may transmit information indicating approval of the subscription to the terminal 710.
  • FIG. 9 is a structural diagram of an MCSP according to an embodiment.
  • the MCSP 730 may include a security unit 900, a virtual private network (VPN) manager 920, a VPN 930, a service broker 940, a monitor 950, a service component 960, and a service.
  • Gateway 970 may be included.
  • the security unit 900 may include an access controller 910, an executive unit 918, and a key manager 919.
  • the access controller 910 may include an authenticator 912, an authorization unit 914, and an attestation unit 916.
  • the VPN 930 may provide a plurality of services.
  • Each of the plurality of services may be a cloud service.
  • the service component 960 may include a policy manager 962, a service provider 964, a resource manager 966, and a monitor 968.
  • the terminal 710 When the terminal 710 logs in to the CSP 740, the terminal 710 authenticates the address of the ISP 720 and the ID of the ISP 720 to perform the delegated authentication on behalf of the terminal 710. ) Can be sent.
  • the authenticator 912 may perform a redirect to the address of the transmitted ISP 720. Through the redirection, the authenticator 912 may request the ISP 720 to authenticate the user of the terminal 710. In the above redirection, the authentication unit 912 may transmit the ID of the terminal 710 to the ISP 720.
  • ISP 720 may perform delegated authentication based on a user input. After authentication, ISP 720 may transmit an ID encrypted with the user's private key to MCSP 730. In addition, the ISP 720 may encrypt the public key including the user information, and transmit the encrypted public key to the MCSP 730.
  • the permission unit 914 may check the authority of the service of the user based on the ID and the information of the user, and may check the details of the on-demand service purchased by the user.
  • the authorization unit 914 may create a personal service profile (PSP) using XML.
  • the authorization unit 914 may request the service configuration unit 960 to configure the service using the PSP.
  • PSP personal service profile
  • the authenticator 916 may decrypt the ID and the user's information using the transmitted public key.
  • the attestor 916 may verify the identity verification of the user based on the decryption result.
  • the executive unit 918 may be responsible for the security policy of the MCSP 730.
  • the key manager 919 may provide and manage a terminal 710 or a key corresponding to the service to use the service.
  • the VPN 930 may configure a private network for providing a service to the terminal 710. Services provided to the terminal 710 may be assigned to the VPN, respectively, may be provided to the terminal 710 through the assignment.
  • the VPN manager 920 may create and manage a private network for a VPN.
  • the service broker 940 may manage VPN sessions for various user services.
  • the service broker 940 may generate a session for each service through the VPN manager 920.
  • the service broker 940 may delete the user data related to the VPN 930 and the VPN 930 configured at the end of the service through the VPN manager 920.
  • the user data may include information of the user and cache data of the service.
  • the service broker 940 may terminate the service that is not used for a certain period of time through the VPN manager 920. In other words, the service broker 940 may control the overall function of the MCSP 730 related to the service.
  • the monitoring unit 950 may monitor whether the terminal 710 correctly uses a service.
  • the monitoring unit 950 may monitor abnormal traffic and permission intrusion.
  • the monitoring unit 950 may monitor the overall security service of the MCSP 730.
  • the service gateway 970 may provide secure communication between the MCSP 730 and the CSP 740.
  • the service gateway 970 may allow each of the plurality of CSPs 740 to communicate with the VPN 930 for a secure communication network.
  • the service gateway 970 may establish a secure communication session with each of the plurality of CSPs 740.
  • the service gateway 970 may control the configured communication session.
  • the service component 960 may receive a PSP from the access controller 910.
  • the service configuration unit 960 may configure a service based on the PSP.
  • the service component 960 may use an open API provided by the CSP 740 when communicating with the CSP 740 to use a service.
  • the resource manager 966 may manage service resources provided by the CSP 740 to configure a service.
  • the resource manager 966 may manage information on a specified resource based on the PSP.
  • Information about the resource may include a service URL, storage and CPU.
  • the resource manager 966 may request a service profile (SP) for services of each CSP 740 from the CSPs 740 specified in the PSP.
  • the resource manager 966 may provide the CSPs 740 specified in the PSP with information necessary for service resource sharing and collaboration between the CSPs 740.
  • the terminal 710 may use an A's application service.
  • the terminal 710 may store data generated by using an application service in a storage service of a company B.
  • FIG. At this time, when access to the storage of the company B from the service of the company A, the application of the company A may obtain the information required to access the storage of the company B from the resource management unit 966. Information required to access the storage may include the URP, IP address and user ID.
  • Company A's application can use the acquired information to access company B's storage.
  • the resource management unit 966 collects, updates, and manages the use status information of resources in each CSP, and provides them as necessary components.
  • the service provider 964 may request creation of a service session from the VPN manager 328 to provide a service.
  • the service provider 964 may configure an environment for providing a service.
  • the policy manager 962 may manage a security policy for each service or for each user.
  • the monitoring unit 968 may monitor the service error and perform continuous service monitoring to provide an accurate service.
  • FIG. 10 illustrates a process of delegating and logging in personal information of a user, according to an exemplary embodiment.
  • the terminal 710 may request the ISP 720 to register.
  • the terminal 710 may request delegation of personal information from the ISP 720 along with the subscription.
  • the terminal 710 may log in to the MCSP 730.
  • the terminal 710 may log in to the MCSP 730 through a web browser.
  • the terminal 710 may log in to the MCSP 730 using the ID of the user and the address of the ISP 720.
  • the ID of the user and the address of the ISP 720 may be transmitted to the MCSP 730 through login.
  • the MCSP 730 may request an approval for the ID from the ISP 720.
  • the approval for the ID may be an approval for providing a service to the terminal 710 indicated by the ID.
  • the MCSP 730 may request the approval of the ID from the ISP 720 using the address of the ISP 720. With the above request, the MCSP 730 may transmit the address roll of the MCSP 730 to the ISP 720 to be provided with the result of the approval.
  • ISP 720 may notify MCSP 730 of the result of the grant for the ID.
  • the ISP 720 may transmit the result of the approval for the ID to the address of the MCSP 730 provided to the ISP 720.
  • the MCSP 730 provided with the result of the approval may configure a service for the user.
  • the MCSP 730 may configure a service for each of the services provided by the ISP 720 using a virtual ID to be used for each service.
  • the above-described login process may be performed by the access control unit 910 of the MCSP 730.
  • FIG. 11 is a flowchart illustrating a user service configuration process according to an embodiment.
  • the service component 960 may receive a user's PSP from the access controller 910.
  • the service configuration unit 960 may configure a service for the user based on the PSP of the user.
  • the service component 960 may deliver the PSP to the resource manager 966.
  • the resource manager 966 may create a communication session with the service gateway 970.
  • the resource manager 966 may request the service gateway 970 for a service provided from the service component 960.
  • the service gateway 970 may request a service from the CSP 740 providing the service.
  • the service gateway 970 may communicate with the CSP 740 using an open API provided by the CSP 740.
  • the CSP 740 may provide the service component 960 with the service requested by the gateway.
  • FIG. 12 illustrates an MCSP membership and MCSP usage procedure according to an embodiment.
  • the user may request a membership to the MCSP 730 through the terminal 710.
  • the terminal 710 may need to purchase a service after joining the MCSP 730 as a member in order to receive the service of the CSP 740.
  • Authentication of the user may be made between the terminal 710, the ISP 720, and the MCSP 730.
  • MCSP 730 may request ISP 720 for the user.
  • the MCSP 730 may redirect the ID and password information input when the user logs in to the selected ISP 720. Since redirection is used, information of ID and password may not remain in MCSP 730.
  • the ISP 720 may issue a pseudo ID (PID) for joining the MCSP 730 as a member after performing authentication for the user.
  • the ISP 720 may deliver the PID and MCSP request information only to the MCSP 730.
  • PID and MCSP may be encrypted.
  • the MCSP request information may be information about an interest and a taste of a user related to a service.
  • the ISP 720 may store information on PID and service request to be used in the MCSP 730 to which the user subscribes as a member as a user service profile (USP) in XML format.
  • USP user service profile
  • the MCSP 730 may generate a PSP in XML format using the USP received from the ISP 720.
  • the MCSP 730 may deliver a result of authentication to the terminal 710, and may approve the user's membership.
  • the terminal 710 may purchase a service of the desired CSP 740 through the MCSP 730.
  • the MCSP 730 may generate a Service Pseudo ID (SPID) used to use the service, and may request the CSP 740 to subscribe to the service using the generated SPID.
  • SPID Service Pseudo ID
  • the CSP 740 may approve the subscription requested by the MCSP 730.
  • the terminal 710 may purchase a service of the desired CSP 740 through the MCSP 730.
  • the MCSP 730 may purchase and manage a service of the desired CSP 740 using the SPID.
  • the MCSP 730 may update the PSP.
  • the MCSP 730 may transfer information of the service purchased by the terminal 710 to the ISP 720.
  • the information of the service may include the SPID.
  • the MCSP 730 may generate and manage SPIDs for each service for the service of the CSP 740.
  • the MCSP 730 may delete the PSP and related data when the service is terminated.
  • the MCSP 730 may check whether the service is purchased.
  • the MCSP 730 may generate a new SPID if the service requested by the terminal 710 has not been previously purchased, and perform the aforementioned purchase procedure using the generated SPID.
  • the CSP 740 may provide a service requested by the terminal 710.
  • the MCSP 730 may update the PSP which is changed service information.
  • the MCSP 730 may transmit the finally updated PSP to the ISP 720 with the interruption of service provision.
  • the MCSP 730 may delete data and PIDs used while providing the service, and perform logout.
  • the ISP 720 may update the USP using the PSP transmitted from the MCSP 730 and may store the updated USP.
  • an ISP ID may be used between the terminal 710 and the ISP 720.
  • a PID may be used between the ISP 720 and the MCSP 730.
  • the SPID may be used between the MCSP 730 and the CSP 740. That is, in each step, different IDs can be issued and used.
  • Information encrypted using a first encryption algorithm may be transmitted and received between the terminal 710 and the ISP 720.
  • Information encrypted using the second encryption algorithm may be transmitted and received between the ISP 720 and the MCSP 730.
  • Information encrypted using the third encryption algorithm may be transmitted and received between the MCSP 730 and the CSP 740.
  • the cloud computing system includes a first encryption algorithm used between the terminal 710 and the ISP 720, a second encryption algorithm used between the ISP 720 and the MCSP 730, and the MCSP 730 and the CSP 740.
  • a third encryption algorithm used differently from each other can form a plurality of security confidence intervals.
  • the user's information can be efficiently protected through multiple security confidence intervals.
  • the MCSP 730 controls the user's information transfer and resource access between the multiple CSPs 740
  • the user information protection is achieved in the user's information transfer, processing, and processing among the multiple CSPs 740. Can be.
  • the cloud computing system includes a first user identifier used between the terminal 710 and the ISP 720, a second user identifier used between the ISP 720 and the MCSP 730 and between the MCSP 730 and the CSP 740.
  • the method according to the embodiment may be embodied in the form of program instructions that can be executed by various computer means and recorded in a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • the program instructions recorded on the media may be those specially designed and constructed for the purposes of the embodiments, or they may be of the kind well-known and available to those having skill in the computer software arts.
  • Examples of computer readable recording media include magnetic media such as hard disks, floppy disks and magnetic tape, optical media such as CD-ROMs, DVDs, and magnetic disks such as floppy disks.
  • Examples of program instructions include not only machine code generated by a compiler, but also high-level language code that can be executed by a computer using an interpreter or the like.
  • the hardware device described above may be configured to operate as one or more software modules to perform the operations of the embodiments, and vice versa.

Abstract

클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치가 제공된다. 서비스 통합부는 가상 개인 네트워크를 통해 다양한 클라우드 서비스들을 단말에게 제공한다. 인증부는 서비스 통합부에서의 리다이렉션을 통해 단말의 사용자에 대한 인증을 수행한다. 서비스 통합부는 서비스 제공부 상에 단말이 요청한 클라우드 서비스를 제공하는 가상 머신을 생성한다. 서비스 제공부는 인증부에 의해 인증된 단말에게 클라우드 서비스를 제공한다.

