WO2020189871A1 - Iot 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법 - Google Patents

Iot 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법 Download PDF

Info

Publication number
WO2020189871A1
WO2020189871A1 PCT/KR2019/013712 KR2019013712W WO2020189871A1 WO 2020189871 A1 WO2020189871 A1 WO 2020189871A1 KR 2019013712 W KR2019013712 W KR 2019013712W WO 2020189871 A1 WO2020189871 A1 WO 2020189871A1
Authority
WO
WIPO (PCT)
Prior art keywords
policy file
policy
destination
access
devices
Prior art date
Application number
PCT/KR2019/013712
Other languages
English (en)
French (fr)
Inventor
김신
Original Assignee
주식회사그린존시큐리티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사그린존시큐리티 filed Critical 주식회사그린존시큐리티
Priority to US16/965,253 priority Critical patent/US20210243192A1/en
Publication of WO2020189871A1 publication Critical patent/WO2020189871A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint

Definitions

  • the present invention relates to an Internet access control technology, and more particularly, to an apparatus and a method for controlling Internet access of an Internet of Things (IoT) device.
  • IoT Internet of Things
  • a network access device receives an access policy file from a control file server and configures an Access Control List (ACL) to control access to the IoT device.
  • ACL Access Control List
  • the IoT devices are collectively controlled by the Network Access Device, making it difficult to precisely set each IoT device.
  • the complexity of the system increases as a policy file server and a policy operation manager must be added in the system configuration, and a protocol to support them must be implemented for each network access device and IoT device.
  • existing products that do not implement this protocol, such as Network Access Device cannot be used.
  • An object of the present invention is to simplify the configuration of only an IoT device and a policy file server, and to enable more flexible access control by setting a policy file for each IoT device or as a group.
  • the policy file server for Internet access control is a policy file that specifies destination IPs and ports allowed access to each of a plurality of devices.
  • the policy file request message further includes a digital signature of the device, and the control unit verifies the forgery of the policy file request message through the digital signature, and if the verification result is forged, the policy file request message is forged. It characterized in that the warning message informing that there is a problem is transmitted to the manager device through the communication unit.
  • the control unit periodically receives the IP usage rate from each of the plurality of devices, classifies the plurality of devices into a plurality of groups according to the IP usage rate, and updates a policy file according to the classified groups. do.
  • the device for Internet access control includes a basic allow list specifying a destination IP for which access is permitted, and a destination IP and port for which access is permitted.
  • a storage module for storing a specific policy file, a communication module for communication with the policy file server, and an access policy file manager for receiving an updated policy file from the policy file server at predetermined intervals through the communication module. It features.
  • the device checks whether the destination IP of the IP packet is included in the specific destination IP of the basic allow list, and if not, the destination IP of the IP packet. And an access control filter module that determines whether or not the port is included in the destination IP and port permitted access by the policy file, and, if it is included in the determination result, transfers the IP packet to a lower layer. It features.
  • the method for controlling Internet access of a policy file server is a destination IP and port (Destination) allowed access to each of a plurality of devices according to a predetermined period. port), and receiving a policy file request message including a device ID and a hash value of a policy file previously received by the device from any one of the plurality of devices; and And checking whether the policy file is updated through the hash value of the device, and if the update is made, including the updated policy file in a policy file response message and transmitting the updated policy file to the device.
  • Destination allowed access to each of a plurality of devices according to a predetermined period. port
  • the method for controlling Internet access of a device includes storing a basic allow list specifying a destination IP for which access is permitted, and The step of storing a policy file specific to the destination IP and port, and updating the policy file at a predetermined period.
  • the destination IP of the IP packet is set to a specific destination IP. Checking whether it is included, and if it is not included as a result of the check, determining whether the destination IP and port of the IP packet are included in the destination IP and port permitted access by the policy file And, if it is included as a result of the determination, transferring the IP packet to a lower layer.
  • data transmission of IoT devices is implemented by preventing IoT devices from transmitting data through unauthorized IPs and ports, and implementing Internet access control through only the destination IP and port for which access is permitted. Security can be improved.
  • FIG. 1 is a view for explaining the configuration of a system for Internet access control according to an embodiment of the present invention.
  • FIG. 2 is a block diagram for explaining the configuration of a policy file server according to an embodiment of the present invention.
  • FIG. 3 is a block diagram illustrating a configuration of a device according to an embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating a method for controlling Internet access of an IoT device according to an embodiment of the present invention.
  • FIG. 5 is a flowchart illustrating a method for controlling Internet access of an IoT device of a policy file server according to an embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating a method for controlling Internet access of an IoT device by a device according to an embodiment of the present invention.
  • FIG. 7 is a flowchart illustrating a method for controlling Internet access of an IoT device by a device according to an embodiment of the present invention.
  • a system for Internet access control according to an embodiment of the present invention includes a policy file server 100 and a plurality of Internet of Things (IoT) devices 200. : Hereinafter, abbreviated as'device').
  • the access control system may further include a manager device 300.
  • the policy file server 100 creates or updates a policy file for controlling access only to a destination IP and port for which access is permitted in order to increase the security of the device 200.
  • the format of the policy file is generated in a format supported by the device 200 such as xml and text.
  • the policy file server 100 registers a device ID for each of a plurality of devices 200 and sets a policy file individually, or divides a plurality of devices 200 into groups, and one policy file for each group. Can be set. Accordingly, the policy file server 100 may manage a policy file for each device 200 or for each group.
  • the policy file server 100 transmits the policy file to the device 200 according to the request of the device 200.
  • the device 200 compares the destination IP of the IP packet with the port based on the received policy file and processes whether or not the IP packet is transmitted.
  • the policy file server 100 may set a request period of the policy file of the device 200 as necessary.
  • the policy file server 100 When the policy file server 100 receives a request for a policy file from the device 200, the policy file server 100 transmits the corresponding policy file in response. When requesting a policy file, the device 200 transmits the device ID and the hash value of the file if there is already a policy file to the policy file server 100. Also, when a policy file is requested, the device 200 may additionally transmit a recently received policy file update time, device location information, and the like.
  • the device 200 may request a policy file periodically or as needed. If there is no previously received policy file, the device 200 transmits only the device ID to receive the policy file.
  • the policy file server 100 checks whether the policy file for the device 200 is updated through whether the hash value of the policy file corresponding to the device ID matches the hash value received from the device. If the hash value is changed, the policy file server 100 transmits a new policy file, and if the hash value is not changed, it notifies that there is no updated content.
  • the policy file server 100 may also force the policy file to be updated from the policy file server 100 to the device 200 as needed.
  • a request for the policy file server 100 to update the policy file may occur.
  • Communication between the policy file server 100 and the device 200 is preferably maintained through a secure channel such as HTTPS.
  • the device 200 When the policy file delivered to the device 200 is forged and altered, the device 200 notifies the policy file server 100 of the policy file server 100, and the policy file server 100 notifies the manager device 300 of this.
  • the manager device 300 is for managing the policy file server 100 by interlocking with the policy file server 100 and is a device used by the administrator of the policy file server 100.
  • the manager device 300 may be any device as long as it performs a computing operation and communicates through a network.
  • the manager device 300 may be applied to various terminals such as information communication devices, multimedia terminals, wired terminals, fixed terminals, and Internet Protocol (IP) terminals.
  • IP Internet Protocol
  • the manager device 300 may be a mobile phone, a portable multimedia player (PMP), a mobile internet device (MID), a smart phone, a tablet, a phablet, a notebook, and the like.
  • the policy file server 100 includes a communication unit 110, a storage unit 120, and a control unit 130.
  • the communication unit 110 is a means for communicating with the device 200 or the manager device 300.
  • the communication unit 110 may include a radio frequency (RF) transmitter Tx for up-converting and amplifying a frequency of a transmitted signal, and an RF receiver Rx for low-noise amplifying and down-converting a received signal. Further, the communication unit 110 includes a modem that modulates the transmitted signal and demodulates the received signal.
  • the communication unit 110 may receive a policy file request message according to an embodiment of the present invention and transmit it to the control unit 130, receive a policy file response message from the control unit 130, and transmit it to the device 200.
  • the storage unit 120 serves to store programs and data required for the operation of the policy file server 100.
  • the storage unit 120 stores device IDs of each of the plurality of devices 200 and a policy file corresponding thereto.
  • the storage unit 120 may store the calculated hash value after the policy file is generated.
  • the controller 130 may control the overall operation of the policy file server 100 and a signal flow between internal blocks of the policy file server 100 and perform a data processing function of processing data.
  • the control unit 130 basically serves to control various functions of the policy file server 100.
  • the control unit 130 may be a central processing unit (CPU), a digital signal processor (DSP), or the like.
  • the control unit 130 generates and updates a policy file, and transmits the policy file to the corresponding device 200 through the communication unit 110. The operation of the control unit 130 will be described in more detail below.
  • the device 200 includes a communication module 210, a storage module 220, and a control module 230.
  • the communication module 210 is a means for communicating with the policy file server 100.
  • the communication module 210 may include a radio frequency (RF) transmitter (Tx) for up-converting and amplifying a frequency of a transmitted signal and an RF receiver (Rx) for low-noise amplifying and down-converting a received signal.
  • RF radio frequency
  • the communication module 210 includes a modem that modulates the transmitted signal and demodulates the received signal.
  • the communication module 210 may receive a policy file request message from the control module 230 and transmit it to the policy file server 100.
  • the communication module 210 receives a policy file response message from the policy file server 100 and transmits it to the control module 230.
  • the storage module 220 stores programs and data necessary for the operation of the device 200.
  • the storage module 220 may store a policy file and a hash value of the policy file.
  • the policy file and its hash value stored in the storage module 220 may be updated according to a predetermined period.
  • the control module 230 may control an overall operation of the device 200 and a signal flow between internal blocks of the device 200, and may perform a data processing function of processing data. Further, the control module 230 basically performs a role of controlling various functions of the policy file server 100.
  • the control module 230 may be a central processing unit (CPU), a digital signal processor (DSP), or the like.
