KR101039975B1 - Method for tracking information transmission in cross domains and communication system therefor - Google Patents

Method for tracking information transmission in cross domains and communication system therefor Download PDF

Info

Publication number
KR101039975B1
KR101039975B1 KR1020090013556A KR20090013556A KR101039975B1 KR 101039975 B1 KR101039975 B1 KR 101039975B1 KR 1020090013556 A KR1020090013556 A KR 1020090013556A KR 20090013556 A KR20090013556 A KR 20090013556A KR 101039975 B1 KR101039975 B1 KR 101039975B1
Authority
KR
South Korea
Prior art keywords
information
guard
transmission
guard device
data packet
Prior art date
Application number
KR1020090013556A
Other languages
Korean (ko)
Other versions
KR20100094232A (en
Inventor
최형기
한찬규
김예호
Original Assignee
성균관대학교산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 성균관대학교산학협력단 filed Critical 성균관대학교산학협력단
Priority to KR1020090013556A priority Critical patent/KR101039975B1/en
Publication of KR20100094232A publication Critical patent/KR20100094232A/en
Application granted granted Critical
Publication of KR101039975B1 publication Critical patent/KR101039975B1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G06F15/161—Computing infrastructure, e.g. computer clusters, blade chassis or hardware partitioning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6236—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database between heterogeneous systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2113—Multi-level security, e.g. mandatory access control

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Automation & Control Theory (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mathematical Physics (AREA)
  • Databases & Information Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

교차도메인 상에서의 정보전송 추적 방법 및 이를 위한 통신 시스템이 개시된다. 상기 교차 도메인 상에서 정보전송을 추적하기 위한 통신 시스템은 제1 도메인에 속하며, 정보 전송이 요청되면 자신의 가드 ID(Identity), 상기 정보가 어느 보안 등급의 수신자에 의해 열람이 가능한 지를 나타내는 보안 등급 정보, 및 상기 정보의 소스를 확인할 수 있도록 한 소스 인증 정보를 획득하고, 이들을 이용하여 상기 정보를 위한 데이터 패킷을 생성하여 전송하는 송신 가드 장치와, 제2 도메인에 속하며, 상기 송신 가드 장치로부터 데이터 패킷을 수신하면 상기 송신 가드 장치로 인증 및 키분배를 요청하는 수신 가드 장치를 포함한다. 그에 따라, 본 발명은 교차도메인(Cross-domain) 상에서의 플로우 어플리케이션(HTTP, FTP, SMTP, VoIP)에 적용될 수 있는 패킷라벨링을 제공할 수 있다.Disclosed are a method for tracking information transmission on a cross domain and a communication system for the same. The communication system for tracking information transmission on the cross domain belongs to a first domain, and if information transmission is requested, its security ID and security level information indicating which security level can be viewed by the recipient of which security level. And a transmission guard device for acquiring source authentication information for identifying the source of the information, and generating and transmitting a data packet for the information using the source guard information, the transmission guard device belonging to a second domain, and a data packet from the transmission guard device. And a reception guard device for requesting authentication and key distribution to the transmission guard device. Accordingly, the present invention can provide packet labeling that can be applied to flow applications (HTTP, FTP, SMTP, VoIP) on a cross-domain.

TLS, IPsec TLS, IPsec

Description

교차도메인 상에서의 정보전송 추적 방법 및 이를 위한 통신 시스템{Method for tracking information transmission in cross domains and communication system therefor}Method for tracking information transmission in cross domains and communication system therefor}

본 발명은 교차도메인 상에서의 정보전송 추적 방법 및 이를 위한 통신 시스템에 관한 것이다. The present invention relates to a method for tracking information transmission on a cross domain and a communication system for the same.