Description

클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치
아래의 실시예들은 클라우드 컴퓨팅 서비스에서의 보안에 관한 것으로, 더욱 상세하게는 클라우드 컴퓨팅 보안 요소(element)를 통해 퍼스널 클라우드 서비스를 제공하는 보안 방법, 장치 및 시스템에 관한 것이다.
클라우드 컴퓨팅은 가상화(visualization) 기술 및 분산 처리(distributed processing) 기술을 활용함으로써 대규모의 IT 자원을 제공하는 기술이다. 클라우드 컴퓨팅 서비스에 의해 사용자는 인터넷을 통해 컴퓨팅 자원에 대한 서비스를 제공받을 수 있다. 여기서, 컴퓨팅 자원은 메모리(memory) 자원, 중앙 처리 장치(Central Processing Unit; CPU) 자원, 네트워크 자원 및 스토리지(storage) 자원 등을 포함할 수 있다. 사용자는 자신이 사용한 컴퓨팅 자원에 상응하는 요금을 클라우드 컴퓨팅 서비스의 운영 주체에게 지불할 수 있다.
말하자면, 클라우드 컴퓨팅은 서로 상이한 물리적인 위치에 존재하는 컴퓨팅 자원들을 가상화 기술을 통해 하나의 컴퓨팅 자원으로 통합하고, 통합된 컴퓨팅 자원을 사용자들에게 제공하는 기술이다. 즉, 클라우딩 컴퓨팅은 '인터넷에 기반한 사용자 중심의 주문형 아웃소싱 서비스 기술'로 간주될 수 있다.
인터넷이 제공된다면, 사용자는 클라우드 컴퓨팅 서비스를 통해 자신만의 컴퓨팅 환경을 시간 및 장소에 무관하게 사용할 수 있다. 클라우딩 컴퓨팅 서비스는 사용자에게 상기의 사용자가 사용한 자원만큼의 요금을 부과한다. 또한, 사용자는 클라우드 컴퓨팅 서비스의 컴퓨팅 환경을 통해, 하드웨어 서비스, 소프트웨어 서비스 및 사후 서비스 등과 같은 모든 서비스를 제공받을 수 있다. 따라서, 시스템의 유지 및 보수의 비용이 절감될 수 있고, 하드웨어 및 소프트웨어의 구매 비용이 절감될 수 있고, 컴퓨팅 처리를 위해 사용되는 에너지가 절감될 수 있다.
클라우드 컴퓨팅 서비스가 주목을 받음에 따라, IT 대기업들의 주도 하에 클라우드 컴퓨팅 서비스가 널리 보급되고 있다. 클라우드 컴퓨팅 서비스에 있어서, 퍼블릭 클라우드(public cloud), 프라이빗 클라우드(private cloud) 등과 같은 4가지의 클라우드 컴퓨팅 서비스 타입이 존재한다.
퍼블릭 클라우드 서비스는 불특정된 다수의 사용자들에게 인터넷을 통해 클라우드 서비스를 제공한다. 퍼블릭 클라우드 서비스는 무상의 서비스 제공을 의미하는 것은 아니며, 서비스에 관련된 데이터 및 소스의 공개(open)을 의미하는 것 또한 아니다. 퍼블릭 클라우드 서비스에서도, 사용자 접근 제어(access control) 및 과금 등과 같은 서비스가 제공될 수 있다. 퍼블릭 클라우드 서비스 하에서는, 서비스의 제공자가 사용자의 정보를 관리하고, 모든 클라우드 컴퓨팅 서비스의 리소스들이 공유된다. 따라서, 퍼블릭 클라우드 서비스는 사용자의 개인 정보의 보호에 있어서, 취약점을 갖는다.
프라이빗 클라우드 서비스는 퍼블릭 클라우드 서비스에서와 같은 컴퓨팅 환경을 제공한다. 프라이빗 클라우드 서비스는 특정한 기업 또는 기관에서 클라우드 컴퓨팅 서비스, 데이터 및 프로세스를 직접 관리하는 클라우드 서비스를 의미한다. 말하자면, 프라이빗 클라우드 서비스는 보안을 위해서 외부로부터의 접근을 회피하고, 인증된 사용자들만의 접근을 허용하는 폐쇄적인 클라우드 서비스 타입이다.
커뮤니케이션 클라우드 서비스는 특정한 사용자들의 집단을 위한 클라우드 컴퓨팅 서비스이다. 커뮤니케이션 클라우드 서비스는 특정한 집단의 구성원들에게만 접근 권한을 부여한다. 집단의 구성원들은 커뮤니케이션 클라우드 서비스를 통해 서로 간에 데이터 및 어플리케이션 등을 공유한다.
하이브리드 클라우드 서비스는 퍼블릭 클라우드 서비스 및 프라이빗 클라우드 서비스가 결합된 서비스이다. 하이브리드 클라우드 서비스는 기본적으로 퍼블릭 클라우드 서비스를 제공하며 사용자가 공유를 원치 않는 데이터 및 서비스에 대해서는 프라이빗 클라우드 서비스의 정책을 따른다.
클라우드 컴퓨팅 서비스의 구조는 인프라형 서비스 구조, 플랫폼형 서비스 구조 및 소프트웨어 서비스 구조로 분류될 수 있다. 인프라형 서비스 구조는 사용자의 요구에 맞춰 사용자 만의 컴퓨팅 환경을 제공한다. 플랫폼형 서비스 구조는 사용자의 컴퓨팅 목적에 맞게 사용자가 플랫폼을 선택하고, 선택된 플랫폼을 사용할 수 있는 환경을 제공한다. 소프트웨어 서비스 구조는 사용자가 사용 목적에 맞는 소프트웨어를 선택하여 사용할 수 있는 환경을 제공한다.
클라우드 컴퓨팅 서비스를 위해, 강력하고 체계적인 접근 제어 및 권한 부여 정책이 요구된다. 퍼스널 클라우드 서비스는 서로 상이한 서비스 제공자들 간의 협업을 통해 클라우드 서비스를 제공한다. 따라서, 퍼스널 클라우드 서비스의 특징에 맞는 강력하고 체계적인 보안 시스템 또는 보안 인프라가 요구된다.
클라우드 컴퓨팅 서비스의 모델은 클라우드 서비스 제공자가 단일하다는 것을 가정할 수 있다. 그러나, 다양한 사업자들 간의 협업을 통해 다양한 클라우드 서비스들이 조합된 새로운 사용자 주문형 클라우드 서비스가 대두할 것으로 기대될 수 있다.
일반적으로, 인터넷은 호스트-클라이언트 구조를 갖는다. 말하자면, 사용자의 단말은 인터넷을 통해 서버에 접속하며, 단말은 인터넷을 통해 서버로부터 서비스를 제공받는다. 상기의 구조에 있어서, 신뢰될 수 있는 부분 및 신뢰될 수 없는 부분으로 구분되는 보안 경계가 존재한다. 사용자 로컬에 존재하는 컴퓨터, 스토리지, 방화벽 등처럼 사용자가 직접 관리 및 제어가 가능한 영역은 신뢰할 수 있는 부분이며, 네트워크, 서버, 웹스토리지와 같이 사용자가 직접 볼 수 없고 제어가 불가능한 영역은 신뢰할 수 없는 부분으로 구분된다.
아웃소싱이 이루어지는 클라우드 컴퓨팅 환경에서는, 클라우드 서비스의 제공을 위한 클라우드 컴퓨팅 구성 요소들 간의 보안 경계가 불분명해진다. 클라우드 컴퓨팅 구성 요소들은 단말 및 클라우드 서비스의 제공자를 포함할 수 있다. 특히, 다중의 클라우드 서비스 제공자들 간의 협업에 기반하는 클라우드 서비스가 제공되기 위해서는, 클라우드 서비스의 사용자의 정보가 서비스 제공자들 간에서 전달, 가공 및 처리되어야 한다.
사용자 중심의 주문형 아웃소싱 컴퓨팅 서비스에 있어서, 사용자 인증, 이용 요금 청구 및 사용자의 서비스 성향 등에 대한 사용자 정보의 보호가 요구된다. 말하자면, 협업에 기반하는 클라우드 컴퓨팅 서비스 환경을 고려하는 사용자 중심의 주문형 컴퓨팅 서비스만의 새로운 보안 서비스와 시스템이 요구된다.
기업을 위한 클라우드 컴퓨팅뿐만 아니라 개인화된 퍼스널 클라우드 컴퓨팅 제공을 위한 다양한 서비스가 준비된다는 점을 고려하였을 때, 클라우드 서비스들 간에서 사용자의 정보가 안전하게 전달될 수 있는 클라우드 보안 시스템 및 방법이 요구된다. 사용자의 정보는 개인 정보 및 서비스 관련 정보를 포함할 수 있다. 말하자면, 클라우드 컴퓨팅이 발전함에 따라, 클라우드 컴퓨팅의 신뢰성, 보안성, 법적 쟁점, 개인 정보 보호 및 표준화 등 제반 문제에 대한 해결이 요구된다.
일 실시예는 클라우드 컴퓨팅 환경을 제공하기 위한 강력하고 체계적인 보안 시스템 및 보안 방법을 제공할 수 있다.
일 실시예는 가상화 환경을 제공하기 위해 가상 머신, 가상 자원 공유 및 가상 네트워크를 고려하는 보안 시스템 및 보안 방법을 제공할 수 있다.
일 실시예는 클라우드 컴퓨팅의 특징인 가상화, 분산 컴퓨팅 및 헙업 서비스 모델을 고려하는 클라우드 환경에 적합한 보안 시스템 및 보안 방법을 제공할 수 있다.
일 측에 따르면, 사용자의 단말로부터 클라우드 서비스로의 접속의 요청을 수신하는 단계, 상기 사용자의 상기 클라우드 서비스에 대한 접근 권한의 확인을 상기 클라우드 서비스를 제공하는 서비스 제공부에게 요청하는 단계, 상기 서비스 제공부로부터 상기 확인의 결과를 수신하는 단계 및 상기 결과가 상기 사용자가 상기 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우 상기 사용자의 토큰에 상기 클라우드 서비스에 대한 접근 권한을 부여하는 단계를 포함하는, 클라우드 서비스 방법이 제공될 수 있다.
상기 클라우드 서비스 방법은, 상기 단말의 식별자를 인증부로 전송하는 단계 및 상기 인증부로부터 상기 식별자에 기반한 상기 사용자에 대한 인증의 결과를 수신하는 단계를 더 포함할 수 있다.
상기 클라우드 서비스 방법은, 상기 사용자의 토큰을 상기 단말로 전송하는 단계를 더 포함할 수 있다.
상기 클라우드 서비스 방법은, 상기 서비스 제공부로부터 상기 클라우드 서비스의 등록 정보 및 상기 사용자의 권한 정보의 요청을 수신하는 단계 및 상기 서비스 제공부로 상기 등록 정보 및 상기 권한 정보를 전송하는 단계를 더 포함할 수 있다.
상기 클라우드 서비스 방법은, 상기 서비스 제공부 상에 상기 클라우드 서비스를 제공하기 위한 구성을 생성하는 단계를 더 포함할 수 있다.
상기 클라우드 서비스를 제공하기 위한 상기 구성은 상기 서비스 제공부 상에서 수행되는 가상 머신일 수 있다.
상기 클라우드 서비스는 가상 네트워크를 통해 상기 서비스 제공부에 의해 상기 단말에게 제공될 수 있다.
상기 클라우드 서비스는 복수 개일 수 있다.
상기 접근 권한은 상기 서비스 제공부의 상기 클라우드 서비스에 대한 정책에 기반하여 상기 토큰에게 부여될 수 있다.
다른 일 측에 따르면, 사용자의 단말로부터 클라우드 서비스로의 접속의 요청을 수신하고, 상기 사용자의 상기 클라우드 서비스에 대한 접근 권한의 확인을 상기 클라우드 서비스를 제공하는 서비스 제공부에게 요청하고, 상기 서비스 제공부로부터 상기 확인의 결과를 수신하고, 상기 결과가 상기 사용자가 상기 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우 상기 사용자의 토큰에 상기 클라우드 서비스에 대한 접근 권한을 부여하는 접근 제어부 및 상기 서비스 제공부 상에 상기 클라우드 서비스를 제공하기 위한 구성을 생성하는 서비스 구성부를 포함하는, 클라우드 서비스 통합 서버가 제공될 수 있다.
상기 접근 제어부는 상기 단말의 식별자를 인증부로 전송할 수 있고, 상기 인증부로부터 상기 식별자에 기반한 상기 사용자에 대한 인증의 결과를 수신할 수 있다.
상기 접근 제어부는 상기 사용자의 토큰을 상기 단말로 전송할 수 있다.
상기 접근 제어부는 상기 서비스 제공부로부터 상기 클라우드 서비스의 등록 정보 및 상기 사용자의 권한 정보의 요청을 수신할 수 있고, 상기 서비스 제공부로 상기 등록 정보 및 상기 권한 정보를 전송할 수 있다.
퍼스널 클라우드 서비스의 특징에 맞는 접근 제어 방법, 권한 위임 및 권한 부여 정책을 사용하는 보안 시스템 및 보안 방법이 제공된다.
도 1은 CSA 클라우드의 15 개의 보안 도메인들을 도시한다.
도 2는 클라우드 서비스 모델을 설명한다.
도 3는 클라우드 서비스에 대한 보안 위협을 설명한다.
도 4는 일 실시예에 따른 클라우드 컴퓨팅 서비스 시스템이다.
도 5는 일 실시예에 따른 서비스 통합부의 구조도이다.
도 6은 일 실시예에 따른 클라우드 서비스 방법의 흐름도이다.
도 7은 일 실시예에 따른 클라우드 컴퓨팅 서비스 시스템이다.
도 8은 일 실시예에 따른 사용자가 ISP에 회원으로서 가입하는 절차를 도시한다.
도 9는 일 실시예에 따른 MCSP의 구조도이다.
도 10은 일 실시예에 따른 사용자의 개인 정보 위임 및 로그인 과정을 설명한다.
도 11은 일 실시예에 따른 서용자 서비스 구성 과정을 설명한다.
도 12는 일 실시예에 따른 MCSP 회원 가입 및 MCSP 이용 절차를 설명한다.
이하에서, 첨부된 도면을 참조하여 실시예들을 상세하게 설명한다. 각 도면에 제시된 동일한 참조 부호는 동일한 부재를 나타낸다.
이하에서, 용어 "유일 자원 지시기(Uniform Resource Locator; URL)" 및 "통합 자원 식별자(Uniform Resource Identifier; URI)"는 동일한 의미로 사용되며, 상호 대체될 수 있다.
하기에서, 실시예에 결합될 수 있는 다양한 클라우드 컴퓨팅 서비스의 보안 방법들이 설명된다.
아마존의 일래스틱 컴퓨트 클라우드(Elastic Compute Cloud; EC2)의 보안
아마존의 EC2는 사용자 클라이언트가 원하는 서비스를 위한 가상 머신 (Virtual Machine; VM)을 제공하는 인프라형 서비스(Infrastructure as a Service; IaaS) 클라우드일 수 있다.. 클라이언트 소프트웨어는 가상 머신 내에 존재할 수 있다. 따라서, 아마존은 인프라 서비스를 제외한 가상 머신 안에서 실행되는 서비스에 대한 책임을 갖지 않을 수 있다.
아마존은 일회성(one-time) 토큰(token) 장치와 같은 강력한 보안 장치를 제공할 수 있다. 일반적으로 일회성 토큰 장치와 같은 보안 장치을 사용하는 기업들은 모니터링 및 관리 툴을 사용할 수 있다. 모니터링 및 관리 툴은 통합 식별자(identifier; ID)관리, 액티브 트래킹(active tracking) 및 인증(authentication) 시스템의 원격 제어 등의 기능을 제공할 수 있다. 사용된 토큰의 폐지 방법은 보안 문제에 있어서의 핵심일 수 있다.
일반적으로, 보안 서비스는 아마존이 소유하는 인프라 내에서만 제공될 수 있다. 따라서, EC2 클라이언트는 전적으로 가상 서버 내부의 데이터 및 프로그램의 보호에 대한 책임을 질 수 있다. 그러나, 데이터 및 소프트웨어는 서비스 내부에서 암호화 되어야 하기 때문에 보안 정책의 수정이 매우 어려울 수 있다.
구글의 앱 엔진(App Engine) 보안
구글에서 제공하는 코드 배치 문서(code deployment documentation) 내에는 앱 엔진의 보안 서비스에 대한 내용이 기술되어 있다. 서비스에 대한 보안을 위해, 보안 관련 정보는 서비스가 앱 엔진에 로드(load)될 때 사용된 XML 구성 파일(XML configuration file) 내에 상세하게 기술될 수 있다. 상술된 것과 같은 앱 엔진 보안 솔루션의 문제점은 오직 구글 계정 서비스와 연계된 인증 서비스 만을 제공할 수 있다는 것일 수 있다. 구글 계정은 간단한 사용자 명칭 및 패스워드를 사용한 인증 방식을 사용하기 때문에 보안에 있어서 매우 취약할 수 있다.
