WO2018056582A1 - 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법 - Google Patents

보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법 Download PDF

Info

Publication number
WO2018056582A1
WO2018056582A1 PCT/KR2017/008928 KR2017008928W WO2018056582A1 WO 2018056582 A1 WO2018056582 A1 WO 2018056582A1 KR 2017008928 W KR2017008928 W KR 2017008928W WO 2018056582 A1 WO2018056582 A1 WO 2018056582A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
client terminal
web site
security device
certificate
Prior art date
Application number
PCT/KR2017/008928
Other languages
English (en)
French (fr)
Inventor
임준혁
조지현
박민혁
Original Assignee
주식회사 수산아이앤티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 수산아이앤티 filed Critical 주식회사 수산아이앤티
Publication of WO2018056582A1 publication Critical patent/WO2018056582A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Definitions

  • the following embodiments are related to a technique for preventing data leakage using encrypted traffic, and relates to a method for maintaining security by preventing data leakage in secure socket layer communication.
  • the company inspects the packets sent from the terminals in the enterprise to check whether there is information that should not be leaked and is approved, and sends the approved packets to external servers via the Internet.
  • the present invention has been made to solve the above problems of the prior art, and an object thereof is to provide a method for inspecting a packet using secure socket layer communication.
  • the present invention relates to a security device for relaying SSL communication between a client terminal and a server of a web site.
  • the present invention relates to a web site to which a client terminal wants to connect from a security device in place of a client terminal, and to which the client terminal connects.
  • Generate a private certificate corresponding to the web site by using the web site's certificate and provide the generated private certificate to the client terminal to decrypt and encrypt packets sent and received between the client terminal and the server of the web site and inspect the packet.
  • an object of the present invention is to provide a method for performing SSL communication without a failure (not receiving a certificate warning page) at a client terminal.
  • a method for inspecting a packet using secure socket layer communication in a security device Web using secure socket layer communication from a client terminal connected to the network equipment in the security device Detecting a connection to a site; Establishing a Secure Sockets Layer (SSL) session between the secure device and the web site using a certificate of the web site; Establishing a secure socket layer session between the client terminal and the secure device using a private certificate generated using the certificate of the web site; Receiving a packet transmitted from the client terminal to the web site, decrypting the packet using a session key of the client terminal; Checking whether to approve transmission of the decrypted packet; And if it is possible to transmit a result of whether the transmission of the decrypted packet is approved, transmitting the encrypted packet to the web site by encrypting the decrypted packet using the session key of the security apparatus.
  • SSL Secure Sockets Layer
  • establishing a secure socket layer session between the secure device and the web site may include generating a session key of the secure device; And encrypting the session key of the security device using the public key included in the certificate of the web site and transmitting the encrypted key to the server of the web site.
  • establishing a secure socket layer session between the client terminal and the secure device may include: receiving a session key of the client terminal encrypted with the public key included in the private certificate from the client terminal; And decrypting the encrypted session key of the client terminal with a secret key corresponding to the private certificate to obtain the session key of the client terminal.
  • the method for inspecting the packet using the secure socket layer communication in the security device if it is not possible to transmit a check result of the transmission approval for the decrypted packet, sending a message indicating that the transmission is blocked to the client terminal or network administrator It may further comprise the step.
  • the method for inspecting the packet using the secure socket layer communication in the security device when receiving a packet transmitted from the web site to the client terminal, using the session key of the security device to send a packet to the client terminal Decrypting; Checking whether to approve reception of the packet transmitted to the decrypted client terminal; And if it is possible to receive a result of approval of reception of the packet transmitted to the decrypted client terminal, the packet transmitted to the decrypted client terminal is encrypted using the session key of the client terminal to the client terminal.
  • the method may further include transmitting.
  • the method for inspecting the packet using the secure socket layer communication in the security device if it is not possible to receive the approval result of the reception of the packet transmitted to the decrypted client terminal, the reception to the client terminal or network administrator
  • the method may further include transmitting a message indicating that the block has been blocked.
  • connecting the secure socket layer communication between the client terminal and the secure device may include: generating the private certificate using a certificate of the web site if the private certificate corresponding to the web site does not exist. It may include.
  • the generating of the private certificate using the certificate of the web site may include collecting information on the validity period, subject, subject alternative name, extended key usage, and basic restriction from the web site certificate; Collecting information about an issuer, a public key, and a fingerprint algorithm from a certificate of the security device; Generating information about a version, serial number, signature algorithm, signature hash algorithm, and fingerprint; And generating the private certificate including the collected and generated information.
  • the step of checking whether the transmission of the decoded packet is approved may include: determining whether to approve the decoded packet by searching whether it meets a predetermined condition;
  • the method may include transmitting the decrypted packet to a network manager and receiving a response to the transmission from the manager.
  • the present invention relates to a security device for relaying SSL communication between a client terminal and a server of a web site.
  • a site certificate By using a site certificate, a private certificate corresponding to a web site can be generated, and the generated private certificate can be provided to the client terminal to inspect the packet by decrypting and encrypting packets transmitted and received between the client terminal and the server of the website. .
  • FIG. 1 is a diagram illustrating a schematic configuration of a security system capable of inspecting a packet in secure socket layer communication according to an embodiment of the present invention.
  • FIG. 2 is a diagram illustrating a message flow for connecting secure socket layer communication through a security device according to an embodiment of the present invention.
  • FIG. 3 is a diagram illustrating a message flow in which packets are transmitted and received through a security device according to an embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating a process of connecting secure socket layer communication between a client terminal and a server of a web site in a security device according to an embodiment of the present invention.
  • FIG. 5 is a flowchart illustrating a process of inspecting and transmitting a packet transmitted by a client terminal in a security device according to an embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating a process of inspecting a packet received from a server of a web site and delivering the packet to a client terminal in a security device according to an embodiment of the present invention.
  • FIG. 7 is a diagram illustrating an example of generating a component of a private certificate according to an embodiment of the present invention.
  • Embodiments according to the inventive concept may be variously modified and have various forms, so embodiments are illustrated in the drawings and described in detail herein. However, this is not intended to limit the embodiments in accordance with the concept of the present invention to specific embodiments, and includes modifications, equivalents, or substitutes included in the spirit and scope of the present invention.
  • first or second may be used to describe various components, but the components should not be limited by the terms. The terms are only for the purpose of distinguishing one component from another component, for example, without departing from the scope of the rights according to the inventive concept, the first component may be called a second component, Similarly, the second component may also be referred to as the first component.
  • FIG. 1 is a diagram illustrating a schematic configuration of a security system capable of inspecting a packet in secure socket layer communication according to an embodiment of the present invention.
  • the client terminal 110 when accessing the Internet 170 from the client terminal 110 in a network environment, the client terminal 110 may be connected to the switch 120.
  • the client terminal 110 may be connected to the switch 120 to enable network connection and data transmission.
  • the client terminal 110 may have at least one client connected to the Internet.
  • the client may be a terminal such as a PC or a smart phone.
  • the security device 130 corresponds to a kind of gateway device capable of acting as a proxy server, and may monitor web communication of the client terminal 110.
  • the security device 130 When the security device 130 detects a connection from the client terminal 110 to the server 180 of the web site using the secure sockets layer (SSL) communication through monitoring, the security device using the web site's certificate Establishes a Secure Sockets Layer (SSL) session between the server 130 and the server 180 of the web site, and uses the private certificate generated by using the web site's certificate. By establishing a secure socket layer session between), it may serve to inspect and relay packets transmitted and received between the client terminal 110 and the server 180 of the web site.
  • SSL Secure Sockets Layer
  • the packet when a packet is transmitted from the client terminal 110 to the server 180 of the web site in the network environment, the packet may be delivered through the IPS / IDS 140, the firewall 150, and the router 160.
  • the intrusion detection system (IPS) / intrusion prevention system (IDS) 140 relates to a system for intrusion detection and intrusion prevention and may detect harmful packet patterns.
  • the firewall 150 may perform a function of filtering an access such as an IP or filtering an application for security.
  • the IPS / IDS 140, the firewall 150, or the router 160 may be omitted in some cases.
  • FIG. 2 is a diagram illustrating a message flow for connecting secure socket layer communication through a security device according to an embodiment of the present invention.
  • the client terminal 110 may attempt to connect to a web site using secure socket layer communication (210).
  • the security device 130 When the security device 130 detects a connection from the client terminal 110 to a web site using secure socket layer communication (210), the security device 130 attempts to connect to the web site on behalf of the client terminal 110 (212).
  • the security device 130 requests and receives the certificate of the website from the server 180 of the website (214).
  • the secure device 130 authenticates the certificate of the website, and the secure device 130 and the server 180 of the website use the secure device 130 and the server 180 of the website using the certificate of the website.
  • a Secure Sockets Layer (SSL) session is established between the servers (216).
  • the security device 130 may generate the private certificate corresponding to the web site by using the certificate of the web site and the certificate of the security device 130 in a method as shown in FIG. 7 below (218). ).
  • FIG. 7 is a diagram illustrating an example of generating a component of a private certificate according to an embodiment of the present invention.
