통신 당사자가 서로 인증해서 암호 키를 교환하기 위한 통신 규약. IPSEC의 일부로서 RFC 2408에 규정되어 있으며, 구체적으로는 어떠한 인증 알고리듬, 암호화 기술, 암호 키 교환 규약을 사용할 것인지 등의 보안 수단을 상대방에게 알리기 위한 메시지 형식이다. 사용자 데이터그램 프로토콜(UDP) 패킷 형태로 송수신되며, 머리부에서 쿠키라는 이용자 ID를 주고받음으로써 제3자에 의한 서비스 거부(DoS)를 방지하는 규약이다. IPSEC의 인터넷 표준 암호 키 교환 프로토콜인 IKE의 일부로 규정되어 있지만, 전송 계층 보안(TLS) 등 IPSEC 이외의 암호화 기술을 선택, 사용해도 지장이 없다.
VPN(Virtual Private Network:가상사설망)이란 인터넷망 또는 공중망을 사용하여 둘 이상의 네트워크을 안전하게 연결하기 위하여 가상의 터널을 만들어 암호화된 데이터를 전송할 수 있도록 만든 네트워크이다. 가상사설망은 오직 한 회사만 사용하는 전용회선과 대비되는 개념으로, 누구에게나 개방되어 있는 공중망 상에서 구축되는 논리적인 전용망이라고 할 수 있다.
VPN은 모든 회사들이 개별적으로 회선을 임대하는 것보다 공중망을 공유함으로써 비용은 낮추면서도 전용회선과 거의 동등한 서비스를 제공하려는 것에서부터 출발하였다. 그래서 오늘날 가상사설망을 원하는 회사들은 주로 엑스트라넷(Extranet)이나 넓은 지역에 퍼져있는 지사들 간의 인트라넷(Intranet) 그리고 이동 사용자들의 안전한 원격접속(Secure Remote Access)에 VPN을 이용한다.
2) 기능
＊ Data Confidentiality
데이터 기밀성 (Data Confidentiality)은 네트워크를 통과하는 데이터의 내용을 제3자가 보더라도 알 수 없도록 하며 원래 데이터를 받을 사람만이 알 수 있도록 하는 것이다. 이는 사전에 공유한 키를 사용하여 데이터를 암호화함으로써 가능하다. 그러나 이 방법은 키가 노출될 경우 문제가 심각해지므로 이를 위해 안전한 키의 분배가 필요하다. 이러한 키의 안전한 관리 메커니즘으로 IKE(ISAKMP/OAKLEY) 프로토콜을 사용한다.
＊ Data Integrity
데이터 무결성 (Data Integrity)은 네트워크를 통해 전달되는 데이터가 중간에서 변조되지 않았음을 보장한다. 그래서 A가 B에게 메일을 보냈을 때 중간에 제3자인 C가 메일의 내용을 조금이라도 변조할 경우 원래의 메일을 받게 되는 B는 그 내용이 변조되었음을 알 수 있게 된다. 이것은 VPN이 암호화 및 전자서명(Digital Signature) 방식으로 통신하기 때문이다.
＊ Data Origin Authentication
데이터 근원 인증(Data Origin Authentication)은 네트워크를 통해 데이터를 보낸 자가 누구인지 인증하는 것이다. 예를 들어, 원래는 A가 B에게 메일을 보내는데 중간에 제3자인 C가 자신이 A인 것처럼 속이고 보낸다 하더라도 그 데이터가 A에서 오지 않았음을 확인할 수 있다. 이것이 가능한 이유는 통신을 하고자 하는 당사자들끼리 공유한 키를 다른 제3자가 알지 못한다는 가정을 하였기 때문이다. 따라서 메시지의 근원을 인증 할 수 있다.
＊접근 통제(Access Control)
rfc_2408_-_isakmp.doc
20020812byLeedj.ppt
댓글