또한, 앱 엔진의 보안 서비스는 오직 앱 엔진에 의해 제공되는 서비스 단위로만 수행될 수 있다. 서비스 기능 중 선택된 요소 별 클라이언트 접근 제어 방식은 명확하지 못한 보안 서비스 구조를 가질 수 있다. 앱 엔진 서비스를 통해 제공되는 자원들에 대해서는 서비스가 자체적으로 보안을 보장해야 할 수 있다. 그러나, 서비스 자원에 대한 보안에 대하여 명시된 내용은 없을 수 있다.
마이크로 소프트(MicroSoft; MS)의 애져(Azure) 보안
애져가 제공하는 보안 서비스는 다른 클라우드의 보안 서비스에 비해 상대적으로 뛰어난 것으로 간주될 수 있다. 클라우드 서비스의 클라이언트 또는 제공자는 플랫폼 형 서비스(Platform as a Service; PasS)인 애져를 이용함으로써 서비스의 생성, 제공 및 관리를 할 수 있다. 서비스의 생성, 제공 및 관리를 위해, 애져는 보안 행사 마크업 언어(Secure Assertions Markup Language; SAMP)에 기반하는 보안 메커니즘을 제공할 수 있다. SAMP는 클라우드 서비스의 제공자가 서비스의 이용자들에 대한 접근 제어를 할 수 있게 할 수 있다.
클라이언트 또는 서비스 요청자는 서비스 접근의 요청 시 자신에 대한 인증을 가능하게 하는 자격 증명을 제시할 수 있다. 제시된 자격 증명은 신원 제공자(Identity Provider, IP)에 의해 발급된 것일 수 있다. 자격 증명은 신원 제공자에 의해 서명될 수 있다. 상기의 서명을 통해 클라이언트 또는 서비스 요청자가 인증될 수 있다. 서로 상이한 신원 제공자들의 자격 증명들 간의 호환성을 위해, 애저는 자격 증명 변환 서비스를 제공할 수 있다. 애져를 이용하기 위해, 클라이언트 또는 서비스 요청자는 우선적으로 자격 증명에 대한 인증 과정을 거칠 수 있다. 전술된 인증 과정을 통해, 인증된 사용자 요청만이 처리될 수 있다. 애져의 보안 시스템에서, 자격 증명 확인 프로세스는 단점으로 지적될 수 있다. 애져 서비스는 애져의 접근 제어 서비스로의 요청 기능 및 자격 증명 확인 기능을 구현할 수 있다. 따라서, 애져에 의해 보안 서비스가 제공되지만, 애저 서비스의 개발자가 수동으로 보안 정책을 결정해야 할 수 있다.
하기에서, 실시예에 결합될 수 있는 보안 솔루션의 이슈들이 설명된다.
리소스 보호
클라우드의 리소스는 클라우드 서비스를 통해서만 제공될 수 있다. 따라서, 리소스 보안이 필수적으로 요구될 수 있고, 리소스 보안을 위한 최적의 솔루션이 요구될 수 있다. 클라이언트가 클라우드 서비스에 접속할 때에는 리소스 보안이 보장된 후에 서비스가 실행될 수 있다.
리소스 보호는 하기의 방법들을 통해 구현될 수 있다.
1) 재량(discretionary) 시스템 : 클라우드 서비스 제공자에 의해 클라이언트의 리소스 접근 권한에 대한 승인 또는 거부가 이루어질 수 있다. 재량 시스템의 가장 큰 취약점은 저장된 데이터와 관련된 클라이언트 인증의 의미를 고려하지 않는 것일 수 있다.
2) 비-재량(non-discretionary) 시스템 : 리소스 접근 권한에 대한 승인 또는 거부는 클라이언트에 의한 분류 및 인증에 기반하여 이루어질 수 있다. 분류는 데이터 또는 어플리케이션에 대한 분류일 수 있다.
접근 제어 매트릭스(Access Control Matrix; ACM)
ACM은 보안 접근법들 중 가장 일반적으로 사용되는 하나일 수 있다. ACM은 매트릭스를 사용하기 때문에 쉽게 접근 권한 승인, 폐지 및 결정을 할 수 있다. 그러나, ACM은 집중화된 분산 컴퓨팅 환경에서는 원활하게 작동하지 못할 수 있다. 접근 제어 매트릭스는 접근제어 목록(Access Control Lists; ACL)를 나타내는 행 및 자격인증(capabilities)을 나타내는 열로 구성될 수 있다. 시스템의 각 리소스는 서비스 목록을 가질 수 있다. 서비스 목록은 서비스들 각각 및 서비스들 각각의 실행 권한을 가질 수 있다. ACL은 리소스들 전체에 적용될 수 있다. 따라서, ACL의 프로세스 분류는 세부적이지 않을 수 있는 반면, ACL의 권한 관리는 용이하게 이루어질 수 있다. 반면, 자격인증을 이용하는 보안 시스템은 클라이언트 또는 클라이언트에 할당된 서비스에 권한을 할당할 수 있다. 일반적으로, 사용자 자격인증은 리소스 및 리소스에 대한 권한을 정의할 수 있다. 자격인증 및 ACL은 각각의 장점 및 단점에 있어서 상호 보완 관계를 가질 수 있다.
속성 기반 접근 제어(Attribute Based Access Control; ABAC)
또 다른 보안 모델은 ABAC이다. ABAC 및 ACM는 1) 서비스 및 리소스에 할당된 속성과 2) 정책을 통한 권리 부여 방식에 있어서 서로 상이할 수 있다. 서비스에게는 명칭(name) 및 역할(role) 등과 같은 속성이 할당될 수 있다. 리소스에게는 소유자 및 도메인이 할당될 수 있다. 서비스의 특정 기능은 정책 규칙(policy rule)을 만족시키는 범위 내에서 수행될 수 있다. 정책 규칙을 만족시키는 범위는 서비스의 각 속성 및 리소스의 각 속성을 서로 간에 비교함으로써 판별될 수 있다. ABAC에서는 속성의 사용에 따라 속성 증명에 대한 이슈가 있을 수 있다.
정보 흐름 제어(information flow control)
접근 권한은 저장된 기밀 데이터 및 사용자 승인에 따라서 권한 부여가 될 수 있다. 권한 부여에 있어서, 기능의 확장 및 ACL의 수정이 가능한 모델이 제안될 수 있다. 승인 기능(clearance capability)은 데이터 보호를 위한 추가적 기능을 포함한 신뢰하는 식별자일 수 있다. 승인 기능에는 특정 클래스의 정보 접근에 대한 클라이언트 승인을 제공하기 위한 보안 단계가 포함될 수 있다.
승인 기능이 획득된 후에는 하기와 같은 다음과 같은 비교 절차가 수행될 수 있다. 첫 번째로, 승인 필드의 내용 및 요청된 자원의 분류가 비교될 수 있다. 승인 필드의 내용이 요청된 자원의 분류에 대응한다면, 보안 상태는 "안전(secure)"한 것으로 판별될 수 있다. 그렇지 않으면, 클라이언트가 요청한 접근은 거부될 수 있다. 보안 상태가 "안전(secure)"한 경우, 접근 권한 필드(access rights field) 및 요청된 작업이 비교될 수 있다. 접근 권한 필드가 요청된 작업에 대응할 경우, 클라이언트는 요청된 자원에 접근할 수 있다.
하기에서, 실시예에 결합될 수 있는 통신 및 스토리지 보안 이슈에 대해 설명된다.
암호화의 비용
클라우드 내부의 자원은 단순한 정보 저장에서부터 완벽한 비즈니스 워크플로우까지 변화할 수 있다. 공유된 환경에서의 데이터 보안은 모든 클라이언트를 식별해야 하기 때문에 복잡할 수 있다. 또한, 저장된 데이터의 보호를 위해 암호화가 제공될 수 있지만, 암호화된 데이터가 사용될 때마다 높은 비용이 발생할 수 있다.
데이터 통신의 안전성
클라우드의 내부에서의 데이터 보안이 완벽하더라도, 클라이언트 및 클라우드 간의 통신과 클라우드 및 특정한 데이터 서비스 간의 통신은 반드시 보호되어야 할 수 있다. 또한, 데이터의 전송 동안, 기밀성 및 데이터 무결성은 반드시 보장되어야 할 수 있다. 전송 계층 보안(Transport Layer Security; TLS), 전송 계층 보안 프로세서, 보안 소켓 계층(Secure Sockets Layer; SSL) 및 HTTPS는 암호화 프로토콜로써 인터넷 또는 클라우드에 직접적으로 연결되는 네트워크의 통신 보안을 제공할 수 있다. 암호화 시스템은 대칭 암호화 방식 또는 비대칭 암호화 방식을 사용할 수 있다. 대칭 암호화 방식은 간단한 구조를 가질 수 있으나, 키 관리에 있어서 약점을 가질 수 있다. 비대칭 암호화 방식은 대칭 암호화 방식의 약점을 보완하여 데이터의 암호화 및 복호화에 있어서 각각 다른 키를 사용할 수 있다.
비대칭 암호화(Asymmetric Key Cryptosystem; AKC)
AKC는 개인 키(private key) 및 공개 키(public key)라는 두 개의 키들을 사용할 수 있다. 공개 키 또는 개인 키 중 하나의 키를 이용하여 데이터가 비대칭으로 암호화된 경우, 나머지 키가 데이터의 복호화에 사용될 수 있다. 비대칭 암호화에서, 두 개의 키들은 단방향성(One-way) 특성을 가질 수 있다. 공개 키는 누구에게나 공개되어 있을 수 있다. 따라서, 비대칭 암호화는 중간 공격자(Man In The Middle Attack; MITMA)에 취약할 수 있다. 비대칭 암호화가 MITMA에 취약하다는 문제는 자격 증명(CA, Certificate Authority)에 의해 해결될 수 있다.
인증(Authentication)
클라우드에서 서비스, 서비스 공급자 및 클라우드 클라이언트의 인증은 필수적으로 요구될 수 있다. ID 및 패스워드(password)를 사용하는 단일-팩터 인증은 안전한 인증을 제공하기에는 충분하지 않을 수 있다. 따라서, 이중 인증이 제안될 수 있다. 이중 인증은 3 개의 제시된 인증 수단들 중 2 개의 인증 수단들 이용함으로써 클라이언트 인증을 수행하는 것일 수 있다. 예컨대, 3 개의 인증 수단들은 패스워드와 같은 "사용자가 아는 것(something you know)", 토큰 또는 스마트카드와 같은 "사용자가 가진 것(something you have)" 및 지문(fingerprint)과 같은 "사용자인 것(something you are)"일 수 있다. 상호 인증이 요구되는 경우 이중 인증의 구현은 어려울 수 있다. 상호 인증을 위해, 클라이언트는 클라우드 서비스에 대한 인증을 해야 할 수 있다. 또한, 워크플로우 상의 클라우드 서비스들은 서로에 대한 상호 인증을 해야할 수 있다. 이러한 인증의 필요에 따라, 전자 서명과 같은 강력한 암호화 기반 인증이 요구될 수 있다. 메시지는 해쉬(hash) 함수에 의해 해쉬 값으로 변환될 수 있다. 해쉬 값에 개인 키를 적용함으로써 전자 서명이 생성될 수 있다. 전자 서명은 원본 메시지와 함께 전송될 수 있다. 메시지를 수신한 수신자는 원본 메시지를 제1 해쉬 값으로 변환할 수 있다. 또한, 수신자는 공개 키를 사용하여 전자 서명을 복호화함으로써 제2 해쉬 값을 생성할 수 있다. 수신자는 제1 해쉬 값 및 제2 해쉬 값을 비교할 수 있고, 제1 해쉬 값 및 제2 해쉬 값이 일치할 경우 원본 메시지가 변조되지 않은 것임을 확인할 수 있다.
커베로스(Kerberos)
커베로스는 사용자 ID 및 패스워드의 전송 없이 사용자를 인증할 수 있다. 커베로스는 비대칭 암호화 방식을 사용할 수 있다. 티켓(ticket)은 강력하게 암호화되고, 전자 서명된 토큰이다. 원격 도메인로부터의 서비스 접근에 대한 인증은 커베로스들 간의 키 공유를 통하여 수행될 수 있다. 커베로스는 매우 강력하고 안전한 인프라 환경을 제공할 수 있다. 커베로스는 분산 컴퓨팅 환경에서도 제공될 수 있다. 따라서, 커베로스는 클라우드 환경에서도 적용될 수 있다.
클라우드 컴퓨팅 보안 구조(cloud computing security architecture)
상술된 것과 같이, 클라이언트에게 제공되는 클라우드 서비스는 다양한 보안 문제들을 내포할 수 있다. 클라우드에서의 보안 위협, 도메인 및 보안 제어 방안에 대해 클라우드 보안 연맹(Cloud Security Alliance; CSA)의 클라우드 보안 백서(White Paper)가 적용될 수 있다.
하기에서 상세히 설명될 도 1 내지 도 3은 클라우드 서비스 모델을 설명한다. 3 개의 클라우드 서비스 모델들이 존재할 수 있다. 상기의 3 개의 클라우드 서비스 모델들과 관련하여 15 개의 보안 도메인들(security domains) 및 7 개의 주요 위협들(top threats)이 있을 수 있다.. 또한, 위협들을 해결하기 위한 10 가지의 보안 컨트롤 모델들 및 관련된 표준 기술들로 구성된 클라우드 컴퓨팅의 보안 구조가 제공될 수 있다.
도 1은 CSA 클라우드의 15 개의 보안 도메인들을 도시한다.
도 1에서, 제1 도메인부터 제15 도메인까지 15 개의 도메인들의 명칭들이 도시되었다.
클라우드 보안의 범위가 상당히 넓은 반면, 명확한 표준이 정의 되지 않았기 때문에, 클라우드 보안 분야는 아직 미성숙한(immature) 것일 수 있다. 따라서, 비즈니스 리스크에 대한 이해 및 클라우드의 이점에 대한 검토가 이루어져야 한다. 예컨대, 특정한 데이터베이스 서비스는 유연한 인증 및 세부적인 보안을 지원하지 않을 수 있다.
보안 도메인에 있어서, 하기와 같은 이슈들이 고려될 수 있다.
보안 제어(security controls)
보안 제어는 보안 위협 및 도메인과 관련하여 요구되는 보안 제어 방안에 대한 정의 및 보안 요구사항에 대해서 설명할 수 있다.
자원 관리(asset management)
자원 관리는 클라우드 인프라를 구성하는 하드웨어, 네트워크 및 소프트웨어 자산을 모두 관리할 필요가 있다. 소프트웨어 자산은 물리적인 소프트웨어 자산 또는 가상의 소프트웨어 자산일 수 있다. 자원 관리에 있어서, 감사 및 규정 준수를 위해 자산의 물리적 기반 또는 네트워크 기반에 접근할 수 있는 계정이 포함될 수 있다.
암호화(cryptography), 키 및 인증서 관리(key and certificate management)
보안 시스템은 암호화 키 및 자격증명의 관리를 위해 인프라를 요구할 수 있다. 또한, 보안 시스템은 정보 보호를 위해 표준 기반의 암호화 기능 및 서비스를 포함할 수 있다.
데이터/스토리지 보안(data /storage security)
데이터 보안에 있어서, 데이터는 암호화되여 저장될 수 있다. 또한, 몇몇의 클라우드 서비스 사용자는 자신의 데이터 보호를 위해 다른 사용자들과 다른 개별적인 공간에 데이터를 저장하기를 원할 수 있다.
종단점 보안(end-point security)
사용자들은 클라우드 서비스에서 종단점(Endpoint) 보안을 제공해야 할 수 있다. 네트워크 프로토콜과 디바이스 종류에 따라 제한적인 종단점 보안을 제공될 수 있다.
이벤트 감사 및 리포팅(event auditing and reporting)
사용자는 클라우드에서 발생하는 이벤트, 특히 시스템 에러 및 보안에 대한 데이터에 접근할 수 있다.
식별, 역할들, 접근 제어 및 속성(identity, roles, access control and attributes)
클라우드 기반의 자원에 대한, 효과적인 접근 제어의 구현 및 보안 정책의 시행을 위해서는 식별, 역할들, 권한부여 및 속성이 정의될 필요가 있다. 권한 부여는 위임에 대응할 수 있다. 속성은 사용자 및 서비스에 따라 결정된 것일 수 있다.
