강제적 접근 제어

접근 제어는 정보 시스템에서 인가된 사용자, 프로세스 또는 장치만이 특정 자원(예: 파일, 데이터, 네트워크 서비스)에 접근하거나 특정 작업을 수행할 수 있도록 허용하거나 거부하는 보안 메커니즘이다. 이는 기밀성, 무결성, 가용성이라는 정보 보안의 핵심 목표를 달성하기 위한 기본 수단으로 작동한다. 시스템은 접근 요청을 평가하기 위해 주체(사용자)의 신원과 객체(자원)의 보안 속성, 그리고 정의된 보안 정책을 사용한다.

접근 제어의 필요성은 디지털 자산의 보호와 조직의 운영 안정성을 유지하는 데서 비롯된다. 허가되지 않은 접근은 데이터 유출, 변조, 서비스 거부 공격 등 심각한 보안 사고로 이어질 수 있다. 특히 민감한 정보를 다루는 군사, 정부, 금융, 의료 분야에서는 법적, 규제적 요구사항을 충족시키고 신뢰를 유지하기 위해 엄격한 접근 통제가 필수적이다. 효과적인 접근 제어는 내부자의 악의적 행위나 실수로 인한 사고를 방지하고, 외부 공격자가 시스템에 침투하더라도 피해 범위를 제한하는 방어 심층화 전략의 일환이다.

접근 제어는 구현 방식에 따라 크게 강제적 접근 제어, 임의적 접근 제어, 역할 기반 접근 제어 등으로 분류된다. 각 모델은 보안 요구사항과 운영 환경에 따라 다른 장단점을 가지며, 현대 시스템에서는 여러 모델을 혼합하여 사용하는 경우가 많다.

강제적 접근 제어는 시스템이 정의한 보안 정책에 따라 객체에 대한 주체의 접근을 강제하는 메커니즘이다. 그 핵심 원칙은 주체의 임의적 판단이나 요청에 의존하지 않고, 중앙에서 관리되는 엄격한 규칙에 기반하여 모든 접근을 통제한다는 점이다. 이는 시스템의 보안 상태를 일관되게 유지하고, 정보의 무단 유출이나 변조를 방지하는 데 목적이 있다.

핵심 원칙은 크게 세 가지로 요약된다. 첫째는 격리의 원칙이다. 이는 시스템이 각 주체와 객체에 보안 속성(예: 보안 레이블)을 부여하고, 이 속성에 기반한 규칙에 의해서만 접근을 허용한다는 것이다. 사용자는 자신의 권한을 다른 주체에게 임의로 양도하거나 변경할 수 없다. 둘째는 강제의 원칙이다. 모든 접근 시도는 시스템의 참조 모니터와 같은 강제적 메커니터링 구성 요소에 의해 검사되며, 정책을 위반하는 접근은 근본적으로 차단된다. 셋째는 추상화의 원칙이다. 복잡한 보안 정책은 일반적으로 보안 등급과 분류 범주로 구성된 격자 모델과 같은 수학적 모델로 추상화되어 구현된다.

이러한 원칙들은 구체적인 정책 규칙으로 표현된다. 가장 대표적인 두 가지 규칙은 다음과 같다.

* 단순 보안 속성: 주체의 보안 등급이 객체의 보안 등급보다 높거나 같고, 주체의 분류 범주 집합이 객체의 분류 범주 집합을 모두 포함할 때만 읽기 접근이 허용된다. 이는 정보의 "읽기"를 통제하여 기밀성을 보장한다.

* *-속성 (별 속성): 주체는 자신이 읽은 객체의 보안 등급보다 높거나 같고, 분류 범주 집합이 포함된 객체에만 쓰기 접근이 허용된다. 이는 정보의 "쓰기"를 통제하여 무결성을 보장하며, 정보가 낮은 보안 수준으로 흐르는 것을 방지한다.

이 원칙들은 시스템 전반에 걸쳐 일관되게 적용되어, 개별 사용자의 의지와 관계없이 시스템 전체의 보안 목표가 달성되도록 한다.