  • the components of the private certificate are generated by three generation methods.
  • the three generation methods are generated by the secure device 130 (710), the client terminal 160 to obtain from the actual certificate of the site to be connected 720 and the method of importing from the certificate of the security device 130 There is 730.
  • the method 720 generates a component of the private certificate by obtaining information on the expiration date, subject, subject alternative name, extended key usage, and basic restrictions from the actual certificate of the site to which the client terminal 160 wants to access.
  • the method 730 obtains information about the issuer, the public key, and the fingerprint algorithm from the certificate of the security device 130 to generate a component of the private certificate.
  • the method 710 generates information about the version, serial number, signature algorithm, signature hash algorithm, and fingerprint in accordance with the setting criteria of the security device 130.
  • the fingerprint may be generated using a fingerprint algorithm obtained from the certificate of the security device 130.
  • the security device 130 provides the private certificate to the client terminal 110 (220).
  • the client terminal 110 authenticates the private certificate, and the client terminal 110 and the security device 130 establish an SSL session between the client terminal 110 and the security device 130 using the private certificate (222).
  • the security device 130 establishes an SSL session with the client terminal 110 between the client terminal 110 and the server 180 of the web site, and establishes an SSL session with the server 180 of the web site. It can serve to inspect and relay packets.
  • FIG. 3 is a diagram illustrating a message flow in which packets are transmitted and received through a security device according to an embodiment of the present invention.
  • the security device 130 when the security device 130 receives a packet transmitted from the client terminal 110 to a web site (310), the security device 130 decrypts the packet using the session key of the client terminal (312).
  • the security device 130 checks whether the transmission of the decrypted packet is approved (314).
  • the security device 130 encrypts the decrypted packet using the session key of the security device (316), and encrypts the packet encrypted with the session key of the security device. Send to web site (318).
  • the security device 130 decrypts the packet using the session key of the security device (322).
  • the security device 130 checks whether the transmission of the decrypted packet is approved (324).
  • the security apparatus 130 If the security apparatus 130 can transmit a result of whether the transmission of the decrypted packet is approved or not, the security apparatus 130 encrypts the decrypted packet using the session key of the client terminal (326), and the packet encrypted with the session key of the client terminal. Is transmitted to the client terminal 110 (328).
  • FIG. 4 is a flowchart illustrating a process of connecting secure socket layer communication between a client terminal and a server of a web site in a security device according to an embodiment of the present invention.
  • the secure device 130 when the secure device 130 detects a connection from the client terminal 110 to a web site using secure socket layer communication (410), the secure device 130 replaces the client terminal 110. Attempt to connect to the web site (412).
  • the security device 130 checks whether a web site certificate exists (414).
  • the security device 130 requests and receives the web site certificate from the server 180 of the web site (416).
  • the secure device 130 authenticates the certificate of the web site and establishes a Secure Sockets Layer (SSL) session between the secure device and the web site using the certificate of the web site (418).
  • SSL Secure Sockets Layer
  • the secure device 130 When an SSL session is established between the secure device 130 and the server 180 of the web site in step 418, the secure device 130 generates a session key of the secure device for SSL communication with the server 180 of the web site.
  • the session key of the security device may be encrypted using the public key included in the certificate of the web site and transmitted to the server 180 of the web site.
  • the server 180 of the web site that receives the session key of the encrypted security device may obtain the session key of the security device by decrypting the session key of the encrypted security device by using the secret key corresponding to the certificate of the web site. . Thereafter, the security device 130 and the server 180 of the web site may perform encrypted communication using the session key of the security device.
  • the security device 130 checks whether a private certificate corresponding to the web site exists (420).
  • the security device 130 If the private certificate corresponding to the web site does not exist in operation 420, the security device 130 generates a private certificate corresponding to the web site by using the web site certificate and the certificate of the security device 130 (422). ). At this time, the security device 130 collects information on the validity period, subject, subject alternative name, extended key usage and basic restrictions from the certificate of the website, and issues the issuer, public key and fingerprint from the certificate of the security device 130. Information about the algorithm may be collected, and information about the version, serial number, signature algorithm, signature hash algorithm, and fingerprint may be generated and collected, and a private certificate composed of the generated information may be generated.
  • the security device 130 provides the generated or retrieved private certificate to the client terminal 110 (424).
  • the secure device 130 establishes a secure socket layer session between the client terminal 110 and the secure device 130 using the private certificate generated by using the certificate of the web site.
  • the security device 130 When establishing an SSL session between the client terminal 110 and the security device 130 in step 426, the security device 130 receives a session key of the client terminal encrypted with the public key included in the private certificate from the client terminal 110.
  • the session key of the client terminal may be obtained by decrypting the session key of the client terminal encrypted with the secret key corresponding to the private certificate. Thereafter, the security device 130 may perform encrypted communication with the client terminal 110 using the session key of the client terminal.
  • FIG. 5 is a flowchart illustrating a process of inspecting and transmitting a packet transmitted by a client terminal in a security device according to an embodiment of the present invention.
  • the security device 130 upon receiving a packet transmitted from the client terminal 110 to a web site from the client terminal 110 (510), the security device 130 decrypts the packet using the session key of the client terminal (512).
  • the security device 130 checks whether the transmission of the decrypted packet is approved (514).
  • the security device 130 checks whether transmission of the decrypted packet is possible through the inspection result in operation 514.
  • step 516 As a method of checking whether the transmission of the decoded packet is approved in step 516, it is determined whether the decoded packet satisfies a predetermined condition to determine whether to approve or transmits the decoded packet to the network manager, and transmits it from the manager. It can be decided by receiving an approval for.
  • the security device 130 encrypts the decrypted packet using the security device's session key (518), and encrypts the packet encrypted with the security device's session key. 520 is transmitted.
  • the security device 130 transmits a message indicating that the transmission is blocked to the client terminal 110 or the network manager (522).
  • FIG. 6 is a flowchart illustrating a process of inspecting a packet received from a server of a web site and delivering the packet to a client terminal in a security device according to an embodiment of the present invention.
  • the security device 130 when the security device 130 receives a packet transmitted from the server 180 of the web site to the client terminal 110 (610), the security device 130 decrypts the packet by using the session key of the security device (612). ).
  • the security device 130 checks whether the transmission of the decrypted packet is approved (614).
  • the security device 130 confirms whether transmission of the decrypted packet is possible through the inspection result of operation 614.
  • step 616 As a method of checking whether the transmission of the decoded packet is approved in step 616, whether or not the decoded packet satisfies a predetermined condition is determined or not, and the decoded packet is transmitted to the network manager and transmitted from the manager. It can be decided by receiving an approval for.
  • the security device 130 encrypts the decrypted packet using the session key of the client terminal (618), and encrypts the packet encrypted with the session key of the client terminal. Transmit to 110 (620).
  • the security device 130 transmits a message indicating that the packet transmitted to the client terminal 110 is blocked to the client terminal 110 or the network manager (622). ).
  • the apparatus described above may be implemented as a hardware component, a software component, and / or a combination of hardware components and software components.
  • the apparatus and components described in the embodiments are, for example, a processor, a controller, an arithmetic logic unit (ALU), a digital signal processor, a microcomputer, a field programmable gate array (FPGA), programmable logic (PLU), and the like.
  • unit, microprocessor, or any other device capable of executing and responding to instructions may be implemented using one or more general purpose or special purpose computers.
  • the processing device may execute an operating system (OS) and one or more software applications running on the operating system.
  • the processing device may also access, store, manipulate, process, and generate data in response to the execution of the software.
  • OS operating system
  • the processing device may also access, store, manipulate, process, and generate data in response to the execution of the software.
  • processing device includes a plurality of processing elements and / or a plurality of types of processing elements. It can be seen that it may include.
  • the processing device may include a plurality of processors or one processor and one controller.
  • other processing configurations are possible, such as parallel processors.
  • the software may include a computer program, code, instructions, or a combination of one or more of the above, and configure the processing device to operate as desired, or process it independently or collectively. You can command the device.
  • Software and / or data may be any type of machine, component, physical device, virtual equipment, computer storage medium or device in order to be interpreted by or to provide instructions or data to the processing device. Or may be permanently or temporarily embodied in a signal wave to be transmitted.
  • the software may be distributed over networked computer systems so that they may be stored or executed in a distributed manner.
  • Software and data may be stored on one or more computer readable recording media.
  • Method according to the embodiment is implemented in the form of program instructions that can be executed by various computer means may be recorded on a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • Program instructions recorded on the media may be those specially designed and constructed for the purposes of the present disclosure, or they may be of the kind well-known and available to those having skill in the computer software arts.
  • Examples of computer-readable recording media include magnetic media such as hard disks, floppy disks, and magnetic tape, optical media such as CD-ROMs, DVDs, and magnetic disks, such as floppy disks.
  • Examples of program instructions include not only machine code generated by a compiler, but also high-level language code that can be executed by a computer using an interpreter or the like.
  • the hardware device described above may be configured to operate as one or more software modules to perform the operations of the embodiments, and vice versa.