최근 들어 인터넷은 기존의 클라이언트-서버 간 통신(도메인 간) 외에, 접근/보안 권한이 다른 다수의 네트워크가 결합된 형태로 발전하게 되었다. 이러한 상황에서 네트워크를 넘나드는 교차도메인(cross-domain)간 사용자 접속, 데이터 전송이 수시로 발생하고 있다. 기존에는 이메일을 이용한 첨부파일 형태(텍스트 혹은 문서 등의 바이너리 파일)로 도메인 간 정보전송이 이루어졌으나, 최근 플로우(flow) 기반의 어플리케이션 (HTTP(Hyper Text Transfer Protocol), VoIP(Voice over Internet Protocol), FTP(File Transfer Protocol) 등)을 이용한 정보전달 상황이 다수 발생하고 있다.In recent years, the Internet has developed into a combination of a number of networks with different access / security rights, in addition to the existing client-server communication (domain-to-domain). In this situation, user access and data transmission between cross-domains across a network are frequently occurring. Previously, information transfer was performed between domains in the form of an attachment file (binary file such as text or document) using e-mail, but recently, a flow-based application (HTTP (Hyper Text Transfer Protocol), VoIP (Voice over Internet Protocol)) And information transfer using FTP (File Transfer Protocol) have occurred.

종래에는 교차도메인 상에서 데이터 또는 정보의 이동 시 사용자의 인증정보 이동 및 보안세션 유지에 관련하여 개발 및 연구가 이루졌다. 그러나, 플로우 기반 어플리케이션은 바이너리 파일의 정보전달과 다르게, 정보전송의 흐름을 추적하고 사용자를 일일이 확인하기가 쉽지 않다. In the related art, development and research have been made in relation to the movement of authentication information of a user and the maintenance of a security session when data or information is moved on a cross domain. However, the flow-based application, unlike the information transfer of the binary file, it is not easy to track the flow of information transmission and identify the user.

따라서, 본 발명의 목적은 교차도메인 상에서 정보교환 시 플로우 기반 어플리케이션의 정보전송을 추적하는 방법 및 이를 위한 통신 시스템을 제공함에 있다. Accordingly, an object of the present invention is to provide a method for tracking information transmission of a flow-based application during information exchange on a cross domain and a communication system for the same.

상기 목적을 달성하기 위한 본 발명의 일 측면에 따라, 교차 도메인 상에서 정보전송을 추적하기 위한 통신 시스템은 제1 도메인에 속하며, 정보 전송이 요청되면 자신의 가드 ID(Identity), 상기 정보가 어느 보안 등급의 수신자에 의해 열람이 가능한 지를 나타내는 보안 등급 정보, 및 상기 정보의 소스를 확인할 수 있도록 한 소스 인증 정보를 획득하고, 이들을 이용하여 상기 정보를 위한 데이터 패킷을 생성하여 전송하는 송신 가드 장치와, 제2 도메인에 속하며, 상기 송신 가드 장치로부터 데이터 패킷을 수신하면 상기 송신 가드 장치로 인증 및 키분배를 요청하는 수신 가드 장치를 포함한다.According to an aspect of the present invention for achieving the above object, a communication system for tracking information transmission on a cross domain belongs to the first domain, and if the information transmission is requested, its security identity (ID), which security A transmission guard device which obtains security level information indicating whether or not it can be viewed by a class of recipients, and source authentication information for identifying the source of the information, and uses these to generate and transmit a data packet for the information; And a reception guard device belonging to a second domain and requesting authentication and key distribution to the transmission guard device upon receiving a data packet from the transmission guard device.

여기에서, 상기 수신 가드 장치는 상기 송신 가드 장치로부터 상기 데이터 패킷을 수신하면 상기 데이터 패킷으로부터 상기 가드 ID 및 소스 인증 정보를 획득하여 상기 송신 가드 장치에 대한 인증을 수행한다.Here, when the reception guard device receives the data packet from the transmission guard device, the reception guard device obtains the guard ID and source authentication information from the data packet and performs authentication on the transmission guard device.

상기 송신 가드 장치는 상기 정보 전송이 요청되면 TTP(Trusted Third Party)에게 상기 가드 ID를 송신하면서 비밀키와 공개키를 요청하고, 상기 TTP로부 터 비밀키와 공개키를 수신하면, 상기 비밀키 및 보안등급 정보를 이용하여 서명을 생성함으로써 소스 인정 정보를 생성한다.The transmission guard device requests a secret key and a public key while transmitting the guard ID to a trusted third party (TTP) when the information transmission is requested, and receives the secret key and the public key from the TTP. Source authentication information is generated by generating a signature using the security level information.