벨-라파듈라 모델은 1973년 데이비드 벨과 레너드 라파듈라에 의해 제안된 최초의 공식적인 강제적 접근 제어 모델이다. 이 모델은 군사적 보안 요구사항을 충족하기 위해 개발되었으며, 정보의 기밀성을 보호하는 데 중점을 둔다. 모델의 핵심은 주체(사용자 또는 프로세스)와 객체(파일 또는 데이터)에 보안 등급을 부여하고, 이를 기반으로 엄격한 접근 규칙을 적용하는 것이다.

모델은 두 가지 기본 속성으로 정의된다.

* 단순 보안 속성: 주체는 자신보다 높은 보안 등급을 가진 객체를 읽을 수 없다. 즉, "읽기" 동작은 상향이 불가능하다.

* *-속성(별 속성): 주체는 자신보다 낮은 보안 등급을 가진 객체에 쓸 수 없다. 즉, "쓰기" 동작은 하향이 불가능하다.

이 두 속성은 정보가 높은 등급에서 낮은 등급으로 유출되는 것을 방지하여 기밀성을 유지한다. 예를 들어, "비밀" 등급의 주체는 "극비" 등급의 문서를 읽을 수 없으며(단순 보안 속성), "비밀" 등급의 주체가 "일반" 등급의 문서에 정보를 써서 유출하는 것도 차단한다(*-속성).

벨-라파듈라 모델은 격자 구조를 사용하여 주체와 객체의 보안 등급을 정의한다. 보안 등급은 일반적으로 기밀성 수준(예: 일반, 비밀, 극비)과 분야 집합(예: 프로젝트A, 프로젝트B)의 조합으로 이루어진다. 접근 권한 판단은 이 격자 구조에 따라 이루어진다. 이 모델은 참조 모니터 개념을 구현의 핵심 요소로 요구하며, 모든 접근 시도를 중재하고 규칙을 강제 적용해야 한다.

이 모델은 강력한 기밀성 보장을 제공하지만, 무결성 보호에는 취약점이 있을 수 있다는 비판을 받았다. 또한, 엄격한 규칙으로 인해 시스템의 유연성이 떨어지고 관리가 복잡해질 수 있다. 그럼에도 불구하고, 벨-라파듈라 모델은 현대 접근 제어 이론과 시스템 설계의 기초를 마련한 중요한 모델로 평가받는다.

비바 모델은 1977년 케네스 L. 비바와 마이클 슈로더가 제안한 강제적 접근 제어 모델이다. 이 모델은 벨-라파듈라 모델이 주로 기밀성에 초점을 맞춘 것과 달리, 무결성을 보호하는 것을 주요 목표로 삼았다[3]. 비바 모델의 핵심 아이디어는 '신뢰할 수 없는' 주체가 '신뢰할 수 있는' 객체의 내용을 수정하거나, '신뢰할 수 없는' 객체가 '신뢰할 수 있는' 주체의 동작에 영향을 미치는 것을 제한하는 것이다.

이 모델은 무결성 수준이라는 레이블을 사용하며, 각 주체와 객체는 특정 무결성 등급을 부여받는다. 비바 모델의 기본 규칙은 다음과 같다.

첫 번째 규칙(No Write-Down)은 낮은 무결성의 주체(예: 사용자 입력 프로세스)가 높은 무결성의 객체(예: 중요한 시스템 실행 파일)를 변경하는 것을 방지한다. 두 번째 규칙(No Read-Up)은 높은 무결성의 주체가 낮은 무결성의 객체(예: 신뢰할 수 없는 외부 데이터)로부터 데이터를 읽어 오염되는 것을 방지한다.

비바 모델은 상업용 및 민간 시스템에서 데이터의 정확성과 신뢰성을 보호해야 할 필요성에 부응하여 개발되었다. 이 모델은 이후 클라크-윌슨 모델과 같은 더 실용적인 무결성 모델의 기초를 제공했으며, 특히 데이터베이스 관리 시스템과 금융 애플리케이션에서 무결성 정책을 설계하는 데 이론적 토대로 활용되었다.

중국 방벽 정책은 다중 수준 보안 시스템에서 정보의 흐름을 제어하기 위한 일련의 원칙을 말한다. 이 정책은 벨-라파듈라 모델의 '읽기'와 '쓰기' 규칙을 확장하여, 주체와 객체 간의 정보 흐름 방향을 엄격히 제한한다. 핵심 목표는 기밀성을 유지하는 것으로, 높은 보안 등급의 정보가 낮은 등급의 주체나 객체로 유출되는 것을 방지한다.