Abstract

본 발명은 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 보안 장치에 관한 것으로, 보안 장치에서 네트워크 장비에 연결된 클라이언트 단말로부터 보안 소켓 계층 통신을 이용하는 웹 사이트로의 접속을 감지하면, 상기 웹 사이트의 인증서를 이용해서 상기 보안 장치와 상기 웹 사이트 간의 보안 소켓 계층(SSL; Secure Sockets Layer) 세션을 맺고, 상기 웹 사이트의 인증서를 이용해서 생성된 사설 인증서를 이용해서 상기 클라이언트 단말과 상기 보안 장치 간의 보안 소켓 계층 세션을 맺고, 상기 클라이언트 단말로부터 상기 웹 사이트로 송신하는 패킷을 수신하면, 상기 패킷을 상기 클라이언트 단말의 세션키를 이용해서 복호화하고, 상기 복호화된 패킷에 대한 송신의 승인 여부를 검사하고, 상기 복호화된 패킷에 대한 송신의 승인 여부 검사결과 송신이 가능하면, 상기 복호화된 패킷을 상기 보안 장치의 세션키를 이용해서 암호화하여 상기 웹 사이트로 송신할 수 있다.

Description

보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법
이하의 일 실시 예들은 암호화 트래픽을 활용한 데이터 유출을 방지하기 위한 기술에 관한 것으로, 보안 소켓 계층 통신에서도 데이터 유출을 방지하여 보안을 유지하는 방법에 관한 것이다.
기업과 같은 조직에서 많은 정보가 인터넷을 통해서 외부로 유출되고 있다,
데이터 유출을 방지하기 위해서 기업은 기업 내의 단말기에서 송신되는 패킷을 검사하여 유출되면 안 되는 정보가 존재하는 여부를 확인하여 승인 받고, 승인된 패킷을 인터넷을 통해 외부 서버로 송신할 수 있도록 하고 있다.
하지만, 단말기가 접속하려는 웹 사이트가 보안 소켓 계층(SSL; Secure Sockets Layer) 통신을 이용하는 경우, 패킷의 내용이 암호화 되어 전송되기 때문에 데이터 유출을 여부를 확인할 수 없는 문제를 가지고 있다.
이를 해결하기 위해서 기존에는 기업은 SSL 통신을 이용하는 외부 사이트와의 통신을 차단하는 방법으로 보안을 유지하였다.
하지만, SSL 통신을 이용하는 외부 사이트를 차단하는 것은 기업의 직원들의 업무 효율을 저해할 수 있으므로, 단순히 차단하는 것이 아닌 SSL 통신을 이용해서 송신되는 패킷도 검사할 수 있는 방법이 요구된다.
본 발명은 상기와 같은 종래 기술의 문제점을 해결하고자 도출된 것으로서, 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법을 제공하는 것을 목적으로 한다.
구체적으로, 본 발명은 클라이언트 단말과 웹 사이트의 서버 사이에서 SSL 통신을 중계하는 보안 장치에 관한 것으로, 클라이언트 단말을 대신해서 보안 장치에서 클라이언트 단말이 접속하고자 하는 웹 사이트에 접속하고, 클라이언트 단말이 접속하고자 하는 웹 사이트의 인증서를 이용해서 웹 사이트에 대응하는 사설 인증서를 생성하고, 생성한 사설 인증서를 클라이언트 단말로 제공하여 클라이언트 단말과 웹 사이트의 서버 사이에서 송수신 되는 패킷을 복호화하고 암호화하여 패킷을 검사하면서도 클라이언트 단말에서 장애(인증서 경고 페이지를 수신하지 않은) 없이 SSL 통신을 수행할 수 있는 방법을 제공하는 것을 목적으로 한다.
상기와 같은 목적을 달성하기 위하여, 본 발명의 일 실시 예에 따른 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법은, 보안 장치에서 네트워크 장비에 연결된 클라이언트 단말로부터 보안 소켓 계층 통신을 이용하는 웹 사이트로의 접속을 감지하는 단계; 상기 웹 사이트의 인증서를 이용해서 상기 보안 장치와 상기 웹 사이트 간의 보안 소켓 계층(SSL; Secure Sockets Layer) 세션을 맺는 단계; 상기 웹 사이트의 인증서를 이용해서 생성된 사설 인증서를 이용해서 상기 클라이언트 단말과 상기 보안 장치 간의 보안 소켓 계층 세션을 맺는 단계; 상기 클라이언트 단말로부터 상기 웹 사이트로 송신하는 패킷을 수신하면, 상기 패킷을 상기 클라이언트 단말의 세션키를 이용해서 복호화하는 단계; 상기 복호화된 패킷에 대한 송신의 승인 여부를 검사하는 단계; 및 상기 복호화된 패킷에 대한 송신의 승인 여부 검사결과 송신이 가능하면, 상기 복호화된 패킷을 상기 보안 장치의 세션키를 이용해서 암호화하여 상기 웹 사이트로 송신하는 단계를 포함한다.
이때, 상기 보안 장치와 상기 웹 사이트 간의 보안 소켓 계층 세션을 맺는 단계는, 상기 보안 장치의 세션키를 생성하는 단계; 및 상기 보안 장치의 세션키를 상기 웹 사이트의 인증서에 포함된 공개키를 이용해서 암호화하여 상기 웹 사이트의 서버로 송신하는 단계를 포함할 수 있다.
이때, 상기 클라이언트 단말과 상기 보안 장치 간의 보안 소켓 계층 세션을 맺는 단계는, 상기 클라이언트 단말로부터 상기 사설 인증서에 포함된 공개키로 암호화된 클라이언트 단말의 세션키를 수신하는 단계; 및 상기 사설 인증서에 대응하는 비밀키로 상기 암호화된 클라이언트 단말의 세션키를 복호화해서 상기 클라이언트 단말의 세션키를 획득하는 단계를 포함할 수 있다.
이때, 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법은, 상기 복호화된 패킷에 대한 송신 승인의 검사결과 송신이 가능하지 않으면, 상기 클라이언트 단말기 또는 네트워크 관리자에게 송신이 차단되었음을 알리는 메시지를 송신하는 단계를 더 포함할 수 있다.
이때, 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법은, 상기 웹 사이트로부터 상기 클라이언트 단말로 송신하는 패킷을 수신하면, 상기 보안 장치의 세션키를 이용해서 상기 클라이언트 단말로 송신하는 패킷을 복호화하는 단계; 상기 복호화된 상기 클라이언트 단말로 송신하는 패킷에 대한 수신의 승인 여부를 검사하는 단계; 및 상기 복호화된 상기 클라이언트 단말로 송신하는 패킷에 대한 수신의 승인여부 겸사결과 수신이 가능하면, 상기 복호화된 상기 클라이언트 단말로 송신하는 패킷을 상기 클라이언트 단말기의 세션키를 이용해서 암호화하여 상기 클라이언트 단말로 송신하는 단계를 더 포함할 수 있다.
이때, 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법은, 상기 복호화된 상기 클라이언트 단말로 송신하는 패킷에 대한 수신의 승인여부 겸사결과 수신이 가능하지 않으면, 상기 클라이언트 단말기 또는 네트워크 관리자에게 수신이 차단되었음을 알리는 메시지를 송신하는 단계를 더 포함할 수 있다.