여기에서, 상기 송신 가드 장치는 상기 수신 가드 장치가 상기 데이터 패킷에 대한 인증 및 키분배를 요청하면, 상기 보안등급 정보를 확인하여 상기 수신 가드 장치가 상기 데이터 패킷을 열람할 수 있는 지를 판단하고 열람 가능하면 암호 세션키를 공개키로 암호화하여 상기 수신 가드 장치로 전송한다.Here, when the reception guard device requests authentication and key distribution for the data packet, the transmission guard device checks the security level information to determine whether the reception guard device can view the data packet and then reads it. If possible, the encrypted session key is encrypted with the public key and transmitted to the receiving guard device.

여기에서, 상기 송신 가드 장치는 상기 데이터 패킷의 헤더에 Guard Identity 필드, Classification 필드, 및 Source authentication information 필드를 생성하고, 이들 필드에 각각 상기 가드 ID(Guard Identity), 보안등급 정보 및 인증 정보를 기록하거나 삽입한다.Here, the transmitting guard device generates a Guard Identity field, a Classification field, and a Source authentication information field in a header of the data packet, and records the Guard ID, security level information, and authentication information in these fields, respectively. Or insert it.

또한, 본 발명의 다른 측면에 따라, 통신 시스템에서 교차 도메인 상에서 정보 전송을 추적하기 위한 방법은 제1 도메인에 속하는 송신 가드 장치가 정보 전송이 요청되면 자신의 가드 ID(Identity), 상기 정보가 어느 보안 등급의 수신자에 의해 열람이 가능한 지를 나타내는 보안 등급 정보, 및 상기 정보의 소스를 확인할 수 있도록 한 소스 인증 정보를 획득하는 단계와, 상기 송신 가드 장치가 상기 가드 ID, 보안등급 정보 및 소스 인증 정보를 상기 전송 요청된 정보를 위한 데이터 패킷을 생성하여 전송하는 단계와, 제2 도메인에 속하는 수신 가드 장치가 상기 송신 가드 장치로부터 데이터 패킷을 수신하면 상기 송신 가드 장치로 인증 및 키분배를 요청하는 단계를 포함한다. In addition, according to another aspect of the present invention, a method for tracking information transmission on a cross domain in a communication system, if a transmission guard device belonging to the first domain is requested to transmit information, its guard ID (identity), Acquiring security class information indicating whether the security class can be viewed by a receiver of the security class, and source authentication information for identifying the source of the information, and the transmitting guard apparatus obtaining the guard ID, security class information, and source authentication information. Generating and transmitting a data packet for the information requested to be transmitted; and requesting authentication and key distribution to the transmission guard device when the reception guard device belonging to the second domain receives the data packet from the transmission guard device. It includes.

여기에서, 상기 정보 전송 추적 방법은, 상기 수신 가드 장치는 상기 송신 가드 장치로부터 상기 데이터 패킷을 수신하면 상기 데이터 패킷으로부터 상기 가드 ID 및 소스 인증 정보를 획득하는 단계와, 상기 수신 가드 장치는 상기 송신 가드 장치에 대한 인증을 수행하는 단계를 더 포함한다. The information transmission tracking method may include: acquiring the guard ID and source authentication information from the data packet when the reception guard device receives the data packet from the transmission guard device, and the reception guard device transmits the transmission packet. The method may further include performing authentication on the guard device.

여기에서, 상기 정보 전송 추적 방법은, 상기 송신 가드 장치는 상기 정보 전송이 요청되면 TTP(Trusted Third Party)에게 상기 가드 ID를 송신하면서 비밀키와 공개키를 요청하는 단계와, 상기 송신 가드 장치는 상기 TTP로부터 비밀키와 공개키를 수신하면, 상기 비밀키 및 보안등급 정보를 이용하여 서명을 생성함으로써 소스 인정 정보를 생성하는 단계를 더 포함한다. The information transmission tracking method may include: requesting a secret key and a public key from the transmission guard device by transmitting the guard ID to a trusted third party (TTP) when the information transmission is requested; When receiving the secret key and the public key from the TTP, generating a source authentication information by generating a signature using the secret key and security level information.

