2005년 ITU-T SG17 하반기 회의가 10월 5일부터 14일까지 스위스 제네바에서 개최되었다. SG17은 정보보호와 언어 및 통신시스템 소프트웨어 표준화에 관한 연구그룹으로서, 그 중 7개의 보안 관련 연구 과제를 할당해 표준화를 추진하고 있다. 안전한 이동통신 서비스를 위한 보안 이슈, 홈 네트워크 보안, 그리고 웹 서비스 보안과 관련해서는 연구과제 9(Q.9: Question 9)에서 담당하고 있으며, 한국의 염흥열 교수가 라포쳐를 맡고 있다. 본 고에서는 이번 회의 결과를 중심으로 Q.9/17에서의 모바일 보안에 관한 프로젝트에 대하여 소개하고, 이의 표준화 진행 상황을 기술한다. 

모바일 보안 프로젝트 및 연구주제

Q.9/17은 2004년 종단간 이동통신을 위한 보안 프레임워크에 관한 권고안과 PKI 기반의 안전한 모바일 통신을 위한 실현 가이드라인 권고안인 X.1121과 X.1122을 각각 제정하였다.

현재 작업중인 모바일 보안 관련 프로젝트 및 연구 주제로는,

첫째, 안전한 모바일 데이터 통신을 위한 일반적인 보안 서비스에 관한 X.msec-3(General security value added service (policy) for mobile data communication)이 중국을 중심으로 진행되고 있다. X.msec-3에서는 모바일 환경에서의 부가가치 서비스를 개발하기 위한 보안 절차, 보안 정책, 보안 레벨, 암호 알고리즘을 포함한 보안 정보 요소를 정의한다. 또한, 서로 다른 네트워크 엔티티 사이의 인터페이스와 협상 절차가 제공된다. 이번 회의에서는 일반적인 보안 서비스에 관한 X.msec-3 모델에서 보안 협상 결과에 무결성을 제공하기 위해서 보안정책 협상 flow를 고려하고, 3GPP에서 제기된 코멘트를 참조하여 내년 4월 제주도 회의에 드래프트 권고안을 제출하기로 합의하였다.

둘째, 안전한 종단간 통신을 위한 인증 구조에 관한 X.msec-4 프로젝트(Authentication architecture in mobile end-to-end data communication)이다. X.msec-4에서는 모바일 사용자와 응용 서비스 서버 사이에 인증 방법의 다양한 요구사항을 만족하는 인증 서비스를 제공하는 것을 목적으로 한다. 이때 인증 구조는 다른 모바일 망에서 가입한 모바일 사용자와 모바일 망 내 혹은 공개망에서의 응용 서비스 제공자에게도 적용된다. 이번 회의에서는 다양한 인증 메커니즘과 로밍 이슈를 고려한 X.msec-4를 만드는데 합의하였다. 이에 인증 과정에서 통신의 두 주체 사이의 키 설정 모델도 함께 고려하기로 하고, ETRI가 제안한 여러 가지 모델을 참고해서 X.msec-4에 반영하기로 했다. 인증 모델에 관한 최근의 동향을 살펴보면, 통합된 단일 인증 모델을 제공하는 것보다는 신뢰기관의 참여 유무, 키 설정 단계의 유무에 따라 여러 가지 모델이 제안되는 추세이고 이를 정확히 분류하는 작업이 필요하다.

셋째, 모바일 단말을 대상으로 하는 여러 가지 악의적인 공격에 대한 상관 침해 대응시스템에 관한 X.crs 프로젝트(Correlative reacting system in mobile network)가 있다. 이 프로젝트는 모바일 망과 모바일 단말이 상호협력을 통하여 모바일 단말의 보안 상태를 파악하여 안전한 통신에 대한 다양한 보안 위협요소를 제어하는 것을 목적으로 한다. 보안 위협요소로는 바이러스, 웜, Trojan-Horse, 그리고, DoS 등의 여러 가지의 네트워크 공격이 있다. 이 프로젝트를 통해 네트워크가 단말의 보안 상태를 감시 제어해서, 바이러스 또는 웜에 감염된 단말이 네트워크에 바로 영향을 미치지 않게 한다. 이번 회의를 통해 X.crs 시스템을 개발하기 위한 보안 모델에서 엔티티 사이의 보안 정보요소 교환을 위한 기본 프로토콜이 필요함을 인식하였다. 또한, 상관 침해 대응 시스템에서 정보 표현을 위한 XML 사용, 정보 전송에서의 암호기법의 사용, 다양한 전송모드의 사용 등에 관한 논의가 있었다. 