이때, 상기 클라이언트 단말과 상기 보안 장치와의 보안 소켓 계층 통신을 연결하는 단계는, 상기 웹 사이트에 대응하는 상기 사설 인증서가 존재하지 않으면, 상기 웹 사이트의 인증서를 이용해서 상기 사설 인증서를 생성하는 단계를 포함할 수 있다.
이때, 상기 웹 사이트의 인증서를 이용해서 상기 사설 인증서를 생성하는 단계는, 상기 웹 사이트의 인증서로부터 유효기간, 주체, 주체 대체 이름, 확장된 키 사용 및 기본 제한에 관한 정보를 수집하는 단계; 상기 보안 장치의 인증서로부터 발급자, 공개키 및 지문 알고리즘에 관한 정보를 수집하는 단계; 버전, 일련번호, 서명 알고리즘, 서명 해시 알고리즘 및 지문에 관한 정보를 생성하는 단계; 및 수집하고 생성된 정보를 포함하는 상기 사설 인증서를 생성하는 단계를 포함할 수 있다.
이때, 상기 복호화된 패킷에 대한 송신의 승인 여부를 검사하는 단계는, 상기 복호화된 패킷이 기설정된 조건을 만족하는지 여부를 검색하여 승인 여부를 결정하는 단계; 또는 상기 복호화된 패킷을 네트워크 관리자에게 송신하고, 상기 관리자로부터 송신에 대한 승인을 응답 받는 단계를 포함할 수 있다.
본 발명은 클라이언트 단말과 웹 사이트의 서버 사이에서 SSL 통신을 중계하는 보안 장치에 관한 것으로, 클라이언트 단말을 대신해서 보안 장치에서 클라이언트 단말이 접속하고자 하는 웹 사이트에 접속하고, 클라이언트 단말이 접속하고자 하는 웹 사이트의 인증서를 이용해서 웹 사이트에 대응하는 사설 인증서를 생성하고, 생성한 사설 인증서를 클라이언트 단말로 제공하여 클라이언트 단말과 웹 사이트의 서버 사이에서 송수신 되는 패킷을 복호화하고 암호화하여 패킷을 검사할 수 있다.
도 1은 본 발명의 일 실시 예에 따라 보안 소켓 계층 통신에서 패킷을 검사할 수 있는 보안 시스템의 계략적인 구성을 도시한 도면이다.
도 2는 본 발명의 일 실시 예에 따른 보안 장치를 통해서 보안 소켓 계층 통신을 연결하는 메시지 흐름을 도시한 도면이다.
도 3은 본 발명의 일 실시 예에 따른 보안 장치를 통해서 패킷이 송수신 되는 메시지 흐름을 도시한 도면이다.
도 4는 본 발명의 일 실시 예에 따른 보안 장치에서 클라이언트 단말과 웹 사이트의 서버 사이에서 보안 소켓 계층 통신을 연결하는 과정을 도시한 흐름도이다.
도 5는 본 발명의 일 실시 예에 따른 보안 장치에서 클라이언트 단말이 송신한 패킷을 검사해서 송신하는 과정을 도시한 흐름도이다.
도 6은 본 발명의 일 실시 예에 따른 보안 장치에서 웹 사이트의 서버로부터 수신하는 패킷을 검사해서 클라이언트 단말로 전달하는 과정을 도시한 흐름도이다.
도 7은 본 발명의 일 실시예에 따른 사설 인증서의 구성요소를 생성하는 예를 도시한 도면이다.
본 명세서에 개시되어 있는 본 발명의 개념에 따른 실시 예들에 대해서 특정한 구조적 또는 기능적 설명들은 단지 본 발명의 개념에 따른 실시 예들을 설명하기 위한 목적으로 예시된 것으로서, 본 발명의 개념에 따른 실시 예들은 다양한 형태로 실시될 수 있으며 본 명세서에 설명된 실시 예들에 한정되지 않는다.
본 발명의 개념에 따른 실시 예들은 다양한 변경들을 가할 수 있고 여러 가지 형태들을 가질 수 있으므로 실시 예들을 도면에 예시하고 본 명세서에 상세하게 설명하고자 한다. 그러나, 이는 본 발명의 개념에 따른 실시 예들을 특정한 개시형태들에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 변경, 균등물, 또는 대체물을 포함한다.
제1 또는 제2 등의 용어를 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만, 예를 들어 본 발명의 개념에 따른 권리 범위로부터 이탈되지 않은 채, 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소는 제1 구성요소로도 명명될 수 있다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다. 구성요소들 간의 관계를 설명하는 표현들, 예를 들어 "~사이에"와 "바로~사이에" 또는 "~에 직접 이웃하는" 등도 마찬가지로 해석되어야 한다.
본 명세서에서 사용한 용어는 단지 특정한 실시 예들을 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 명세서에서, "포함하다" 또는 "가지다" 등의 용어는 실시된 특징, 숫자, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것이 존재함으로 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가진다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미를 갖는 것으로 해석되어야 하며, 본 명세서에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 실시 예들을 첨부된 도면을 참조하여 상세하게 설명한다. 그러나, 특허출원의 범위가 이러한 실시 예들에 의해 제한되거나 한정되는 것은 아니다. 각 도면에 제시된 동일한 참조 부호는 동일한 부재를 나타낸다.
이하에서는, 본 발명의 일 실시 예에 따른 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법을 첨부된 도 1 내지 도 7을 참조하여 상세히 설명한다.
도 1은 본 발명의 일 실시 예에 따라 보안 소켓 계층 통신에서 패킷을 검사할 수 있는 보안 시스템의 계략적인 구성을 도시한 도면이다.
도 1을 참조하면, 네트워크 환경에서 클라이언트 단말(110)로부터 인터넷(170)에 접속할 때, 클라이언트 단말(110)은 스위치(120)에 연결될 수 있다. 클라이언트 단말(110)은 스위치(120)에 연결됨으로써 네트워크 연결 및 데이터 전송이 가능할 수 있다. 이때, 클라이언트 단말(110)은 적어도 하나 이상의 클라이언트가 인터넷에 접속될 수 있다. 예를 들면, 클라이언트는 PC, 스마트 폰과 같은 단말이 될 수 있다.
보안 장치(130)는 프락시(proxy) 서버 역할을 수행할 수 있는 일종의 게이트웨이 장치에 해당하며, 클라이언트 단말(110)의 웹 통신을 모니터링을 할 수 있다.
보안 장치(130)는 모니터링을 통해서 클라이언트 단말(110)에서 보안 소켓 계층(SSL; Secure Sockets Layer) 통신을 이용하는 웹 사이트의 서버(180)로의 접속을 감지하면, 웹 사이트의 인증서를 이용해서 보안 장치(130)와 웹 사이트의 서버(180) 간의 보안 소켓 계층(SSL; Secure Sockets Layer) 세션을 맺고, 웹 사이트의 인증서를 이용해서 생성된 사설 인증서를 이용해서 클라이언트 단말(110)과 보안 장치(130) 간의 보안 소켓 계층 세션을 맺음으로써, 클라이언트 단말(110)과 웹 사이트의 서버(180) 사이에서 송수신 되는 패킷을 검사하고 중계하는 역할을 할 수 있다.