여기에서, 상기 정보 전송 추적 방법은, 상기 송신 가드 장치가 상기 수신 가드 장치가 상기 데이터 패킷에 대한 인증 및 키분배를 요청하면, 상기 보안등급 정보를 확인하여 상기 수신 가드 장치가 상기 데이터 패킷을 열람할 수 있는 지를 판단하는 단계와, 상기 송신 가드 장치는 상기 수신 가드 장치가 상기 데이터 패킷을 열람 가능하면 암호 세션키를 공개키로 암호화하여 상기 수신 가드 장치로 전송하는 단계를 더 포함한다. Here, in the information transmission tracking method, when the reception guard device requests authentication and key distribution for the data packet, the transmission guard device checks the security level information and the reception guard device reads the data packet. Determining whether it is possible, and the transmitting guard apparatus further comprises encrypting an encrypted session key with a public key if the receiving guard apparatus is able to read the data packet and transmitting the encrypted session key to the receiving guard apparatus.

여기에서, 상기 정보 전송 추적 방법은, 상기 송신 가드 장치가 상기 데이터 패킷의 헤더에 Guard Identity 필드, Classification 필드, 및 Source authentication information 필드를 생성하고, 이들 필드에 각각 상기 가드 ID(Guard Identity), 보안등급 정보 및 인증 정보를 기록하거나 삽입하는 단계를 더 포함한다. Here, in the information transmission tracking method, the transmission guard device generates a Guard Identity field, a Classification field, and a Source authentication information field in the header of the data packet, respectively, the guard ID (Guard Identity), security in these fields And recording or inserting the grade information and the authentication information.

여기에서, 상기 Classification 필드는 8비트의 길이를 가지며, 비보 안(Unclassified) 등급을 나타내는 0x01, 비밀(Confidential) 등급을 나타내는 0x02, 기밀(Secret) 등급을 나타내는 0x03, 및 일급 비밀(Top secret) 등급을 나타내는 0x04의 값을 가진다. Here, the Classification field has a length of 8 bits, 0x01 representing an unclassified grade, 0x02 representing a confidential grade, 0x03 representing a secret grade, and a top secret grade. It has a value of 0x04.

여기에서, 상기 가드 ID는 글로벌(global) CA((Certificate Authority)에 의해 인식 가능하다. Here, the guard ID can be recognized by a global certificate authority (CA).

여기에서, 상기 데이터 패킷은 TLS(Transport Layer Security) 및 Ipsec(Internet Protocol Security) 패킷 중 어느 하나이다. Here, the data packet is any one of a transport layer security (TLS) and an internet protocol security (IPsec) packet.

여기에서, 상기 전송 요청된 정보는 플로우 기반 어플리케이션 정보이다.Herein, the information requested to be transmitted is flow-based application information.

여기에서, 상기 플로우 기반 어플리케이션은 HTTP(Hyper Text Transfer Protocol), FTP(File Transfer Protocol), SMTP(Simple Mail Transfer Protocol) 및 VoIP(Voice over Internet Protocol) 중 어느 하나이다. Here, the flow-based application is any one of Hyper Text Transfer Protocol (HTTP), File Transfer Protocol (FTP), Simple Mail Transfer Protocol (SMTP), and Voice over Internet Protocol (VoIP).

본 발명은 교차도메인(Cross-domain) 상에서의 인증, 암호화 기법에 대한 연구가 아닌 정보전달 시 발생할 수 있는 사용자 시나리오와 보안요구사항에 대해 제안하였다. 또한 플로우 어플리케이션(HTTP, FTP, SMTP(Simple Mail Transfer Protocol), VoIP)에 적용될 수 있는 패킷라벨링 기법을 제시하고 있다. 교차도메인 상황에서의 정보전달 시 본 발명의 권고사항을 통하여 시스템을 구축할 수 있다.The present invention proposes a user scenario and security requirements that can occur during information transfer, not a study on authentication and encryption schemes in a cross-domain. It also proposes packet labeling techniques that can be applied to flow applications (HTTP, FTP, Simple Mail Transfer Protocol (SMTP), and VoIP). When communicating information in a cross-domain situation, the system can be constructed through the recommendations of the present invention.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다. As the invention allows for various changes and numerous embodiments, particular embodiments will be illustrated in the drawings and described in detail in the written description. However, this is not intended to limit the present invention to specific embodiments, it should be understood to include all modifications, equivalents, and substitutes included in the spirit and scope of the present invention. Like reference numerals are used for like elements in describing each drawing.