  • the control module 230 includes an access policy file manager 231 and an access control filter module 233.
  • the access policy file manager 231 is for receiving a policy file from the policy file server 100, and the access control filter module 233 is for performing access control by a policy file.
  • the operation of the control module 230 including the access policy file manager 231 and the access control filter module 233 will be described in more detail below.
  • FIG. 4 is a flowchart illustrating a method for controlling Internet access of an IoT device according to an embodiment of the present invention.
  • control module 230 of the device 200 counts the number of times of use each time an IP packet having a different destination IP occurs, and calculates the IP use rate according to Equation 1 below.
  • Sr is the IP usage rate
  • IPc is the number of times an IP packet having a different destination IP from a previous IP packet has occurred
  • T represents a preset period.
  • the control module 230 of the device 200 transmits the device ID and the IP usage rate to the policy server 100 according to a predetermined period. Accordingly, the control unit 130 of the policy file server 100 may periodically collect the IP usage rates of the plurality of devices 200 in step S110.
  • the control unit 130 of the policy file server 100 generates or updates the policy files of the plurality of devices 200 in step S120.
  • the policy file specifies the destination IP and port to which access is permitted.
  • control unit 130 of the policy file server 100 may generate a policy file for each of the plurality of devices 200 and update the policy file according to a predetermined period.
  • the controller 130 may group a plurality of devices 200 of the plurality of devices 200 and may update a policy file for each group. In this case, the controller 130 may set an update period for each group.
  • control unit 130 of the policy file server 100 may group the plurality of devices 200 according to the IP usage speed of the plurality of devices 200.
  • the controller 130 may create a group for each device 200 having a similar IP usage rate using a clustering algorithm.
  • the controller 130 may update the policy file for each group.
  • the controller 130 may set an update period for each group.
  • the controller 130 may set a relatively slow update period of a policy file.
  • the policy file manager 231 of the control module 230 of the device 200 transmits a policy file request message through the communication module 210 in step S130.
  • the policy file request message includes a device ID and a digital signature in which the device ID is signed with the private key of the device 200.
  • the policy file request message further includes a hash value of the previously received policy file. If there is no previously received policy file, a policy file request message is transmitted without a hash value.
  • the policy file request message may further include an update time of the most recently received policy file and location information of the device 200. In this way, the policy file manager 231 may request a policy file by generating a policy file request message as needed periodically or when there is no policy file.
  • the control unit 130 of the policy file server 100 When the control unit 130 of the policy file server 100 receives the policy file request message through the communication unit 110, it authenticates the policy file request message in step S140.
  • the policy file request message includes a device ID and a digital signature in which the device ID is signed with the private key of the device 200. Accordingly, the controller 130 extracts the device ID using the shared key of the device 200 from the digital signature signed by the device ID with the private key of the device 200, and includes the extracted device ID and the policy file request message.
  • the policy file request message is authenticated by comparing the device IDs to verify whether they are identical.
  • controller 130 may transmit a forgery report indicating that the policy file request message has been forged or altered to the manager device 300 through the communication unit 110 in step S150.
  • control unit 130 of the policy file server 100 checks whether an updated policy file of the corresponding device 200 exists in step S150. If the hash value is not included in the policy file request message, it is determined that the policy file request message has been transmitted for the first time, and a new policy file is created.
  • the controller 130 compares the hash value of the policy file corresponding to the device ID with the hash value of the policy file request message and, if the same, indicates that the update has not been performed. And, if different, it is determined that the policy file of the corresponding device 200 has been updated.
  • the control unit 130 of the policy file server 100 transmits a policy file response message including the policy file through the communication unit 110 in step S170.
  • the policy file response message includes a policy file and a digital signature of the policy file server 100.
  • the controller 130 may generate a digital signature signed with the private key of the policy file server 100 with the corresponding device ID and include it in the policy file response message.
  • control module 230 When the policy file manager 231 of the device 200 control module 230 receives the policy file response message through the communication module 210, the received policy file response message is stored in the storage module 220.
  • the policy file manager 231 authenticates the policy file response message in step S180.
  • the policy file response message includes a policy file and a digital signature in which the device ID is signed with the private key of the policy file server 100. Accordingly, the policy file manager 231 extracts the device ID from the digital signature signed with the private key of the policy file server 100 using the shared key of the policy file server 100, and extracts the device ID and The policy file response message is authenticated by comparing its device ID to verify whether it is the same.
  • the policy file manager 231 may transmit a forgery report indicating that the policy file request message has been forged or altered to the policy file server 100 through the communication module 210 in step S190. Then, the control unit 130 of the policy file server 100 may transmit a forgery report indicating that the policy file request message has been forged or altered to the manager device 300 through the communication unit 110 in step S200. On the other hand, if authentication is successful, the policy file manager 231 performs access control according to the corresponding policy file in step S210.
  • FIG. 5 is a flowchart illustrating a method for controlling Internet access of an IoT device of a policy file server according to an embodiment of the present invention.
  • the control unit 130 of the policy file server 100 may receive a policy file request message through the communication unit 110 in step S310. Then, the controller 130 authenticates the digital signature in step S320.
  • the policy file request message includes a device ID and a digital signature in which the device ID is signed with the private key of the device 200. Accordingly, the controller 130 extracts the device ID using the shared key of the device 200 from the digital signature signed by the device ID with the private key of the device 200, and includes the extracted device ID and the policy file request message.
  • the policy file request message is authenticated by comparing the device IDs to verify whether they are identical.
  • the controller 130 may transmit a forgery report indicating that the policy file request message has been forged or altered to the manager device 300 through the communication unit 110 in step S360.
  • control unit 130 compares the hash value of the policy file corresponding to the device ID stored in the storage unit 110 with the hash value of the policy file request message stored in the storage unit 110 in step S330 to determine whether or not they are the same.
  • control unit 130 determines that the update has not been made in step S350, and sends a policy file request response message to the device 200 informing that there is no update through the communication unit 110 in step S350. send.
  • the controller 130 determines that the policy file of the corresponding device 200 has been updated, and in step S340, the communication unit 110 sends a policy file request response message including the updated policy file to the corresponding device. Send to 200.
  • FIG. 6 is a flowchart illustrating a method for controlling Internet access of an IoT device by a device according to an embodiment of the present invention.
  • the policy file manager 231 of the control module 230 of the device 200 may receive a policy file response message through the communication module 210 in step S410.
  • the policy file manager 231 authenticates the digital signature of the policy file response message in step S420.
  • the policy file response message includes a policy file and a digital signature in which the device ID is signed with the private key of the policy file server 100. Accordingly, the policy file manager 231 extracts the device ID from the digital signature signed with the private key of the policy file server 100 using the shared key of the policy file server 100, and extracts the device ID and The policy file response message is authenticated by comparing its device ID to verify whether it is the same.
  • the policy file manager 231 updates the existing policy file with the policy file of the policy file response message in step S430. Accordingly, the device 200 may perform access control through the updated policy file.
  • the policy file manager 231 may transmit a forgery report warning that the policy file request message has been forged or altered to the policy file server 100 through the communication module 210 in step S440. Accordingly, the policy file server 100 may transmit a forgery report indicating that the policy file request message has been forged or altered to the manager device 300.
  • FIG. 7 is a flowchart illustrating a method for controlling Internet access of an IoT device by a device according to an embodiment of the present invention.
  • the storage module 220 of the device 200 stores the default permission list and the policy file received from the policy file server 100.
  • the default allow list includes IPs that the device 200 should use by default.
  • the default allowed list includes an IP of the policy file server 100, a local IP, a gateway IP, a domain name server (DNS) IP, and the like.
  • the policy file specifies the destination IP and port to which access is permitted.
  • the access control filter module 233 of the control module 230 of the device 200 operates on the IP layer.
  • the access control filter module 233 may receive an IP packet from an upper layer in step S510. Then, the access control filter module 233 checks whether the destination IP of the IP packet received in step S520 is included in the basic allow list.
  • step S520 if it is included in the basic permission list, the access control filter module 233 proceeds to step S550 and transmits the IP packet to the lower layer. Accordingly, the IP packet may be delivered to the destination IP.
  • step S520 if it is not included in the default allow list, the access control filter module 233 proceeds to step S530, whereby the destination IP and port of the IP packet are assigned to the destination IP and port permitted by the policy file. It determines whether it is included.
  • the access control filter module 233 discards the corresponding IP packet in step S540.
  • the access control filter module 233 proceeds to step S550 and transmits the IP packet to the lower layer. Accordingly, the IP packet may be delivered to the destination IP.
  • the methods according to the embodiments of the present invention described above may be implemented in the form of programs readable by various computer means and recorded on a computer readable recording medium.
  • the recording medium may include a program command, a data file, a data structure, or the like alone or in combination.
  • the program instructions recorded on the recording medium may be specially designed and configured for the present invention, or may be known and usable to those skilled in computer software.
  • the recording medium includes magnetic media such as hard disks, floppy disks, and magnetic tapes, optical media such as CD-ROMs and DVDs, and magnetic-optical media such as floptical disks ( magneto-optical media), and hardware devices specially configured to store and execute program instructions such as ROM, RAM, flash memory, and the like.
  • Examples of the program instruction may include not only machine language wires such as those made by a compiler, but also high-level language wires that can be executed by a computer using an interpreter or the like. These hardware devices may be configured to operate as one or more software modules to perform the operation of the present invention, and vice versa.
  • the present invention prevents IoT devices from transmitting data through unauthorized IPs and ports, and implements Internet access control through only the destination IP and port for which access is permitted, thereby securing data transmission of IoT devices. Can increase. Therefore, the present invention is not only sufficiently commercially available or commercially possible, but also has industrial applicability because it can be implemented clearly in reality.

