오픈솔라리스, 보안 그리고 미국 국가 안전국(NSA)
지난 주에는 매우 중요한 발표가 있었습니다. 바로 둘째 가라면 서러울 정도로 보안을 중요시하는 미국 국가 안전국(NSA)과 협력관계를 맺기로 한 것이었습니다. NSA는 썬과 다른 커뮤니티 구성원이 협력하여 보안이 철저한 운영 체제의 미래를 향해 급성장 중인 오픈솔라리스 커뮤니티에 가입했습니다.
그 배경을 말씀드리자면, 썬은 시장에서 혁신적인 변화를 수행할 때 커뮤니티의 참여를 항상 가장 중요한 수단으로 사용해 왔습니다. 즉, 극단적인 요구를 제시하는 단체(세계에서 가장 큰 슈퍼 컴퓨팅 시설, 가장 까다로운 보안을 요구하는 전문가(절대 나쁜 뜻이 아닙니다), 가장 큰 아카이브 스토리지 시설 등)들과 협력한 다음, 이를 통해 얻은 노하우를 일반 대중을 위한 제품을 만드는 데 활용하는 것입니다. 가장 앞서나가는 고객들을 통해 나머지 고객에게 무엇을 제공해야 할지 알아내는 것이죠.
대부분의 경우 앞서나가는 고객의 취향이 향후 업계 전체가 나아갈 방향을 가리키는 훌륭한 지표의 역할을 합니다.
지금까지 이와 같은 협력관계에는 각종 기밀 제한, 지적 재산권 교환, 번거로운 기관 절차 등을 기술하는 수백 페이지의 법률 문서가 필요했지만, 이제 썬
이 오픈 소스 커뮤니티를 끌어안음에 따라 가장 효과적인 협력관계는 바로 "커뮤니티에 가입하세요"라는 말 한마디로 요약되었습니다. 오픈솔라리스 커뮤니티에 가입한 국가 안전국이 이 사실을 잘 보여 주죠.
협력관계의 내용을 자세히 설명하기보다는, 실무를 담당한 썬 연방 시스템 그룹(Federal Systems Group)의 사장인 Bill Vass에게 제가 질문을 잔뜩 보내서 얻어낸 답변을 여러분께 알려드리고 싶군요. 내용은 다음과 같습니다.
빌, 이번에 발표한 내용이 무엇이죠?
FMAC(Flexible Mandatory Access Control)라는 오픈솔라리스 커뮤니티 프로젝트에 보안 연구를 통합하도록 NSA와 협력관계를 맺었다는 내용입니다. 프로젝트 보도 자료는 여기 있습니다.
FMAC(Flexible Mandatory Access Control)라는 것이 무엇이죠?
일반적으로 MAC(Mandatory Access Control)는 운영 체제에 구현된 메커니즘으로서, 시스템 권한을 절대적으로 제한하는 역할을 합니다. 예를 들어, 사용 권한 없이는 다른 사람의 여권 파일을 보거나 업무상 중요한 배포 작업 도중 시스템을 끌 수 없도록 하는 등의 사용 권한을 관리하는 것입니다.
하지만 한 종류의 MAC가 모든 경우에 적합할 수는 없으므로 유연성이 필요합니다. 정보 자산과 시스템의 가치, 이를 보호하는 방법에 따라 각 시스템의 보안 목표는 서로 다를 수 있으므로 확장 가능한 적용 모델을 바탕으로 액세스 제어의 실제 요구에 맞도록 보안 정책을 기술해야 하기 때문입니다.
따라서 말 그대로 유연한, Flexible MAC입니다. 이에 대한 자세한 내용은 여기에서 볼 수 있습니다. 소비자와 기업을 포함한 모든 이들이 간단하고 사용하기 쉬운 액세스 제어를 원하고 있기 때문에, FMAC는 정부 뿐만 아니라 커뮤니티 사이트나 은행에서도 활용할 수 있습니다.
어떤 단체들이 프로젝트에 참여하고 있나요?
썬과 NSA가 오픈솔라리스 커뮤니티에서 협력하고 있으며 앞으로 더 많은 단체들이 참여할 것입니다. 오픈 소스 기업인 썬의 주요 이점 중 하나는 개방된 초대형 커뮤니티 내에 혁신 기술을 도입할 수 있다는 것입니다. 특히 보안 기술의 경우, 개발의 투명성이 절대적으로 중요합니다. 심지어 NSA라고 해도 마찬가지입니다. 오픈 소스 플랫폼에는 트로이 목마를 몰래 설치할 수 없기 때문에 보안을 중요시하는 고객이 공급업체를 믿을 수 있을 뿐만 아니라, 원한다면 실제로 확인해 볼 수도 있습니다.
