ITU-T SG17 회의가 한국 제주에서 2006년 4월 19일부터 28일까지 개최되었다. 연구과제 9에서는 두 가지 표준이 승인되었는데, 하나는 보안 정보에 대한 표준인 X.websec-1(SAMLv2.0: Security Assertion Markup Language)이고, 다른 하나는 접근제어 권한에 대한 표준인 X.websec-2(XACMLv2.0: Extensible Access Security Markup Language)이다. 이 표준은 원래 OASIS(Organization for the Advancement of Structured Information Standards)에서 개발된 표준들로 지난 2003년 3월 ITU-T로 채택해 줄 것을 요구한 이래 약 2년 6개월 만의 노력을 통하여 ITU-T 표준으로 결실을 맺게 되었다.

표준 주요 내용

하나의 주체는 하나의 보안 영역에서 독립적인 신원정보를 갖는 사람이나 컴퓨터 등의 개체를 나타낸다. 보안 정보는 특정 사람 또는 사물에 대한 인증 관련 정보를 나타내는 인증(<그림 1> 참조), 특정 사람에 대한 권한을 나타내는 인가, 그리고 특정 사람의 직위 또는 소속 등을 나타내는 속성 주장으로 구분된다.

보안 정보는 ID 도용을 막기 위한 싱글사이온 또는 ID 관리 시스템에서 활용될 수 있으며, 특히, 이 표준은 우리나라 전자정부 시스템과 전자거래 시스템에 활용도가 매우 높을 것으로 예측된다. OASIS에서 개발된 SAMLv2.0 표준은 응용 레벨 표준으로, 프라이버시 보호와 ID 연계를 강화하기 위하여 기존의 SAMLv1.0를 개선한 표준이며, XML 기반으로 정의되었다.

이 표준은 ①각종 보안 정보에 대한 문법 정의, ②상위 레벨 보안 정보가 어떤 하부 프로토콜을 이용하여 전달될 것인지를 나타내는 연계 방법, ③주장 요소, 인증 조건과 인증 환경, 그리고 보안 정보를 부가적으로 설명하기 위하여 필요한 메타데이터 프로파일, ④다양한 응용 분야 도출(웹 브라우저 싱글사인온, 싱글 로그아웃 등), ⑤인증 환경과 호환성 규격에 대한 가이드라인 등을 포함하고 있다.

     <그림 1> 인증 주장의 예     <그림 2> 정책, 접근 요구, 그리고 요구 응답

XACMLv2.0 표준은 역할 기반 접근제어를 위한 표준(<그림 2> 참조)으로써, XML 언어를 이용하여 특정 자원에 대한 접근 요구, 접근 요구에 대한 판단, 접근 요구에 대한 집행을 수행하기 위하여 필요한 권한 정보에 대한 문법과 접근제어 구조 및 방법 등을 정의하고 있다. 역할 기반 접근 제어는 사용자의 ID가 아니라 사용자의 역할에 기반한 접근제어 방식을 말하며, 각 주체들에게 특정의 역할이 할당되어야 하므로 각 사용자는 관리자로부터 자신의 접근 수준을 나타내는 역할을 사전에 부여 받아야 한다. 예를 들어, 어떤 회사에 있는 관리자의 역할은 어떤 자원에 대하여 접근 가능하고, 그 자원에 대하여 어떤 접근동작(쓰기 또는 읽기)이 허용되어 있는지를 나타내고 있다.

정책 정보는 어떤 자원에 대하여 어떤 주체가 어떤 보안 속성 값으로 접근할 수 있는지를 나타내는 데이터 구조이며, 그 자원에 대하여 허용되는 액션 등을 포함한다. 접근 제어 요구 정보는 사용자에 의하여 정책 판단점으로 보내지는 정보이며, 어떤 역할을 갖는 주체가 어떤 자원에 대하여 어떤 액션을 요구하고 있는 지를 나타내는 정보라고 할 수 있다. 접근 제어 요구에 대한 응답은 어떤 요구에 대하여 결과가 허용되는지 허용되지 않은지를 나타낸다. 또한 이 표준을 이용하면 접근제어 정책도 다양하게 구현될 수 있다. 이 표준 역시 홈네트워크 등에서 접근 제어를 위한 기반 표준으로 활용이 예상되는 표준이다.