Abstract

본 발명에 따른 인터넷 접근 제어를 위한 정책파일서버는 복수의 디바이스 각각에 대해 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한 정책 파일을 저장하는 저장부와, 복수의 디바이스 중 어느 하나의 디바이스로부터 디바이스 ID 및 상기 디바이스가 기 수신한 정책 파일의 해시값을 포함하는 정책 파일 요청 메시지를 수신하는 통신부와, 소정 주기에 따라 상기 복수의 디바이스에 대한 정책 파일을 업데이트하며, 상기 정책 파일 요청 메시지를 수신하면, 상기 디바이스의 상기 해시값을 통해 정책 파일의 업데이트 여부를 확인하고, 업데이트가 이루어진 경우, 업데이트된 정책 파일을 정책 파일 응답 메시지에 포함시켜 상기 통신부를 통해 상기 디바이스로 전송하는 제어부를 포함한다.

Description

IOT 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법
본 발명은 인터넷 접근 제어 기술에 관한 것으로, 보다 상세하게는, IoT(Internet of Things) 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법에 관한 것이다.
종래의 경우, Network Access Device(wireless access point 등)가 접근 정책 파일을 제어 파일 서버로부터 전달 받아 Access Control List(ACL)를 구성하여 IoT 디바이스의 접근 제어를 하도록 한다. 이러한 경우 IoT 디바이스는 Network Access Device에서 일괄 통제하게 되어 IoT 디바이스별로 정밀한 설정이 어렵다. 또 시스템 구성상 정책파일서버, 정책 운용 매니저를 추가해야 하고, Network Access Device와 IoT 디바이스에 각각 이를 지원할 프로토콜을 구현해야 함으로 시스템의 복잡성이 증가한다. 더욱이 Network Access Device와 같이 이 프로토콜이 구현되지 않은 기존 제품들을 사용할 수 없게 된다.
본 발명의 목적은 IoT 디바이스와 정책파일서버만으로 구성을 단순화 하고 IoT 디바이스별로 정책 파일을 설정하거나 그룹으로 설정함으로써 더욱 유연한 접근 제어가 가능하도록 하는데 있다.
상술한 바와 같은 목적을 달성하기 위한 본 발명의 바람직한 실시예에 따른 인터넷 접근 제어를 위한 정책파일서버는 복수의 디바이스 각각에 대해 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한 정책 파일을 저장하는 저장부와, 복수의 디바이스 중 어느 하나의 디바이스로부터 디바이스 ID 및 상기 디바이스가 기 수신한 정책 파일의 해시값을 포함하는 정책 파일 요청 메시지를 수신하는 통신부와, 소정 주기에 따라 상기 복수의 디바이스에 대한 정책 파일을 업데이트하며, 상기 정책 파일 요청 메시지를 수신하면, 상기 디바이스의 상기 해시값을 통해 정책 파일의 업데이트 여부를 확인하고, 업데이트가 이루어진 경우, 업데이트된 정책 파일을 정책 파일 응답 메시지에 포함시켜 상기 통신부를 통해 상기 디바이스로 전송하는 제어부를 포함한다.
상기 정책 파일 요청 메시지는 상기 디바이스의 디지털 서명을 더 포함하며, 상기 제어부는 상기 디지털 서명을 통해 상기 정책 파일 요청 메시지의 위변조를 검증하고, 상기 검증 결과, 위변조된 경우, 상기 정책 파일 요청 메시지가 위변조되었음을 알리는 경고 메시지를 상기 통신부를 통해 관리자장치로 전송하는 것을 특징으로 한다.
상기 제어부는 상기 복수의 디바이스 각각으로부터 IP 사용 속도를 주기적으로 수신하고, 상기 IP 사용 속도에 따라 상기 복수의 디바이스를 복수의 그룹으로 분류하고, 분류된 각 그룹에 따라 정책 파일을 업데이트하는 것을 특징으로 한다.
상술한 바와 같은 목적을 달성하기 위한 본 발명의 바람직한 실시예에 따른 인터넷 접근 제어를 위한 디바이스는 접근이 허가된 목적(Destination) IP를 특정한 기본 허용 리스트 및 접근이 허가된 목적 IP와 포트(port)를 특정한 정책 파일을 저장하는 저장모듈과, 정책파일서버와의 통신을 위한 통신모듈과, 상기 통신모듈을 통해 소정 주기로 상기 정책파일서버로부터 업데이트된 정책파일을 수신하는 접근정책파일매니저;를 포함하는 것을 특징으로 한다.
상기 디바이스는 IP 레이어로부터 IP 패킷이 전달되면, 상기 IP 패킷의 목적 IP가 기본 허용 리스트의 특정한 목적 IP에 포함되어 있는지 여부를 확인하고, 상기 확인 결과, 포함되어 있지 않으면, 상기 IP 패킷의 목적 IP 및 포트가 상기 정책 파일에 의해 접근이 허가된 목적 IP와 포트에 포함되어 있는지 여부를 판별하고, 상기 판별 결과, 포함되어 있으면, 상기 IP 패킷을 하위 계층으로 전달하는 접근제어필터모듈을 더 포함하는 것을 특징으로 한다.
상술한 바와 같은 목적을 달성하기 위한 본 발명의 바람직한 실시예에 따른 정책파일서버의 인터넷 접근 제어를 위한 방법은 소정 주기에 따라 복수의 디바이스 각각에 대해 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한 정책 파일을 업데이트하는 단계와, 상기 복수의 디바이스 중 어느 하나의 디바이스로부터 디바이스 ID 및 상기 디바이스가 기 수신한 정책 파일의 해시값을 포함하는 정책 파일 요청 메시지를 수신하는 단계와, 상기 디바이스의 상기 해시값을 통해 정책 파일의 업데이트 여부를 확인하고, 업데이트가 이루어진 경우, 업데이트된 정책 파일을 정책 파일 응답 메시지에 포함시켜 상기 디바이스로 전송하는 단계를 포함한다.
상술한 바와 같은 목적을 달성하기 위한 본 발명의 바람직한 실시예에 따른 디바이스의 인터넷 접근 제어를 위한 방법은 접근이 허가된 목적(Destination) IP를 특정한 기본 허용 리스트를 저장하는 단계와, 접근이 허가된 목적 IP와 포트(port)를 특정한 정책 파일을 저장하며, 상기 정책 파일을 소정 주기로 업데이트하는 단계와, IP 레이어로부터 IP 패킷이 전달되면, 상기 IP 패킷의 목적 IP가 기본 허용 리스트가 특정한 목적 IP에 포함되어 있는지 여부를 확인하는 단계와, 상기 확인 결과, 포함되어 있지 않으면, 상기 IP 패킷의 목적 IP 및 포트가 상기 정책 파일에 의해 접근이 허가된 목적 IP와 포트에 포함되어 있는지 여부를 판별하는 단계와, 상기 판별 결과, 포함되어 있으면, 상기 IP 패킷을 하위 계층으로 전달하는 단계를 포함하는 것을 특징으로 한다.
본 발명에 따르면, IoT 디바이스가 허가 되지 않은 IP와 포트(port)를 통해 데이터를 전송하지 않도록 하고, 접근이 허가된 목적(Destination) IP와 port 만을 통해서 인터넷 접근 제어를 구현함으로써 IoT 디바이스의 데이터 전송 보안성을 높일 수 있다.
도 1은 본 발명의 실시예에 따른 인터넷 접근 제어를 위한 시스템의 구성을 설명하기 위한 도면이다.
도 2는 본 발명의 실시예에 따른 정책파일서버의 구성을 설명하기 위한 블록도이다.
도 3은 본 발명의 실시예에 따른 디바이스의 구성을 설명하기 위한 블록도이다.
도 4는 본 발명의 실시예에 따른 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 5는 본 발명의 실시예에 따른 정책파일서버의 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 6은 본 발명의 실시예에 따른 디바이스의 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 7은 본 발명의 실시예에 따른 디바이스의 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
본 발명의 상세한 설명에 앞서, 이하에서 설명되는 본 명세서 및 청구범위에 사용된 용어나 단어는 통상적이거나 사전적인 의미로 한정해서 해석되어서는 아니 되며, 발명자는 그 자신의 발명을 가장 최선의 방법으로 설명하기 위해 용어의 개념으로 적절하게 정의할 수 있다는 원칙에 입각하여 본 발명의 기술적 사상에 부합하는 의미와 개념으로 해석되어야만 한다. 따라서 본 명세서에 기재된 실시예와 도면에 도시된 구성은 본 발명의 가장 바람직한 실시예에 불과할 뿐, 본 발명의 기술적 사상을 모두 대변하는 것은 아니므로, 본 출원시점에 있어서 이들을 대체할 수 있는 다양한 균등물과 변형 예들이 있을 수 있음을 이해하여야 한다.
