Microsoft Word - 14[1].조영섭_일반_.doc

Size: px

Start display at page:

Download "Microsoft Word - 14[1].조영섭_일반_.doc"

현중 도
5 years ago
Views:

1 전자통신동향분석제 22 권제 3 호 2007 년 6 월 인터넷 ID 관리시스템개요및비교 Overview and Comparison of Internet Identity Management System 조영섭 (Y.S. Cho) 진승헌 (S.H. Jin) 디지털 ID보안연구팀선임연구원디지털 ID보안연구팀팀장 목차 Ⅰ. 서론 Ⅱ. ID 관리기술연구동향 Ⅲ. 인터넷 ID 관리시스템 Ⅳ. 인터넷 ID 관리시스템비교 Ⅴ. 결론 인터넷의확산과웹 2.0 환경의도래에따라, 사용자가관리해야하는디지털형태의 ID 정보가기하급수적으로증가하고있다. 이것은사용자의 ID 관리부담, 동일한패스워드의반복적인사용으로인한보안성저하, ID 정보의유출에의한사용자프라이버시침해문제등을발생시키고있다. 따라서사용자를인증하고, 사용자의 ID 정보를관리해주는 ID 관리시스템이매우중요해지고있다. 본고에서는인터넷규모의온라인서비스를대상으로사용자를인증하고사용자의 ID 정보를관리하는대표적인 ID 관리시스템인 SAML, CardSpace, OpenID를살펴보고, 이들시스템의특징을비교분석한다. 136

2 조영섭외 / 인터넷 ID 관리시스템개요및비교 I. 서론 인터넷의확산과발전에따라인터넷을이용한전자상거래가활성화되고있다. 다양한전자상거래, 웹포털, 게임등에대한참여를통해사용자는기존오프라인생활뿐만아니라다양한온라인생활을영위할수있게되었다. 일반적으로온라인응용서비스제공자들은사용자에게서비스를제공하기위해사전에사용자들이개인정보를등록하고, 사용자식별자인 Id(Identifier) 와패스워드를등록하도록하고있다. 그러나사용자들이온라인에서사용하는서비스가증가함에따라, 사용자들에게발급된 Id와패스워드는그수가기하급수적으로증가하고있다. 사용자들은이들정보를관리하기위해자신의계정정보를문서로관리하거나또는동일한 Id와패스워드를반복사용하고있는실정이다. 이것은하나의 Id와패스워드만유출되더라도모든서비스에서사용자의계정이유출되는문제를발생시킨다. 또한사용자가온라인서비스제공자에등록한개인정보는서비스제공자의관리부실또는해킹등에의해유출이되는경우가발생하고있다. 이와같은사용자 Id와패스워드의분실및관리문제, 개인정보유출의위협은인터넷서비스발전에저해요인으로작용하고있다. 이와같은문제는사용자의참여와정보공유가더욱많아질웹 2.0 환경과수많은정보기기에서정보를유기적으로공유하며서비스를제공할유비쿼터스환경에서더욱커질것으로예상된다 [1]. 본고에서는사용자의 Id, 패스워드, 개인정보로구성된 ID (Identity) 를안전하게관리하는 ID 관리시스템 (IDMS) 중에서최근에특히많이연구되고 용어해설 Identity: Identity 는사전상으로 개인의구별되는특징이나개성 을의미하며, 개인의특징, 신상정보, 선호도같은것들을모두포함하는정보로일반적으로사용자의 Id, 신상정보, 비신상정보, credential 로구성된다. 활용되고있는인터넷규모의 ID 관리시스템에대하여고찰한다. 본고에서는대표적인인터넷 ID 관리시스템인 SAML, CardSpace, OpenID의개요를기술하고이들시스템에대한특징을비교분석한다. Ⅱ. ID 관리기술연구동향 NetMesh의 CEO이자 YADIS 프로젝트를운영하고있는 Johannes Ernest는 2006년현재 ID 관리시스템들의현황을세가지유형으로분류하였다 [2]. ( 그림 1) 은 ID 관리시스템의유형을도식화한것이다. Company-controlled Identity는기업이개인에게 ID를부여한뒤개인이어떤 ID를관리하고공유할것인가를결정한다. Liberty Alliance[3] 표준에기반한 ID 관리시스템이대표적이며, 2007년현재 Liberty Alliance 표준에기반한 ID와장치들이정부, 교육, 의료등의다양한분야에 10억개가넘게적용되고있다. Microsoft-controlled Identity는 WS-* 표준에기반한 ID 관리시스템으로, Kim Cameron이 Law of Identity를통해주장한 ID 메타시스템이 Card- Space[4] 로구현된것이다. CardSpace 는 OASIS 표준인 WS-Security를기반으로하여 X.509, Kerberos, SAML과같은보안토큰포맷을모두사용할수있으며 Windows Vista를통해광범위하게적용될것으로예상된다. User-controlled Identity는 ID 제공자 (IdP), 개인정보, ID 사용정책을개인이통제하는시스템으로기업에속한 ID가아니라사용자스스로 ID를생 User- controlled (URL/YADIS) Identity Company- User Microsoft - Usercontrolled controlled controlled controlled (URL/YADIS) (Liberty) (URL/YADIS) (WS-*) < 자료 >: ( 그림 1) The Identity Landscape