표준화 추진 과정

최초로 2004년 3월 제네바 회의에서 OASIS에서 개발된 SAMLv1.0(2003년 8월 승인)과 XACMLv1.0(2003년 2월 승인)을 ITU-T 표준으로 채택해 줄 것을 제안하였으나 검토할 시간이 필요하여, 버전 2.0이 완성되고 난 후 다시 OASIS에 제안할 것을 요구하였다. 2005년 7월 중국 센젠 ITU-T SG17 인터림 회의에서 OASIS는 SAMLv2.0과 XACMLv2.0을 ITU-T 표준으로 다시 채택해 줄 것을 제안하였다. 회의결과는 표준의 완성도가 인정되고, ITU-T 표준으로 활용도가 기대되어 연구과제 9의 표준화 아이템으로 채택하였으며, SAMLv2.0 표준을 X.websec-1, XACMLv2.0 표준을 X.websec-2 가칭을 정하였고, 에디터로 캐나다의 A. Barbir로 임명하였다.

2005년 10월 제네바 SG17 회의에서 제기된 문제는 표준의 이름 공간, 특허 등의 지적재산권 관련, 그리고 이 표준의 사용 시나리오의 개발 등이었다. 이때 결론은 기술 검토위원회를 구성해 두 가지 표준에 대하여 검토하고, 기술 검토위원회에 저자를 위원장으로 하여 한국의 이재승 박사, 일본의 T. Kaji, 캐나다의 A. Barbir로 구성하기로 합의하였다.

2006년 1월 제네바 회의에서는 이름 공간, SSL3.0 처리, 그리고 OASIS 표준과 ITU-T 표준 간에 어떻게 동기를 이루고 호환성을 유지하기 위한 지속적인 유지보수 문제가 제기되었다. 회의 결과는 이름 공간은 OASIS의 이름공간을 그대로 사용키로 하였고, 정식 IETF 표준이 아닌 SSL3.0 표준과 관련된 내용을 완전히 삭제키로 하였으며, 기술검토위원회에 프랑스의 O.Dubuisson을 추가하였다. 또한 OASIS로 지속적인 유지보수와 특허 관련 IPR 문제에 대한 방안을 요구하는 협력 문서를 송부하였다.

2006년 1월부터 2006년 3월까지 기술 검토위원회에서는 SAML의 문서 구성, 많은 오탈자, OASIS 표준과의 호환성 및 동기성, 두 가지 유형의 데이터 형식(dayTimeDuration, yearMonthDuration) 을 포함하였고, XACML에 정의되어 있는 기술사항에 대하여 수정이 이루어졌다.

2006년 4월 제주회의에서는 OASIS가 제안한 지속적인 유지보수 방안의 승인, 두 표준이 참조하고 있는 리버티 얼라이언스에 대한 A.4 및 A.5에 의한 단체 승인, 세부 기술적 검토가 완료되어 국가별 의견수렴(consent)으로 추진키로 합의되었다.

주요 논쟁 사항

본 표준과 관련되어 가장 중요하게 대두되었던 논쟁사항 중 하나는 표준의 동기화, 지속적인 유지보수, 그리고 이 표준과 연관되는 지적재산권 문제였다. ITU-T와 OASIS는 향후 표준의 동기화를 수행할 통신 채널의 결정과 유지보수를 위한 협약을 합의하고, 유지보수 전담 연락 위원을 임명하였으며, 향후에 내용이 서로 달라지지 않도록 일괄성 있는 표준을 유지보수하기로 합의하였다. 또 다른 주요 논쟁사항은 OASIS에서 보내준 특허 등의 IPR 문제였다. 두 표준과 연관하여 여러 특허가 공개되었으며, 대부분의 특허 사용이 로열티 없이 비차별적으로 제공될 수 있음을 확인하였다.

향후 표준 추진사항

두 표준은 5월 중순부터 시작하는 국가별 의견수렴(Last Call)을 마친 후 별다른 이의가 없는 경우, 7월 중으로 ITU-T 정식 표준으로 제정될 예정이었다. 그러나 의견 수렴 기간동안 몇 가지 의견이 프랑스에 의해 제기되어, 다시 기술 검토위원회를 재가동하였고, 이 기고 작성 시점(2006년 7월 초)에 현재 의견에 대한 검토 작업이 이루어 지고 있으며, 문제가 해결되면 2007년 이내로 최종 표준으로 공표될 것이다. 이 표준은 향후에도 OASIS와 긴밀하게 협조 하에 새로운 버전의 표준으로 계속 업그레이드될 것이며, 이에 대한 구체적인 유지보수는 저자와 두 표준의 에디터인 캐나다의 A.Barbir에 의하여 수행될 예정이다.