이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예들을 상세히 설명한다. 이때, 첨부된 도면에서 동일한 구성 요소는 가능한 동일한 부호로 나타내고 있음을 유의해야 한다. 또한, 본 발명의 요지를 흐리게 할 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략할 것이다. 마찬가지의 이유로 첨부 도면에 있어서 일부 구성요소는 과장되거나 생략되거나 또는 개략적으로 도시되었으며, 각 구성요소의 크기는 실제 크기를 전적으로 반영하는 것이 아니다.
먼저, 본 발명의 실시예에 따른 인터넷 접근 제어를 위한 시스템에 대해서 설명하기로 한다. 도 1은 본 발명의 실시예에 따른 인터넷 접근 제어를 위한 시스템의 구성을 설명하기 위한 도면이다. 도 1을 참조하면, 본 발명의 실시예에 따른 인터넷 접근 제어를 위한 시스템(이하, '접근제어시스템'으로 축약함)은 정책파일서버(100) 및 복수의 IoT(Internet of Things) 디바이스(200: 이하, '디바이스'로 축약함)를 포함한다. 또한, 선택적으로, 접근제어시스템은 관리자장치(300)를 더 포함할 수 있다.
정책파일서버(100)는 디바이스(200)의 보안성을 높이기 위해 접근이 허가된 목적(Destination) IP와 포트(port) 만 접속 하도록 제어하기 위한 정책 파일을 생성하거나, 업데이트한다. 정책 파일의 포맷은 xml, 텍스트 등 디바이스(200)가 지원하는 형식으로 생성된다. 정책파일서버(100)는 복수의 디바이스(200) 각각에 대한 디바이스 ID가 등록되어 있고 각각 개별로 정책 파일을 설정하거나, 복수의 디바이스(200)를 그룹으로 구분하고 각 그룹에 대해 하나의 정책 파일을 설정할 수 있다. 이에 따라, 정책파일서버(100)는 각 디바이스(200)별로 정책 파일을 관리하거나 그룹별 관리할 수 있다.
일 실시예에 따르면, 정책파일서버(100)는 디바이스(200)의 요청에 따라 정책 파일을 디바이스(200)에 전달한다. 디바이스(200)는 IP 패킷이 발생하면, 수신된 정책 파일에 의거하여 해당 IP 패킷의 목적 IP와 포트를 비교하여 IP 패킷의 전달 여부를 처리한다. 정책파일서버(100)는 필요에 따라 디바이스(200)의 정책 파일의 요청 주기를 설정할 수 있다.
정책파일서버(100)는 디바이스(200)로부터 정책 파일 요청을 받으면 응답으로 해당 정책 파일을 전달한다. 정책 파일 요청 시, 디바이스(200)는 정책파일서버(100)로 디바이스 ID와 이미 정책 파일이 있는 경우 파일의 해시 값을 전달한다. 또한, 디바이스(200)는 정책 파일 요청 시, 최근에 받은 정책 파일 업데이트 시간, 디바이스의 위치 정보 등을 추가로 전달할 수 있다.
디바이스(200)는 주기적으로 또는 필요에 따라 정책 파일을 요청을 할 수 있다. 디바이스(200)는 기 수신된 정책 파일이 없는 경우에는 디바이스의 ID 만을 전달해서 정책 파일을 전달 받는다. 정책파일서버(100)는 디바이스 ID에 대응하는 정책 파일의 해시값이 디바이스로부터 수신한 해시값과 일치 하는지 여부를 통해 해당 디바이스(200)에 대한 정책 파일의 업데이트 여부를 확인한다. 정책파일서버(100)는 해시값이 변경되었다면 새로운 정책 파일을 전달하고, 해시값이 변경되지 않았다면 업데이트 내용이 없음을 알린다.
다른 실시예에 따르면, 또한, 정책파일서버(100)는 필요에 따라 정책파일서버(100)로부터 디바이스(200)로 정책 파일을 업데이트 하도록 강제 할 수 있다. 정책파일서버(100)가 정책을 업데이트한 경우, 정책파일서버(100)가 정책 파일을 업데이트하도록 하는 요청이 발생할 수 있다. 정책파일서버(100)와 디바이스(200) 간의 통신은 되도록 HTTPS 등과 같은 보안 채널을 통해 유지하는 것이 바람직하다.
디바이스(200)에 전달된 정책 파일이 위변조된 경우 디바이스(200)가 이를 정책파일서버(100)에 통보하면 정책파일서버(100)는 관리자장치(300)로 이를 통지한다.
관리자장치(300)는 정책파일서버(100)에 연동하여 정책파일서버(100)를 관리하기 위한 것으로 정책파일서버(100)의 관리자가 사용하는 장치이다. 관리자장치(300)는 컴퓨팅 연산을 수행하고, 네트워크를 통해 통신을 수행하는 장치라면 어떠한 장치라도 무방하다. 예컨대, 관리자장치(300)는 정보통신기기, 멀티미디어 단말기, 유선 단말기, 고정형 단말기 및 IP(Internet Protocol) 단말기 등의 다양한 단말기에 적용될 수 있다. 예컨대, 관리자장치(300)는 휴대폰, PMP(Portable Multimedia Player), MID(Mobile Internet Device), 스마트폰(Smart Phone), 태블릿, 패블릿, 노트북 등을 예시할 수 있다. 관리자장치(300)는 정책파일서버(100)로부터 정책 파일 요청 메시지 혹은 정책 파일 응답 메시지의 위변조가 보고되면, 화면 및 음성 신호로 표시하여 관리자에게 알려 조취하도록 한다.
다음으로, 전술한 정책파일서버(100)에 대해서 보다 상세하게 설명하기로 한다. 도 2는 본 발명의 실시예에 따른 정책파일서버의 구성을 설명하기 위한 블록도이다. 도 2를 참조하면, 정책파일서버(100)는 통신부(110), 저장부(120) 및 제어부(130)를 포함한다.
통신부(110)는 디바이스(200) 혹은 관리자장치(300)와 통신하기 위한 수단이다. 통신부(110)는 송신되는 신호의 주파수를 상승 변환 및 증폭하는 RF(Radio Frequency) 송신기(Tx) 및 수신되는 신호를 저 잡음 증폭하고 주파수를 하강 변환하는 RF 수신기(Rx)를 포함할 수 있다. 그리고 통신부(110)는 송신되는 신호를 변조하고, 수신되는 신호를 복조하는 모뎀(Modem)을 포함한다. 통신부(110)는 본 발명의 실시예에 따른 정책 파일 요청 메시지를 수신하여 제어부(130)로 전달하고, 제어부(130)로부터 정책 파일 응답 메시지를 전달받고, 디바이스(200)로 전송할 수 있다.
저장부(120)는 정책파일서버(100)의 동작에 필요한 프로그램 및 데이터를 저장하는 역할을 수행한다. 특히, 저장부(120)는 복수의 디바이스(200) 각각의 디바이스 ID 및 이에 대응하는 정책 파일을 저장한다. 또한, 저장부(120)는 정책 파일이 생성된 후, 산출된 해시값을 저장할 수 있다.
제어부(130)는 정책파일서버(100)의 전반적인 동작 및 정책파일서버(100)의 내부 블록들 간 신호 흐름을 제어하고, 데이터를 처리하는 데이터 처리 기능을 수행할 수 있다. 또한, 제어부(130)는 기본적으로, 정책파일서버(100)의 각 종 기능을 제어하는 역할을 수행한다. 제어부(130)는 중앙처리장치(CPU: Central Processing Unit), 디지털신호처리기(DSP: Digital Signal Processor) 등을 예시할 수 있다. 제어부(130)는 정책 파일을 생성하고, 업데이트하며, 통신부(110)를 통해 정책 파일을 해당하는 디바이스(200)로 전송한다. 이러한 제어부(130)의 동작에 대해서는 아래에서 더 상세하게 설명될 것이다.
다음으로, 본 발명의 실시예에 따른 디바이스(200)에 대해서 설명하기로 한다. 도 3은 본 발명의 실시예에 따른 디바이스의 구성을 설명하기 위한 블록도이다. 도 3을 참조하면, 디바이스(200)는 통신모듈(210), 저장모듈(220) 및 제어모듈(230)을 포함한다.
통신모듈(210)은 정책파일서버(100)와 통신하기 위한 수단이다. 통신모듈(210)은 송신되는 신호의 주파수를 상승 변환 및 증폭하는 RF(Radio Frequency) 송신기(Tx) 및 수신되는 신호를 저 잡음 증폭하고 주파수를 하강 변환하는 RF 수신기(Rx)를 포함할 수 있다. 그리고 통신모듈(210)은 송신되는 신호를 변조하고, 수신되는 신호를 복조하는 모뎀(Modem)을 포함한다. 통신모듈(210)은 제어모듈(230)로부터 정책 파일 요청 메시지를 전달받아 정책파일서버(100)로 전송할 수 있다. 또한, 통신모듈(210)은 정책파일서버(100)로부터 정책 파일 응답 메시지를 수신하여 제어모듈(230)로 전달한다.