제1, 제2, A, B 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다. The terms first, second, A, B, etc. may be used to describe various elements, but the elements should not be limited by the terms. The terms are used only for the purpose of distinguishing one component from another. For example, without departing from the scope of the present invention, the first component may be referred to as the second component, and similarly, the second component may also be referred to as the first component. And / or < / RTI > includes any combination of a plurality of related listed items or any of a plurality of related listed items.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다. When a component is referred to as being "connected" or "connected" to another component, it may be directly connected to or connected to that other component, but it may be understood that other components may be present in between. Should be. On the other hand, when a component is said to be "directly connected" or "directly connected" to another component, it should be understood that there is no other component in between.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지 다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.The terminology used herein is for the purpose of describing particular example embodiments only and is not intended to be limiting of the present invention. Singular expressions include plural expressions unless the context clearly indicates otherwise. In this application, the terms "comprise" or "have" are intended to indicate that there is a feature, number, step, action, component, part, or combination thereof described in the specification, and one or more other It is to be understood that the present invention does not exclude the possibility of the presence or the addition of features, numbers, steps, operations, components, parts, or a combination thereof.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.Unless defined otherwise, all terms used herein, including technical or scientific terms, have the same meaning as commonly understood by one of ordinary skill in the art. Terms such as those defined in the commonly used dictionaries should be construed as having meanings consistent with the meanings in the context of the related art and shall not be construed in ideal or excessively formal meanings unless expressly defined in this application. Do not.

이하, 본 발명에 따른 실시예들을 첨부된 도면을 참조하여 상세하게 설명한다.Hereinafter, embodiments according to the present invention will be described in detail with reference to the accompanying drawings.

도 1은 교차도메인 상에서 사설 도메인(protected domain)과 퍼블릭 도메인(public domain) 간의 연결 및 네트워크 구조를 나타낸 도면이다.FIG. 1 is a diagram illustrating a connection and network structure between a protected domain and a public domain on a cross domain.

도 1을 참조하면, 교차도메인은 인터넷 등으로 오픈된 퍼블릭 도메인(20)과, 다양한 사설(private(=protected)) 도메인(10) 간의 연결로 이루어질 수 있다. 도 1에서는 사설(protected) 도메인(10)과 퍼블릭 도메인(20) 구성과 네트워크 요소를 보여준다. 도 1에서는 하나의 사설(protected) 도메인(10)과 하나의 퍼블릭 도메인(20)이 도시되어 있지만, 다수개의 사설 도메인들과 다수개의 퍼블릭 도메인들이 서로 연결될 수 있다. Referring to FIG. 1, a cross domain may be formed by a connection between a public domain 20 opened through the Internet and various private (= protected) domains 10. 1 shows the configuration of the protected domain 10 and the public domain 20 and the network elements. In FIG. 1, one protected domain 10 and one public domain 20 are illustrated, but a plurality of private domains and a plurality of public domains may be connected to each other.

사설(Protected) 도메인(10)은 제1 라우터(12), 제1 가드 장치(14) 및 제1 유저(16)를 포함한다. 또한, 사설 도메인(10)은 도 1에 도시되지 않았지만, 방화벽 및 CA(Certificate Authority)를 포함한다. 사설 도메인에는 각종 어플리케이션 서버, 개별 호스트 그리고 MLS, 인증 서버 및 로컬 CA(Key Distribution Centre 포함)이 존재한다. The protected domain 10 includes a first router 12, a first guard device 14, and a first user 16. In addition, the private domain 10, although not shown in FIG. 1, includes a firewall and a certificate authority (CA). In a private domain, there are various application servers, individual hosts, and MLS, certificate servers, and local CAs (including key distribution centers).

퍼블릭 도메인(20)은 제2 라우터(22), 제2 가드 장치(24) 및 제2 유저(26)를 포함한다. 또한, 퍼블릭 도메인(20)은 도 1에 도시하지 않았지만, 일반 인터넷과 같은 구조로, 어플리케이션 서버 및 루트(Root) CA(Certificate Authority)를 포함한다.The public domain 20 includes a second router 22, a second guard device 24, and a second user 26. In addition, although not shown in FIG. 1, the public domain 20 has a structure similar to a general Internet, and includes an application server and a root certificate authority (CA).

