함수암호(Functional Encryption) 기술, 새로운 IT 시대에 필수적인 보안기술
IoT, IIoT, IoST 강국 위해서는 정보보안 강국과 함께 암호강국 되어야

[보안뉴스= 이옥연 국민대학교 정보보안연구소장] IT 시장의 성장과 암호기술 발전의 상관관계가 지대하다는 점은 익히 알려진 사실이다.



현재는 세계 각국의 인프라가 서버, PC, 스마트폰 등의 기기 중심인 IT에서 IoT(Internet of Things, 사물인터넷), IIoT(Industrial Internet of Things, 산업보안), IoST(Internet of Small Things, 소물인터넷) 등으로 기기와 서비스의 경계가 사라진 새로운 환경으로 발전하고 있다.

또 하나의 분류에 의하면 ICBMS(IoT, Cloud, Big Data, M2M, Security)로 현재와 미래 IT의 발전을 정의하고 있다.

이렇듯 세상의 정보통신 환경은 정보보안을 위한 기기로부터 서비스에 이르기까지 무한하게 발전하면서 정보보안의 핵심 원천기술인 암호기술의 발전과 새로운 변화를 요구하고 있다.

암호기술의 가치와 중요성을 객관적으로 보여주는 몇 가지 사례를 살펴보면 다음과 같다.

현재 많은 선진국에서 자국의 주요 정보보안을 위해 암호모듈 검증제도(Cryptographic Module Validation Program)를 운영하고 있다. 암호모듈에 대한 객관적 검증기준은 ISO/IEC 19790, ISO/IEC 24759 등의 시험 표준을 통해 각국의 정보보안을 위한 암호모듈에 대한 시험을 진행하고 있다.

아울러 대부분의 국가에서는 대칭키 암호, 운영모드, 메시지인증코드, 해시함수, 난수발생기, 공개키암호, 전자서명, 키교환방식 등의 범주를 정하고 있으며, 각 범주에 맞는 보호함수(암호알고리즘)를 각국이 별도로 정하고 있다.

지난 3월 한국전력공사는 AMI 사업화를 위한 검증필 암호모듈 개발을 완료하여 AMI 보급
사업이 다시금 급물살을 타고 있다. 해당 시장 규모는 2조원이 넘는 규모이고, 해당 사업의 진행여부를 결정한 핵심항목은 검증필 암호모듈의 탑재이므로 이것은 암호기술의 객관적 가치를 부여한 대표적 사례라고 할 수 있다.

또한, 2016년 블랙햇에서는 전 세계 산업현장에서 가장 널리 사용되는 프로그램 가능 논리 제어 장치(PLC: Programmable Logic Controller)에 대한 사이버 공격 가능성이 밝혀졌다. 시리얼통신 또는 이더넷(Ethernet) 기반의 PLC는 공공 시설물관리 및 산업 현장에서 가장 널리 쓰이는 기기이지만, 정보보안 기술이 전혀 적용되고 있지 않은 현장이 대부분이다.

이러한 문제 해결을 위해서는 IoT, 유무선 통신, 암호기술, 다양한 서비스 프로토콜을 지원해야 하고, 기존의 모든 운영시스템과 호환되어야 하지만, 여전히 현존하는 서비스를 멈출 수 없다는 것은 산업제어 보안이 갖는 현실적 난관이다. 이러한 이유로 인해 단순한 암호 구현기술만으로는 산업제어 시장에 맞는 암호기술은 가치가 없으며, 결국 암호기술, 유무선통신, 산업제어 기기, 프로토콜, 관련 법 제도 등을 모두 이해할 수 있는 융합전문가의 역할이 필수적이다.

우리나라의 경우 PLC는 철도망 등을 위한 국가재난망이나 정수장, 가압장, 스마트워터 그리드를 위한 수처리 등의 환경에서 가장 널리 쓰이는 산업용 제어 시스템이지만, 가용성·무결성·기밀성을 제공하기 위한 검증필 암호모듈에 대한 이해 부족으로 인해 관련 제품의 적용이 쉽지 않은 상황이다.

더욱이 국내의 많은 산업 및 공공시설 환경은 여전히 PSTN에서부터 광통신에 이르기까지 다양한 유선 환경이 사용되고 있다. 최근 들어 LTE, LTE-M, NB-LTE, LoRa 등의 많은 무선통신을 바탕으로 산업기기 및 공공시설물 관리하기 위한 통신 및 서비스가 폭발적으로 성장하고 있다. 산업보안을 목적으로 국내외 유무선 IoT 기반 암호기술을 개발해 현장에 적용한 사례는 계속 보고되고 있으나, 국내에서는 해당 분야에 암호제품이 진입하기 어려운 것이 현실이다.

공공시설물 관리 등에 대한 검증필 암호모듈 사용에 대한 법적 근거는 충분히 마련되어 있으나 정작 공공시장에서는 관련 규정에 대한 이해 부족으로 많은 어려움을 겪고 있다. ‘암호화를 꼭 해야하는가?’라는 질문과 함께 정보보안에 대한 예산이나 전례가 없다는 이유만으로 해당 정보보안 제품의 구매와 적용으로 연결되지 않는 것이 아쉬운 실정이다.

또 다른 분야로, 전기자동차에 충전케이블을 싣고 다니면서 전국 각지의 대형마트나 아파트단지 등에서 충전할 수 있는 이동형 완속 전기차 충전 시스템을 위한 15,000곳 이상의 충전위치가 이미 확보되었으며, 해당 충전기기마다 3G/LTE 통신모듈과 검증필 암호모듈이 탑재된 것은 널리 알려진 사실이다.

