교제 p.42

1.3 List and briefly define categories of passive and active security attacks.

• passvice attacks
  • 시스템의 정보를 바꾸지는 않고 정보를 엿보는 것이 목적.
  • Release of message contents - 데이터 노출
  • Traffic analysis - 트래픽 분석
    • 쇼핑몰 같은 서비스에서 사용자의 소비 패턴 같은 정보를 알아가서 이용할 수 있다.
• active attacks
  • 시스템의 정보를 바꾸는 것이 목적.
  • Modification - 변조
    • 데이터를 전송할 때 중간에서 데이터를 바꿔서 보내는 것.
  • Masquerade/Forgery - 위장
    • 공격자가 다른 주체로 위장한 채로 데이터를 전송하는 것.
  • Replay - 반복
    • 어떤 데이터를 보관하고 있다가 반복해서 전송하는 것.
    • 송금같은 데이터의 경우 반복해서 보낼 경우 심각한 문제가 발생할 수 있다.
  • Denial of Service Attack(DDOS) - 서비스 거부
    • 데이터를 전송할 때 중간에서 막는 것.
    • 클라이언트가 서버로 부터 제대로 된 서비스를 받지 못한다.

1.4 List and briefly define categories of security services.

• Confidentiality[passive] - 기밀성
  • 허가된 사람에게만 데이터를 볼 수 있도록 비밀이 보장되어야 한다.
  • passive attack으로 부터 데이터를 보호하기 위함.
• Integrity[active] - 무결성
  • 허가된 권한 없이 데이터가 함부로 변경되면 안된다.
  • Modification과 같은 공격으로 부터 보호하기 위함.
• Authenticity[active] - 인증성
  • 받은 정보가 출처로부터 신뢰할 수 있다는 것을 인증한다.
  • Masquerade/Forgery 같은 공격으로 보호하기 위함.
• Availability[active] - 가용성
  • 허가된 사용자에게 서비스가 정상적으로 제공되어야 한다.
  • DDOS 같은 공격으로 부터 적절히 대처해야 한다.
• Access Control - 접근 통제
  • 시스템에 접근을 제한하고 통제한다.
  • 허가된 사람만 데이터를 접근(기밀성), 수정(무결성) 할 수 있다.
• Nonrepudiation - 부인 방지
  • 메시지를 제대로 보내고 받았는가를 검증한다.
  • 메시지를 보낸 사람은 보낸 것을 입증해야 하고 받는 사람은 받은 것을 입증해야 한다.