저장모듈(220)은 디바이스(200)의 동작에 필요한 프로그램 및 데이터를 저장한다. 특히, 저장모듈(220)은 정책 파일 및 그 정책 파일의 해시값을 저장할 수 있다. 저장모듈(220)에 저장된 정책 파일 및 그 해시값은 소정 주기에 따라 업데이트될 수 있다.
제어모듈(230)은 디바이스(200)의 전반적인 동작 및 디바이스(200) 내부 블록들 간 신호 흐름을 제어하고, 데이터를 처리하는 데이터 처리 기능을 수행할 수 있다. 또한, 제어모듈(230)은 기본적으로, 정책파일서버(100)의 각 종 기능을 제어하는 역할을 수행한다. 제어모듈(230)은 중앙처리장치(CPU: Central Processing Unit), 디지털신호처리기(DSP: Digital Signal Processor) 등을 예시할 수 있다. 제어모듈(230)은 접근정책파일매니저(231) 및 접근제어필터모듈(233)을 포함한다. 접근정책파일매니저(231)는 정책파일서버(100)로부터 정책 파일을 수신하기 이한 것이며, 접근제어필터모듈(233)은 정책 파일에 의해 접근 제어를 수행하기 위한 것이다. 접근정책파일매니저(231) 및 접근제어필터모듈(233)을 포함하는 제어모듈(230)의 동작은 아래에서 더 상세하게 설명될 것이다.
다음으로, 본 발명의 실시예에 따른 IoT 디바이스의 인터넷 접근 제어를 위한 방법에 대해서 설명하기로 한다. 도 4는 본 발명의 실시예에 따른 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 4를 참조하면, 디바이스(200)의 제어모듈(230)은 목적 IP가 상이한 IP 패킷이 발생할 때마다, 사용 횟수를 카운트하고, 다음의 수학식 1에 따라 IP 사용 속도를 산출한다.
Figure PCTKR2019013712-appb-M000001
여기서, Sr은 IP 사용 속도이고, IPc는 이전 IP 패킷과 목적 IP가 상이한 IP 패킷이 발생한 횟수이며, T는 기 설정된 주기를 나타낸다.
디바이스(200)의 제어모듈(230)은 소정 주기에 따라 디바이스 ID와 IP 사용 속도를 정책서버(100)로 전송한다. 이에 따라, 정책파일서버(100)의 제어부(130)는 S110 단계에서 주기적으로 복수의 디바이스(200)의 IP 사용 속도를 수집할 수 있다.
정책파일서버(100)의 제어부(130)는 S120 단계에서 복수의 디바이스(200)의 정책 파일을 생성하거나, 업데이트한다. 정책 파일은 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한다.
일 실시예에 따르면, 정책파일서버(100)의 제어부(130)는 복수의 디바이스(200) 각각에 대해 정책 파일을 생성하고, 소정 주기에 따라 업데이트할 수 있다. 다른 실시예에 따르면, 제어부(130)는 복수의 디바이스(200)의 복수의 디바이스(200)를 그룹화하고, 각 그룹별로 정책 파일을 업데이트할 수 있다. 이때, 제어부(130)는 각 그룹별로 업데이트 주기를 설정할 수 있다.
추가적인 실시예에 따르면, 정책파일서버(100)의 제어부(130)는 복수의 디바이스(200)의 IP 사용 속도에 따라 복수의 디바이스(200)를 그룹화할 수 있다. 이때, 제어부(130)는 클러스터링 알고리즘을 이용하여 IP 사용 속도가 유사한 디바이스(200) 별로 그룹을 생성할 수 있다. 그리고 제어부(130)는 각 그룹별로 정책 파일을 업데이트할 수 있다. 이때, 제어부(130)는 각 그룹별로 업데이트 주기를 설정할 수 있다. 특히, 제어부(130)는 평균 IP 사용 속도가 상대적으로 빠른 디바이스(200)들의 그룹인 경우, 정책 파일의 업데이트 주기를 상대적으로 느리게 설정할 수 있다.
한편, 디바이스(200) 제어모듈(230)의 정책파일매니저(231)는 S130 단계에서 통신모듈(210)을 통해 정책 파일 요청 메시지를 전송한다. 정책 파일 요청 메시지는 디바이스 ID 및 디바이스 ID를 디바이스(200)의 개인키로 서명한 디지털 서명을 포함한다. 특히, 정책 파일 요청 메시지는 디바이스(200)가 이미 정책 파일을 수신한 경우, 기 수신한 정책 파일의 해시값을 더 포함한다. 기 수신된 정책 파일이 없는 경우에는 해시값 없이 정책 파일 요청 메시지가 전송된다. 또한, 정책 파일 요청 메시지는 가장 최근에 수신한 정책 파일의 업데이트 시간, 디바이스(200)의 위치 정보를 더 포함할 수 있다. 이와 같이, 정책파일매니저(231)는 주기적으로 또는 정책 파일이 없는 경우, 필요에 따라 정책 파일 요청 메시지를 생성하여 정책 파일을 요청할 수 있다.
정책파일서버(100)의 제어부(130)는 통신부(110)를 통해 정책 파일 요청 메시지를 수신하면, S140 단계에서 정책 파일 요청 메시지를 인증한다. 전술한 바와 같이, 정책 파일 요청 메시지는 디바이스 ID 및 디바이스 ID를 디바이스(200)의 개인키로 서명한 디지털 서명을 포함한다. 이에 따라, 제어부(130)는 디바이스 ID를 디바이스(200)의 개인키로 서명한 디지털 서명으로부터 디바이스(200)의 공유키를 이용하여 디바이스 ID를 추출하고, 추출된 디바이스 ID와 정책 파일 요청 메시지에 포함된 디바이스 ID를 비교하여 동일한지 여부를 검증하여 정책 파일 요청 메시지를 인증한다.
인증에 실패한 경우, 제어부(130)는 S150 단계에서 통신부(110)를 통해 관리자장치(300)에 정책 파일 요청 메시지가 위조 혹은 변조되었음을 알리는 위변조 리포트를 전송할 수 있다.
반면, 인증에 성공한 경우, 정책파일서버(100)의 제어부(130)는 S150 단계에서 해당 디바이스(200)의 업데이트된 정책 파일이 존재하는지 확인한다. 만약, 정책 파일 요청 메시지에 해시값이 포함되어 있지 않으면, 정책 파일 요청 메시지를 처음 전송한 것으로 판단하고, 새로운 정책 파일을 생성한다.
한편, 정책 파일 요청 메시지에 해시값이 포함되어 있으면, 제어부(130)는 해당 디바이스 ID에 대응하는 정책 파일의 해시값과 정책 파일 요청 메시지의 해시값을 비교하여 동일한 경우, 업데이트가 이루어지지 않은 것으로 판단하고, 상이한 경우, 해당 디바이스(200)의 정책 파일이 업데이트된 것으로 판단한다.
이와 같이, 디바이스(200)의 정책 파일이 업데이트된 것으로 확인되면, 정책파일서버(100)의 제어부(130)는 S170 단계에서 통신부(110)를 통해 정책 파일을 포함하는 정책 파일 응답 메시지를 전송한다. 이때, 정책 파일 응답 메시지는 정책 파일과 정책파일서버(100)의 디지털 서명을 포함한다. 이때, 제어부(130)는 해당 디바이스 ID를 정책파일서버(100)의 개인키로 서명한 디지털 서명을 생성하여 정책 파일 응답 메시지에 포함시킬 수 있다.
디바이스(200) 제어모듈(230)의 정책파일매니저(231)는 통신모듈(210)을 통해 정책 파일 응답 메시지를 수신하면, 수신된 정책 파일 응답 메시지를 저장모듈(220)에 저장한다.
그런 다음, 정책파일매니저(231)는 S180 단계에서 정책 파일 응답 메시지를 인증한다. 전술한 바와 같이, 정책 파일 응답 메시지는 정책 파일과, 해당 디바이스 ID를 정책파일서버(100)의 개인키로 서명한 디지털 서명을 포함한다. 이에 따라, 정책파일매니저(231)는 디바이스 ID를 정책파일서버(100)의 개인키로 서명한 디지털 서명으로부터 정책파일서버(100)의 공유키를 이용하여 디바이스 ID를 추출하고, 추출된 디바이스 ID와 자신의 디바이스 ID를 비교하여 동일한지 여부를 검증하여 정책 파일 응답 메시지를 인증한다.
