 |
IMS 웹서비스 - 보안 프로파일 |
| 발행일 | 2009년 00월 00일 |
| 최신 버전 | IMS 웹서비스 – 보안 프로파일 버전 1.0 |
| 이전 버전 |
IPR 및 유포에 관한 공지사항
이 표준을 활용하는 이는 표준을 적용하면서 인지하게 된 관련 특허 또는 지적재산권의 침해 가능성 사실을 코멘트와 함께 문서의 형태로 제공해야 한다.
IMS는 이 문서에 명시된 기술의 적용 또는 활용과 관련된 지적재산권 또는 기타 권리의 적용범위와 유효성에 대한 입장, 또는 그러한 권리와 관련하여 어느 정도까지 허용될 것인지에 대한 입장을 표명하지 않는다. 뿐만 아니라, 그러한 권리를 파악하는 노력을 기울였다는 사실 또한 명시하지 않는다. IMS 표준에 명시된 권리와 관련하여 IMS 절차에 관한 정보는 IMS 지적재산권 웹 페이지1)를 참조할 수 있다.
Copyright © IMS Global Learning Consortium 2007. All Rights Reserved.
이 표준을 배포하거나 제품 또는 서비스 제공을 위해서 활용하고자 한다면, IMS Korea 표준화 포럼 사무국(한국교육학술정보원)에 승인 요청을 하고 이메일을 통해 승인을 받아야 한다. IMS 정식회원 및 기부회원, 개발자 네트워크는 상기의 저작권 공지사항과 이 문장을 사본에 포함시키는 조건 하에 이 표준을 배포 및 활용할 수 있다. 그러나 저작권 공지사항 또는 IMS 명칭이 표기된 부분을 삭제하는 등, 이 표준을 훼손하는 행위는 금지된다. 단, IMS가 승인한 프로젝트그룹의 감독 하에 IMS 표준을 수정하는 경우는 예외적으로 허용된다. 상기 부여된 제한된 승인 내용은 영속적이며, IMS 또는 후임기관 그 누구라도 라이센스를 취소할 수 없다. 이 표준은 어떠한 보증도 하지 않으며, 특히 불침해에 대한 그 어떤 보증도 하지 않는다. 이 표준의 사용에 대한 책임은 온전히 사용자에 의하며, 그 어떤 컨소시엄이나 제공 주체도 이 표준을 사용함으로써 제3자가 직간접적으로 입을 수 있는 피해에 대해 책임지지 않는다.Copyright © 2007 by IMS Global Learning Consortium, Inc. All Rights Reserved.
1)IMS 지적재산권 웹 페이지 : http://www.imsglobal.org/ipr/imsipr_policyFinal.pdf
| 원안작성 협력기관 : 한국교육학술정보원(IMS Korea 표준화 포럼) | |||
| 성 명 | 근 무 처 | 직 위 | |
| (위 원 장) | 황대준 |
성균관대학교 |
교수 |
| (실무위원) | 김성윤 |
(주)포씨소프트 |
이사 |
| 김 현 |
(주)씨티유니온 |
차장 | |
| 유욱종 |
(주)다울소프트 |
부장 | |
| 조성현 |
테크빌닷컴(주) |
부사장 | |
| 조용상 |
한국교육학술정보원 |
팀장 | |
| 차남주 |
(주)디유넷 |
부사장 | |
| 최성기 |
SK C&C |
과장 | |
| (자문위원) | 권희춘 |
수원여대 |
교수 |
| 김종현 |
계원디자인예술대학 |
교수 | |
| 김현진 |
한국교원대학교 |
교수 | |
| 손진곤 |
한국방송통신대학교 |
교수 | |
| 정광식 |
한국방송통신대학교 |
교수 | |
| 한태인 |
(주)메디오피아 |
부사장 | |
| (간 사) | 신성욱 |
한국교육학술정보원 |
연구원 |
머 리 말
이 표준은 한국의 이러닝 분야 디지털 콘텐츠의 공유 및 유통 체제 확립을 위해 IMS Global Learning Consortium(이하 GLC)의 General Web Service 표준을 기초로 작성한 IMS Korea 단체표준이다. 이 표준은 한국의 문화적, 교육적, 언어적 특수성 등을 감안하여 현지화 등 확장을 고려하여 작성되었다. 또한 이 표준을 실제 구현할 때 부분적으로 선택하여 적용할 수 있도록 필수와 선택 영역이 구분되어 있으므로 목적에 따라 선별적인 적용이 가능하다. 이 표준은 IMS GLC 표준 개발 과정에서 웹 서비스를 사용하려는 프로젝트 팀들에게 지침을 제시할 수 있는 프레임워크를 제공하기 위한 목적으로 개발되었다. 따라서 이 표준은 5가지 요건 즉, 상호운용성(Interoperability), 효율성(Efficiency), 일관성(Consistency), 유연성(Flexibility), 실용성(Practicality)을 충족하는 방법론과 어플리케이션 프로파일을 제공한다. 이 표준은 멀티파트로 구성되며, 다음과 같은 여섯 가지 표준 문서로 구성된다.- Part 1 : 어드레싱 프로파일 (Addressing Profile)
