전편에서는 인터넷전화의 다양한 보안 위협에 대해 알아보았습니다. 그러면, 이러한 위협에 대해 어떤 대응을 하고 있는지, 또 어떻게 해야 하는지에 대해 알아보도록 하겠습니다.
“인터넷전화는 IP망 기반이고, IP망에서는 십여 년 이상 보안에 대응하면서 발전했기 때문에 그것을 같이 활용하면 되는 것 아니냐? 즉, 특별히 인터넷전화 보안이라는 측면을 따로 다루어야 하는가? “
결론부터 이야기하자면, 같은 부분도 분명히 있지만 전체적으로는 다르다
고 이야기를 해야 할 것 같습니다.
고 이야기를 해야 할 것 같습니다.
기업의 입장에서 생각해볼까요?
데이터 서비스는 기업 내부의 직원이 외부에 서버를 접속하는 형태로 이루어집니다. 이 때 방화벽은 외부에서 먼저 들어오도록 하는 것 중 사전에 확인된 것이 아니면 기본적으로 막는 역할을 합니다. 즉, 기업 내부의 방화벽 trust zone에서 외부의 untrust zone으로 먼저 시도를 하기 때문에 해당 포트만 열어주고 서비스를 사용하게 하고, 60초~180초 동안 아무런 사용이 없으면 해당 포트를 닫아 버리면서 보안을 수행하고 있습니다.
그러나, 전화는 어떻습니까?
기업 내부에서 항상 열어두고 기다려야 합니다.ㅜ.ㅠ
누가 언제 나한테 전화한다고 약속하고 전화를 걸지는 않습니다. 항상 수신할 수 있도록 열어두어야 통신이 된다는 것입니다. 그리고, 사용하는 포트가 딱히 정해지지 않았다는 것입니다. 서버 측에서는 서비스별로 예약되어 있는 포트(well-known port)가 일부 있지만, 원활한 서비스를 위해서는 임의적으로 할당되는 많은 UDP 포트를 방화벽에서 개방해야 정상적으로 서비스를 제공할 수 있습니다.
방화벽 외에 주로 IT 보안으로 사용하는 장비인 IDS(침입 탐지 시스템 : Intrusion Detection System), IPS(침입 방지 시스템 : Intrusion Protection System)는 어떻습니까?
방화벽이 막을 수 없거나 차단에 실패한 공격을 탐지/보호하는 장비인 IDS/IPS 장비는 애플리케이션별 특화된 공격의 신호(signature) 분석을 수행하여 트래픽 정상/비정상의 여부를 판단하여 차단합니다.
그러나 현재 상용중인 대부분의 장비들이 데이터 서비스 위주(웹 애플리케이션, FTP, DNS 등)의 신호(signature) 분석에 대해서만 특화 되어 있으며, 인터넷전화에서 사용하는 양방향 프로토콜인 SIP(Session Initiation Protocol), RTP(Real-time Transport Protocol)에 대해서는 미비한 상태입니다. 또한 IDS/IPS 장비 자체적으로 오탐지(잘못된 탐지 동작)라는 문제점을 내재하고 있으므로 함부로 적용하다가는 역으로 서비스에 심각한 문제를 야기할 수 있습니다. 해당 장비들이 전화 서비스의 특성을 완벽하게 분석하여 적용하려면 또 다른 많은 연구와 개발이 필요합니다.
정리하자면, 언제든지 수신이 되어야 하는 전화의 특성과 실시간 서비스의 전화 특성으로 인해 기존의 방화벽이나, IPS/IDS와 같은 장비로는 방어가 불가능하다는 것이 현재의 결론인 것입니다.
결과적으로 인터넷전화 서비스는 위와 같은 문제점 때문에 다양한 공격(도청, DDOS, 불법호 시도, 통화방해, 스팸 등)들이 시도 될 수 있으며 사용자는 전화 서비스를 사용함에 있어서 많은 불편함과 곤란을 초래할 수 있습니다. 이러한 인터넷전화 서비스 보안 위협을 해결하기 위해서는 다음과 같은 작업을 수행해야 합니다.
1) 망 측면에서 보안을 수행해야 합니다.
2) 시스템에도 보안 적용을 강화해야 합니다.
3) 가입자 인증 체계를 강화해야 합니다. (인터넷전화 가입자를 말하겠죠?)
4) 통화 연결 정보 및 통화 내용의 암호화를 추진해야 합니다.
2) 시스템에도 보안 적용을 강화해야 합니다.
3) 가입자 인증 체계를 강화해야 합니다. (인터넷전화 가입자를 말하겠죠?)
4) 통화 연결 정보 및 통화 내용의 암호화를 추진해야 합니다.
각각에 대해 좀 더 세부적으로 설명하겠습니다.(조금 어려울 수 있으니 차근차근 읽어보세요^^;)
첫째, 망 측면 보안이라고 함은 IT 보안 요소를 활용하여 외부 망과의 경계 지점에서 내부 망 및 망내 장비의 보호를 위한 방화벽(firewall 및 IDS/IPS를 기본적으로 필요로 하며, 인터넷전화 공격을 방어할 수 있는 전용 보안 장비도 추가적으로 필요하다는 것입니다. 아래의 좀(?) 어려운 설명을 보시죠.