정책의 기본 규칙은 단순하다. 주체 S가 객체 O를 읽을 수 있으려면, 주체 S의 보안 등급이 객체 O의 보안 등급보다 높거나 같아야 한다. 반대로, 주체 S가 객체 O에 쓸 수 있으려면, 주체 S의 보안 등급이 객체 O의 보안 등급보다 낮거나 같아야 한다[4]. 이는 높은 등급의 정보가 낮은 등급의 영역으로 흐르는 것을 근본적으로 차단한다.

이 정책은 주로 군사적 환경에서 설계되었으며, 정보의 단방향 흐름을 보장한다. 예를 들어, '비밀' 등급의 주체는 '일반' 등급의 문서를 읽고 쓸 수 있지만, '일반' 등급의 주체는 '비밀' 등급의 문서를 읽을 수 없다. 또한 '비밀' 등급 주체가 생성한 정보는 '비밀' 등급 객체에만 기록될 수 있어, 의도치 않게 낮은 등급 채널로 정보가 새나가는 것을 방지한다.

그러나 이 정책은 무결성 보호에는 취약할 수 있다. 낮은 등급의 악의적 주체가 높은 등급의 객체에 데이터를 쓸 수 있기 때문에, 시스템 데이터를 손상시키는 공격이 가능해진다. 이러한 한계를 보완하기 위해 무결성을 중심으로 설계된 비바 모델 등 다른 모델과 결합되어 사용되기도 한다.

레이블 기반 접근 제어는 강제적 접근 제어를 구현하는 핵심 메커니즘 중 하나이다. 이 방식은 시스템의 모든 주체(사용자, 프로세스)와 객체(파일, 데이터, 자원)에 보안 레이블을 부여한다. 레이블은 일반적으로 기밀성 등급과 범주 집합으로 구성된다. 예를 들어, 등급은 "비밀", "극비"와 같은 계층적 수준을 나타내고, 범주는 "프로젝트A", "영업부"와 같은 비계층적 분류를 의미한다[6].

접근 결정은 주체의 레이블과 객체의 레이블을 비교하는 엄격한 규칙에 따라 이루어진다. 가장 일반적인 규칙은 벨-라파듈라 모델의 두 가지 속성이다. 첫째, 단순 보안 속성은 주체의 등급이 객체의 등급보다 높거나 같고, 주체의 범주 집합이 객체의 범주 집합을 모두 포함할 때만 읽기 접근을 허용한다. 둘째, *-속성(별 속성)은 주체가 자신보다 높은 등급의 객체에 정보를 기록하는 것을 방지하여 정보의 비인가된 하향 흐름을 차단한다.

이 메커니즘의 운영은 다음 표와 같이 요약할 수 있다.

구현 측면에서 레이블은 운영체제 커널 수준의 참조 모니터에 의해 강제된다. 모든 접근 시도는 이 모니터에 의해 가로채지고, 레이블 규칙에 따라 허용 또는 거부된다. 이 방식은 보안 정책의 일관된 집행을 보장하지만, 레이블의 초기 구성과 지속적인 관리에 상당한 오버헤드가 따른다.

참조 모니터는 강제적 접근 제어 시스템의 핵심 보안 메커니즘으로, 시스템 내 모든 접근 제어 결정을 중앙에서 검증하고 집행하는 추상적 개념이자 구현체이다. 이 개념은 1972년 미국 공군의 컴퓨터 보안 연구에서 처음 제안되었으며, 이후 신뢰할 수 있는 컴퓨터 시스템 평가 기준의 근간이 되었다[7].

참조 모니터는 다음 세 가지 필수 속성을 충족해야 한다.

• 검증 가능성: 그 구현이 정확하고 결함이 없음을 수학적으로 증명하거나 철저히 테스트할 수 있어야 한다.

• 조작 불가능성: 보호받는 메커니즘이 우회될 수 없어야 하며, 모든 접근 시도는 반드시 참조 모니터를 통과해야 한다.

• 간결성: 구조가 충분히 작고 단순하여 철저한 검증과 분석이 가능해야 한다.

이러한 속성을 통해 참조 모니터는 사용자나 프로세스의 모든 객체 접근 요청을 가로채어, 시스템의 보안 정책(예: 벨-라파듈라 모델)에 따라 허용 또는 거부 결정을 내린다.