보안 장치(130)의 구체적인 동작은 이후 도 2에서 도 7을 통해 구체적을 후술한다.
한편, 네트워크 환경에서 클라이언트 단말(110)로부터 웹 사이트의 서버(180)로 패킷이 전달될 때, IPS/IDS(140), 방화벽(150) 및 라우터(160)를 통해서 전달될 수 있다.
이때, IPS(intrusion detection system)/IDS(intrusion prevention system)(140)는 침입 탐지 및 침입 방지하는 시스템에 관한 것으로 유해 패킷 패턴을 탐지할 수 있다.
그리고, 방화벽(150)은 보안을 위해서 IP 등의 접속을 필터링하거나 어플리케이션을 필터링하는 기능을 수행 할 수 있다.
이때, IPS/IDS(140), 방화벽(150) 또는 라우터(160)는 경우데 따라 생략 가능하다.
이하, 상기와 같이 구성된 본 발명에 따른 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법을 아래에서 도면을 참조하여 설명한다.
도 2는 본 발명의 일 실시 예에 따른 보안 장치를 통해서 보안 소켓 계층 통신을 연결하는 메시지 흐름을 도시한 도면이다.
도 2를 참조하면, 클라이언트 단말(110)는 보안 소켓 계층 통신을 이용하는 웹 사이트로의 접속을 시도할 수 있다(210).
보안 장치(130)는 클라이언트 단말(110)로부터 보안 소켓 계층 통신을 이용하는 웹 사이트로의 접속을 감지하면(210), 클라이언트 단말(110)을 대신해서 해당 웹 사이트로 접속을 시도한다(212).
그리고, 보안 장치(130)는 웹 사이트의 인증서가 존재하지 않으면, 웹 사이트의 서버(180)로 웹 사이트의 인증서를 요청하여 전달 받는다(214).
그리고, 보안 장치(130)에서 웹 사이트의 인증서를 인증하고, 보안 장치(130)와 웹 사이트의 서버(180)는 웹 사이트의 인증서를 이용해서 보안 장치(130)와 웹 사이트의 서버(180) 간의 보안 소켓 계층(SSL; Secure Sockets Layer) 세션을 맺는다(216).
그리고, 보안 장치(130)는 보안 장치(130)는 웹 사이트의 인증서와 보안 장치(130)의 인증서를 이용해서 웹 사이트에 대응하는 사설 인증서를 아래 도 7과 같은 방법으로 생성할 수 있다(218).
도 7은 본 발명의 일 실시예에 따른 사설 인증서의 구성요소를 생성하는 예를 도시한 도면이다.
도 7을 참조하면, 사설 인증서의 구성요소는 3가지 생성 방법에 의해서 생성된다.
3가지 생성 방법은 보안 장치(130)에서 생성하는 방법(710), 클라이언트 단말(160)이 접속하고자 하는 사이트의 실제 인증서로부터 가져오는 방법(720) 및 보안 장치(130)의 인증서로부터 가져오는 방법(730)이 있다.
720방법은 클라이언트 단말(160)이 접속하고자 하는 사이트의 실제 인증서로부터 유효기간, 주체, 주체 대체 이름, 확장된 키 사용 및 기본 제한에 관한 정보를 가져와서 사설 인증서의 구성요소를 생성한다.
730 방법은 보안 장치(130)의 인증서로부터 발급자, 공개키 및 지문 알고리즘에 관한 정보를 가져와서 사설 인증서의 구성요소를 생성한다.
710 방법은 보안 장치(130)의 설정 기준에 따라서 버전, 일련번호, 서명 알고리즘, 서명 해시 알고리즘 및 지문에 관한 정보를 생성한다. 이때, 지문은 보안 장치(130)의 인증서로부터 가져온 지문 알고리즘을 이용해서 생성될 수 있다.
다시 도 2의 설명으로 돌아와서, 보안 장치(130)는 사설 인증서를 클라이언트 단말(110)로 제공한다(220).
클라이언트 단말(110)에서 사설 인증서를 인증하고, 클라이언트 단말(110)과 보안 장치(130)는 사설 인증서를 이용해서 클라이언트 단말(110)과 보안 장치(130) 간의 SSL 세션을 맺는다(222).
즉, 보안 장치(130)는 클라이언트 단말(110)과 웹 사이트의 서버(180) 사이에서 클라이언트 단말(110)과 SSL 세션을 맺고, 웹 사이트의 서버(180)과 SSL 세션을 맺음으로써, 송수신 되는 패킷을 검사하고 중계하는 역할을 할 수 있다.
도 3은 본 발명의 일 실시 예에 따른 보안 장치를 통해서 패킷이 송수신 되는 메시지 흐름을 도시한 도면이다.
도 3을 참조하면, 보안 장치(130)는 클라이언트 단말(110)로부터 웹 사이트로 송신하는 패킷을 수신하면(310), 패킷을 클라이언트 단말의 세션키를 이용해서 복호화한다(312).
그리고, 보안 장치(130)는 복호화된 패킷에 대한 송신의 승인 여부를 검사한다(314).
그리고, 보안 장치(130)는 복호화된 패킷에 대한 송신의 승인 여부 검사결과 송신이 가능하면 복호화된 패킷을 보안 장치의 세션키를 이용해서 암호화하고(316), 보안 장치의 세션키로 암호화된 패킷을 웹 사이트로 송신한다(318).
이후, 보안 장치(130)는 웹 사이트의 서버(180)로부터 클라이언트 단말(110)로 송신하는 패킷을 수신하면(320), 패킷을 보안 장치의 세션키를 이용해서 복호화한다(322).
그리고, 보안 장치(130)는 복호화된 패킷에 대한 송신의 승인 여부를 검사한다(324).
그리고, 보안 장치(130)는 복호화된 패킷에 대한 송신의 승인 여부 검사결과 송신이 가능하면, 복호화된 패킷을 클라이언트 단말의 세션키를 이용해서 암호화하고(326), 클라이언트 단말의 세션키로 암호화된 패킷을 클라이언트 단말(110)로 송신한다(328).
도 4는 본 발명의 일 실시 예에 따른 보안 장치에서 클라이언트 단말과 웹 사이트의 서버 사이에서 보안 소켓 계층 통신을 연결하는 과정을 도시한 흐름도이다.
도 4를 참조하면, 보안 장치(130)에서 클라이언트 단말(110)로부터 보안 소켓 계층 통신을 이용하는 웹 사이트로의 접속을 감지하면(410), 보안 장치(130)에서 클라이언트 단말(110)을 대신해서 해당 웹 사이트로 접속을 시도한다(412).
그리고, 보안 장치(130)는 웹 사이트의 인증서가 존재하는지 확인한다(414).
414단계의 확인결과 웹 사이트의 인증서가 존재하지 않으면, 보안 장치(130)는 웹 사이트의 서버(180)로 웹 사이트의 인증서를 요청하여 수신한다(416).
그리고, 보안 장치(130)는 웹 사이트의 인증서를 인증하고, 웹 사이트의 인증서를 이용해서 보안 장치와 웹 사이트 간의 보안 소켓 계층(SSL; Secure Sockets Layer) 세션을 맺는다(418).