네트워크 보안 (Network Security)
스위치, 라우터 및 패킷 단의 네트워크 트래픽에 대한 보호가 요구될 수 있다. 아이피 스택에 대한 보안도 요구될 수 있다.
보안 정책(security policies)
보안 정책에 있어서, 접근 제어, 자원 할당 및 일관성 있는 결정 등에 대한 정책이 정의 및 결정될 수 있다. 또한, 보안 정책의 수행이 요구될 수 있다. 정책의 정의는 서비스 수준 협약(Service Level Alliance; SLA) 및 라이센스에 따라 자동적으로 수행될 수 있다.
서비스 자동화 (Service Automation)
보안 감사의 보안 제어 흐름은 자동화될 수 있다. 또한, 프로세스의 관리 및 분석은 자동화될 수 있다. 서비스 자동화는 사용자의 보안 정책 또는 라이선스에 대한 위배가 발생할 경우, 이벤트를 통해 관리자에게 상기의 위배가 통지될 수 있다.
작업부하 및 서비스 관리(workload and service management)
정의된 보안 정책 및 사용자 라이선스 동의에 따라 환경 설정, 운용 및 감시 서비스가 제공될 수 있다.
도 2는 클라우드 서비스 모델을 설명한다.
도 2에서, 상단의 숫자들을 도 1을 참조하여 전술된 15 개의 보안 도메인들을 나타낸다.
좌측에 도시된 "보안 위험" 아래의 항목들은 클라우드 컴퓨팅에 존재하는 취약점에 기반하여 정의된 7 개의 위협들이다. 중간에 도시된 "보안 제어" 아래의 항목들은 보안 위험에 대응하는 보안 제어를 나타낸다. 우측에 도시된 "해당 표준 기술" 아래의 항목들은 보안 제어에 대응하는 표준 기술을 나타낸다.
보안 제어들 각각에 대하여, 소프트웨어형 서비스(Software as a Service), 플랫폼형 서비스(Platform as a Service) 및 인프라형 서비스(Infrastructure as a Service; IaaS) 중 하나 이상이 적용될 수 있다.
클라우드 컴퓨팅의 주요 위협들로서 하기의 항목들이 포함될 수 있다.
제1 위협은 클라우드 컴퓨팅의 오용 및 비도덕적인 사용(abuse and nefarious use of cloud computing)일 수 있다. 악의적 목적으로 클라우드가 도입될 경우, 가상 공간 내에 정보가 존재하는 클라우드의 특성 ㄸ문에, 기존의 봇넷(botnet)에 비해 잠재적인 위험이 더 큰 것으로 간주될 수 있다.
제2 위협은 불안전한 인터페이스 및 어플리케이션 프로그래밍 인터페이스(insecure interfaces and application programming interface)일 수 있다. 부가 가치의 제공을 위해, 기존 코드의 재사용 및 합성에 의해 어플리케이션이 구축될 경우, 복잡도 증가에 기인하여 보안 취약성이 발생할 수 있다.
제3 위협은 악의적인 내부자(malicious insiders)일 수 있다. 클라우드 서비스를 위한 직원 채용에 있어서의 지침 또는 기준이 없을 수 있다. 해커, 조직 범죄 또는 기업 스파이 등 악의적 목적을 지난 사람의 채용될 가능성이 증가함으로써, 클라우드 서비스 내의 데이터가 유출될 위험이 있을 수 있다.
제4 위협은 기술 공유 문제(shared technology issues)일 수 있다. 인프라형 서비스는 공유 기술에 기반한 확장성을 제공할 수 있다. 제4 위협은 멀티-테넌트(Multi-Tenant) 아키텍쳐를 위한 효과적인 자원의 분리가 이루어지지 않을 경우에 존재할 수 있다.
제5 위협은 데이터 유실 또는 유출(data loss or leakage)일 수 있다. 클라우드 환경의 구조적/운영적 특성에 의해 데이터 유출 위험이 증가할 수 있다. 제5 위협에 대한 다양한 원인이 존재할 수 있다.
제6 위협은 계정 또는 서비스 하이잭킹(account or service hijacking)일 수 있다. 클라우드 서비스에 있어서, 피싱, 사기 및 소프트웨어 취약성을 이용한 계정 접근은 일반적인 상황으로 간주될 수 있다. 클라우드 환경에서 계정 정보가 유출되는 것은 사용자의 모든 것이 노출되는 것과 동일한 위협이 될 수 있다.
제7 위협은 알려지지 않은 위협 프로파일(unknown risk profile)일 수 있다. 소프트웨어 버전(version), 코드 업데이트, 취약성 프로파일, 침입 시도 및 보안 설계 등은 기업의 보안 현황 점검에 있어서 필수적인 요소로 간주될 수 있다.
도 3는 클라우드 서비스에 대한 보안 위협을 설명한다.
도 3에서 도시된 제1 위협 내지 제7 위협은 각각 도 2를 참조하여 전술된 제1 위협 내지 제7 위협 중 하나에 대응할 수 있다.
제1 클라우드 서비스 제공자(310) 및 제2 클라우드 서비스 제공자(320) 내에는 하드웨어, 미들웨어, 데이터, 어플리케이션 및 API 등과 같은 개체(entity)가 존재할 수 있다. 하드웨어는 IaaS에 대응할 수 있다. 미들웨어는 PaaS에 대응할 수 있다. 데이터, 어플리케이션 및 API는 SaaS에 대응할 수 있다.
위협으로부터 개체로의 화살표는 특정한 개체에 적용될 수 있는 위협을 나타낼 수 있다. 예컨대, 제2 위협은 특히 API에 적용될 수 있으며, 제6 위협은 클라이언트(330)에 적용될 수 있다.
도 4는 일 실시예에 따른 클라우드 컴퓨팅 서비스 시스템이다.
클라우드 컴퓨팅 서비스 시스템(400)은 단말(410), 서비스 통합부(420), 인증부(430)를 포함할 수 있다. 클라우드 컴퓨팅 서비스 시스템(400)은 하나 이상의 서비스 제공부들을 더 포함할 수 있다. 클라우드 컴퓨팅 서비스 시스템(400)은, 하나 이상의 서비스 제공부들로서, 제1 서비스 제공부(440) 및 제2 서비스 제공부(450)를 더 포함할 수 있다.
클라우드 컴퓨팅 서비스 시스템(400)은 클라우드 컴퓨팅 서비스를 위한 보안 시스템일 수 있다.
서비스 통합부(420), 인증부(430) 및 하나 이상의 서비스 제공부들은 동일한 물리적 장치 내의 구성요소들일 수 있다. 또는, 서비스 통합부(420), 인증부(430) 및 하나 이상의 서비스 제공부들은 각각 서로 상이한 물리적 장치일 수 있다. 말하자면, 클라우드 컴퓨팅 서비스 시스템(400)은 복수의 서버들로 구성될 수 있다. 예컨대, 서비스 통합부(420)는 클라우드 서비스 통합 서버일 수 있다. 인증부(430)는 인증 서버일 수 있다. 하나 이상의 서비스 제공부들은 하나 이상의 클라우드 서버들일 수 있다.
단말(410)은 단말(410)의 종류와는 무관하게 웹 브라우저와 같은 프로그램을 통해 사용자 주문형 서비스를 제공할 수 있다.
단말(410)은 다중 요인(multi-factor)을 이용함으로써 생성된 사용자의 토큰을 이용하여 사용자에 대한 인증을 요청할 수 있다. 사용자에 대한 인증은 사용자의 클라우드 서비스의 이용을 위한 인증일 수 있다. 다중 요인은 ID, 패스워드 X 509 증명 및 이메일 중 하나 이상일 수 있다.
단말(410)은 ID 및 패스워드를 사용하여 클라우드 서비스에 접근할 수 있다.
서비스 통합부(420)는 가상 개인 네트워크를 통해 다양한 클라우드 서비스들을 단말(410) 및 단말(410)의 사용자에게 제공하는 환경을 제공할 수 있다. 다양한 클라우드 서비스들은 융합 서비스로서 단말(410)에게 제공될 수 있다. 다양한 클라우드 서비스들이 융합됨에 따라 클라우드 서비스의 확장성이 향상될 수 있다.
서비스 통합부(420)는 접속을 요청한 단말(410)의 ID를 인증부(430)에게 제공할 수 있다. 서비스 통합부(420)는 인증부(430)로부터 단말(410)에 대한 승인 여부를 통보받을 수 있다. 단말(410)에 대한 승인은 단말(410)의 ID에 대한 승인일 수 있다.
인증부(430)는 서비스 통합부(420)의 운영 주체 및 하나 이상의 서비스 제공부들의 운영 주체가 아닌 제3 의 운영 주체에 의해 운영될 수 있다. 인증부(430)는 공인된 운영 주체에 의해 운영될 수 있다.
인증부(430)는 단말(410)로부터 제공된 사용자의 정보를 관리할 수 있다. 단말(410)은 사용자의 개인 정보를 인증부(430)에게 제공할 수 있다. 인증부(430)는 사용자의 단말(410)을 통해 사용자의 개인 정보의 관리에 대한 인증을 받을 수 있다. 인증부(430)는 단말(410)로부터 제공된 사용자의 개인 정보를 관리할 수 있다.
인증부(430)는 사용자가 가입한 사이트 또는 사용자가 가입하고자 하는 사이트로부터 사용자에 대한 인증을 위임받을 수 있다. 인증부(430)는 위임에 따라 사용자에 대한 인증을 수행할 수 있다. 사용자가 가입한 사이트는 서비스 통합부(420) 또는 하나 이상의 서비스 제공부들일 수 있다.
단말(410)은 서비스 통합부(420)에게 클라우드 서비스에 대한 접근의 요청을 할 수 있다. 서비스 통합부(420)에서의 리다이렉션에 의해 인증부(430)가 사용자에 대한 인증을 수행할 수 있다.
인증부(430)는 다른 기관으로부터 요청된 사용자에 대한 인증을 수행할 수 있다.
인증부(430)는 정부 기관 또는 공인 인증 기관을 통해 사전에 가입한 사용자에 대해서만 인증을 수행할 수도 있다. 인증부(430)는 사전에 가입한 사용자에게 임시 ID를 발급할 수 있다. 임시 ID의 발급을 통해, 인증부(430)는 사용자의 개인 정보의 노출 없이 사용자에 대한 인증을 수행할 수 있다.
하나 이상의 서비스 제공부들은 가상 네트워크를 통해 인증부(430)에 의해 인증된 단말(410)에게 클라우드 서비스를 제공할 수 있다.
하나 이상의 서비스 제공부들은 각각 사용자 또는 단말(410)의 클라우드 서비스에 대한 접근 권한을 확인할 수 있고, 접근 권한에 대응하는 클라우드 서비스를 제공할 수 있다.
도 5는 일 실시예에 따른 서비스 통합부의 구조도이다.
서비스 통합부(420)는 접근 제어부(510), 서비스 구성부(520) 및 침입 탐지부(530)를 포함할 수 있다.
도 4를 참조하여 전술된 서비스 통합부(420)의 기능은 접근 제어부(510), 서비스 구성부(520) 및 침입 탐지부(530)에 분산하여 수행될 수 있다.
접근 제어부(510)는 서비스 제공부의 서비스 정책에 기반하여 단말(410)의 토큰에게 접근 승인 및 사용 권한을 부여할 수 있다. 서비스 제공부는 도 4를 참조하여 전술된 하나 이상의 서비스 제공부들일 수 있다.
사용자가 클라우드 서비스에 대한 접근을 요청할 때, 서비스 제공부로의 접근의 요청은 접근 제어부(510)에 의해 제어될 수 있다.
접근 제어부(510)는 사용자의 단말(410)로부터 클라우드 서비스로의 접속의 요청을 수신할 수 있다.
접근 제어부(510)는 단말(410)의 ID를 인증부(430)로 전송할 수 있다. 접근 제어부(510)는 인증부(430)로부터 ID에 기반한 사용자에 대한 인증의 결과를 수신할 수 있다.
접근 제어부(510)는 사용자의 클라우드 서비스에 대한 접근 권한의 확인을 클라우드 서비스를 제공하는 서비스 제공부에게 요청할 수 있다.
접근 제어부(510)는 서비스 제공부로부터 사용자의 클라우드 서비스에 대한 접근 권한의 확인의 결과를 수신할 수 있다. 접근 제어부(510)는 접근 관한의 확인의 결과가 사용자가 상기 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우 사용자의 토큰에 클라우드 서비스에 대한 접근 권한을 부여할 수 있다.
접근 제어부(510)는 클라우드 서비스에 대한 접근 권한이 부여된 토큰을 단말(410)로 전송할 수 있다.
접근 제어부(510)는 서비스 제공부로부터 클라우드 서비스의 등록 정보 및 사용자의 권한 정보의 요청을 수신할 수 있다. 접근 제어부(510)는 서비스 제공부로 등록 정보 및 권한 정보를 전송할 수 있다.
서비스 구성부(520)는 서비스 제공부 상에 클라우드 서비스를 제공하기 위한 구성을 생성할 수 있다. 클라우드 서비스를 제공하기 위한 구성은 서비스 제공부 상에서 수행되는 가상 머신일 수 있다. 서비스 구성부(520)는 사용자가 요청한 클라우드 서비스에 관련된 모든 서비스들을 서비스 제공부 상에 구성할 수 있다.
서비스 구성부(520)는 서비스 게이트웨이(gateway), 서비스 브로커, 가상 사설망 관리, 프라이버시 관리 및 감사 등의 기능을 수행할 수 있다.
침입 탐지부(530)는 클라우드 컴퓨팅 서비스 시스템(400) 또는 서비스 통합부(420)에 대한 물리적 공격을 사전에 탐지하여 차단할 수 있다. 침입 탐지부(530)는 사전 탐지 및 차단을 통해 클라우드 컴퓨팅 서비스 시스템(400) 또는 서비스 통합부(420)의 가용성을 향상시킬 수 있다. 예컨대, 물리적 공격은 클라우드 컴퓨팅 서비스 시스템(400)의 외부 또는 내부에서의 트래픽 폭주를 이용한 네트워크 공격일 수 있다.
침입 탐지부(530)는 서비스 제공부 내에 초급 탐지기를 설치할 수 있다. 초급 탐지기는 서비스 제공부 상의 가상 머신에 설치될 수 있다. 초급 탐지기는 가상 머신 상에서 동작하는 필수 프로그램으로서, 가상 머신이 생성될 때 설치될 수 있다.
초급 탐지기는 네트워크 사용률 및 자원 사용률을 측정할 수 있다. 침입 탐지부(530)는 초급 탐지기에 의해 측정된 네트워크 사용률 및 자원 사용률에 기반하여 클라우드 컴퓨팅 서비스 시스템(400) 또는 서비스 통합부(420)에 대한 침입이 발생하였는지 여부를 판단할 수 있다. 침입 탐지부(530)는 침입이 발생한 것으로 판단한 경우, 침입이 발생한 것을 서비스 통합부(420)에게 통지할 수 있다.
초급 탐지기는 클라우드 컴퓨팅 서비스 시스템(400) 내의 모든 가상 머신의 정보를 수집함으로써 침입이 발생하였는지 여부를 잘못 판단할 가능성을 낮출 수 있고, 긍정 오류(false positive)가 발생할 확률을 낮출 수 있다.
경우에 따라, 침입 탐지부(530)는 서비스 제공부 내에 존재할 수 있으며, 인증부(430) 내에 존재할 수 있다. 말하자면, 침입 탐지부(530)는 서비스 통합부(420)에 종속되지 않을 수 있다.
침입 탐지부(530)는 단말(410)에게 클라우드 서비스를 제공하기 위해 서비스 제공부 내에 가상 머신이 생성될 때부터 네트워크 정보 및 자원 사용 정보를 수집할 수 있다. 초급 탐지기는 협업 클라우딩 컴퓨팅을 구성하는 모든 가상 머신의 정보를 수집할 수 있다. 침입 탐지부(530)는 수집된 정보에 기반하여 비정상적인 행위 패턴 등을 검출함으로써 침입 여부의 판단 및 공격 여부의 판단을 수행할 수 있다.