실제 시스템에서 참조 모니터는 일반적으로 운영 체제의 커널 내에 구현된다. 대표적인 예로 신뢰 컴퓨팅 기반(TCB)의 일부인 보안 커널이 있다. 이 커널은 하드웨어와 소프트웨어의 조합으로 구성되어, 메모리, 파일, 장치 등에 대한 모든 접근을 중재한다. 참조 모니터의 개념은 현대 운영 체제의 보안 모듈, 가상화 하이퍼바이저, 그리고 일부 데이터베이스 관리 시스템의 접근 제어 메커니즘에도 적용된다.

강제적 접근 제어는 정보의 기밀성과 무결성을 최우선으로 보장해야 하는 군사 및 정부 시스템에서 핵심적인 보안 모델로 널리 채택된다. 이러한 환경에서는 정보가 엄격한 등급(예: 비밀, 극비)과 구역(예: 프로젝트별 구분)으로 분류되며, 벨-라파듈라 모델이 기반이 되는 경우가 많다. 이 모델은 "읽기"와 "쓰기" 권한을 '안전 속성'에 따라 엄격히 통제하여, 상위 등급의 정보를 하위 등급의 사용자가 접근하거나, 하위 등급의 정보를 상위 등급의 사용자가 의도치 않게 변경하는 것을 방지한다[10]. 따라서 군사 작전 계획이나 외교 교신문과 같은 고도로 민감한 정보는 사전에 정의된 보안 정책에 의해서만 접근이 허용된다.

구체적인 구현은 시스템의 모든 주체(사용자, 프로세스)와 객체(파일, 데이터베이스 레코드)에 보안 레이블을 부착하는 레이블 기반 접근 제어를 통해 이루어진다. 예를 들어, 한 사용자가 "비밀" 등급과 "A작전" 구역의 레이블을 가진다면, 그는 동일하거나 더 낮은 등급("비밀" 또는 "일반")이며 동일한 구역("A작전")을 가진 문서에만 접근할 수 있다. 모든 접근 시도는 운영체제 커널에 내장된 참조 모니터에 의해 검사되며, 정책을 위반하는 접근은 즉시 차단된다. 이는 관리자나 시스템 소유자조차 정책을 임의로 우회할 수 없도록 설계되어 있다.

다음은 군사/정부 시스템에서의 일반적인 보안 등급과 접근 제어 원칙을 요약한 표이다.

이러한 엄격한 통제는 정보 유출을 방지하는 데 매우 효과적이지만, 시스템의 유연성을 떨어뜨리고 관리 부담을 가중시킨다. 새로운 프로젝트(구역)가 생성되거나 사용자의 보안 인가가 변경될 때마다 중앙에서 정책을 업데이트해야 하며, 협업이 필요한 경우 복잡한 정보 승격 또는 사용자 임시 권한 부여 절차가 필요하다. 그럼에도 불구하고, 국가 안보와 같은 절대적인 기밀 요구사항 앞에서 강제적 접근 제어는 여전히 가장 신뢰할 수 있는 기반 기술로 자리 잡고 있다.

강제적 접근 제어는 금융 기관과 의료 기관에서 매우 민감한 정보를 보호하기 위해 널리 적용된다. 금융 분야에서는 고객의 계좌 정보, 거래 내역, 신용 평가 자료 등이 엄격한 기밀성을 요구한다. 의료 분야에서는 환자의 전자의무기록, 진료 기록, 유전 정보 등이 개인정보보호 법규(예: HIPAA)에 따라 철저히 관리되어야 한다. 이러한 시스템에서는 정보의 무단 유출이나 변조가 심각한 법적, 재정적, 신뢰성 손실을 초래할 수 있기 때문에, 임의적 접근 제어보다 더 엄격한 통제가 필요하다.

구체적인 구현 사례로, 금융권의 핵심 업무 시스템에서는 직원의 직급과 부서에 따라 데이터 접근 수준이 사전에 정의된 보안 등급에 따라 결정된다. 예를 들어, 일반 직원은 고객의 기본 정보만 조회할 수 있지만, 특정 등급 이상의 관리자만이 대출 승인 내역이나 위험 관리 보고서와 같은 고감도 정보에 접근할 수 있다. 모든 접근 시도는 참조 모니터에 의해 실시간으로 검사되고 로깅되어, 사후 감사 추적이 가능하게 한다.