3 전자통신동향분석제 22 권제 3 호 2007 년 6 월 성하고관리하는것을특징으로가진다. 대표적인 User-controlled Identity로는 URL을 ID로사용하는 OpenID[5], LID[6], YADIS[7] 를들수있다. 이와같은분류는 2006년도에 ID 분야에대한연구가광범위하게진행되고이에따라서로간의융합이진행됨에따라, 2006년도 12월에 ( 그림 2) 와같이갱신되었다 [8]. URL-based는기존의다양한 URL-based 기술들이 OpenID 로통합되는경향을보이며주로블로그등과같은웹 2.0 응용영역에서활용된다. Invisible은 Company-controlled를대체하며주로기업내부또는기업간의 ID 영역에서활용된다. Card-based는 Microsoft-controlled를대체하며 OpenID/SAML convergence!? Invisible User- (SAML/Liberty) controlled (URL/YADIS) Primary adoption vector: internal IT needs of the enterprise Primary adoption vector: grassroots, web 2.0 applications URL-based Usercontrolled (OpenID) (URL/YADIS) Digital identity < 자료 >: Card-based User- (WS-Trust) controlled (URL/YADIS) Primary adoption vector: CardSpace bundled with Windows Vista ( 그림 2) The Identity Landscape 2006 Updated 사용자가 card 형태로자신의 ID 정보제공을선택할수있으며 CardSpace는 MS의 vista 운영체제와함께제공된다. Ⅲ. 인터넷 ID 관리시스템 본장에서는대표적인인터넷 ID 관리시스템인 SAML, CardSpace, OpenID에대하여기술한다. 기존 ID 관리시스템이기업내부또는기업과파트너사와의 ID 통합및관리에초점을둔반면, 인터넷 ID 관리시스템은인터넷상에서일반적인온라인서비스에쉽게적용할수있다는특징을가지고있다. 1. SAML SAML[9] 은보안관련 ID 정보의통신을위한 XML 기반프레임워크로서 OASIS SSTC 에서표준화가진행되고있다. SAML 표준은 ID assertion의구조와프로토콜, assertion을 HTTP 등과같은하부프로토콜로매핑하는바인딩과브라우저 SSO, 웹서비스보안등과같은일반적으로사용하는경우에상호운용성을확보하기위한프로파일등으로구성된다. ( 그림 3) 은 OASIS SAML 표준화진행상황을도 Liberty 1.1 Completed: SAML 1.0 Completed: OASIS Standard: SAML 1.1 Completed: OASIS Standard: : SAML Wins PC Magazine Technology Excellence Award Shibboleth OpenSAML 1.0 Completed: Liberty ID-FF 1.2 Completed: SAML 2.0 Completed: OASIS Standard: : SSTC Receives Digital ID World Balancing Innovation & Reality Award Shibboleth OpenSAML 1.1 Completed: < 자료 >: Liberty Technology Tutorials, Liberty Alliance ( 그림 3) SAML 표준화진행 138

