ITU-T SG17 회의가 2005년 10월 5일부터 10월 14일까지 스위스 제네바에서 열렸다. 현재 ITU-T SG17 WP2 연구과제 9에서는 모바일 보안, 홈네트워크 보안, 안전한 응용 서비스, 그리고 웹 서비스 보안에 대한 응용 보안 국제 표준을 추진하고 있다. 이번 제네바 회의에서 가장 중요한 진전은 OASIS(Organization for the Advancement of Structured Information Standards)가 제안한 싱글사이온(SSO:Single Sign-On)과 웹 서비스 보안에 이용될 수 있는 OASIS SAML(Security Assertion Markup Language)/XACML(eXtensible Access Control Markup Language)를 ITU-T 표준으로 채택하기 위한 이전 표준화 작업이 이번 회의 동안 본격적으로 논의되었고, 표준 채택을 위한 대략적인 일정에 합의한 점이다.

표준 기술의 정의, 내용 개요

OASIS SAML과 XACML은 웹 환경 하에서 인증과 권한 정보 등의 보안 정보를 전달하기 위한 데이터 구조를 정의하는 표준이다. 2005년 3월 버전 2.0으로 진화된 SAML은 XML-기반으로 동작한다. 보안 정보는 주체에 대한 주장(assertion)의 형태로 표현되며, 주체는 하나의 보안 영역 내에서 신원을 갖는 개체이다. 주체의 대표적인 사례는 사람 또는 컴퓨터이며, 사람은 일반적으로 특정 인터넷 DNS 영역에서 자신의 전자메일 주소에 의하여 확인된다. 주장은 SAML 기관, 인가 기관, 또는 정책 판단 점에 의하여 발행되는 하나 이상의 선언(statement)을 담고 있는 정보 패키지이다. 주장 선언은 주체에 대하여 사전에 수행된 인증 선언, 주체에 대한 속성 선언, 그리고 주체가 특정 자원에 접근할 수 있도록 허용되는지를 결정하는 인가 판단 선언으로 구분된다. 다시 말해, 인증 주장 선언의 경우 특정 주체가 특정한 시점에 특정한 인증 수단으로 SAML 인증기관에 의하여 인증되었음을 나타내며, 속성 선언은 특정 주체와 관련되는 신분 및 직위 등의 속성 정보를 포함하며, 인가 판단 정보는 특정 자원에 대한 특정 주체에 대한 접근 허용 여부를 나타내는 선언을 나타낸다. 그림 1은 SAML 인증 주장의 전형적인 구조를 나타내고 있다.

SAML은 클라이언트가 SAML 인증기관으로부터 주장을 요청하고, 이들로부터 응답을 수신하는 프로토콜을 정의하고 있다. XML 기반의 요구와 응답 메시지 형태로 구성되는 이 프로토콜은 많은 서로 다른 기반 통신 및 전송 프로토콜과 결합될 수 있으나, 현재는 HTTP 상의 SOAP로의 바인딩 만을 정의하고 있다. SAML 기관은 응답을 생성하기 위하여 여러 발신지들의 정보를 이용할 수 있다. SAML은 주로 SSO에 이용될 수 있으며, SSO는 하나의 보안 영역에서 인증 받은 주체가 다른 보안 영역에서 재인증 과정 없이 서비스를 제공받게 한다. SAML의 여러 프로파일들이 SSO를 위한 시나리오에 활용될 수 있고, 전자거래를 위한 분산 처리와 분산된 접근 제어를 가능케 하는 다른 응용에서도 활용 가능하다.

<그림 1> SAML 인증 주장의 고차원 구조

XACML(eXtensible Access Control Markup Language) 은 접근 제어 정책을 표현하기 위한 XML 표현이다. 접근 제어는 요구된 자원 접근이 허용되어야 하는지에 대한 판단 정보와 접근 결정을 시행하기 위한 정보들로 구성되어 있다. 접근 제어 정책은 접근 제어 결정을 위한 기준이 된다. XACML 핵심 규격은 인가 정책을 평가하기 위한 문법과 규칙으로 정의되고 있다. XACML은 대규모 환경에서 동작하며, 접근 제어용으로 이용되는 정보가 자동화된 주체에 의하여 관리되는 응용을 위해 효율적으로 동작하도록 설계되어 있다. XACML 정책은 그림 2와 같은 원리로 동작하며, 요구의 일시와 같은 환경 정보, 자원의 특성과 내용, 활동의 임의의 주체의 신원과 속성을 포함하여 인가 결정하기 위하여 필요한 모든 가용한 정보를 포함하고 있다. XACML은 풍부한 불리안 연산자와 데이터 조작 연산자를 규정하고 있다. XACML은 특정 접근 제어 판단에 적용할 수 있는 여러 가지 정책들을 고려하고 있고, 상충되는 판단 결과를 해결하기 위한 확장 가능한 조합 집합을 제공하고 있다. XACML은 또한 접근이 허용되고 거부될 때 취해져야 할 추가적인 행동을 규정하기 위한 광범위한 메커니즘을 제공하고 있다.