의료 정보 시스템에서는 강제적 접근 제어가 '필요에 의한 접근' 원칙을 구현하는 데 핵심적이다. 의사, 간호사, 행정 직원 등 각 역할은 사전에 정해진 접근 권한을 갖는다. 이를테면, 주치의는 자신이 담당하는 환자의 완전한 기록에 접근할 수 있지만, 타과 의사나 연구원은 익명화된 데이터나 특정 정보만 접근할 수 있다. 특히 유전자 정보나 정신과 기록과 같은 초민감 정보는 추가적인 보안 계층으로 격리되어 관리된다.

이러한 적용은 높은 수준의 보안을 보장하지만, 긴급한 상황에서의 접근 신속성 문제나 시스템 통합의 복잡성이라는 도전과제도 동반한다. 따라서 현대 시스템에서는 강제적 접근 제어를 역할 기반 접근 제어나 상황 인식 정책과 결합하여 유연성을 높이는 하이브리드 방식을 도입하는 추세이다.

강제적 접근 제어는 시스템의 보안 정책을 중앙에서 엄격하게 정의하고 강제함으로써 높은 수준의 보안성을 보장합니다. 이 접근 방식의 핵심 효과는 정보의 기밀성과 무결성을 체계적으로 보호하는 데 있습니다. 시스템 관리자가 아닌 일반 사용자는 접근 권한을 임의로 변경하거나 상승시킬 수 없으므로, 권한 남용이나 실수로 인한 정보 유출 위험을 크게 줄입니다. 특히 벨-라파듈라 모델과 같은 정형화된 모델을 기반으로 할 경우, "읽기"와 "쓰기" 권한이 명확한 규칙에 따라 통제되어 정보가 비인가된 경로로 흐르는 것을 방지합니다.

이 모델의 보안성은 주로 다음과 같은 메커니즘을 통해 실현됩니다. 첫째, 모든 주체(사용자, 프로세스)와 객체(파일, 데이터)에 보안 레이블(예: 기밀 등급, 분류 범주)이 부여됩니다. 둘째, 모든 접근 시도는 중앙의 참조 모니터에 의해 정책 규칙에 따라 허용 또는 거부됩니다. 이 구조는 악의적인 사용자가 시스템을 조작하거나 권한을 탈취하더라도, 사전에 정의된 보안 정책의 틀을 벗어난 접근을 원천적으로 차단합니다.

결과적으로, 강제적 접근 제어는 정보 흐름에 대한 엄격한 통제를 가능하게 하여, 다중 보안 수준이 요구되는 환경에서 정보가 의도하지 않은 방향으로 전파되는 것을 효과적으로 차단합니다. 이는 시스템 전체의 보안 상태를 예측 가능하고 감사 가능하게 만드는 결정적인 장점을 제공합니다.

강제적 접근 제어는 높은 보안성을 보장하지만, 그 엄격한 특성으로 인해 유연성이 현저히 부족하고 시스템 관리가 복잡해지는 한계를 지닌다. 모든 접근 결정이 중앙에서 정의된 보안 정책에 의해 강제되므로, 사용자나 객체의 소유자라도 필요에 따라 권한을 신속하게 조정하거나 예외를 허용하기가 어렵다. 예를 들어, 긴급한 업무 협조가 필요한 상황에서도 사전에 정의된 보안 등급과 범주를 벗어난 접근은 원칙적으로 불가능하다. 이는 업무 효율성을 저하시키고, 운영상의 불편함을 초래할 수 있다.

관리 측면에서도 복잡성이 크게 증가한다. 중앙 집중식의 보안 정책을 설계, 구현, 유지 관리하는 작업은 매우 번거롭고 전문적인 지식을 요구한다. 시스템에 추가되는 모든 사용자와 객체(파일, 데이터, 장치 등)에 대해 적절한 보안 레이블을 할당해야 하며, 이 레이블링 작업 자체가 오류를 발생시키기 쉬운 지점이 된다. 또한, 조직 구조나 업무 흐름이 변경될 때마다 전체 보안 정책을 재검토하고 수정해야 하는 부담이 따른다.