인증에 실패한 경우, 정책파일매니저(231)는 S190 단계에서 통신모듈(210)을 통해 정책파일서버(100)로 정책 파일 요청 메시지가 위조 혹은 변조되었음을 알리는 위변조 리포트를 전송할 수 있다. 그러면, 정책파일서버(100)의 제어부(130)는 S200 단계에서 통신부(110)를 통해 관리자장치(300)에 정책 파일 요청 메시지가 위조 혹은 변조되었음을 알리는 위변조 리포트를 전송할 수 있다. 반면, 인증에 성공한 경우, 정책파일매니저(231)는 S210 단계에서 해당 정책 파일에 따라 접근 제어를 수행한다.
다음으로, 정책파일서버(100)의 정책 파일을 전달하는 방법에 대해서 보다 구체적으로 설명하기로 한다. 도 5는 본 발명의 실시예에 따른 정책파일서버의 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 5를 참조하면, 정책파일서버(100)의 제어부(130)는 S310 단계에서 통신부(110)를 통해 정책 파일 요청 메시지를 수신할 수 있다. 그러면, 제어부(130)는 S320 단계에서 디지털 서명을 인증한다. 정책 파일 요청 메시지는 디바이스 ID 및 디바이스 ID를 디바이스(200)의 개인키로 서명한 디지털 서명을 포함한다. 이에 따라, 제어부(130)는 디바이스 ID를 디바이스(200)의 개인키로 서명한 디지털 서명으로부터 디바이스(200)의 공유키를 이용하여 디바이스 ID를 추출하고, 추출된 디바이스 ID와 정책 파일 요청 메시지에 포함된 디바이스 ID를 비교하여 동일한지 여부를 검증하여 정책 파일 요청 메시지를 인증한다.
인증에 실패한 경우, 인증에 실패한 경우, 제어부(130)는 S360 단계에서 통신부(110)를 통해 관리자장치(300)에 정책 파일 요청 메시지가 위조 혹은 변조되었음을 알리는 위변조 리포트를 전송할 수 있다.
인증에 성공한 경우, 제어부(130)는 S330 단계에서 저장부(110)에 저장된 해당 디바이스 ID에 대응하는 정책 파일의 해시값과 정책 파일 요청 메시지의 해시값을 비교하여 동일한지 여부를 확인한다.
상기 확인 결과, 동일한 경우, 제어부(130)는 S350 단계에서 업데이트가 이루어지지 않은 것으로 판단하고, S350 단계에서 통신부(110)를 통해 업데이트가 없음을 알리는 정책 파일 요청 응답 메시지를 해당 디바이스(200)로 전송한다.
상기 확인 결과, 상이한 경우, 제어부(130)는 해당 디바이스(200)의 정책 파일이 업데이트된 것으로 판단하고, S340 단계에서 통신부(110)를 업데이트된 정책 파일을 포함하는 정책 파일 요청 응답 메시지를 해당 디바이스(200)로 전송한다.
다음으로, 디바이스(200)의 정책 파일을 수신하는 방법에 대해서 보다 구체적으로 설명하기로 한다. 도 6은 본 발명의 실시예에 따른 디바이스의 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 6을 참조하면, 디바이스(200) 제어모듈(230)의 정책파일매니저(231)는 S410 단계에서 통신모듈(210)을 통해 정책 파일 응답 메시지를 수신할 수 있다.
그런 다음, 정책파일매니저(231)는 S420 단계에서 정책 파일 응답 메시지의 디지털 서명을 인증한다. 정책 파일 응답 메시지는 정책 파일과, 해당 디바이스 ID를 정책파일서버(100)의 개인키로 서명한 디지털 서명을 포함한다. 이에 따라, 정책파일매니저(231)는 디바이스 ID를 정책파일서버(100)의 개인키로 서명한 디지털 서명으로부터 정책파일서버(100)의 공유키를 이용하여 디바이스 ID를 추출하고, 추출된 디바이스 ID와 자신의 디바이스 ID를 비교하여 동일한지 여부를 검증하여 정책 파일 응답 메시지를 인증한다.
인증에 성공한 경우, 정책파일매니저(231)는 S430 단계에서 정책 파일 응답 메시지의 정책 파일로 기존의 정책 파일을 업데이트한다. 이에 따라, 디바이스(200)는 업데이트된 정책 파일을 통해 접근 제어를 수행할 수 있다.
반면, 인증에 실패한 경우, 정책파일매니저(231)는 S440 단계에서 통신모듈(210)을 통해 정책파일서버(100)로 정책 파일 요청 메시지가 위조 혹은 변조되었음을 경고하는 위변조 리포트를 전송할 수 있다. 이에 따라, 정책파일서버(100)는 관리자장치(300)에 정책 파일 요청 메시지가 위조 혹은 변조되었음을 알리는 위변조 리포트를 전송할 수 있다.
다음으로, 디바이스(200)가 정책 파일을 통해 접근 제어를 수행하는 방법에 대해서 설명하기로 한다. 도 7은 본 발명의 실시예에 따른 디바이스의 IoT 디바이스의 인터넷 접근 제어를 위한 방법을 설명하기 위한 흐름도이다.
도 7을 참조하면, 디바이스(200) 저장모듈(220)은 기본 허용 리스트 및 정책파일서버(100)로부터 수신한 정책 파일을 저장한 상태라고 가정한다. 기본 허용 리스트는 디바이스(200)가 기본적으로 사용해야 하는 IP를 포함한다. 예를 들어, 기본 허용 리스트는 정책파일서버(100)의 IP, 로컬 IP, 게이트웨이(Gateway) IP, DNS(domain name server) IP 등을 포함한다. 정책 파일은 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한다.
디바이스(200) 제어모듈(230)의 접근제어필터모듈(233)은 IP 레이어 상에서 동작한다.
접근제어필터모듈(233)은 S510 단계에서 상위 레이어로부터 IP 패킷을 수신할 수 있다. 그러면, 접근제어필터모듈(233)은 S520 단계에서 수신된 IP 패킷의 목적 IP가 기본 허용 리스트에 포함되는지 여부를 확인한다.
S520 단계의 확인 결과, 기본 허용 리스트에 포함되면, 접근제어필터모듈(233)은 S550 단계로 진행하여 해당 IP 패킷을 하위 레이어로 전달한다. 이에 따라, 해당 IP 패킷은 목적 IP로 전달될 수 있다.
반면, S520 단계의 확인 결과, 기본 허용 리스트에 포함되지 않으면, 접근제어필터모듈(233)은 S530 단계로 진행하여 IP 패킷의 목적 IP 및 포트가 정책 파일에 의해 접근이 허가된 목적 IP와 포트에 포함되어 있는지 여부를 판별한다.
S530 단계의 판별 결과, 정책 파일에 포함되어 있지 않으면, 접근제어필터모듈(233)은 S540 단계에서 해당 IP 패킷을 폐기한다.
반면, S530 단계의 판별 결과, 정책 파일에 포함되어 있으면, 접근제어필터모듈(233)은 S550 단계로 진행하여 해당 IP 패킷을 하위 레이어로 전달한다. 이에 따라, 해당 IP 패킷은 목적 IP로 전달될 수 있다.
한편, 앞서 설명된 본 발명의 실시예에 따른 방법들은 다양한 컴퓨터수단을 통하여 판독 가능한 프로그램 형태로 구현되어 컴퓨터로 판독 가능한 기록매체에 기록될 수 있다. 여기서, 기록매체는 프로그램 명령, 데이터 파일, 데이터구조 등을 단독으로 또는 조합하여 포함할 수 있다. 기록매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 예컨대 기록매체는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광 기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치를 포함한다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 와이어뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 와이어를 포함할 수 있다. 이러한 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상 본 발명을 몇 가지 바람직한 실시예를 사용하여 설명하였으나, 이들 실시예는 예시적인 것이며 한정적인 것이 아니다. 이와 같이, 본 발명이 속하는 기술분야에서 통상의 지식을 지닌 자라면 본 발명의 사상과 첨부된 특허청구범위에 제시된 권리범위에서 벗어나지 않으면서 균등론에 따라 다양한 변화와 수정을 가할 수 있음을 이해할 것이다.
본 발명은 IoT 디바이스가 허가 되지 않은 IP와 포트(port)를 통해 데이터를 전송하지 않도록 하고, 접근이 허가된 목적(Destination) IP와 port 만을 통해서 인터넷 접근 제어를 구현함으로써 IoT 디바이스의 데이터 전송 보안성을 높일 수 있다. 따라서 본 발명은 시판 또는 영업의 가능성이 충분할 뿐만 아니라 현실적으로 명백하게 실시할 수 있는 정도이므로 산업상 이용가능성이 있다.