도 6은 일 실시예에 따른 클라우드 서비스 방법의 흐름도이다.
단계(610)에서, 사용자의 단말(410)은 서비스 통합부(420)에게 클라우드 서비스로의 접속의 요청을 전송할 수 있다. 서비스 통합부(420)는 단말(410)로부터 클라우드 서비스로의 접속의 요청을 수신할 수 있다. 클라우드 서비스로의 접속의 요청은 단말(410)의 ID를 포함할 수 있다.
클라우드 서비스로의 접속의 요청은 토큰을 사용하여 수행될 수 있다. 단말(410)은 다중 요인을 사용함으로써 생성된 토큰을 서비스 통합부(420)로 전송할 수 있다. 토큰은 클라우드 서비스로의 접속의 요청을 나타낼 수 있다.
클라우드 서비스로의 접속의 요청은 클라우드 서비스의 회원 가입일 수 있다. 클라우드 서비스로의 접속의 요청은 단말(410)의 사용자의 정보를 포함할 수 있다. 단말(410)의 사용자의 정보는 사용자의 개인 정보, 사용자의 ID 및 사용자의 패스워드 중 하나 이상을 포함할 수 있다. 예컨대, 사용자의 개인 정보, ID 및 패스워드가 서비스 통합부(420)에게 제공될 수 있다.
단계(620)에서, 서비스 통합부(420)는 단말(410)의 ID 및 사용자의 정보를 인증부(430)로 전송할 수 있다. 단계(620)를 통해, 클라우드 서비스로의 접속의 요청은 서비스 통합부(420)로부터 인증부(430)로 리다이렉트(redirect)될 수 있다. 리다이렉션(redirection)에 의해, 인증부(430)가 단말(410)의 사용자에 대한 인증을 수행할 수 있다.
단계(625)에서, 인증부(430)는 단말(410)의 ID에 기반하여 단말(410)의 사용자에 대한 인증을 수행할 수 있다.
클라우드 서비스로의 접속의 요청이 클라우드 서비스의 회원 가입인 경우, 인증부(430)는 사용자에 대한 인증을 수행한 후, 사용자가 원하는 ID를 생성할 수 있다. 인증부(430)는 단말(410)에게 사용자가 원하는 ID를 발급해줄 수 있다. 인증부(430)는 발급된 ID를 단말(410)로 전송할 수 있다. 또는, 인증부(430)는 발급된 ID를 서비스 통합부(420)로 전송할 수 있고, 서비스 통합부(420)는 발급된 ID를 단말(410)로 전송할 수 있다. 회원 가입은 인증서, 공개ID(open ID), ID, 패스워드 및 이메일 등의 다양한 인증 수단에 의해 수행될 수 있다.
인증부(430)는 사용자의 정보를 저장할 수 있다. 인증부(430)는 사용자의 정보를 암호화하여 저장할 수 있다.
단계(630)에서, 인증부(430)는 단말(410)의 ID에 기반한 사용자에 대한 인증의 결과를 서비스 통합부(420)로 전송할 수 있다. 서비스 통합부(410)는 인증부(430)로부터 단말(410)의 ID에 기반한 사용자에 대한 인증의 결과를 수신할 수 있다.
사용자에 대한 인증의 결과가 사용자가 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우, 하기의 단계들(640 내지 695)이 수행될 수 있다.
단계(640)에서, 서비스 통합부(420)는 사용자의 클라우드 서비스에 대한 접근 권한의 확인을 클라우드 서비스를 제공하는 서비스 제공부(602)에게 요청할 수 있다. 서비스 제공부(602)는 도 4를 참조하여 전술된 제1 서비스 제공부(440) 또는 제2 서비스 제공부(450)에 대응할 수 있다. 서비스 제공부(602)는 서비스 통합부(420)로부터 사용자의 클라우드 서비스에 대한 접근 권한의 확인의 요청을 수신할 수 있다.
단계(645)에서, 서비스 제공부(602)는 사용자의 클라우드 서비스에 대한 접근 권한을 확인할 수 있다.
단계(650)에서, 서비스 제공부(602)는 사용자의 클라우드 서비스에 대한 접근 권한의 확인의 결과를 서비스 통합부(420)로 전송할 수 있다. 서비스 통합부(420)는 서비스 제공부(602)로부터 접근 권한의 확인의 결과를 수신할 수 있다.
단계(655)에서, 접근 권한의 확인의 결과가 사용자가 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우, 서비스 통합부(420)는 사용자의 토큰에게 클라우드 서비스에 대한 접근 권한을 부여할 수 있다.
서비스 통합부(420)는 서비스 제공부(602)의 클라우드 서비스에 대한 정책에 기반하여 사용자의 토큰에게 접근 권한을 부여할 수 있다.
상술된 클라우드 서비스는 복수일 수 있다. 또한, 복수의 클라우드 서비스들은 복수의 서비스 제공부(602)들에 의해 각각 제공될 수 있다. 사용자 또는 사용자의 단말(410)이 복수의 클라우드 서비스들을 동시에 사용할 경우, 서비스 통합부(420)는 복수의 클라우드 서비스들 각각에 대한 접근 권한들을 부여할 수 있다.
단계(660)에서, 서비스 통합부(420)는 접근 권한이 부여된 토큰을 단말(410)로 전송할 수 있다. 단말(410)은 서비스 통합부(420)로부터 접근 권한이 부여된 토큰을 수신할 수 있다.
하기의 단계들(670 내지 695)에서, 단말(410)에게 클라우드 서비스가 제공될 수 있다. 서비스 제공부(602)는 가상 네트워크를 통해 단말(410)에게 클라우드 서비스를 제공할 수 있다.
단계(670)에서, 서비스 통합부(420)는 서비스 제공부(602) 상에 클라우드 서비스를 제공하기 위한 구성을 생성할 수 있다.
클라우드 서비스를 제공하기 위한 구성은 서비스 제공부(602) 상에서 수행되는 가상 머신일 수 있다. 서비스 통합부(420)는 서비스 제공부(602) 상에서 단말(410)에게 클라우드 서비스를 제공하는 가상 머신을 생성할 수 있다.
단계(675)에서, 단말(410)은 서비스 제공부(602)에게 클라우드 서비스를 요청할 수 있다. 단말(410)은 접근 권한이 부여된 토큰을 사용하여 서비스 제공부(602)에게 클라우드 서비스를 요청할 수 있다. 클라우드 서비스의 요청을 위해, 단말(410)은 접근 권한이 부여된 토큰을 서비스 제공부(602)로 전송할 수 있다.
단계(680)에서, 서비스 제공부(602)는 클라우드 서비스의 등록 정보 및 단말(410)의 사용자의 권한 정보의 요청을 서비스 통합부(420)로 전송할 수 있다. 서비스 통합부(420)는 서비스 제공부(602)로부터 클라우드 서비스의 등록 정보 및 단말(410)의 사용자의 권한 정보의 요청을 수신할 수 있다.
단계(685)에서, 서비스 통합부(420)는 클라우드 서비스의 등록 정보 및 단말(410)의 사용자의 권한 정보를 서비스 제공부(602)로 전송할 수 있다. 서비스 제공부(602)는 서비스 통합부(420)로부터 클라우드 서비스의 등록 정보 및 단말(410)의 사용자의 권한 정보를 수신할 수 있다.
단계(690)에서, 서비스 제공부(602)는 클라우드 서비스의 등록 정보 및 단말(410)의 사용자의 권한 정보에 기반하여 단말(410)에게 클라우드 서비스를 제공할지 여부를 결정할 수 있다. 서비스 제공부(602)는 사용자의 권한 정보가 클라우드 서비스를 사용할 권한이 있다는 것을 나타내는 경우 단말(410)에게 클라우드 서비스를 제공할 것을 결정할 수 있다. 서비스 제공부(602)는 클라우드 서비스의 등록 정보를 사용하여 사용자의 권한 정보가 클라우드 서비스를 사용할 권한이 있다는 것을 나타내는지 여부를 판단할 수 있다.
단계(695)에서, 서비스 제공부(602)가 사용자의 권한 정보가 클라우드 서비스를 사용할 권한이 있다는 것을 나타낸다고 판단한 경우, 서비스 제공부(602)는 단말(410)에게 클라우드 서비스를 제공할 수 있다.
도 7은 일 실시예에 따른 클라우드 컴퓨팅 서비스 시스템이다.
클라우드 컴퓨팅 서비스 시스템(700)은 단말(710), 식별 서비스 제공부(Identification Service Provider; ISP)(720), 마켓 기반 클라우드 서비스 포털(Market-based Cloud Service Portal; MCSP)(730) 및 클라우드 서비스 제공부(Cloud Service Provider; CSP)(740)를 포함할 수 있다. 상술된 구성 이외에, 예컨대 도 4를 참조하여 전술된 클라우드 컴퓨팅 서비스 시스템(400)의 다른 구성요소가 클라우드 컴퓨팅 서비스 시스템(700)에 포함될 수 있다.
CSP(740)는 복수 개일 수 있다. 복수의 CSP(740)들로서, 제1 CSP 내지 제n CSP가 도시되었다.
단말(710)은 도 4를 참조하여 전술된 단말(410)에 대응할 수 있다. ISP(720)는 도 4를 참조하여 전술된 인증부(430)에 대응할 수 있다. MCSP(730)는 도 4를 참조하여 전술된 서비스 통합부(420)에 대응할 수 있다. CSP(740)는 도 4를 참조하여 전술된 하나 이상의 서비스 제공부들에 대응할 수 있다.
사용자의 단말(710)는 사용자의 정보를 제 3의 공인된 ISP(720)에게 위임할 수 있다. 단말(710)은 단말(710)의 종류에 와는 무관하게 웹 브라우저와 같은 프로그램을 통해 사용자 주문형 서비스를 제공할 수 있다.
ISP(720)는 공인된 제 3의 서비스 제공자 또는 공공 기관에 의해 운영될 수 있다. ISP(720)는 사용자의 정보를 위임받을 수 있다. ISP(720)는 위임받은 사용자의 정보를 관리할 수 있다. 단말(710)의 사용자는 인증서 또는 오픈 ID 등과 같은 다양한 인증 수단을 이용함으로써 ISP(720)에 가입할 수 있다. ISP(720)는 사용자가 가입하고자 하는 사이트로부터 인증의 위임의 요청을 받을 수 있다. ISP(720)는 사용자에 대한 인증의 결과를 사이트에게 통보할 수 있다.
ISP(720)는 가입한 사용자의 정보를 사용자의 개인 키를 이용하여 암호화할 수 있다. ISP(720)는 암호화된 사용자의 정보를 관리할 수 있다. ISP(720)는 단말(710)의 요청에 따라 사용자의 정보의 무결성 및 기밀성 등에 대한 감사 기능을 제공할 수 있다.
ISP(720)는 사용자 주문형 서비스 및 다양한 인터넷 기반 서비스들에 각각에 대한 가상 ID(Pseudo ID; PID)들을 관리할 수 있다. 상기의 관리를 위해 ISP(720)는 사용자가 특정한 서비스를 요청하면 요청된 서비스를 이용하기 위한 가상 ID를 생성할 수있다. ISP(720)는 가입된 사용자와의 사전 협약에 따라 사용자의 공개 키를 배포할 수 있는 권한을 가질 수 있다.
ISP(720)는 사용자의 요청에 따라 사용자가 서비스에 가입할 때 서비스 용 가상 ID를 생성할 수 있다. 예컨대, 개별적인 서비스 별로 서비스에 대한 가상 ID가 생성될 수 있다. 또한, ISP(720)는, 단말(710)이 MCSP(730)에서 특정한 클라우드 서비스 제공자의 서비스를 구매할 때, 단말(710)을 대신하여 클라우드 서비스 제공자에게 사용자에 대한 인증을 제공할 수 있다. 또한, ISP(720)는 클라우드 서비스 제공자로부터 서비스를 제공받기 위해 서비스에 가입할 수 있다.
MCSP(730)는 다중 협업 클라우드 서비스의 브로커의 기능을 수행할 수 있다. MCSP(730)는 일종의 서비스 판매 중개업자로서 CSP(740)의 판매를 대행할 수 있다. MCSP(730)는 단말(710)이 구매한 CSP(740)의 서비스에 대한 구성, 관리 및 사용자 환경을 제공할 수 있다. 상기의 제공을 위해, MCSP(730) 및 CSP(740) 간의 계약 및 상호 인증이 요구될 수 있다.
단말(710)이 MCSP(730)에게 클라우드 서비스의 구매를 요청할 경우, MCSP(730)는 웹 혹은 어플리케이션 형태의 사용자 인터페이스(User Interface; UI)를 단말(710)에게 제공할 수 있다. 예컨대, MCSP(730)는 CSP(740)가 제공하는 클라우드 서비스의 종류에 따라, UI 또는 단일 자원 지시기(Uniform Resource Locator; URL) 리다이렉션을 제공할 수 있다. 단말(710)의 사용자는 UI 또는 URL 리다이렉션을 통해 클라우드 서비스를 이용할 수 있다.
도 8은 일 실시예에 따른 사용자가 ISP에 회원으로서 가입하는 절차를 도시한다.
단계(810)에서, 단말(710)는 ISP(720)에 회원으로서 가입하기 위해 사용자의 정보, ID 및 패스워드를 ISP(720)로 전송할 수 있다. 상기의 ID는 사용자가 발급받기를 원하는 ID일 수 있다.
단계(820)에서, ISP(720)는 ISP(720)에 회원으로서의 가입을 요청한 사용자에 대한 인증을 수행할 수 있다. 사용자에 대한 인증 후, ISP(720)는 사용자가 원하는 ID를 발급할 수 있다.
ISP(720)는 사용자의 정보를 암호화하여 저장할 수 있다. 또한, ISP(720)는 타 기관으로부터 요청된 사용자에 대한 인증 과정을 수행할 수 있다.
ISP(720)는 가입의 승인을 나타내는 정보를 단말(710)로 전송할 수 있다.
도 9는 일 실시예에 따른 MCSP의 구조도이다.
MCSP(730)는 보안부(900), 가상 사설 망(Virtual Private Network; VPN) 관리부(920), VPN(930), 서비스 브로커(940), 감시부(950), 서비스 구성부(960) 및 서비스 게이트웨이(970)를 포함할 수 있다.
보안부(900)는 접근 제어부(910), 집행부(918) 및 키 관리부(919)를 포함할 수 있다. 접근 제어부(910)는 인증부(912), 허가부(914) 및 증명부(916)를 포함할 수 있다.
VPN(930)는 복수 개의 서비스들을 제공할 수 있다. 복수 개의 서비스들은 각각 클라우드 서비스일 수 있다. 복수 개의 서비스들로서, 제1 서비스 내지 제n 서비스가 도시되었다.
서비스 구성부(960)는 정책 관리부(962), 서비스 제공부(964), 자원 관리부(966) 및 모니터링부(968)를 포함할 수 있다.
단말(710)이 CSP(740)에 로그인할 때, 단말(710)은 단말(710)을 대신하여 위임된 인증을 수행할 ISP(720)의 주소 및 ISP(720)의 ID를 인증부(912)로 전송할 수 있다. 인증부(912)는 전송된 ISP(720)의 주소로의 리다이렉션을 수행할 수 있다. 리다렉션을 통해, 인증부(912)는 ISP(720)에게 단말(710)의 사용자에 대한 인증을 요청할 수 있다. 상기의 리다이렉션에서, 인증부(912)는 단말(710)의 ID를 ISP(720)로 전송할 수 있다. ISP(720)는 사용자의 입력에 기반하여 위임된 인증을 수행할 수 있다. 인증 후, ISP(720)는 사용자의 개인 키로 암호화된 ID를 MCSP(730)로 전송할 수 있다. 또한, ISP(720)는 사용자 정보를 포함한 공개 키를 암호화할 수 있고, 암호화된 공개 키를 MCSP(730)로 전송할 수 있다.