<그림 2> 인가 원리

표준 기술의 진행상황과 쟁점사항

이번 회의의 주요 쟁점사항은 다음과 같다. 표준화 방법으로 두 가지 대안이 선택될 수 있는데, 하나는 단순히 OASIS에서 개발한 표준들을 참고만 하고 몇 페이지의 참조만을 담는 방법으로 ITU-T 표준을 구성하는 방법이고, 다른 하나는 기존 OASIS 표준을 ITU-T 버전 표준으로 전면 개조하는 방법이다. 이번 회의를 통하여 후자의 방법을 선택하기로 결정하였고, 에디터로 캐나다의 A.Barbir를 임명하고, 다음 Q.9 회의까지 ITU-T 버전 표준을 개발하기로 합의하였다. 두 번째 문제는 ITU-T를 위한 이용 시나리오를 개발할 필요가 있는 것이었는데, 이번 회의에서 ITU-T에 적용되는 이용 시나리오를 개발하기로 합의하였다. 그 다음은 OASIS와 관련된 특허 선언과 관련된 문제점을 도출하는 것이다. 토의 과정에서 OASIS 와 ITU-T의 특허 문제는 매우 유사하여 큰 문제를 초래할 것 같지는 않지만, 지속적으로 문제점을 확인키로 하였다. 표준화 이후 누가 ITU-T 버전 표준을 유지보수 할 것인지도 중요한 문제였다. 이는 ITU-T에서 유지보수하기로 하였고, 만약 OASIS 표준이 업그레이드된다면 이에 동기를 이루어 ITU-T 표준도 업그레이드하기로 결정하였다. 만약 기존 OASIS 표준에 오류가 발견되면, ITU-T 표준에도 반영될 것이고, 이를 OASIS에 피드백하여 최종적으로 OASIS 표준에도 반영하기로 하였다. 또한 수많은 네임 스페이스에 대한 문제가 매우 중요하게 대두되었다. SAML과 XACML에는 많은 이름 공간이 존재한다. 만약 이를 모두 ITU-T 이름 공간으로 이전한다면, 관련 표준과 스키마를 저장하기 위한 별도의 웹 서버를 운영해야 하는 문제가 발생한다. 이 문제는 매우 중요한 관리차원의 문제를 포함하여 다음 Q.9 회의까지 지속적으로 연구하기로 결정하였다. 대부분의 국가 대표들은 현재 OASIS 개발 두 가지 핵심 표준을 ITU-T 표준으로 만드는 것에 대하여 찬성하고 있는 것으로 판단된다. 이는 이의 활용성과 이를 추진하기 위한 지난 2년간의 OASIS 측의 노력이 평가를 받고 있는 것으로 판단된다. 현재 ITU-T로 이전하고자 하는 SAML/XACML 관련 표준 프로파일은 표 1과 같다.

<표 1> ITU-T로 이전하고자 하는 SAML/XACML 관련 표준 프로파일

결정사항 및 향후 추진사항

기존의 OASIS 표준을 기술적으로 검토할 기술 검토위원회를 두기로 합의하였다. 기술 검토위원회에는 일본 T.Kaji, 캐나다 A.Barbir, 한국 이재승 박사, 그리고 저자(위원장)로 구성되었고, 2006년 1월 제네바 인터림 회의까지 관련 기술 사항을 메일링 리스트를 통하여 기존 표준의 문제점 분석과 이전 고려사항을 검토하기로 하였다. 또한, ITU-T 표준으로 수용하기 위한 대략적인 로드맵을 합의하였다. 지금부터 2006년 인터림 회의까지 기술 검토위원회에서 기존 표준의 기술적 오류와 네임 스페이스 재배정 문제 등을 포함한 기술적인 문제를 검토하기로 하였고, 다음 제네바 인터림 회의까지 에디터인 A. Barbir가 드래프트 표준을 만들기로 하였고, 이에 대한 세부 기술사항을 검토하고, SG16 Q.25에 협력 문서를 보내 이에 대한 회신을 고려하여 최종적으로 2006년 4월에 제주에서 개최 예정인 차기 SG17 회의에서 최종 동의 과정을 획득한 후 라스트 콜 상태로 들어가기로 합의하였다.

국내 대응을 위한 제언

이번 OASIS가 개발한 두 표준을 ITU-T 표준으로 이전하는 것은 기존 산업체 개발 표준을 공식 표준화기구로 가져오는 것으로, OASIS 입장에서는 자신의 위상을 향상하고 자신들의 개발 표준에 대한 이용을 확대하는 측면이 있고, ITU-T 측면에서는 기존의 산업체에서 개발한 표준을 채택함으로써 이 분야에서 추후 연구를 위한 기반을 확보하였고 현재 ITU-T에서 개발하고 있는 홈네트워크 보안, 모바일 보안, 그리고 안전한 응용 서비스를 위한 보안 기본 요소로 활용이 기대된다. 이번 이전 합의는 앞으로 추가적인 논의를 거쳐야 확정되지만, ITU-T의 보안에 대한 의지를 과시하고, 관련 표준 개발의 중추 기관으로써 발돋움 할 수 있는 발판을 마련했다고 할 수 있다. 또한 OASIS가 개발한 다른 보안 관련 표준도 이러한 절차를 통하여 ITU-T 표준으로 채택될 수 있는 여지를 남겨두고 있다. 특히 의미 있는 사실 중 하나는 기술 검토 위원회에 두 명의 한국 기술자가 참여함으로써 이 분야에서 우리나라의 위상을 제고하는 효과를 얻을 수 있었고, 추후 연구를 위한 발판을 마련했다고 할 수 있다. 국내에서도 이에 대한 지속적인 관심이 요구되며, 전자정부 및 관련 산업체의 관심이 필요한 때라고 할 수 있다.