4 조영섭외 / 인터넷 ID 관리시스템개요및비교 식화한것이다. ( 그림 3) 에서와같이 SAML은초기 version 1.0 에서 1.1 그리고현재 2.0이제정된상태이다. SAML은 Liberty Alliance 와 Shibboleth와같은 ID 관련표준안들의내용을수용하면서진화해왔다. 2006년 SAML 2.0은 ITU-T에제출되어 X.1141 로표준화되었다. ( 그림 4) 는 SAML의동작흐름예를보인다. ( 그림 4) 에서사용자는 IdP에 Johndoe라는이름으로계정을가지고있으며, SP에는 jdoe라는이름의계정을가지고있는상태이다. 사용자가 SP에접근하여서비스를요청하게되면, SP는 IdP에게사용자의인증을요청한다. 사용자는 IdP에게인증을받고 IdP는사용자의인증결과를 SP에게전달한다. SP는 IdP의인증결과를바탕으로사용자에게서비스제공여부를결정하게된다. 이경우에 IdP 와 SP는서로신뢰관계를사전에설정하고있으며, 동일한사용자에대하여각기서로상대방에서어떠한이름으로식별하는지에대한연계 record를가지고있게된다. SAML은현재 enterprise 수준의 ID 관리기술에서핵심적으로사용되는표준으로상대적으로높은보안성, 상호운용성및유연성을제공하고있다. 그러나블로그에서댓글을작성할때와같이단순히사용자인증만을제공하는환경에활용하기에는복잡한측면이있다. 이것은 SAML이상대적으로프로토콜이무겁고시스템부하를많이요구하는전자 joe Web user Source web site (AirlineInc.com) Destination web site (CarRentalInc.com) < 자료 >: SAML V2.0 Technical Overview, OASIS Indentity provider johndoe: Gold member jdoe: RapidPass member Service provider ( 그림 4) SAML 동작흐름도 서명, XML 문서처리등을필수적으로요구하기때문이다. 최근 SAML은이와같이문제를해결하기위해 XML 전자서명을무시하거나또는단순한서명메커니즘으로대체하는 SAML SimpleSign 바인딩과같이경량화된표준을제정하고있다. 2. CardSpace CardSpace[8] 는 Window Vista 운영체제와함께탑재된응용프로그램이다. CardSpace는사용자의 ID 정보를 InfoCard 라불리는카드형태로관리한다. InfoCard는사용자에게 ID 정보를제공하는 IdP의위치와해당 IdP에서발급하는실제사용자 ID 정보가무엇인지를시각화하여사용자에게제공한다. 즉 CardSpace는실제사용자의 ID 정보를발급하는 IdP 역할을수행하지않고, IdP들에대한정보를제공하는 ID 메타시스템의역할을수행한다. ( 그림 5) 는 CardSpace의동작흐름을보인다. 먼저사용자가서비스제공자 (RP) 에서서비스를요청하면, RP는 CardSpace를구동시킬수있는특 Relying party HTTP server 2) Receive page with login form and InfoCard content tag 1) Access protected page and get redirected to login page 3) Display login form to user, who chooses the InfoCard login option Security token 6) Login using security token Internet explorer 7 InfoCard Identity provider 5) Get security token 4) Select desired identity by choosing an information card < 자료 >: Introducing Windows CardSpace, Microsoft MSDN ( 그림 5) CardSpace 동작흐름도 Security token 139