이러한 복잡성과 유연성 부족은 구현 및 운영 비용을 상승시키는 주요 원인이 된다. 대규모 상용 시스템이나 빠르게 변화하는 비즈니스 환경에서는 이러한 특성이 큰 걸림돌로 작용할 수 있다. 따라서 강제적 접근 제어는 보안이 최우선인 특정 분야에 선택적으로 적용되며, 보다 유연한 임의적 접근 제어나 역할 기반 접근 제어와 혼합하여 사용되는 경우가 많다.

강제적 접근 제어(MAC)와 임의적 접근 제어(DAC)는 컴퓨터 보안에서 가장 기본적인 두 가지 접근 제어 패러다임이다. 이 두 모델은 접근 권한을 결정하는 주체와 그 권한의 부여 및 전파 방식에 있어 근본적인 차이를 보인다.

가장 핵심적인 차이는 접근 통제의 주체와 정책의 엄격성에 있다. DAC 시스템에서는 객체(예: 파일)의 소유자가 해당 객체에 대한 접근 권한(읽기, 쓰기, 실행 등)을 다른 주체(예: 사용자)에게 부여하거나 철회할 수 있다. 이는 사용자 중심의 접근 제어로, 권한의 위임과 관리가 비교적 자유롭다. 반면, MAC 시스템에서는 접근 권한이 시스템 전체의 중앙 보안 정책(예: 기밀성 등급)에 의해 강제된다. 개별 사용자나 객체의 소유자는 이 정책을 우회하거나 변경할 수 없으며, 모든 접근 결정은 시스템이 정의한 규칙에 따라 검증된다[12].

이러한 차이는 다음과 같은 구체적인 특성으로 나타난다.

결과적으로 DAC는 사용 편의성과 유연성을 중시하는 환경에 적합한 반면, MAC는 정보의 흐름을 엄격하게 통제해야 하는 고보안 환경에서 필수적이다. 현대의 많은 시스템, 특히 다중 수준 보안(MLS)을 요구하는 시스템은 이 두 모델을 혼합하여 사용하기도 한다.

역할 기반 접근 제어(RBAC)는 강제적 접근 제어(MAC)와 임의적 접근 제어(DAC)와 구별되는 접근 제어 패러다임이다. RBAC는 사용자 개인에게 직접 권한을 부여하는 대신, 조직 내의 역할(예: 관리자, 일반 사용자, 감사자)을 정의하고 그 역할에 권한을 할당한다. 사용자는 하나 이상의 역할에 할당됨으로써 해당 역할이 가진 권한을 상속받는다. 이는 권한 관리의 편의성과 최소 권한 원칙을 실현하는 데 초점을 맞춘다.

두 모델은 근본적인 통제 주체와 정책 결정 방식에서 차이를 보인다. MAC는 시스템 전체에 걸쳐 중앙에서 정의된 보안 정책(예: 기밀성 등급)에 따라 데이터 객체에 대한 접근을 강제한다. 반면 RBAC의 정책은 주로 조직의 업무 기능과 직무 분리를 기반으로 하며, 시스템 관리자가 역할과 권한을 구성한다. 따라서 MAC는 주로 정보의 흐름 자체를 제어하는 반면, RBAC는 사용자가 수행할 수 있는 작업의 범위를 제어한다.

실제 시스템에서는 MAC와 RBAC가 상호 배타적이지 않고 결합되어 사용되기도 한다. 예를 들어, 높은 보안이 요구되는 환경에서 MAC는 데이터의 기밀성 무결성을 보장하는 기본 골격을 제공하고, 그 위에 RBAC를 도입하여 사용자 그룹별로 세부적인 운영 권한(예: 특정 애플리케이션 실행, 리포트 생성)을 효율적으로 관리할 수 있다. 이러한 하이브리드 접근 방식은 엄격한 보안 요구사항과 운영상의 유연성을 동시에 충족시키는 데 기여한다.

요약하면, MAC와 RBAC는 서로 다른 문제를 해결한다. MAC는 정보 자체의 보안 등급과 사용자의 보안 허가도에 기반한 '데이터 중심'의 강제 통제 모델이라면, RBAC는 조직 구조와 업무 프로세스에 기반한 '사용자 업무 중심'의 권한 관리 모델이다. 둘은 보안 체계의 서로 다른 층위를 담당하며, 상황에 따라 독립적으로 또는 함께 적용될 수 있다.