- Part 2 : 베이스 프로파일 (Base Profilie)
- Part 3 : 안내서 (Primer)
- Part 4 : 보안 프로파일 (Security Profile)
- Part 5 : 첨부 프로파일 (Attachments Profile)
- Part 6 : WSDL 바인딩 가이드 (WSDL Binding Guidelines)
1 적용범위
IMS 웹서비스(General Web Services, 이하 GWS) 베이스 프로파일은 IMS 서비스 지향 표준들을 구현하기 위해 사용되는 웹서비스의 정의를 위한 기본 구조를 제공한다. IMS 웹서비스 베이스 프로파일은 비독점 웹서비스 표준들과 상호운용성을 촉진하는 명시사항 및 보완사항으로 구성되어 있다. IMS 웹서비스 베이스 프로파일은 웹서비스 표준을 구현할 때 가장 흔히 경험하는 문제나 쟁점들을 다룬다. IMS 웹서비스 베이스 프로파일은 널리 알려지고 유용하면서도 폭넓게 구현되거나 적용되고 있는 표준들을 참조하며, 해당 표준들내에 정의된 매커니즘들을 선택하고 적용하는 방법을 정의한다. IMS 웹서비스 보안 프로파일은 IMS 웹서비스 베이스 프로파일을 확장해 안전한 아키텍처의 지원을 가능하게 한다. 웹서비스 상호운용성 기구(WS-I)는 자체적으로 베이직 보안 프로파일을 개발 중이다. 이 프로파일은 IMS GLC가 바로 채택하기에는 아직 완전하지 못하다. 그러므로, IMS 웹서비스 보안 프로파일은 일반적인 권고사항만을 포함하고 있으며 WS-I 베이직 보안 프로파일이 향상되면 개정될 것이다.2 인용표준
다음은 이 표준의 인용 또는 참조표준으로 발행연도가 표기되지 않은 표준은 최신판을 적용한다.2.1 참조표준
- GWS, 05 : IMS General Web Services Base Profile v1.0 Final Release, C.Schroeder, J.Simon and C.Smythe, V1.0 IMS/GLC.
- WSI, 04a : Web Services Interoperability Basic Profile Version 1.1, Eds K.Ballinger, D.Ehnebuske, C.Ferris, M.Gudgin, C.K.Liu, M.Nottingham and P.Yendluri, Web Services-Interoperability Organization.
- WSI, 05 : WS-I Basic Security Profile Version 1.0 (Working Group Draft), A.babir, M.Gudgin, M.McIntosh and K.Scott, Web Services-Interoperability Organization.
3 용어정의
3.1 약자와 약어
- GWSBP : 웹서비스 베이스 프로파일(General Web Services Base Profile)
- HTTP : 하이퍼텍스트 전송 프로토콜(Hypertext Transport Protocol)
- HTTPS : 보안 하이퍼텍스트 전송 프로토콜(Secure Hypertext Transport Protocol)
- IETF : 인터넷 표준규격개발 위원회 (Internet Engineering Task Force)
- IP : 인터넷 프로토콜(Internet Protocol)
- IPSec : IP 보안(IP Security)
- RSA : Rivest, Shamir and Adleman
- SSL : 보안 소켓 계층(Secure Socket Layer)
- TCP : 전송 제어 프로토콜(Transmission Control Protocol)