5 전자통신동향분석제 22 권제 3 호 2007 년 6 월 별한태그를가지고있는로그인페이지를사용자브라우저 (IE 7.0) 에전달한다. 사용자브라우저는응답에포함된태그정보를확인하여 RP에서요청하는사용자 ID 정보를확인하고이정보를제공하는 ID card들이포함된화면을사용자에게출력한다. 사용자는화면에서적절한 ID card를선택하며, 선택된 card 정보에따라, 해당 ID 제공자인 IdP에게사용자정보가요청된다. IdP가사용자정보를 CardSpace에게전달하면, CardSpace는이정보를다시 RP에게전달하게된다. CardSpace는일반적인사용자환경이아닌, 시스템환경에서동작하기때문에높은보안성을제공하며, RP가정보를처음요청할때사용자에게 RP 에대한시각정보를제공하여 RP의수용여부를판단할수있도록지원함으로써피싱공격등을완화시키는장점이있다. 3. OpenID OpenID는 URI 기반 ID 개념을근간으로설계된경량화된 ID 시스템이다. OpenID는초기부터매우단순한사용환경을목적으로설계되었다. 즉, 블로그가신원이확인되지않은사용자들의댓글로인해공격받는등의문제를해결하는것이초기목적이었다. 따라서 OpenID는초기부터다른 ID 기술에비해복잡성이제거되었고, 이는최근사용자들의참여가확대되는웹 2.0 환경에쉽게적용될수있는장점으로작용한다. ( 그림 6) 은 OpenID가동작하는예를보이고있다. 먼저사용자가 RP (consumer) 에서서비스를요청하고만약 RP에사용자가인증되지않은상태이면, RP는사용자식별자를요청한다. 사용자는자신의사용자식별자를 RP에게전달한다. RP는사용자식별자를통해 IdP (server) 를확인하고 IdP와 associate 과정을거쳐자신과 IdP 간의세션, 암호키등과같은공유암호를설정한다. 이과정이종료되면, RP는사용자브라우저를경유하여 IdP에게인증을요청한다. IdP는사용자가인증되지않았다면 end user w/ user agent 1. send identifier 3. redirect over UA 5. redirect over UA 4. login relying party e.g. your site 2. associate handle identity provider e.g. myopenid.com < 자료 >: OpenID Open Distributed Identity Management, ( 그림 6) OpenID 동작흐름도 사용자를인증하고사용자의인증사실을사용자브라우저를경유하여 RP에게전달한다. RP는사용자인증정보를확인하고사용자에게서비스제공유무를결정한다. OpenID는다른 ID 시스템과비교하여여러가지장점을가진다. 사용자의식별자로 URL을사용한다는장점을가진다. URL은일반인터넷사용자들에게도친숙한개념으로다른 ID 관리시스템에비해사용자들의접근성을높이는장점이있다. 최근에는조직변경등으로인해 URL의링크가깨지는문제를해결하기위해제안된 XRI를사용자의식별자로활용할수있도록확장되고있다. 또한 Open- ID는공개된프로토콜을이용하며별도의비용을요구하지않는무료기술이기때문에진입장벽이낮으며추가적인비용이많이발생하지않는장점을가지고있다. 그러나 OpenID 는사용자들이하나의 ID를가지고여러서비스를이용하기때문에 RP간의공모를통해사용자의행동패턴이인지될수있다는문제와 ID 정보공유등에서제약을가지고있다. 또한적용서비스와개인정보제공범위에따라 IdP에대한신뢰성미흡으로인한프라이버시문제가발생할수있다. 최근 OpenID 2.0에서는이와같은문제를보완하기위한작업이진행되고있다. 140

6 조영섭외 / 인터넷 ID 관리시스템개요및비교 Ⅳ. 인터넷 ID 관리시스템비교 본장에서는 ID 시스템을구분하는중요한요소인식별자, 속성정보제공, 인증, ID 정보흐름, IdP 발견방식을기준으로앞장에서설명한 SAML, CardSpace, OpenID의특징을분석한다. 1. 식별자 RP 또는 SP에서사용자를식별하기위해사용하는 Id는 ID 시스템을구별하는중요인자이다. 특히, 서로다른 RP에서사용하는사용자식별자 (Identifier) 가동일할경우, RP들의공모에의해사용자의행동패턴이확인될수있다는점에서 ID 관리기술이채택하는식별자는사용자프라이버시에중요한영향을미친다. 일반적으로 ID 시스템에서사용하는사용자식별자는다음과같이분류할수있다. Global 식별자사용자가모든 RP에서하나의식별자만을사용한다. 이방식은매우단순하여구현이쉽지만, RP 들의공모로인해사용자의행동패턴을알수있다는점에서사용자프라이버시가침해될수있다는문제를가지고있다. 또한, 사용자 Id와패스워드가유출되는경우, 모든 RP 서비스에서사용자계정이유출되는문제가발생한다는단점을가지고있다. Pair-wise Pseudonyms 이방식에서는사용자에대하여 IdP와 RP 사이에만유일하게존재하는쌍방향 pseudonym 을식별자로사용한다. RP들이사용자를식별하는식별자가서로다르기때문에 RP들의공모에의해사용자의프라이버시가침해될우려는없다. 일회성식별자이방식은사용자가 RP에접근할때마다일회성 (one-time) 식별자를제공한다. 이방식에서는 RP 조차도접근하는사용자를식별할수없기때문에 사용자의프라이버시침해문제가발생하지않는다. RP는식별자를통해사용자를식별하기보다는사용자의권한등과같은다른정보를이용하여사용자를식별하게된다. SAML은위에서기술한모든타입의식별자를지원하며, 특히 pseudonym 을잘지원할수있도록여러가지메커니즘을정의하고있다. CardSpace는 self-issued 또는제 3의기관에서 RP들이사용자를식별할수있도록해주는 PPID 를발급하는것을허용한다. PPID는 IdP와 RP 사이에서사용자를식별할수있도록해주는쌍방향 pseudonym이다. OpenID는사용자식별자로 URL과 XRI를사용한다. 즉 global 식별자를지원한다. 2. 속성정보 ID 관리시스템의주요역할중의하나는 RP들이사용자에게서비스를제공하기위해필요한사용자정보를제공하는것이다. 이때 IdP가제공하는정보를일반적으로사용자 ID 정보또는속성정보라부른다. SAML은속성정보를제공하기위해속성 assertion을제공한다. 속성 assertion은확장가능한 XML 스키마로정의되어있어, 현재가능한모든정보와향후필요한정보까지도수용할수있다. CardSpace는자신이설치된 PC에서사용자의이름, 주소, 이메일등과같은개인정보프로파일을제공하는 IdP를제공한다. 이것은매우특수한 IdP 로 self-issued IdP가된다. 따라서 CardSpace 자체에서는사용자의개인정보프로파일에초점을맞춘속성정보만을제공한다. 또한, CardSpace는제 3의 IdP들이자체적으로사용자의 ID 속성정보를제공하는것을허용한다. 이때제공되는속성정보는 IdP가결정하며, CardSpace는단지 IdP에서발급된정보를사용자가확인할수있도록하는메커니즘과 RP로재전송 (relay) 하는기능만을제공한다. OpenID는별도의속성정보를제공하는메커니 141