418단계에서 보안 장치(130)와 웹 사이트의 서버(180) 간의 SSL 세션을 맺을 때, 보안 장치(130)는 웹 사이트의 서버(180)와의 SSL 통신을 위한 보안 장치의 세션키를 생성하고, 보안 장치의 세션키를 웹 사이트의 인증서에 포함된 공개키를 이용해서 암호화하여 웹 사이트의 서버(180)로 송신할 수 있다. 암호화된 보안 장치의 세션키를 수신한 웹 사이트의 서버(180)는 웹 사이트의 인증서에 대응하는 비밀키를 이용해서 암호화된 보안 장치의 세션키를 복호화하여 보안 장치의 세션키를 획득할 수 있다. 이후, 보안 장치(130)와 웹 사이트의 서버(180)는 보안 장치의 세션키를 이용해서 암호화 통신을 수행할 수 있다.
그리고, 보안 장치(130)는 웹 사이트에 대응하는 사설 인증서가 존재하는지 확인한다(420).
420단계의 확인결과 웹 사이트에 대응하는 사설 인증서가 존재하지 않으면, 보안 장치(130)는 웹 사이트의 인증서와 보안 장치(130)의 인증서를 이용해서 웹 사이트에 대응하는 사설 인증서를 생성한다(422). 이때, 보안 장치(130)는 웹 사이트의 인증서로부터 유효기간, 주체, 주체 대체 이름, 확장된 키 사용 및 기본 제한에 관한 정보를 수집하고, 보안 장치(130)의 인증서로부터 발급자, 공개키 및 지문 알고리즘에 관한 정보를 수집하고, 버전, 일련번호, 서명 알고리즘, 서명 해시 알고리즘 및 지문에 관한 정보를 생성하고 수집하고 생성된 정보를 구성 요소로 하는 사설 인증서를 생성할 수 있다.
그리고, 보안 장치(130)는 생성 또는 검색된 사설 인증서를 클라이언트 단말(110)로 제공한다(424).
그리고, 보안 장치(130)는 웹 사이트의 인증서를 이용해서 생성된 사설 인증서를 이용해서 클라이언트 단말(110)과 보안 장치(130) 간의 보안 소켓 계층 세션을 맺는다(426).
426단계에서 클라이언트 단말(110)과 보안 장치(130) 간의 SSL 세션을 맺을 때, 보안 장치(130)는 클라이언트 단말(110)로부터 사설 인증서에 포함된 공개키로 암호화된 클라이언트 단말의 세션키를 수신하면, 사설 인증서에 대응하는 비밀키로 암호화된 클라이언트 단말의 세션키를 복호화해서 클라이언트 단말의 세션키를 획득할 수 있다. 이후, 보안 장치(130)는 클라이언트 단말의 세션키를 이용해서 클라이언트 단말(110)과 암호화 통신을 수행할 수 있다.
도 5는 본 발명의 일 실시 예에 따른 보안 장치에서 클라이언트 단말이 송신한 패킷을 검사해서 송신하는 과정을 도시한 흐름도이다.
도 5를 참조하면, 보안 장치(130)는 클라이언트 단말(110)로부터 웹 사이트로 송신하는 패킷을 수신하면(510), 패킷을 클라이언트 단말의 세션키를 이용해서 복호화한다(512).
그리고, 보안 장치(130)는 복호화된 패킷에 대한 송신의 승인 여부를 검사한다(514).
그리고, 보안 장치(130)는 514단계의 검사결과를 통해서 복호화된 패킷에 대한 송신이 가능한지 여부를 확인한다(516).
516단계에서 복호화된 패킷에 대한 송신의 승인 여부를 검사하는 방법으로 복호화된 패킷이 기설정된 조건을 만족하는지 여부를 검색하여 승인 여부를 결정하거나 또는 복호화된 패킷을 네트워크 관리자에게 송신하고, 관리자로부터 송신에 대한 승인을 응답 받아 결정할 수 있다.
516단계의 확인결과 복호화된 패킷에 대한 송신이 가능하면, 보안 장치(130)는 복호화된 패킷을 보안 장치의 세션키를 이용해서 암호화하고(518), 보안 장치의 세션키로 암호화된 패킷을 웹 사이트로 송신한다(520).
516단계의 확인결과 복호화된 패킷에 대한 송신이 가능하지 않으면, 보안 장치(130)는 클라이언트 단말기(110) 또는 네트워크 관리자에게 송신이 차단되었음을 알리는 메시지를 송신한다(522).
도 6은 본 발명의 일 실시 예에 따른 보안 장치에서 웹 사이트의 서버로부터 수신하는 패킷을 검사해서 클라이언트 단말로 전달하는 과정을 도시한 흐름도이다.
도 6을 참조하면, 보안 장치(130)는 웹 사이트의 서버(180)로부터 클라이언트 단말(110)로 송신하는 패킷을 수신하면(610), 패킷을 보안 장치의 세션키를 이용해서 복호화한다(612).
그리고, 보안 장치(130)는 복호화된 패킷에 대한 송신의 승인 여부를 검사한다(614).
그리고, 보안 장치(130)는 614단계의 검사결과를 통해서 복호화된 패킷에 대한 송신이 가능한지 여부를 확인한다(616).
616단계에서 복호화된 패킷에 대한 송신의 승인 여부를 검사하는 방법으로 복호화된 패킷이 기설정된 조건을 만족하는지 여부를 검색하여 승인 여부를 결정하거나 또는 복호화된 패킷을 네트워크 관리자에게 송신하고, 관리자로부터 송신에 대한 승인을 응답 받아 결정할 수 있다.
616단계의 확인결과 복호화된 패킷에 대한 송신이 가능하면, 보안 장치(130)는 복호화된 패킷을 클라이언트 단말의 세션키를 이용해서 암호화하고(618), 클라이언트 단말의 세션키로 암호화된 패킷을 클라이언트 단말(110)로 송신한다(620).
616단계의 확인결과 복호화된 패킷에 대한 송신이 가능하지 않으면, 보안 장치(130)는 클라이언트 단말기(110) 또는 네트워크 관리자에게 클라이언트 단말기(110)로 송신되는 패킷이 차단되었음을 알리는 메시지를 송신한다(622).
이상에서 설명된 장치는 하드웨어 구성요소, 소프트웨어 구성요소, 및/또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 실시 예들에서 설명된 장치 및 구성요소는, 예를 들어, 프로세서, 콘트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPGA(field programmable gate array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 애플리케이션을 수행할 수 있다. 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다. 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다. 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 콘트롤러를 포함할 수 있다. 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치, 또는 전송되는 신호 파(signal wave)에 영구적으로, 또는 일시적으로 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
실시 예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시 예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 실시 예들이 비록 한정된 실시 예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시 예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (10)