- TLS : 전송 계층 보안(Transport Layer Security)
- VPN : 가상 사설망(Virtual Private Network)
- W3C : 월드와이드웹 컨소시엄(World Wide Web Consortium)
- WS-I : 웹 서비스 상호운용성 (Web Services Interoperability Organization)
- XML : 확장 마크업 언어(Extensible Mark-up Language)
- XSD : XML 스키마 정의(XML Schema Definition)
4 보안 프로파일 지침
4.1 WS-I 베이직 보안 프로파일
WS-I는 최근 베이직 보안 프로파일 초안을 발행하였다. 이 프로파일은 아직 작업 중이므로, IMS GLC에서 이를 채택하기에는 아직 이르다. 이 표준의 최종본이 발행되면 IMS GLC는 이를 채택하기 위해서 정식으로 검토할 것이다. IMS GLC는 WS-I 베이직 보안 프로파일이 IMS 웹서비스 표준의 일부로 채택될 것이라고 공표할 수는 없지만, 가능하면 WS-I의 현재 지침서를 따를 것을 권고한다.4.2 일반 권고사항
모든 네트워크 지향 정보 기술에서나 그렇듯, 웹서비스 보안은 매우 중요하게 간주된다. 웹서비스 보안은 기밀성, 무결성, 부인봉쇄(non-repudiation), 인증, 권한인가에 대한 기존 보안기준을 전송 및 플랫폼, 그리고 애플리케이션 단계에서 보완한다. 보안의 핵심은 잠재적 위험요소들을 분석하고 위험도를 허용 가능한 수준으로 낮추기 위한 대응책을 적용하는 것이다. 적절한 대응책을 선택하고 위험도의 허용 가능한 수준을 정의하는 것은 각 구현물에서 개별적으로 이루어지는 것이 최선이다. 네트워크 트래픽의 보안성을 확보하는 것은 메시지의 무결성과 기밀성을 확보하기 위한 간단한 방법이다. 네트워크 트래픽의 보안성을 확보하기 위한 매커니즘에는 보안 소켓 계층(SSL), 전송 계층 보안(TLS), 가상 사설망(VPN)과 IP 보안(IPSEC)이 있다. 암호화된 전송 연결에서 가장 널리 사용되는 패턴은 SSL/TLS를 가진 HTTPS이다. WS-I 베이직 프로파일 1.1에서 표준명세인 R5000, R5001, 그리고 R5010, 그리고 SSL/TLS를 가진 HTTPS의 사용이 권고되지만 이는 필수가 아니다. 기타 보안 기술들을 사용해도 좋다. 클라이언트 인증을 부여하기 위해 클라이언트측 인증서를 가진 HTTPS가 사용될 수 있다.부속서 A(참고)
용어
웹서비스 (General Web Service) 표준에서는 다양한 용어, 개념과 기술을 소개하고 있다. 이들 용어, 개념 그리고 설명들은 다음과 같이 정의되지만, 경우에 따라서는 IAF 용어집의 표준 정의를 참조한다.
| HTTPS (HTTP over Secure Socket) | HTTPS (보안 소켓 계층상에서의 하이퍼텍스트 전송 프로토콜 또는 SSL 위에서의 HTTP)는 네스케이프 사에서 개발하여 브라우저에 내장된 웹 프로토콜로, 사용자 페이지 요청뿐만 아니라 웹서버에 의해 반환되는 페이지를 암호화 및 암호 해제를 수행한다. HTTPS와 SSL은 사용자가 송신자를 인증할 수 있도록 서버의 X.509 전자인증서의 사용을 지원한다. SSL은 네스케이프 사가 W3C에 표준으로 제안한 개방형 비독점 프로토콜이다. HTTPS를 S-HTTP와 혼동해서는 안 된다. S-HTTP는 보안 측면이 보완된 HTTP의 버전으로, EIT에 의해 개발되고 표준으로 제안되었다. |
| IPSEC | IP 보안(IP Security)의 약자인 IPSEC은 IP 계층에서 패킷을 안전하게 교환하기 위해 IETF에서 개발한 프로토콜이다. IPsec는 가상 사설망(VPN)를 구현하기 위해 광범위하게 채택되었다. IPsec는 전송과 터널의 두 가지 암호화 모드를 지원한다. 전송모드는 각 패킷의 데이터 페이로드만을 암호화하지만, 헤더는 그대로 둔다. 이보다 안전한 터널모드는 헤더와 페이로드 모두 암호화한다. 수신자 측에서는 IPsec에 적합한 장비가 각 패킷의 암호를 해제한다. |
