공개키 기반 구조
IT위키
더 많은 작업
(PKI에서 넘어옴)
- PKI, Public Key Infrastructure
- 인증기관(CA, Certification Authority)
- 인증서 발행기관. 아래 3계층으로 구분할 수 있다.
- 정책 승인기관(PAA, Policy Approving Authority)
- 정책 인증기관(PCA, Policy Certification Authority)
- 인증기관(CA, Certification Authority)
- 검증기관(VA)
- 권장되지만 선택적이다. 인증기관에서 이 일을 할 수도 있다.
- 등록기관(RA)
- 선택적이다. 인증기관에서 이 일을 할 수도 있다.
- 저장소(Repository)
- 대표적으로 X.500, LDAP 등을 이용한다.
- 사용자
- 사람이 아닌 시스템도 포함이다.
- 인증서를 요청하고, 생성하고, 검증하는 능동적인 역할을 하는 주체
| 구성요소 | 역할 |
|---|---|
| 정책 승인기관(PAA) | PKI 전반의 정책과 절차를 세운다. 하위 PCA 의 정책을 승인하고 PCA 의 공개키를 인증한다. 다른 나라·도메인의 PKI 와 상호 인증한다 |
| 정책 인증기관(PCA) | PAA 아래에서 자기 도메인의 정책을 세우고 하위 CA 의 공개키를 인증한다. 인증서와 인증서 취소 목록(CRL)을 관리한다 |
| 인증기관(CA) | PCA 의 정책에 따라 사용자의 인증서를 발급·취소하고 CRL 을 공표한다 |
| 등록기관(RA) | CA 를 대신해 사용자의 신원을 확인하고 인증서 발급 요청을 받아 CA 에 전달한다. 인증서를 직접 발급하지 않는다 |
- KGS(Key Generation System): 공개키, 비밀키 쌍 생성
- OCSP, CRL
- 인증서의 유효성 검증을 위해 실시간성의 OCSP 또는 배치성의 CRL 이용
- OCSP(Online Certificate Status Protocol): 발급된 인증서의 효력 실시간 조회
- CRL(Certificate Revocation List): 인증서의 유효성을 확인하기 위한 취소된 인증서 목록
- TSA(Time Stamp Authority): 정보 교환 시 시간정보를 포함시켜 위변조 및 부인방지 제공
- KMI(Key Management Infrastructure): 전자서명 비밀키의 이동성 보장을 위한 키 로밍 서비스
- 위에서 설명한 대로 인증기관이 계층적으로 존재하는 트리형태의 구조
- 인증경로 탐색이 용이하다.
- 최상위 인증기관 간의 인증은 허용(국제 상호동작 지향)하나, 하위 인증기관끼리는 인증 할 수 없다.
- 최상위 인증기관의 비밀키 노출시 전 인증기관에 위협이 된다.
- 상하위 관계 없이 인증의 표준만 가지고 인증기관 각각이 자신의 정책에 따라 독립적으로 존재
- 모든 인증기관이 상호 인증을 할 수 있다.
- 인증경로 탐색이 복잡하다.
- 한 인증기관의 비밀키가 노출될 경우 국소적인 피해가 발생한다.
- 계층 구조와 네트워크 구조를 필요에 따라 적절히 혼합한 구조
- 계층 구조를 기반으로 하되, 네트워크 구조의 융통성을 가미하는 경우