Claims (7)

  1. 인터넷 접근 제어를 위한 정책파일서버에 있어서,
    복수의 디바이스 각각에 대해 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한 정책 파일을 저장하는 저장부;
    복수의 디바이스 중 어느 하나의 디바이스로부터 디바이스 ID 및 상기 디바이스가 기 수신한 정책 파일의 해시값을 포함하는 정책 파일 요청 메시지를 수신하는 통신부; 및
    소정 주기에 따라 상기 복수의 디바이스에 대한 정책 파일을 업데이트하며, 상기 정책 파일 요청 메시지를 수신하면, 상기 디바이스의 상기 해시값을 통해 정책 파일의 업데이트 여부를 확인하고, 업데이트가 이루어진 경우, 업데이트된 정책 파일을 정책 파일 응답 메시지에 포함시켜 상기 통신부를 통해 상기 디바이스로 전송하는 제어부;를 포함하는 것을 특징으로 하는
    인터넷 접근 제어를 위한 정책파일서버.
  2. 제1항에 있어서,
    상기 정책 파일 요청 메시지는 상기 디바이스의 디지털 서명을 더 포함하며,
    상기 제어부는
    상기 디지털 서명을 통해 상기 정책 파일 요청 메시지의 위변조를 검증하고,
    상기 검증 결과, 위변조된 경우, 상기 정책 파일 요청 메시지가 위변조되었음을 알리는 경고 메시지를 상기 통신부를 통해 관리자장치로 전송하는 것을 특징으로 하는
    인터넷 접근 제어를 위한 정책파일서버.
  3. 제1항에 있어서,
    상기 제어부는
    상기 복수의 디바이스 각각으로부터 IP 사용 속도을 주기적으로 수신하고, 상기 IP 사용 속도에 따라 상기 복수의 디바이스를 복수의 그룹으로 분류하고, 분류된 각 그룹에 따라 정책 파일을 업데이트하는 것을 특징으로 하는
    인터넷 접근 제어를 위한 정책파일서버.
  4. 인터넷 접근 제어를 위한 디바이스에 있어서,
    접근이 허가된 목적(Destination) IP를 특정한 기본 허용 리스트 및 접근이 허가된 목적 IP와 포트(port)를 특정한 정책 파일을 저장하는 저장모듈;
    정책파일서버와의 통신을 위한 통신모듈; 및
    상기 통신모듈을 통해 소정 주기로 상기 정책파일서버로부터 업데이트된 정책파일을 수신하는 접근정책파일매니저;를 포함하는 것을 특징으로 하는
    인터넷 접근 제어를 위한 디바이스.
  5. 제4항에 있어서,
    IP 레이어로부터 IP 패킷이 전달되면, 상기 IP 패킷의 목적 IP가 기본 허용 리스트가 특정한 목적 IP에 포함되어 있는지 여부를 확인하고, 상기 확인 결과, 포함되어 있지 않으면, 상기 IP 패킷의 목적 IP 및 포트가 상기 정책 파일에 의해 접근이 허가된 목적 IP와 포트에 포함되어 있는지 여부를 판별하고, 상기 판별 결과, 포함되어 있으면, 상기 IP 패킷을 하위 계층으로 전달하는 접근제어필터모듈;을 더 포함하는 것을 특징으로 하는
    인터넷 접근 제어를 위한 디바이스.
  6. 정책파일서버의 인터넷 접근 제어를 위한 방법에 있어서,
    소정 주기에 따라 복수의 디바이스 각각에 대해 접근이 허가된 목적(Destination) IP와 포트(port)를 특정한 정책 파일을 업데이트하는 단계;
    상기 복수의 디바이스 중 어느 하나의 디바이스로부터 디바이스 ID 및 상기 디바이스가 기 수신한 정책 파일의 해시값을 포함하는 정책 파일 요청 메시지를 수신하는 단계;
    상기 디바이스의 상기 해시값을 통해 정책 파일의 업데이트 여부를 확인하고, 업데이트가 이루어진 경우, 업데이트된 정책 파일을 정책 파일 응답 메시지에 포함시켜 상기 디바이스로 전송하는 단계;를 포함하는 것을 특징으로 하는
    정책파일서버의 인터넷 접근 제어를 위한 방법.
  7. 디바이스의 인터넷 접근 제어를 위한 방법에 있어서,
    접근이 허가된 목적(Destination) IP를 특정한 기본 허용 리스트를 저장하는 단계;
    접근이 허가된 목적 IP와 포트(port)를 특정한 정책 파일을 저장하며, 상기 정책 파일을 소정 주기로 업데이트하는 단계;
    IP 레이어로부터 IP 패킷이 전달되면, 상기 IP 패킷의 목적 IP가 기본 허용 리스트가 특정한 목적 IP에 포함되어 있는지 여부를 확인하는 단계;
    상기 확인 결과, 포함되어 있지 않으면, 상기 IP 패킷의 목적 IP 및 포트가 상기 정책 파일에 의해 접근이 허가된 목적 IP와 포트에 포함되어 있는지 여부를 판별하는 단계; 및
    상기 판별 결과, 포함되어 있으면, 상기 IP 패킷을 하위 계층으로 전달하는 단계;를 포함하는 것을 특징으로 하는
    디바이스의 인터넷 접근 제어를 위한 방법.
PCT/KR2019/013712 2019-03-21 2019-10-18 Iot 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법 WO2020189871A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/965,253 US20210243192A1 (en) 2019-03-21 2019-10-18 Apparatus and Method for Internet Access Control of IoT Device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020190032221A KR102020488B1 (ko) 2019-03-21 2019-03-21 IoT 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법
KR10-2019-0032221 2019-03-21