또한, 전국의 2천만 수용가마다 장착되어야 하는 AMI 기기(일명 두꺼비집)에는 계량기 부분과 PLC(Power Line Communication) 모뎀 부분에 DLMS/COSEM 등의 전력망 검치 응용 서비스와 전력선 통신을 지원하는 검증필 암호모듈 기기 4천만 개가 필요한 실정이다.

가격, 성능, 호환성, 설치 편리성과 함께 관련 보안규정을 모두 만족할 수 있으면서도 3천원 이하의 가격으로 현재의 전력망에 바로 적용할 수 있는 검증필 암호모듈 기기의 개발은 국가전력망 보안의 핵심기술이며, 이렇듯 현재의 유무선통신과 산업기기 등의 IoT, IIoT, IoST의 발전을 위해서는 현존하는 암호기술 기반의 암호 S/W, 암호 F/W, 암호 H/W의 연구개발이 지속적으로 필요하다.

또 하나의 큰 이슈를 살펴보면, 현재 시장을 위한 암호기술의 발전과 함께 미래의 정보통신 환경을 위한 신규 암호기술에 대한 연구가 시급한 실정이라는 점이다.

현재의 암호기술은 정보의 주체가 Alice와 Bob이라는 두 개체이고, 신뢰할 수 있는 제3자(TTP, Trusted Third Party)와 공격자(Eve) 등의 기본 설정에 기반하고 있다. 또한, 암호화 및 복호화는 평문과 암호문이라는 Yes/No 와 같은 2원화된 결과만을 도출하는 것으로 설정되어 있다.

그러나 빅데이터, 클라우드와 같은 신규 서비스의 등장으로, Alice/Bob의 2원화된 정보의 주체나 평문/암호문의 2원화된 암호 서비스만으로 해결할 수 없는 새로운 환경이 등장하고 있다.

예를 들어 각 개인의 주민등록번호나 ID와 연계된 성별, 혈액형, 신장, 몸무게, 지문, 홍채, 신용카드 정보 등이 결합된 DB를 관리하는 주체가 등장했고, 관련법에 따라 DB 암호화 기술로 암호화한 후, 저장하고 있다.

그런데 DB 관리자나 제3의 서비스를 제공하는 사업자가 암호화된 DB 회원 정보로부터 신장 평균값, 몸무게 평균값, 남녀 구성비율 등을 얻기 위해서는 기존의 DB를 모두 복호화하고, 그 평균값을 얻고 나서 다시 암호화 및 저장하는 과정을 반복해야 한다.

여기에서 그 클라우드나 DB 관리자가 그 정보에 대한 복호화 키를 가질 수 있는가? 접근 권한을 갖고 있는가? 하는 문제가 발생한다. 또한, 그 막대한 빅데이터를 보관하는 DB를 쉬지않고 암호화 및 복호화해야 한다. 예를 들어 의료보험공단 등에는 매일같이 환자들의 새로운 기록이 쌓여 가고, 막대한 빅데이터에 대한 암호화 및 복호화를 반복해야 한다.

그렇다면 병원기록을 분석해 신약을 개발하고, 적합한 치료 서비스를 개발하려는 개발자들이 해당 DB에 있는 환자의 기록에 접근할 수 있을까? 크나큰 신체적 고통을 치료하기 위한 신약과 치료 서비스 개발이 절실한 상태에서 Alice와 Bob이 아닌 제3자인 제약회사가 모든 고객의 동의를 받거나 동의 없이 또한 복호화 없이도 해당 암호문으로부터 특정 정보만 얻을 수 있는 암호기술이 필요한 것이다.


현재의 암호기술은 암호문으로부터 평문의 단 1비트의 정보도 얻어서는 안 된다고 가정한다. 그렇지만 미래의 신규 암호기술로써 암호문을 복호화 하지 않고서도 평문 속의 평균값 등의 일부 정보의 특성을 얻어내는 새로운 암호기술인 함수암호(Functional Encryption)가 연구되고 있으며, 새로운 IT 시대에 필수적인 핵심기술이 될 것이므로, 이에 대한 많은 연구노력과 지원이 시급하다.

얼마 전 폐막된 2016년 올림픽을 통해 많은 감동과 기쁨의 소식이 전해져 왔다. 그러나 이번 올림픽을 통해 우리가 확인할 수 있었던 중요한 사실은 특정 종목의 강국을 넘어서 세계적 스포츠 강국이 되기 위해서는 수영, 육상 등의 기본 종목부터 다양한 응용종목을 모두 잘해야 한다는 점이었다.

우리나라가 IT 강국을 넘어서 IoT, IIoT, IoST의 강국이 되기 위해서는 정보보안의 강국과 함께 기본 분야인 암호의 강국이 되어야 한다.
[글_ 이옥연 국민대학교 정보보안연구소장(oyyi@kookmin.ac.kr)]

필자소개 _ 국민대학교 이옥연 수학과 교수는 BK21+ 미래금융정보보안전문인력양성사업단장과 국민대학교 정보보안연구소장을 맡고 있다. 또한, 한국암호포럼 정책분과장으로써 2013년, 2014년, 2015년 3년 연속으로 국가암호공모전 심사위원장을 역임했다.

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>