| 보안소켓계층(SSL) | 보안 소켓 계층(SSL)은 인터넷에서 메시지 전송의 보완을 관리하기 위해 널리 사용되는 프로토콜이다. SSL은 현재 SSL에 기반한 전송 계층 보안(TLS)으로 성공적으로 대체되었다. SSL은 HTTP와 TCP 계층들 사이에 위치하는 프로그램 계층을 사용한다. SSL은 마이크로소프트 사와 네스케이프 사의 브라우저, 그리고 대부분의 웹서버 제품의 일부로 포함되어 있다. 네스케이프 사에 의해 개발된 SSL은 마이크로소프트와 기타 인터넷/서버 개발자들의 호응을 얻었으며 전송 계층 보안으로 발전하기 전까지 사실상의 표준 역할을 하였다. 보안 소켓 계층에서 ‘소켓’이라는 용어는 네트워크에서 클라이언트와 서버 프로그램간에, 또는 같은 컴퓨터 내의 프로그램 계층들 사이에 데이터를 전송하는 소켓 방법을 말한다. SSL은 전자 인증서를 포함한 RSA의 개인, 공개 키 암호화 시스템을 사용한다. |
| 전송계층보안(TLS) | 전송 계층 보안(TLS)은 통신이 이루어지는 애플리케이션과 인터넷상의 사용자들 사이의 프라이버시를 보장하기 위한 프로토콜이다. 서버와 클라이언트가 통신하면, TLS는 어떠한 메시지도 제3자가 엿듣거나 건드리지 못하도록 한다. TLS는 보안 소켓 계층(SSL)를 대체한다. TLS는 TLS 기록 프로토콜(TLS record protocol)과 TLS 핸드셰이크 프로토콜(TLS handshake protocol)의 두 가지 계층으로 구성된다. TLS 기록 프로토콜은 데이터 암호화 표준 등의 암호화 방법을 이용해 연결의 보안성을 제공한다. TLS 기록 프로토콜은 암호화 없이도 사용될 수 있다. TLS 핸드셰이크 프로토콜은 데이터가 교환되기 전 서버와 클라이언트가 서로를 인증하고 암호화 알고리즘과 암호 키를 협의할 수 있도록 한다. TLS 프로토콜은 네스케이프 사의 SSL 3.0프로토콜을 기반으로 한다. 하지만, TLS과 SSL은 상호 호환되지 않는다. |
| 가상사설망(VPN) | VPN은 원거리 사무실이나 개별 사용자들이 조직의 네트워크에 안전하게 액세스할 수 있도록 인터넷 등과 같은 공공 통신 인프라를 이용하는 네트워크이다. 가상사설망은 하나의 조직만이 사용할 수 있는 값비싼 개인 회선 또는 전용선과 대비된다. VPN의 목표는 기관에서 저비용에 동일한 서비스를 받는 것이다. VPN은 공용 공공 인프라를 이용하며, 보안 절차와 계층 투 터널링 프로토콜(Layer Two Tunnelling Protocol) 등과 같은 터널링 프로토콜을 통해 프라이버시를 유지한다. 이들 프로토콜은 전송하는 쪽에서 데이터를 암호화하고 이 암호를 수신하는 쪽에서 풀도록 함으로써, 제대로 암호화되지 않은 데이터는 통과할 수 없는 터널을 통해 데이터를 전송한다. 이보다 더 강화된 보안 등급은 데이터뿐만 아니라 송수신 네트워크 주소들도 암호화한다. |
| WS-I 베이직보안프로파일 | 웹서비스 상호운용성 기구(WS-I) 문서의 베이직 보안 프로파일은 비독점 웹서비스 표준들로 구성되어 있으며, 이들 표준에 대해 상호운용성을 증진하는 명시와 보완사항들로 구성되어 있다. WS-I 베이직 보안 프로파일은 상호운용성 부여와 관련 있는 베이직 보안 프로파일 1.0의 철학을 구성하는 원칙들의 집합에 따라 개발되었다. |
| WS-보안 | WS-보안은 신뢰성, 무결성, 부인봉쇄, 인증 및 권한인가에 대한 기존 보안기준을 사용해 보안정보를 SOAP 메시지로 통합하기 위한 표준방법을 정의한다. WS-보안은 SOAP 메시지의 보안정보를 표현하는 방법을 제공한다. WS-보안은 단순 사용자 이름, SAML, X.509 인증서와 케르베로스 티켓(Kerberos ticket) 등의 보안토큰을 전달하는 방법, XML 서명을 이용해 SOAP 메시지를 전부, 또는 일부 전자적으로 서명하는 매커니즘, XML 암호화를 이용해 SOAP 메시지를 부분적으로 암호화하는 매커니즘, 그리고 서명과 암호 헤더를 SOAP 메시지에 첨부하는 방법을 정의한다. |