Publications (1)

Publication Number Publication Date
WO2020189871A1 true WO2020189871A1 (ko) 2020-09-24

Family

ID=67949198

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2019/013712 WO2020189871A1 (ko) 2019-03-21 2019-10-18 Iot 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법

Country Status (3)

Country Link
US (1) US20210243192A1 (ko)
KR (1) KR102020488B1 (ko)
WO (1) WO2020189871A1 (ko)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102471791B1 (ko) * 2020-11-18 2022-11-29 주식회사 엘지유플러스 지하시설물 이상 여부 판단 방법 및 장치
WO2024010759A1 (en) * 2022-07-06 2024-01-11 Zodiac Pool Systems Llc Managing digital connections of connected equipment and devices to pool automation systems

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090010523A (ko) * 2007-07-23 2009-01-30 동국대학교 산학협력단 적응적 그룹화를 이용한 무선랜 통신 방법
JP2014514789A (ja) * 2011-04-18 2014-06-19 日本電気株式会社 端末、制御装置、通信方法、通信システム、通信モジュール、プログラムおよび情報処理装置
KR101683781B1 (ko) * 2015-03-23 2016-12-08 (주) 시스메이트 플로우 기반 디도스 탐지 및 방어 장치 및 방법
US20170238235A1 (en) * 2016-02-17 2017-08-17 Zitovault, Inc. Wireless router and router management system
KR20180120451A (ko) * 2017-04-27 2018-11-06 한국전자통신연구원 사물인터넷 환경에서의 접근제어정책 분산 관리 장치 및 그 방법

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101688812B1 (ko) 2016-04-18 2016-12-22 (주)케이사인 소유자 인증 서버 기반의 IoT 기기 인가관리 방법 및 시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090010523A (ko) * 2007-07-23 2009-01-30 동국대학교 산학협력단 적응적 그룹화를 이용한 무선랜 통신 방법
JP2014514789A (ja) * 2011-04-18 2014-06-19 日本電気株式会社 端末、制御装置、通信方法、通信システム、通信モジュール、プログラムおよび情報処理装置
KR101683781B1 (ko) * 2015-03-23 2016-12-08 (주) 시스메이트 플로우 기반 디도스 탐지 및 방어 장치 및 방법
US20170238235A1 (en) * 2016-02-17 2017-08-17 Zitovault, Inc. Wireless router and router management system
KR20180120451A (ko) * 2017-04-27 2018-11-06 한국전자통신연구원 사물인터넷 환경에서의 접근제어정책 분산 관리 장치 및 그 방법

Also Published As

Publication number Publication date
KR102020488B1 (ko) 2019-09-11
US20210243192A1 (en) 2021-08-05

Similar Documents

Publication Publication Date Title
US20180234460A1 (en) Network Application Security Policy Enforcement
WO2013002538A2 (en) Method and apparatus for preventing distributed denial of service attack
US20140143853A1 (en) Network quarantine system, network quarantine method and program therefor
WO2020138525A1 (ko) 사물인터넷 블록체인 환경에서의 디바이스 분산 인증 방법 및 이를 이용한 디바이스 분산 인증 시스템
WO2013085217A1 (ko) 다수의 중계 서버를 갖는 보안관리 시스템 및 보안관리 방법
WO2014185594A1 (ko) Vdi 환경에서의 싱글 사인온 시스템 및 방법
WO2020189871A1 (ko) Iot 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법
US11128451B2 (en) Remotely managing devices using blockchain and DICE-RIoT
WO2013100419A1 (ko) 애플릿 액세스 제어 시스템 및 방법
WO2016148483A1 (ko) 홈에너지 관리 시스템에서 비콘을 이용한 홈에너지 관리 장치 및 방법
WO2017086757A1 (ko) 보안 터널을 이용하여 타겟 장치의 보안을 제어하는 방법 및 장치
WO2018169150A1 (ko) 잠금화면 기반의 사용자 인증 시스템 및 방법
WO2021187782A1 (ko) 악성 트래픽 검출 방법 및 그 장치
WO2015030511A1 (ko) 단말 보호를 위한 단말 장치와 그 단말 보호 방법 및 단말 관리 서버 장치
CN115603932A (zh) 一种访问控制方法、访问控制系统及相关设备
WO2016190663A1 (ko) 홈 네트워크 시스템에서의 보안 관리 장치 및 보안 관리 방법
US10785147B2 (en) Device and method for controlling route of traffic flow
WO2024005565A1 (ko) 메신저 서비스를 제공하기 위한 방법, 시스템 및 비일시성의 컴퓨터 판독 가능한 기록 매체
WO2015182873A1 (ko) Dns 서버 선별 차단 및 proxy를 이용한 dns 주소 변경 방법
CN105681352B (zh) 一种无线网络访问安全管控方法和系统
WO2019182219A1 (ko) 블록체인기반의 신뢰 네트워크 시스템
WO2023017952A1 (ko) 센싱 장치, 센싱 장치를 포함하는 무선 침입 방지 시스템 및 그것의 동작 방법
WO2018088680A1 (ko) 차단된 사이트로의 접속 요청을 처리하는 보안 시스템 및 방법
WO2013122361A1 (ko) 네트워크 부하 저감을 위한 정책정보 운영 방법 및 시스템과 기록매체
WO2014107028A1 (ko) 악성코드 침입 방지시스템 및 악성코드 침입 방지시스템의 동작 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19920043

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19920043

Country of ref document: EP

Kind code of ref document: A1