넷째, Q.9/17은 2005년 4월 모스크바 회의에서 미래 모바일 환경에서 고려해야할 보안 아이템을 논의한 이후 그 후속 작업으로, 다양하고 이질적인 네트워크 액세스로 구성되는 미래 모바일 환경에서의 정보보호 연구 마일스톤 및 로드맵을 제시하여 새로운 study item으로 채택하였다. 그래서, CDMA, WLAN, 3GPP와 같은 다양한 네트워크를 위한 인증 모델에 대한 논의가 있었고, Q.9/17은 이 주제의 중요성을 인식하여  SG19와 협력하기로 하였다. 또한, Q.9/17은 로드맵 상에 있는 각 연구 아이템에 대한 추가 기고를 전 세계 모든 나라에서 기고하는 것을 받아들이기로 했다.

다섯째, RFID 보안 서비스와 관련하여 모바일 RFID 응용 보안 프레임워크에 관한 연구 주제이다.  최근의 가장 중요한 이슈중 하나인 모바일 RFID 서비스에 대해서 우선 모바일 RFID 서비스에 대한 정의와 본 연구반에서 다뤄야 하는 정당성을 검토한 후, Q.9/17은 RFID 개인 정보 및 프라이버시 보호문제와 관련한 중요성을 인식해 이 주제를 새로운 study item으로 선정하였다. 그래서, 모바일 RFID 서비스에 관한 가이드라인 범위, 향후 표준화 진행 계획, 가이드라인 작성 전략에 관한 논의가 있었다. 또한, RFID의 특성상 이것을 모바일 서비스와 연계할 때 발생하는 개인 정보와 프라이버시 침해를 해결하기 위해 추후 작업이 요구된다.

여섯째, 웹 서비스에 기반한 유비쿼터스 네트워킹 환경에서의 보안에 관하여 Q.9/17은 관심을 가지고 있다. 이것은 웹서비스 보안이라는 또다른 Q.9/17 표준화 프로젝트와 상관성이 있고 모바일 관점에서 web service discovery service, 그리고, 유비쿼터스 환경에서의 웹 서비스와 기존 무선 통신 환경에서의 웹 서비스 차이에 대해서 심도 깊은 검토가 우선 필요하다. 그래서, Q.2/17과 함께 연구할 필요성이 있는지 알아보고, 다음 작업으로서 이 주제에 대한 보안 고려사항에 대한 드래프트를 작성하여야 한다.

마지막으로, Q.9/17은 사용자의 편리성을 위해 패스워드만으로 인증을 수행할 수 있는 방법에 대한 논의가 이루어져서 강한 패스워드 기반 인증 프로토콜에 관한 이슈가 제기되었다.  또한, 안전한 응용 서비스를 위해 TTP(Trusted Third Party) 서비스 이용 등에 관하여 최근에 논의가 활발히 이루어지고 있다. 응용 서비스에 보안기능을 구현하는 것은 때로는 비효율적이고 어렵기 때문에 신뢰된 제 3의 기관인 TTP를 이용하여 각 응용에서 보안 기능을 대신 수행하게 한다. ITU-T 권고안 X.842는 TTP에 의해서 제공되는 주요 보안 서비스를 정의하고는 있지만, 어떤 TTP 서비스가 사용되어야 하는지, 또는 응용 서비스가 TTP를 이용하는 방법 등에 관한 구체적인 기술은 없기 때문에 이에 대한 대책이 필요하다.

이상에서 살펴본 바와 같이 기존의 진행중인 프로젝트 외에 Q.9/17에서 모바일 보안에 관하여 새로운 study item으로 선정된 주제는 다음과 같다.

Ÿ 웹 서비스를 기반으로 하는 유비쿼터스 환경에서의 보안 고려사항

Ÿ 모바일 RFID 응용을 위한 보안 프레임워크 및 개인정보와 프라이버시 보호를 위한 가이드라인

Ÿ 미래 모바일 환경을 위한 보안 로드맵

향후 진행 방향

이번 회의를 통해 한국이 모바일 보안 분야에서 양질의 기고서를 제출하여 ITU-T에서 주도적인 위치를 확보하고 회의를 주도해 나가는 것을 확인할 수 있었다. 이에 다음 회의(2006년 4월, 한국, 제주도)에서는 더욱 완성된 형태의 기고문 제출과, 관련국과의 이해와 협의를 통하여 ITU-T 권고안으로 채택시키는 기술이 요구된다.

또한, 현재 진행중인 프로젝트를 향후 권고안으로 만들 때 ITU-T 내의 다른 SG뿐만 아니라 3GPP 등의 관련 표준과의 상호 연관성을 고려하여 개발하는 것이 바람직한 것으로 사료된다.