  1. 보안 장치에서 네트워크 장비에 연결된 클라이언트 단말로부터 보안 소켓 계층 통신을 이용하는 웹 사이트로의 접속을 감지하는 단계;
    상기 웹 사이트의 인증서를 이용해서 상기 보안 장치와 상기 웹 사이트 간의 보안 소켓 계층(SSL; Secure Sockets Layer) 세션을 맺는 단계;
    상기 웹 사이트의 인증서를 이용해서 생성된 사설 인증서를 이용해서 상기 클라이언트 단말과 상기 보안 장치 간의 보안 소켓 계층 세션을 맺는 단계;
    상기 클라이언트 단말로부터 상기 웹 사이트로 송신하는 패킷을 수신하면, 상기 패킷을 상기 클라이언트 단말의 세션키를 이용해서 복호화하는 단계;
    상기 복호화된 패킷에 대한 송신의 승인 여부를 검사하는 단계; 및
    상기 복호화된 패킷에 대한 송신의 승인 여부 검사결과 송신이 가능하면, 상기 복호화된 패킷을 상기 보안 장치의 세션키를 이용해서 암호화하여 상기 웹 사이트로 송신하는 단계
    를 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  2. 제1항에 있어서,
    상기 보안 장치와 상기 웹 사이트 간의 보안 소켓 계층 세션을 맺는 단계는,
    상기 보안 장치의 세션키를 생성하는 단계; 및
    상기 보안 장치의 세션키를 상기 웹 사이트의 인증서에 포함된 공개키를 이용해서 암호화하여 상기 웹 사이트의 서버로 송신하는 단계
    를 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  3. 제1항에 있어서,
    상기 클라이언트 단말과 상기 보안 장치 간의 보안 소켓 계층 세션을 맺는 단계는,
    상기 클라이언트 단말로부터 상기 사설 인증서에 포함된 공개키로 암호화된 클라이언트 단말의 세션키를 수신하는 단계; 및
    상기 사설 인증서에 대응하는 비밀키로 상기 암호화된 클라이언트 단말의 세션키를 복호화해서 상기 클라이언트 단말의 세션키를 획득하는 단계
    를 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  4. 제1항에 있어서,
    상기 복호화된 패킷에 대한 송신 승인의 검사결과 송신이 가능하지 않으면, 상기 클라이언트 단말기 또는 네트워크 관리자에게 송신이 차단되었음을 알리는 메시지를 송신하는 단계
    를 더 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  5. 제1항에 있어서,
    상기 웹 사이트로부터 상기 클라이언트 단말로 송신하는 패킷을 수신하면, 상기 보안 장치의 세션키를 이용해서 상기 클라이언트 단말로 송신하는 패킷을 복호화하는 단계;
    상기 복호화된 상기 클라이언트 단말로 송신하는 패킷에 대한 수신의 승인 여부를 검사하는 단계; 및
    상기 복호화된 상기 클라이언트 단말로 송신하는 패킷에 대한 수신의 승인여부 겸사결과 수신이 가능하면, 상기 복호화된 상기 클라이언트 단말로 송신하는 패킷을 상기 클라이언트 단말기의 세션키를 이용해서 암호화하여 상기 클라이언트 단말로 송신하는 단계
    를 더 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  6. 제5항에 있어서,
    상기 복호화된 상기 클라이언트 단말로 송신하는 패킷에 대한 수신의 승인여부 겸사결과 수신이 가능하지 않으면, 상기 클라이언트 단말기 또는 네트워크 관리자에게 수신이 차단되었음을 알리는 메시지를 송신하는 단계
    를 더 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  7. 제1항에 있어서,
    상기 클라이언트 단말과 상기 보안 장치와의 보안 소켓 계층 통신을 연결하는 단계는,
    상기 웹 사이트에 대응하는 상기 사설 인증서가 존재하지 않으면, 상기 웹 사이트의 인증서를 이용해서 상기 사설 인증서를 생성하는 단계
    를 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  8. 제7항에 있어서,
    상기 웹 사이트의 인증서를 이용해서 상기 사설 인증서를 생성하는 단계는,
    상기 웹 사이트의 인증서로부터 유효기간, 주체, 주체 대체 이름, 확장된 키 사용 및 기본 제한에 관한 정보를 수집하는 단계;
    상기 보안 장치의 인증서로부터 발급자, 공개키 및 지문 알고리즘에 관한 정보를 수집하는 단계;
    버전, 일련번호, 서명 알고리즘, 서명 해시 알고리즘 및 지문에 관한 정보를 생성하는 단계; 및
    수집하고 생성된 정보를 포함하는 상기 사설 인증서를 생성하는 단계
    를 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  9. 제1항에 있어서,
    상기 복호화된 패킷에 대한 송신의 승인 여부를 검사하는 단계는,
    상기 복호화된 패킷이 기설정된 조건을 만족하는지 여부를 검색하여 승인 여부를 결정하는 단계; 또는
    상기 복호화된 패킷을 네트워크 관리자에게 송신하고, 상기 관리자로부터 송신에 대한 승인을 응답 받는 단계
    를 포함하는 보안 장치에서 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법.
  10. 제1항 내지 제9항 중 어느 한 항의 방법을 실행하기 위한 프로그램이 기록되어 있는 것을 특징으로 하는 컴퓨터에서 판독 가능한 기록 매체.
PCT/KR2017/008928 2016-09-20 2017-08-17 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법 WO2018056582A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020160120050A KR101881279B1 (ko) 2016-09-20 2016-09-20 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법
KR10-2016-0120050 2016-09-20