허가부(914)는 ID 및 사용자의 정보에 기반하여, 사용자의 서비스에 대한 권한을 확인할 수 있고, 사용자가 구매한 주문형 서비스에 대한 내역 등을 확인할 수 있다. 허가부(914)는 XML을 이용하여 개인 서비스 프로파일(Personal Service Profile; PSP)를 작성할 수 있다. 허가부(914)는 PSP를 사용하여 서비스 구성부(960)에게 서비스 구성을 요청할 수 있다.
증명부(916)는 ID 및 사용자의 정보를 전달된 공개 키를 이용하여 복호화할 수 있다. 증명부(916)는 복호화의 결과에 기반하여 사용자의 신원 증명을 확인할 수 있다.
집행부(918)는 MCSP(730)의 보안 정책을 담당할 수 있다.
키 관리부(919)는 서비스를 이용하고자 하는 단말(710) 또는 서비스에 맞는 키를 제공 및 관리할 수 있다.
VPN(930)은 단말(710)에게 서비스를 제공하기 위한 개인 네트워크를 구성할 수 있다. 단말(710)에게 제공되는 서비스들은 각각 VPN에 할당될 수 있으며, 상기의 할당을 통해 단말(710)에게 제공될 수 있다.
VPN 관리부(920)는 VPN을 위해 개인 네트워크를 생성 및 관리할 수 있다.
서비스 브로커(940)는 다양한 사용자 서비스를 위한 VPN 세션을 관리할 수 있다. 서비스 브로커(940)는 VPN 관리부(920)를 통해 서비스 별 세션을 생성할 수 있다. 서비스 브로커(940)는 VPN 관리부(920)를 통해 서비스의 종료 시에 구성된 VPN(930) 및 VPN(930)에 관련된 사용자 데이터를 삭제할 수 있다. 사용자 데이터는 사용자의 정보 및 서비스의 캐쉬 데이터를 포함할 수 있다. 서비스 브로커(940)는 VPN 관리부(920)를 통해 일정 기간 동안 사용되지 않는 서비스를 종료시킬 수 있다. 말하자면, 서비스 브로커(940)는 서비스와 관련된 MCSP(730)의 전반적인 기능을 제어할 수 있다.
감시부(950)는 단말(710)이 올바르게 서비스를 사용하는지 여부를 감시할 수 있다. 감시부(950)는 이상 트래픽 및 권한 침입을 감시할 수 있다. 감시부(950)는 MCSP(730)의 전반적인 보안 서비스를 감시할 수 있다.
서비스 게이트웨이(970)는 MCSP(730) 및 CSP(740) 간의 안전한 통신을 제공할 수 있다. 서비스 게이트웨이(970)는 복수의 CSP(740)들 각각이 안전한 통신망을 위하여 VPN(930)과 통신하게 할 수 있다. 안전한 통신을 위해, 서비스 게이트웨이(970)는 복수의 CSP(740)들 각각과 안전한 통신 세션을 구성할 수 있다. 서비스 게이트웨이(970)는 구성된 통신 세션을 제어할 수 있다.
서비스 구성부(960)는 접근 제어부(910)로부터 PSP를 제공받을 수 있다. 서비스 구성부(960)는 PSP에 기반하여 서비스를 구성할 수 있다. 서비스 구성부(960)는 서비스 이용을 위해 CSP(740)와 통신할 때, CSP(740)가 제공하는 오픈 API를 이용할 수 있다.
자원 관리부(966)는 서비스의 구성을 위하여 CSP(740)가 제공하는 서비스 자원을 관리할 수 있다. 자원 관리부(966)는 PSP에 기반하여 명시된 자원에 대한 정보를 관리할 수 있다. 자원에 대한 정보는 서비스 URL, 스토리지 및 CPU 등을 포함할 수 있다.
자원 관리부(966)는 PSP 내에 명시된 CSP(740)들에게 각 CSP(740)의 서비스를 위한 서비스 프로파일(Service Profile; SP)를 요청할 수 있다. 자원 관리부(966)는 PSP 내에 명시된 CSP(740)들에게 CSP(740)들 간의 서비스 자원 공유 및 협업에 필요한 정보를 제공할 수 있다. 예컨대, 단말(710)은 A사의 어플리케이션 서비스를 이용할 수 있다. 단말(710)은 어플리케이션 서비스를 이용함에 따라 생성된 데이터를 B사의 스토리지 서비스에 저장할 수 있다. 이 때, A사의 서비스로부터 B사의 스토리지로의 접근이 발생한 경우, A사의 어플리케이션은 자원 관리부(966)로부터 B사의 스토리지에 접근하기 위해 요구되는 정보를 획득할 수 있다. 스토리지에 접근하기 위해 요구되는 정보는 URP, IP 주소 및 사용자의 ID 등을 포함할 수 있다. A사의 어플리케이션은 획득된 정보를 사용하여 B사의 스토리지에 접근할 수 있다.
자원 관리부(966)는 자원의 사용 현황 정보 등을 각 CSP에서 수집하여 업데이트 및 관리하며, 필요로 하는 구성요소로 제공한다.
서비스 제공부(964)는 서비스의 제공을 위해 VPN 관리부(328)에게 서비스 세션의 생성을 요청할 수 있다. 서비스 제공부(964)는 서비스의 제공을 위한 환경을 구성할 수 있다.
정책 관리부(962)는 서비스 별 또는 사용자 별로 보안 정책을 관리할 수 있다.
모니터링부(968)는 서비스 오류에 대한 감시를 수행할 수 있으며, 정확한 서비스를 제공하기 위한 지속적인 서비스 감시를 수행할 수 있다.
도 10은 일 실시예에 따른 사용자의 개인 정보 위임 및 로그인 과정을 설명한다.
하기에서, 단말(710)이 사용자의 개인 정보를 ISP(720)에게 위임하는 과정 및 단말(710)이 MCSP(730)에 로그인하는 과정이 설명된다.
단계(1010)에서, 단말(710)은 ISP(720)에게 회원 가입을 요청할 수 있다. 단말(710)은 ISP(720)에게 회원 가입과 함께 개인 정보의 위임을 요청할 수 있다.
단계(1020)에서, 단말(710)은 MCSP(730)에 로그인할 수 있다. 단말(710)은 웹 브라우저를 통해 MCSP(730)에 로그인할 수 있다. 단말(710)은 사용자의 ID 및 ISP(720)의 주소를 사용하여 MCSP(730)에 로그인할 수 있다. 로그인을 통해 사용자의 ID 및 ISP(720)의 주소가 MCSP(730)로 전송될 수 있다.
단계(1030)에서, MCSP(730)는 ISP(720)에게 ID에 대한 승인을 요청할 수 있다. ID에 대한 승인은 ID가 나타내는 단말(710)에 대한 서비스의 제공의 승인일 수 있다. MCSP(730)는 ISP(720)의 주소를 사용하여 ISP(720)에게 ID에 대한 승인을 요청할 수 있다. 상기의 요청과 함께, MCSP(730)는 승인의 결과를 제공받을 MCSP(730)의 주소롤 ISP(720)로 전송할 수 있다.
단계(1040)에서, ISP(720)는 ID에 대한 승인의 결과를 MCSP(730)에 통보할 수 있다. ISP(720)는 ID에 대한 승인의 결과를 ISP(720)에게 제공된 MCSP(730)의 주소로 전송할 수 있다.
단계(1050)에서, 승인의 결과를 제공받은 MCSP(730)는 사용자에 대한 서비스를 구성할 수 있다. MCSP(730)는 ISP(720)에 의해 제공된 서비스들 각각에 대해, 각 서비스를 위해 사용될 가상 ID를 이용하여 서비스를 구성할 수 있다.
도 9를 참조하여 전술된 것처럼, 상술된 로그인 과정은 MCSP(730)의 접근 제어부(910)에 의해 수행될 수 있다.
도 11은 일 실시예에 따른 서용자 서비스 구성 과정을 설명한다.
단계(1110)에서, 서비스 구성부(960)는 접근 제어부(910)로부터 사용자의 PSP를 제공받을 수 있다. 서비스 구성부(960)는 사용자의 PSP에 기반하여 사용자를 위한 서비스를 구성할 수 있다.
단계(1120)에서, 서비스 구성부(960)는 PSP를 자원 관리부(966)로 전달할 수 있다.
단계(1130)에서, 자원 관리부(966)는 서비스 게이트웨이(970)와의 통신 세션을 생성할 수있다.
자원 관리부(966)는 서비스 구성부(960)로부터 제공된 서비스를 서비스 게이트웨이(970)에게 요청할 수있다.
단계(1140)에서, 서비스 게이트웨이(970)는 서비스를 제공하는 CSP(740)에게 서비스를 요청할 수 있다. 서비스 게이트웨이(970)는 CSP(740)가 제공하는 오픈 API를 이용하여 CSP(740)와 통신할 수 있다.
단계(1150)에서, CSP(740)는 게이트웨이에 의해 요청된 서비스를 서비스 구성부(960)에게 제공할 수 있다.
도 12는 일 실시예에 따른 MCSP 회원 가입 및 MCSP 이용 절차를 설명한다.
단계(1200)에서, 사용자는 단말(710)을 통해 MCSP(730)에 회원 가입을 요청할 수 있다. 단말(710)은 CSP(740)의 서비스를 제공받기 위해서 MCSP(730)에 회원으로서 가입한 후 서비스를 구매해야 할 수 있다. 사용자에 대한 인증은 단말(710), ISP(720) 및 MCSP(730)의 사이에서 이루어질 수 있다.
단계(1202)에서, MCSP(730)는 ISP(720)에게 사용자에 대한 인증을 요청할 수 있다. MCSP(730)는 사용자 로그인 시 입력된 ID 및 패스워드의 정보를 선택된 ISP(720)로 리다이렉션할 수 있다. 리다이렉션이 이용되기 때문에, MCSP(730) 내에는 ID 및 패스워드의 정보가 남지 않을 수 있다.
단계(1204)에서, ISP(720)는 사용자에 대한 인증을 수행한 후 MCSP(730)에 회원으로서 가입하기 위한 가상 ID(Pseudo ID, PID)를 발급할 수 있다. ISP(720)는 MCSP(730)에게만 PID 및 MCSP 요청 정보를 전달할 수 있다. PID 및 MCSP는 암호화될 수 있다. MCSP 요청 정보는 서비스와 관련된 사용자의 관심 및 취향에 대한 정보일 수 있다. ISP(720)는 사용자가 회원으로서 가입한 MCSP(730)에서 사용될 PID 및 서비스의 요청에 대한 정보를 XML 형태의 사용자 서비스 프로파일(User Service Profile; USP)로서 저장할 수 있다. USP는 암호화된 채 저장될 수 있다.
단계(1206)에서, MCSP(730)는 ISP(720)로부터 전달받은 USP을 이용하여 XML 형태의 PSP를 생성할 수 있다. MCSP(730)는 단말(710)에게 인증의 결과를 전달할 수 있으며, 사용자의 회원 가입을 승인할 수 있다.
단계(1208)에서, 단말(710)은 MCSP(730)를 통해 원하는 CSP(740)의 서비스를 구매할 수 있다. 구매를 위해, MCSP(730)는 서비스 이용을 위해 사용되는 서비스 가상 ID(Service Pseudo ID; SPID)를 생성할 수 있고, 생성된 SPID를 이용하여 CSP(740)에게 서비스의 가입을 요청할 수 있다.
단계(1210)에서, CSP(740)는 MCSP(730)가 요청한 가입을 승인할 수 있다. 단말(710)은 MCSP(730)를 통해 원하는 CSP(740)의 서비스를 구매할 수 있다. 예컨대, MCSP(730)는 SPID를 이용하여 원하는 CSP(740)의 서비스를 구매 및 관리할 수 있다.
단계(1212)에서, MCSP(730)는 PSP를 업데이트할 수 있다. MCSP(730)는 단말(710)이 구매한 서비스의 정보를 ISP(720)에 전달할 수 있다. 서비스의 정보는 SPID를 포함할 수 있다. MCSP(730)는 CSP(740)의 서비스를 위해 각 서비스 별로 SPID를 생성 및 관리할 수 있다. MCSP(730)는 서비스가 종료되는 시점에 PSP 및 관련된 데이터를 삭제할 수 있다.
단말(710)이 특정한 CSP(740)의 서비스를 요청하면, MCSP(730)는 서비스의 구매 여부를 확인할 수 있다. MCSP(730)는 단말(710)이 요청된 서비스가 기존에 구매되지 않은 것이면, 새로운 SPID를 생성할 수 있고, 생성된 SPID를 사용하여 상술한 구매 절차를 수행할 수 있다.
CSP(740)는 단말(710)이 요청한 서비스를 제공할 수 있다. MCSP(730)는 변경된 서비스 정보인 PSP를 업데이트할 수 있다.
단말(710)이 MCSP(730)에게 로그아웃을 요청하면, MCSP(730)는 서비스의 제공의 중단과 함께 최종적으로 업데이트된 PSP를 ISP(720)으로 전송할 수 있다. MCSP(730)는 서비스의 제공 중에 사용된 데이터 및 PID를 삭제할 수 있고, 로그아웃을 수행할 수 있다. ISP(720)는 MCSP(730)로부터 전송된 PSP를 이용하여 USP를 갱신할 수 있고, 갱신된 USP를 저장할 수 있다.
상술된 것과 같이, 실시예에서는 계층 별로 상이한 ID가 사용될 수 있다. 예컨대, 단말(710) 및 ISP(720) 간에는 ISP ID가 사용될 수 있다. ISP(720) 및 MCSP(730) 간에는 PID가 사용될 수 있다. MCSP(730) 및 CSP(740) 간에는 SPID가 사용될 수 있다. 즉, 각 단계에 있어서, 서로 상이한 ID가 발급 및 사용될 수 있다.
단말(710) 및 ISP(720) 간에는 제1 암호화 알고리즘을 이용하여 암호화된 정보가 송수신될 수 있다. ISP(720) 및 MCSP(730) 간에는 제2 암호화 알고리즘을 이용하여 암호화된 정보가 송수신될 수 있다. MCSP(730) 및 CSP(740) 간에는 제3 암호화 알고리즘을 이용하여 암호화된 정보를 송수신될 수 있다.
상술된 것과 같이, 개인 정보의 보호를 위해서 단계 별로 서로 상이한 ID를 발급하거나, 서로 상이한 암호화 알고리즘을 이용함으로써, 해킹 등에 의해 사용자의 ID가 노출된 경우에서도, 사용자의 개인 정보 및 사용자가 어떤 데이터를 사용하는 지가 보호될 수 있다.
클라우드 컴퓨팅 시스템은 단말(710) 및 ISP(720) 간에서 사용되는 제1 암호화 알고리즘, ISP(720) 및 MCSP(730) 간에서 사용되는 제2 암호화 알고리즘 및 MCSP(730)와 CSP(740) 간에서 사용되는 제3 암호화 알고리즘을 서로 상이하게 설정함으로서 다수의 보안 신뢰 구간들을 형성할 수 있다. 다수의 보안 신뢰 구간들을 통해 사용자의 정보가 효율적으로 보호될 수있다.
클라우드 컴퓨팅 시스템은 MCSP(730)가 다중의 CSP(740)들 간의 사용자의 정보 전달 및 자원 접근을 통제함에 따라 다중의 CSP(740)간의 사용자의 정보 전달, 가공 및 처리에 있어서 사용자 정보 보호가 이루어질 수 있다.
클라우드 컴퓨팅 시스템은 단말(710) 및 ISP(720) 간에서 사용되는 제1 사용자 식별자, ISP(720) 및 MCSP(730) 간에서 사용되는 제2 사용자 식별자 및 MCSP(730) 및 CSP(740) 간에서 사용되는 제3 사용자 식별자를 서로 상이하게 설정함으로서 사용자 정보를 효율적으로 보호할 수 있다.
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (18)