인터넷전화 보안 장비로서 현재 시장에서 이야기되는 SBC(Session Border Controller)라는 장비가 있습니다.(SBS방송국 아닙니다..^^;) 기본적으로는 사설 주소망에 있는 가입자를 위해서 서비스를 하는 세션에 대한 처리를 지원하는 장비이지만, 일부 보안에 대한 기능이 들어 있어 네트워크를 숨기거나, SIP와 같은 인터넷전화 전용 프로토콜을 통해 대량의 트래픽을 보내는 DoS/DDos 형태의 공격으로 부터 서비스 시스템이 다운되지 않도록 방어를 합니다.
그렇지만, 제가 일부 보안 기능이라고 했듯이 완전한 전용 보안 장비로서의 위치는 확보하지 못하고 있는 것이 현실입니다. 그래서 최근 인터넷전화 전문 보안 장비라는 것이 시장에서 조금씩 모습을 보이고 있습니다. 최근 공공기관 도입을 목적으로 일부 시험 등을 진행한 바 있는 것으로 알고 있으며, 상용화하기에는 아직 부족하다는 결과가 나온 것으로 보입니다. 전화 트래픽은 다양한 부가서비스(컬러링, 호전환 등)가 적용될 경우 여러 가지 패턴이 나오기 때문에 이들을 충분히 이해하지 못하고 함부로 적용되면 전화가 안 되는 현상이 발생할 수 있습니다. 따라서 충분히 검증하여 개발해야 합니다.
나머지 더보기
갑자기 여러 가지 어려운 용어들이 나오니 이해하기 힘들 것입니다. 오늘은 좀 더 세부적으로 설명하기 보다는 암호화에 대한 기본 구조만을 설명하고 마칠까 합니다.
펼쳐주세요
보안은 조금만 더 깊이 들어가면 매우 어려운 내용입니다. 향후 조금 더 세부적인 기술에 대해 설명하는 기회를 가지도록 하겠습니다
2009년은 본격적으로 인터넷전화망에 보안을 적용하기 위한 준비 시기라고 할 수 있습니다. 암호화를 위한 개발, 시험 및 상용 적용을 진행하고 있으며, 망 보안을 위한 여러 가지 제품들이 출시되기 시작하는 시기라고도 볼 수 있습니다. 이러한 흐름을 바탕으로 본격적으로 보안이 적용되기 시작하는 시점은 2010년으로 볼 수 있으며, 2012년쯤이면 위에서 이야기한 다양한 기술들이 적용되어 안정된 보안 서비스를 제공할 수 있을 것입니다.
* 참고문구
IDS(침입 탐지 시스템 : Intrusion Detection System)-->내용보기
IPS(침입 방지 시스템 : Intrusion Protection System)-->내용보기
IPS(침입 방지 시스템 : Intrusion Protection System)-->내용보기
제너시스템즈의 인터넷전화 기술방향을 수립하고, 필드에서 발생하는 문제점에 대한 컨설팅을 수행하고 있습니다. 인터넷 전화 가입자 확대에 따라 망 진화, 기술 발전과 관련된 다양한 이슈들이 발생하고 있습니다. 인터넷전화의 성공적인 정착과 발전을 위해 효과적인 해법들을 제시하여 인터넷전화 성장에 도움이 되고자 합니다.
이 장소를 Daum지도에서 확인해보세요.
서울특별시 강남구 논현2동 | (주)제너시스템즈
'인터넷전화 뒤집어 보기' 카테고리의 다른 글
| TW(Technical Writer)가 말하는 제너시스템즈 플랫폼(XSP)과 붕어빵- 하편 (14) | 2009/11/26 |
|---|---|
| 인터넷전화 품질 증좌를 보여드리겠사옵니다! 1편 (13) | 2009/11/25 |
| TW(Technical Writer)가 말하는 제너시스템즈 플랫폼(XSP)과 붕어빵- 상편 (23) | 2009/11/24 |
| 인터넷전화 보안이야기 2탄 - 대응이 궁금해! (2) | 2009/11/19 |
| 인터넷전화와 모바일 인터넷전화(mVoIP)시대의 도래 (2) | 2009/11/17 |
| 인터넷전화 보안이야기 1탄 - 내 귀에 보안 (3) | 2009/11/17 |
| 인터넷전화를 우리나라에 가입하고, 해외로 가져가면 전화가 될까요? (0) | 2009/11/12 |
| 인터넷전화 어떻게 통화가 이루어질까요 ? (10) | 2009/11/10 |
TAG DDoS,
SBC(Session Border Controller),
보안이야기,
이도경,
인터넷전화,
인터넷전화보안,
인터넷전화보안장비,
인터넷전화이야기,
컬러링,
프로토콜,
행정안전부,
서울특별시 강남구 논현2동 | (주)제너시스템즈
댓글을 달아 주세요
저도 그냥 IP보안 관련해서 활용하면 될줄 알았더니.. 전체적으로 다른것 이었군요.
잘 모르고 넘어가기 쉽상이겠어요. 좋은글 감사합니다
쉽게 봐주셔서 감사합니다^^;
보안 관련 이슈는 항상 관심사이다보니 다음편에는 더 좋은 글로 찾아뵙겠습니다. 드자이너김군 님^^;