이와 같은 협력관계는 기술 및 상업 발전을 중시하는 정부 사용자에게 오픈솔라리스 커뮤니티의 무결성을 입증하는 보증수표가 됩니다.
NSA가 썬을 선택한 이유는 무엇인가요?
국가 간의 관계에서는 보안과 성능이 실제로 가장 중요합니다. 썬은 처음부터 보안에 초점을 맞추었고 20년 넘게 신뢰할 수 있는 운영 체제 사업에서 경험을 쌓아 왔습니다. 참고로, 약 10년 전에 미국 정부와의 협력관계를 통해 탄생한 제품이 바로 트러스티드 솔라리스입니다.
썬의 보안 기술은 휴대폰의 SIM 카드에서부터 세계적인 대형 웹 서비스의 핵심인 ID 관리 플랫폼에 이르기까지 모든 곳에 활용되고 있으며, 솔라리스는 군사용 시스템에서부터 명령 및 제어 시스템에 이르기까지 가장 안전한 오픈 소스 OS로 오랫동안 인정받아 왔습니다. 따라서 자연스럽게 썬과 협력관계를 맺게 된 것이라고 생각합니다.
방금 말씀하신 NSA 보안 연구를 통합한다는 것은 무슨 뜻인가요?
현재 FLASK(Flux Advanced Security Kernel) 아키텍처와 TE(Type Enforcement) 정책에 대한 NSA의 연구를 솔라리스 트러스티드 익스텐션(Solaris Trusted Extensions) 기술과 결합할 방법을 찾고 있습니다. 이 둘은 상호 보완의 잠재력이 있으며 완전한 오픈 소스 애플리케이션의 스택 전달 과정, 즉 MySQL에서 글래스피쉬/자바를 거쳐 사용자에 이르는 경로에 응용할 수 있을 것으로 예상됩니다.
Flask 아키텍처는 정책 자체와 정책 적용을 분리합니다. 운영 환경에서 적용 "훅"을 변경하지 않고도 정책을 수정할 수 있기 때문에 보안 관리자의 작업이 수월해질 뿐만 아니라 시스템이 보다 유연해지고 유용해집니다.
트러스티드 익스텐션 정책을 통해 매우 세부적인 액세스 제어를 설정하면 악의적인 소프트웨어를 방지할 수 있습니다.
썬이 NSA와 함께 이 작업에 뛰어든 것은 무엇 때문이죠?
여러 정부에서 썬에 솔라리스 Flask/TE 기반 구현을 요청했습니다. 솔라리스 트러스티드 익스텐션이 릴리스된 지금이 바로 미래를 준비할 때입니다. 솔라리스 트러스티드 익스텐션을 통해 이미 훌륭한 다중계층 보안(MLS, Multilevel Security) 인프라가 갖춰졌지만, 이렇게 결합된 기술은 민감한 정부 정보는 물론 주요 엔터프라이즈, 그리고 궁극적으로는 전화기 또는 디지털 비디오 레코더 같은 소비자 전자 제품까지도 전부 보호할 수 있는 하나의 확장 가능한 플랫폼을 제공할 것입니다.
FMAC는 어떤 고객을 대상으로 하나요?
앞서 말씀 드렸듯이 MAC 기반 시스템은 주로 정부 기관에서 사용합니다. 앞으로의 목표는 소규모 시작 업체에서 대기업에 이르는 상업 시장에서 FMAC와 같은 기술을 더 많이 활용하도록 하는 것입니다. 정부에서 먼저 도입한 보안 기술이 이후 상업 시장의 보안에 적용되는 것이 최근의 추세입니다.
예전에는 높은 수준의 보안 기술이 소수의 사용자에게만 필요했으나 지금은 모두에게 필수가 되었으며, 미국 정부와 해외 정부는 물론 무엇보다 일반 사용자에게도 매우 중요해졌습니다.
참여는 미국에서만 가능한가요?
아니요. 오픈솔라리스 프로젝트는 글로벌 커뮤니티의 도움을 통해 더욱 발전할 수 있습니다. 협력을 원하는 단체는 Opensolaris.org에서 계정을 만들고 가입해 주십시오.
개방형 소스 커뮤니티에서 FMAC에 대해 썬 팀과 논의하고 싶은 경우에는 어떻게 해야 하나요?
Bill.Vass@Sun.com으로 이메일을 보내주십시오. 워싱턴 DC는 물론 전 세계의 수많은 담당 직원이 상담을 원하는 모든 조직에게 보안 및 오픈 소스, 그리고 커뮤니티에 가입하여 보안 혁신을 위해 협력하는 방법에 대해 설명해 드리고 있습니다. 지금 바로 가입하세요!
고맙습니다, 빌. 정말 큰 도움이 되었어요.
천만에요.
Posted on 12:00오전 3월 25, 2008 |
Share this post
|
|
|
|
|
|