  1. 사용자의 단말로부터 클라우드 서비스로의 접속의 요청을 수신하는 단계;
    상기 사용자의 상기 클라우드 서비스에 대한 접근 권한의 확인을 상기 클라우드 서비스를 제공하는 서비스 제공부에게 요청하는 단계;
    상기 서비스 제공부로부터 상기 확인의 결과를 수신하는 단계;
    상기 결과가 상기 사용자가 상기 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우 상기 사용자의 토큰에 상기 클라우드 서비스에 대한 접근 권한을 부여하는 단계
    를 포함하는, 클라우드 서비스 방법.
  2. 제1항에 있어서,
    상기 단말의 식별자를 인증부로 전송하는 단계; 및
    상기 인증부로부터 상기 식별자에 기반한 상기 사용자에 대한 인증의 결과를 수신하는 단계
    를 더 포함하는, 클라우드 서비스 방법.
  3. 제1항에 있어서,
    상기 사용자의 토큰을 상기 단말로 전송하는 단계
    를 더 포함하는, 클라우드 서비스 방법.
  4. 제1항에 있어서,
    상기 서비스 제공부로부터 상기 클라우드 서비스의 등록 정보 및 상기 사용자의 권한 정보의 요청을 수신하는 단계; 및
    상기 서비스 제공부로 상기 등록 정보 및 상기 권한 정보를 전송하는 단계
    를 더 포함하는, 클라우드 서비스 방법.
  5. 제1항에 있어서,
    상기 서비스 제공부 상에 상기 클라우드 서비스를 제공하기 위한 구성을 생성하는 단계
    를 더 포함하는, 클라우드 서비스 방법.
  6. 제5항에 있어서,
    상기 클라우드 서비스를 제공하기 위한 상기 구성은 상기 서비스 제공부 상에서 수행되는 가상 머신인, 클라우드 서비스 방법.
  7. 제1항에 있어서,
    상기 클라우드 서비스는 가상 네트워크를 통해 상기 서비스 제공부에 의해 상기 단말에게
    제공되는, 클라우드 서비스 방법.
  8. 제1항에 있어서,
    상기 클라우드 서비스는 복수 개인, 클라우드 서비스 방법.
  9. 제1항에 있어서,
    상기 접근 권한은 상기 서비스 제공부의 상기 클라우드 서비스에 대한 정책에 기반하여 상기 토큰에게 부여되는, 클라우드 서비스 방법.
  10. 제1항의 방법을 수행하는 프로그램을 수록한 컴퓨터 판독 가능 기록 매체.
  11. 사용자의 단말로부터 클라우드 서비스로의 접속의 요청을 수신하고, 상기 사용자의 상기 클라우드 서비스에 대한 접근 권한의 확인을 상기 클라우드 서비스를 제공하는 서비스 제공부에게 요청하고, 상기 서비스 제공부로부터 상기 확인의 결과를 수신하고, 상기 결과가 상기 사용자가 상기 클라우드 서비스에 대한 접근 권한을 가지고 있음을 나타내는 경우 상기 사용자의 토큰에 상기 클라우드 서비스에 대한 접근 권한을 부여하는 접근 제어부; 및
    상기 서비스 제공부 상에 상기 클라우드 서비스를 제공하기 위한 구성을 생성하는 서비스 구성부
    를 포함하는, 클라우드 서비스 통합 서버.
  12. 제11항에 있어서,
    상기 접근 제어부는 상기 단말의 식별자를 인증부로 전송하고, 상기 인증부로부터 상기 식별자에 기반한 상기 사용자에 대한 인증의 결과를 수신하는, 클라우드 서비스 통합 서버.
  13. 제11항에 있어서,
    상기 접근 제어부는 상기 사용자의 토큰을 상기 단말로 전송하는, 클라우드 서비스 통합 서버.
  14. 제11항에 있어서,
    상기 접근 제어부는 상기 서비스 제공부로부터 상기 클라우드 서비스의 등록 정보 및 상기 사용자의 권한 정보의 요청을 수신하고, 상기 서비스 제공부로 상기 등록 정보 및 상기 권한 정보를 전송하는, 클라우드 서비스 통합 서버.
  15. 제11항에 있어서,
    상기 클라우드 서비스를 제공하기 위한 상기 구성은 상기 서비스 제공부 상에서 수행되는 가상 머신인, 클라우드 서비스 통합 서버.
  16. 제11항에 있어서,
    상기 클라우드 서비스는 가상 네트워크를 통해 상기 서비스 제공부에 의해 상기 단말에게 제공되는, 클라우드 서비스 통합 서버.
  17. 제11항에 있어서,
    상기 클라우드 서비스는 복수 개인, 클라우드 서비스 통합 서버.
  18. 제11항에 있어서,
    상기 접근 권한은 상기 서비스 제공부의 상기 클라우드 서비스에 대한 정책에 기반하여 상기 토큰에게 부여되는, 클라우드 서비스 통합 서버.
PCT/KR2012/010487 2011-12-05 2012-12-05 클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치 WO2013085281A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/345,177 US20150012977A1 (en) 2011-12-05 2012-12-05 Method and apparatus for security in cloud computing service