7 전자통신동향분석제 22 권제 3 호 2007 년 6 월 즘을지원하지않았다. 그러나최근 OpenID V2.0에서는속성정보를제공하는메커니즘을지원한다. 3. 인증 ID 시스템은사용자가 IdP에게한번만인증을받으면모든 RP 서비스를이용할수있도록해주는 SSO 서비스를제공한다. SAML은 RP가 IdP에게사용자인증을요청할때, IdP가어떠한강도의인증방식으로사용자를인증해야할지를나타내는인증문맥 (authentication context) 을함께전달할수있다. 이경우, IdP 는요청된인증문맥에해당하는방식으로사용자를인증해야한다. 인증문맥은 PKI, Kerberos, 생체인식, 패스워드등과같은다양한인증방식을지칭할수있다. CardSpace에서사용자는 RP들에게자신이적절한보안키를가지고있다는것을증명함으로써인증을받는다. OpenID는 SAML의인증문맥과같이 RP가인증강도를설정하는기능은없으며, 사용자를인증하는것은 IdP가판단하여수행한다. 4. ID 정보흐름 IdP가 RP에사용자 ID 정보를제공하는방식은다음과같이분류할수있다. Front Channel ID 정보가 IdP에서 RP로전달될때사용자에이전트를경유하는방식을나타낸다. 일반적으로사용자에이전트는웹브라우저가된다. Back Channel ID 정보가 IdP에서 RP로직접전달된다. Front channel은사용자가 ID 정보흐름의중간에위치하고있기때문에정보흐름에대한실시간사용자동의등과같은방식을이용하여사용자에게개선된프라이버시를제공할수있다. Back channel은사용자에이전트의보안이허술하거나, 사용자 ID 정보를캐시 (cache) 함으로써생기는보안상의문제등을해결할수있다. 또한사용자가오프라인상태인경우에도 ID 정보를 RP에제공할수있다는장점을가진다. SAML은다양한브라우저바인딩을통해 front channel을지원한다. 또한 SOAP 바인딩을통해 IdP에서 RP로 ID 정보를직접전달하는 back channel도지원한다. CardSpace의경우에는모든정보가사용자브라우저를경유하도록하는 front channel만지원한다. OpenID는 CardSpace와같이 front channel만지원한다. 그러나최신버전인 OpenID 2.0에서는 IdP와 RP 간에직접 ID 정보를전달하는 back channel을지원한다. 5. IdP 발견 RP는사용자에게온라인서비스를제공하기위해사용자인증을 IdP에게요청하며, 또한서비스제공에필요한사용자 ID 정보를 IdP에게요청할수있다. 이경우, RP는어떤 IdP에게사용자인증과 ID 정보제공을요청할것인지를결정해야한다. 이와같이 RP가 IdP를결정하는과정을 IdP 발견 (discovery) 이라고한다. IdP 발견을위해 ID 시스템은 IdP 정보를 ID 시스템에선등록하는과정을요구하기도한다. SAML은별도의 IdP 등록과정을요구하지않는다. IdP 발견을위해서는쿠키 (cookie) 메커니즘을제공한다. 이것은 IdP 도메인과 RP 도메인을동일하게설정하고, IdP 정보를사용자브라우저에도메인쿠키로설정하는것이다. 이와같은방식을이용하면, 사용자가 RP에접근할때, IdP 정보를포함하는쿠키가함께전달되어 RP에서 IdP의위치를확인할수있게된다. CardSpace는사용자가 IdP 정보를 CardSpace 에설치하는과정을통해 IdP를등록한다. 사용자 ID 정보를제공하는 IdP는 CardSpace가정의한 142