| WS-보안미니멀리스트프로파일 | WS-보안 미니멀리스트 프로파일은 다음과 같은 웹서비스 보안의 하위집합을 기술한다. 자원 제한 플랫폼에 의해 수신된 메시지들이 효과적으로 처리될 수 있도록 핵심 표준에 제약을 가하는 SOAP 메시지 보안(WS-보안) 표준. WS-보안 표준은 SOAP 메시지의 보안성을 확보하고, 메시지 통합성과 기밀성을 제공하며, SOAP 메시지를 통해 보안정보를 교환하는 융통성 있는 방법을 설명한다. WS-보안은 다양한 보안모델을 지원하기 위해 사용될 수 있다. WS-보안은 여러 보안 토큰(token) 포맷, 다중 신뢰 도메인, 다중 서명 포맷, 다중 암호화 기술과 종단간(end-to-end) 메시지 콘텐츠 보안을 지원한다. WS-보안과 WS-보안 미니멀리스트 프로파일은 애플리케이션이 안전한 방법으로 SOAP 메시지를 교환하기 위한 프레임워크와 구문법을 제공한다. WS-보안 또는 WS-보안 미니멀리스트 프로파일의 사용과 구현은 구성된 시스템이 공격에 취약하지 않도록 보장할 필요를 부정하지는 않는다. |
해설
이 해설은 본체 및 부속서에 규정ㆍ기재한 사항 및 이것에 관련된 사항을 설명하는 것으로 표준의 일부는 아니다. 1. 제정의 취지 이러닝 서비스 다양화 및 고도화에 따라 이러닝 표준에 대한 필요성과 수요가 나날이 급증하고 있으며, 나아가 표준화를 지향하고 있는 국내외적 요구와 환경에 대응하기 위한 기반 마련이 시급하다. 또한, 국제 이러닝 표준화 분야에서 선진국간의 치열한 경쟁이 심화되고 있는 시점에서 국내 산업 및 국가 지식경쟁력 강화를 위한 실천적 차원의 표준화 추진 사례가 부족한 실정이다. 따라서 이러닝 표준화 요소 중 글로벌 경쟁력을 갖춘 웹서비스 표준을 우선 단체표준으로 제안함으로써 산업 경쟁력 및 교육경쟁력 강화를 도모하고자 한다. 효율적인 단체표준 개발을 위해 IMS 웹서비스 표준을 인용하였다. 2. 제정의 경위- 제1차 개발위원회(2009.1.): 단체표준 개발을 위한 참여 전문가를 위촉하고 규격 제정 취지와 규격의 제정 방향을 설정하였고, 초안 작성 기준을 토의하였다.
- 제2차 개발위원회(2009.3.): IMS GLC의 이러닝 표준을 기초로 작성한 초안을 통하여 부합화에 적합한 표준 용어를 정의하였다.
- 제3차 개발위원회(2009.5.): 기초(안)을 작성하여 적용범위, 인용표준, 용어정의 등의 내용을 검토하고, 참여진의 표준의 이해도를 높이기 위해 규격에 대한 검수 작업을 실시 하였다.
- 제4차 개발위원회(2009.6.): 표준 수정(안)을 토대로 IMS Korea 표준화 포럼의 표준 심사위원회를 통하여 표준을 검토하고 의견을 수렴하였다.
- 인용 표준의 형식은 KS A 0001의 구성에 맞게 조정하며, 연도는 삭제한다. (2009년 6월)
- 표준 규격서의 목차는 적용 범위 인용표준, 용어 정의 순으로 목차를 정렬 하며, 단, 원문에 서론이 있는 경우 서론은 유지한다. (2009년 6월)
- NETg, Boein Coporation와 같은 고유한 회사명은 A, B 형태의 가칭으로 대체 표기한다. (2009년 6월)
- 그림, 표, 본문 등에 포함된 영어를 최대한 번역하여 국문으로 표기한다. (2009년 10월)
- MS GLC의 표준 인용 정책에 의하여 페이지의 'IPR 공지’ 및 'IMS 로고’ 적용은 현행을 유지하며, 규격의 매 페이지마다 포함된 copyright 표기 문구는 삭제한다. (2009년 10월)
- 규격에 해설서(제정의 취지 등) 내용을 추가 작성한다. (2009년 10월)
표준개발 참여자(경칭생략, 무순)
|
성 명 |
근 무 처 |
직 위 |
|
조용상 |
한국교육학술정보원 |
팀장 |
|
김종현 |
계원디자인예술대학 |
교수 |
|
김현진 |
한국교원대학교 |
교수 |
|
정광식 |
한국방송통신대학교 |
교수 |
|
황대준 |
성균관대학교 |
교수 |
|
고영승 |
(주)디유넷 |
대리 |
|
이정우 |
(주)포씨소프트 |
차장 |
|
장근원 |
(주)크레듀 |
과장 |
|
정호원 |
(주)씨티유니온 |
차장 |
|
지승환 |
테크빌닷컴(주) |
차장 |
|
최성기 |
SK C&C |
과장 |
|
권영진 |
한국교육학술정보원 |
연구원 |
|
최미애 |
한국교육학술정보원 |
연구원 |