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2011-0129242 2011-12-05
KR1020110129242A KR101762876B1 (ko) 2011-12-05 2011-12-05 클라우드 컴퓨팅 서비스에서의 보안 시스템

Publications (1)

Publication Number Publication Date
WO2013085281A1 true WO2013085281A1 (ko) 2013-06-13

Family

ID=48574568

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2012/010487 WO2013085281A1 (ko) 2011-12-05 2012-12-05 클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치

Country Status (3)

Country Link
US (1) US20150012977A1 (ko)
KR (1) KR101762876B1 (ko)
WO (1) WO2013085281A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107360141A (zh) * 2017-06-23 2017-11-17 广东知元机器人科技有限公司 用于电力保密数据的大数据云平台安全防护方法
WO2019013481A1 (en) * 2017-07-14 2019-01-17 Hp Printing Korea Co., Ltd. METHOD AND PRINTING SYSTEM USING CLOUD

Families Citing this family (40)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5618886B2 (ja) * 2011-03-31 2014-11-05 株式会社日立製作所 ネットワークシステムおよび計算機振り分け装置、計算機振り分け方法
GB2499787B (en) 2012-02-23 2015-05-20 Liberty Vaults Ltd Mobile phone
AU2013204965B2 (en) 2012-11-12 2016-07-28 C2 Systems Limited A system, method, computer program and data signal for the registration, monitoring and control of machines and devices
GB2517732A (en) 2013-08-29 2015-03-04 Sim & Pin Ltd System for accessing data from multiple devices
KR101458820B1 (ko) * 2013-10-15 2014-11-07 순천향대학교 산학협력단 공공 클라우드 환경에서의 안전한 데이터 관리 시스템 및 기법
WO2015099698A1 (en) * 2013-12-24 2015-07-02 Intel Corporation Content protection for data as a service (daas)
PL3114884T3 (pl) * 2014-03-07 2020-05-18 Ubiquiti Inc. Uwierzytelnianie i identyfikacja urządzenia w chmurze
US9665718B2 (en) * 2014-03-14 2017-05-30 International Business Machines Corporation Correlating a task with commands to perform a change ticket in an IT system
US10084669B2 (en) * 2014-04-09 2018-09-25 Centurylink Intellectual Property Llc System and method for cloud computing adaptive cloud services
US10360071B1 (en) * 2014-04-11 2019-07-23 Amazon Technologies, Inc. Computing resource market
US20150332351A1 (en) 2014-05-16 2015-11-19 Centurylink Intellectual Property Llc System and Method for Service Provider Cloud Services - Cloud Marketplace
CN105993183B (zh) 2014-06-30 2019-08-13 优倍快网络公司 用于在无线电网络的配置中使用功能图协助的方法和工具
ES2873999T3 (es) 2014-08-31 2021-11-04 Ubiquiti Inc Métodos y aparatos para monitorizar y mejorar el estado de una red inalámbrica
US9544311B2 (en) * 2014-11-14 2017-01-10 Sap Se Secure identity propagation in a cloud-based computing environment
KR102349605B1 (ko) * 2014-11-17 2022-01-11 삼성전자 주식회사 사용자 기기의 식별자에 기반하여 서비스를 제공하는 방법 및 장치
US10313217B2 (en) 2015-03-13 2019-06-04 Samsung Electronics Co., Ltd. System on chip (SoC) capable of sharing resources with network device and devices having the SoC
US10097529B2 (en) 2015-05-01 2018-10-09 Samsung Electronics Co., Ltd. Semiconductor device for controlling access right to server of internet of things device and method of operating the same
US11115417B2 (en) 2015-05-19 2021-09-07 Microsoft Technology Licensing, Llc. Secured access control to cloud-based applications
US9832199B2 (en) * 2015-09-25 2017-11-28 International Business Machines Corporation Protecting access to hardware devices through use of a secure processor
KR101642104B1 (ko) * 2015-11-19 2016-07-27 (주)지인소프트 보안 서비스 제공 방법 및 이를 실행하는 시스템
US20170235970A1 (en) * 2016-02-11 2017-08-17 Daniel CONNER Scalable data verification with immutable data storage
US10412168B2 (en) 2016-02-17 2019-09-10 Latticework, Inc. Implementing a storage system using a personal user device and a data distribution device
US9935772B1 (en) * 2016-02-19 2018-04-03 Vijay K Madisetti Methods and systems for operating secure digital management aware applications
KR101869027B1 (ko) * 2016-03-02 2018-06-19 (주)지인소프트 보안서비스 제공 시스템
KR101887594B1 (ko) * 2016-06-20 2018-08-13 엔쓰리엔 주식회사 클라우드 네트워크 기반 데이터 시각화 방법 및 장치
KR101922908B1 (ko) * 2016-07-20 2018-11-28 한승현 Iot 기반으로 획득된 사용자 정보를 클라우드 환경에서 관리하는 시스템 및 방법
KR101952139B1 (ko) * 2016-10-20 2019-02-26 주식회사 파수닷컴 사용자 단말과 연동된 게이트웨이 서버에서 drm 기능을 제공하는 방법
KR20180043679A (ko) * 2016-10-20 2018-04-30 주식회사 파수닷컴 게이트웨이 서버와 연동된 클라우드 저장소 서버에서 drm 기능을 제공하는 방법
JP7393209B2 (ja) * 2017-01-26 2023-12-06 センパー フォーティス ソリューションズ リミテッド ライアビリティ カンパニー マルチテナントクラウドにおける複数のシングルレベルセキュリティ（ｍｓｌｓ）
US11151253B1 (en) * 2017-05-18 2021-10-19 Wells Fargo Bank, N.A. Credentialing cloud-based applications
EP3585026A1 (en) 2018-06-19 2019-12-25 Siemens Aktiengesellschaft Method and system of providing secure access to a cloud service in a cloud computing environment
CN109086974B (zh) * 2018-07-09 2022-10-04 南京邮电大学 云制造能源认知管理系统
US11632360B1 (en) * 2018-07-24 2023-04-18 Pure Storage, Inc. Remote access to a storage device
US11258756B2 (en) * 2018-11-14 2022-02-22 Citrix Systems, Inc. Authenticating to a hybrid cloud using intranet connectivity as silent authentication factor
KR102209993B1 (ko) 2019-06-28 2021-02-01 한국전자통신연구원 보안도구와 클라우드 플랫폼 연동을 위한 방법 및 장치
KR102347153B1 (ko) 2020-04-21 2022-01-04 국방과학연구소 클라우드 컴퓨팅 환경에 적합한 보안 아키텍처가 적용된 국방 지휘통제체계(c4i) 시스템 및 그의 인증, 인가 제어 방법
US11700173B2 (en) 2020-09-25 2023-07-11 Cisco Technology, Inc. Dynamic user private networks of a shared virtual network
CN112202922A (zh) * 2020-10-26 2021-01-08 国网四川省电力公司信息通信公司 信息通信安全访问管理方法、系统及存储介质
US11829501B2 (en) 2021-05-11 2023-11-28 Paypal, Inc. Database application password rotation with reduced downtime
US20230412605A1 (en) * 2022-06-17 2023-12-21 Assurant, Inc. Dynamic computing resource set generation and access control

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20100110816A (ko) * 2008-01-14 2010-10-13 마이크로소프트 코포레이션 클라우드 기반 이동식 컴포넌트 바인딩
KR20110002810A (ko) * 2009-07-02 2011-01-10 삼성전자주식회사 신축적 컴퓨팅 시스템 및 환경에서 안전한 서비스 제공자 이용
US20110126197A1 (en) * 2009-11-25 2011-05-26 Novell, Inc. System and method for controlling cloud and virtualized data centers in an intelligent workload management system
US20110214176A1 (en) * 2010-02-27 2011-09-01 Lloyd Leon Burch Techniques for secure access management in virtual environments
US20110265168A1 (en) * 2010-04-26 2011-10-27 Vmware, Inc. Policy engine for cloud platform

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7237257B1 (en) * 2001-04-11 2007-06-26 Aol Llc Leveraging a persistent connection to access a secured service
DE102006045352B4 (de) * 2006-09-26 2015-02-12 Nokia Solutions And Networks Gmbh & Co. Kg Verfahren für Single-Sign-On bei Verwendung einer Set-Top-Box
US10057239B2 (en) * 2009-12-17 2018-08-21 Pulse Secure, Llc Session migration between network policy servers

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20100110816A (ko) * 2008-01-14 2010-10-13 마이크로소프트 코포레이션 클라우드 기반 이동식 컴포넌트 바인딩
KR20110002810A (ko) * 2009-07-02 2011-01-10 삼성전자주식회사 신축적 컴퓨팅 시스템 및 환경에서 안전한 서비스 제공자 이용
US20110126197A1 (en) * 2009-11-25 2011-05-26 Novell, Inc. System and method for controlling cloud and virtualized data centers in an intelligent workload management system
US20110214176A1 (en) * 2010-02-27 2011-09-01 Lloyd Leon Burch Techniques for secure access management in virtual environments
US20110265168A1 (en) * 2010-04-26 2011-10-27 Vmware, Inc. Policy engine for cloud platform

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107360141A (zh) * 2017-06-23 2017-11-17 广东知元机器人科技有限公司 用于电力保密数据的大数据云平台安全防护方法
CN107360141B (zh) * 2017-06-23 2023-09-29 广州华盈电气科技有限公司 用于电力保密数据的大数据云平台安全防护方法
WO2019013481A1 (en) * 2017-07-14 2019-01-17 Hp Printing Korea Co., Ltd. METHOD AND PRINTING SYSTEM USING CLOUD
US10936261B2 (en) 2017-07-14 2021-03-02 Hewlett-Packard Development Company, L.P. Printing method and system using cloud

Also Published As

Publication number Publication date
KR20130085472A (ko) 2013-07-30
US20150012977A1 (en) 2015-01-08
KR101762876B1 (ko) 2017-07-31

Similar Documents

Publication Publication Date Title
WO2013085281A1 (ko) 클라우딩 컴퓨팅 서비스에서의 보안을 위한 방법 및 장치
Lee Security threats in cloud computing environments
WO2013048111A2 (ko) 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
KR101530809B1 (ko) 멀티-테넌트 서비스 제공자에 의한 동적 플랫폼 재구성
WO2013062352A1 (ko) 클라우드 컴퓨팅 서비스에서의 접근제어 방법 및 시스템
WO2013065915A1 (ko) 보안 영역과 비보안 영역 사이의 보안 연동 방법 및 보안 어플리케이션 다운로드 관리방법, 관리서버, 단말기, 및 이를 적용한 관리시스템
WO2019066295A1 (ko) 실시간 웹 해킹 탐지를 위한 웹 트래픽 로깅 시스템 및 방법
US10812272B1 (en) Identifying computing processes on automation servers
WO2023163514A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
Patel et al. A detailed review of cloud security: issues, threats & attacks
WO2019098678A1 (ko) 보안 서비스를 제공하기 위한 방법 및 이를 위한 장치
US20110154469A1 (en) Methods, systems, and computer program products for access control services using source port filtering
Mallisetty et al. A Review on Cloud Security and Its Challenges
Kumar et al. A survey on cloud computing security threats and vulnerabilities
WO2018110775A1 (ko) 전자 기기 인증 매니저 장치
WO2023211121A1 (ko) 프록시에 기반하여 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
Haddon Zero trust networks, the concepts, the strategies, and the reality
Bajaj et al. Cloud security: the future of data storage
WO2021095926A1 (ko) 복합 iot 디바이스 및 이를 이용한 공유서비스 제공방법, 및 블록체인 응용 외부 정보 인식 및 정보 제공방법
WO2019088671A1 (ko) 네트워크 보안 서비스를 제공하기 위한 방법 및 이를 위한 장치
Oberle et al. Preventing pass-the-hash and similar impersonation attacks in enterprise infrastructures
Salehi et al. Cloud computing security challenges and its potential solution
Borazjani Security issues in cloud computing
Seneviratne et al. Integrated Corporate Network Service Architecture for Bring Your Own Device (BYOD) Policy
US11695799B1 (en) System and method for secure user access and agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12855773

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14345177

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12855773

Country of ref document: EP

Kind code of ref document: A1