8 조영섭외 / 인터넷 ID 관리시스템개요및비교 card 형태의파일로자신의정보를생성하여사용자에게제공하고, 사용자는이정보를 CardSpace 에설치하여 IdP를등록하게된다. RP가 IdP를발견하는방식은 CardSpace가대행한다. RP는자신이필요한 ID 정보나인증을요청할때, 해당요청정보를일단사용자에이전트에게전달한다. 사용자에이전트에의해구동된 CardSpace는 RP에서요청하는정보와현재 CardSpace에설치된 IdP 정보를비교하여적절한 card를사용자에게제시하여사용자가직접원하는 IdP를선택할수있도록해준다. OpenID는별도의 IdP 등록과정을제공하지않는다. 사용자는 RP에게서비스를요청할때, 자신의식별자로 global URI를제공한다. 이 URI는 IdP의 host 정보와사용자식별자로구성된다. 따라서 RP 는식별자의 host 정보를이용하여 IdP를결정할수있게된다. Ⅴ. 결론 인터넷 ID 시스템은각기고유한특징과서로중복되는기능을보유하고있다. 향후, 인터넷 ID 시스템은이와같이중복되는기능의제거를위해상호간에통합과융합이발생할것으로예상된다. Id ID IDMS IdP PPID RP SAML SP SSO URI XRI YADIS 약어정리 Identifier Identity IDentity Management System Identity Provider Private Personal Identifier Relying Party Security Assertion Markup Language Service Provider Single Sign-On Uniform Resource Identifier extensible Resource Identifier Yet Another Decentralized Identity Interoperability System 본고에서는현재인터넷규모로 ID 기능을제공하는시스템인 SAML, CardSpace, OpenID의개요와기술적인특성을 ID 시스템의중요요소인식별자, 속성정보제공, 인증, ID 정보흐름및 IdP 발견을통하여비교분석하였다. SAML은많은보안성과확장성을제공하지만상대적인복잡성을가지고있으며, CardSpace는직접적인 IdP 기능을제공하지않는 ID 메타시스템이며, OpenID는블로그와같은웹 2.0 환경에서가벼운 ID 시스템으로활용되고있다. 용어해설 인터넷 IDMS (Identity Management System): 애플리케이션과웹사이트에서사용자속성정보가공유될수있도록하는표준화된메커니즘을정의한아키텍처 참고문헌 [1] 인터넷 ID 관리서비스 2006년도기술백서, 한국전자통신연구원디지털ID보안연구팀, [2] Johannes Ernst, The Identity Landscape of 2006, [3] Liberty Alliance Project, [4] Microsoft, Introducing Windows CardSpace, msdn.microsoft.com/ [5] OpenID, [6] LID, [7] SXIP, [8] Johannes Ernst, Updating The Identity Landscape of 2006, [9] OASIS SAML, 143

슬라이드 1

슬라이드 1 PKI Kerberos SAML & Shibboleth OpenID Cardspace & ID 2 < > (= ) password, OTP, bio, smartcard, pki CardSpace, ID What you have.., 2 factor, strong authentication 4 (SSO) Kerberos, OpenID 5 Shared authentication