Publications (1)

Publication Number Publication Date
WO2018056582A1 true WO2018056582A1 (ko) 2018-03-29

Family

ID=61690499

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2017/008928 WO2018056582A1 (ko) 2016-09-20 2017-08-17 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법

Country Status (2)

Country Link
KR (1) KR101881279B1 (ko)
WO (1) WO2018056582A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112187726A (zh) * 2020-09-04 2021-01-05 宇龙计算机通信科技(深圳)有限公司 数据传输方法、装置、存储介质及终端

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101971995B1 (ko) * 2017-08-29 2019-04-24 주식회사 수산아이앤티 보안을 위한 보안 소켓 계층 복호화 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030018891A1 (en) * 2001-06-26 2003-01-23 Rick Hall Encrypted packet inspection
US7827399B1 (en) * 2005-07-27 2010-11-02 Adobe Systems Incorporated Certificate processing
US20130339725A1 (en) * 2007-06-22 2013-12-19 Trend Micro Incorporated Method and system for monitoring encrypted data transmissions
US20150341317A1 (en) * 2012-10-19 2015-11-26 Telefonaktiebolaget L M Ericsson (Publ) Unidirectional Deep Packet Inspection
KR20160084127A (ko) * 2015-01-05 2016-07-13 주식회사 퓨쳐시스템 Ssl로 암호화된 패킷을 커널에서 분석하는 장치 및 방법

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100867130B1 (ko) * 2007-02-23 2008-11-06 (주)코리아센터닷컴 보안 데이터 송수신 시스템 및 방법
KR20090098542A (ko) * 2008-03-14 2009-09-17 주식회사 엑스큐어넷 프록시를 이용한 암호화 데이터 통신시스템 및 암호화데이터 통신방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030018891A1 (en) * 2001-06-26 2003-01-23 Rick Hall Encrypted packet inspection
US7827399B1 (en) * 2005-07-27 2010-11-02 Adobe Systems Incorporated Certificate processing
US20130339725A1 (en) * 2007-06-22 2013-12-19 Trend Micro Incorporated Method and system for monitoring encrypted data transmissions
US20150341317A1 (en) * 2012-10-19 2015-11-26 Telefonaktiebolaget L M Ericsson (Publ) Unidirectional Deep Packet Inspection
KR20160084127A (ko) * 2015-01-05 2016-07-13 주식회사 퓨쳐시스템 Ssl로 암호화된 패킷을 커널에서 분석하는 장치 및 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112187726A (zh) * 2020-09-04 2021-01-05 宇龙计算机通信科技(深圳)有限公司 数据传输方法、装置、存储介质及终端

Also Published As

Publication number Publication date
KR20180031435A (ko) 2018-03-28
KR101881279B1 (ko) 2018-08-24

Similar Documents

Publication Publication Date Title
WO2021060854A1 (ko) 네트워크 접속 제어 시스템 및 그 방법
US20130191627A1 (en) Controlling and auditing SFTP file transfers
WO2017034072A1 (ko) 네트워크 보안 시스템 및 보안 방법
JP4336803B2 (ja) 特定中継装置認証機能付き通信システム
WO2021112494A1 (ko) 엔드포인트에 기반한 관리형 탐지 및 대응 시스템과 방법
JP2010263310A (ja) 無線通信装置、無線通信監視システム、無線通信方法、及びプログラム
CN114125027B (zh) 一种通信建立方法、装置、电子设备及存储介质
WO2018056582A1 (ko) 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법
US20170078320A1 (en) Evaluation node for reporting status via a secure link
JP2006252471A (ja) ネットワーク監視方法、ネットワーク監視システム及びネットワーク監視プログラム
KR101040543B1 (ko) 에스에스에이취 통신환경의 암호화된 데이터 탐지시스템과 탐지방법
Parenreng Network Security Analysis Based on Internet Protocol Security Using Virtual Private Network (VPN)
WO2019066099A1 (ko) 통합된 분석 모델에 기초하여 이상 행동을 감지하는 시스템 및 그 방법
WO2016200232A1 (ko) 서버 장애 시 원격 서버 복구 시스템 및 방법
WO2019045424A1 (ko) 보안을 위한 보안 소켓 계층 복호화 방법
WO2018088680A1 (ko) 차단된 사이트로의 접속 요청을 처리하는 보안 시스템 및 방법
KR101881278B1 (ko) 보안 소켓 계층 통신을 이용하는 패킷을 선택적으로 검사하는 방법
WO2020005047A1 (ko) 보안 소켓 계층 복호화 장치에서 다양한 전자 서명 알고리즘을 지원하기 위한 전자 재서명 방법
WO2021060641A1 (ko) 보안 소켓 계층 복호화 장치에서 접속할 수 없는 사이트를 제외하는 방법
WO2014107028A1 (ko) 악성코드 침입 방지시스템 및 악성코드 침입 방지시스템의 동작 방법
Anderson Securing embedded linux
KR101628094B1 (ko) 보안 장비 및 그것의 접근 허용 방법
WO2024071535A1 (ko) Saas 기반 데이터베이스 접근제어 게이트웨이 서비스 시스템 및 방법
Jaeger et al. Access control and data separation metrics in cloud infrastructures
WO2020013354A1 (ko) 차량용 방화벽의 동작 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17853296

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17853296

Country of ref document: EP

Kind code of ref document: A1