본 발명은 교차도메인에서 통신 방향에 따라 사설 도메인에서 퍼블릭 도메인으로(protected to public), 퍼블릭 도메인에서 사설 도메인으로(public to protected), 및 사설 도메인에서 사설 도메인으로(protected to protected)와 같이 총 3 방향의 정보 전송 시나리오를 기술한다. 또한, 본 발명은 정보전송 도구로 사용될 수 있는 플로우 기반 어플리케이션의 정보전송 추적 방법을 기술한다. The present invention provides a total of 3 protection schemes, such as protected domain from public domain to public domain, public domain to public domain, and private domain to private domain, depending on the direction of communication in the cross domain. Describes information transfer scenarios for directions. In addition, the present invention describes an information transmission tracking method of a flow-based application that can be used as an information transmission tool.

먼저, 교차도메인에서의 정보 전송 시나리오가 기술된다. First, an information transmission scenario in a cross domain is described.

사설 도메인에서 퍼블릭 도메인으로(protected to public)의 정보 전송Transfer of information from private domain to public domain (protected to public)

사설 도메인에서 퍼블릭 도메인으로 데이터가 전송되는 경우, 데이터의 경로는 반드시 일반 인터넷 망을 거치게 된다. 일반 인터넷 망은 안전한 전송을 보장할 수 없기 때문에, 반드시 전송되는 데이터의 보호가 필요하다. 만약 데이터의 수신자가 퍼블릭 도메인의 사용자인 경우, 데이터를 가장 낮은 등급의 수준으로 변경하 여 민감한 데이터는 삭제하고 외부에 전송 될 수 있도록 한다. 데이터의 수신자가 사설 도메인의 사용자인 경우, 수신자의 인증을 수행하고 반드시 권한을 확인해야 한다. 사설 도메인의 외부로 전송되는 데이터는 전송과정 및 데이터 정보가 가드 장치에 로그를 남겨야 한다.When data is transferred from the private domain to the public domain, the path of the data must go through the general Internet network. Since the general Internet network cannot guarantee a secure transmission, it is necessary to protect the data transmitted. If the recipient of the data is a user in the public domain, change the data to the lowest level so that sensitive data can be deleted and transmitted externally. If the recipient of the data is a user in a private domain, the recipient must be authenticated and the authorization must be verified. For data transmitted outside of the private domain, the transmission process and data information should leave a log on the guard device.

퍼블릭 도메인에서 사설 도메인으로(public to protected)의 정보 전송Transfer of information from public domain to private domain (public to protected)

퍼블릭 도메인에서 사설 도메인으로 데이터가 전송되는 경우, 유입되는 데이터의 안전성이 가장 중요한 고려사항이 된다. 데이터의 안전성을 보장하기 위해서 송신자의 정보를 파악해야 하며, 전송되는 과정에서 데이터가 변경되었는지 확인해야 한다.When data is transferred from the public domain to the private domain, the safety of the incoming data is the most important consideration. To ensure the safety of the data, the sender's information must be identified and the data changed during the transmission.

퍼블릭 도메인의 데이터 송신자가 사설 도메인의 사용자인 경우는 사전에 정의된 시스템에 따라 공개키 및 비밀키를 사용해서 인증 과정을 수행하고 데이터의 전송을 허용하게 된다. 하지만 퍼블릭 도메인의 데이터 송신자가 퍼블릭 사용자인 경우는 사설 도메인의 사설 사용자에 의한 위임(Delegation) 과정이 없다면 데이터 전송을 허용할 수 없다. 상황에 따른 예외사항을 적용할 수 있지만 모든 책임은 해당 수신자의 데이터 등급에 의존해야 한다.When the data sender of the public domain is a user of the private domain, the authentication process is performed using the public key and the private key according to a predefined system and data transmission is allowed. However, if the data sender of the public domain is a public user, data transmission cannot be allowed unless there is a delegation process by the private user of the private domain. Exceptions may apply depending on the situation, but all responsibility should depend on the data class of the recipient.

사설 도메인에서 사설 도메인으로(protected to protected)의 정보 전송Transfer of information from a private domain to a private domain (protected to protected)

사설 도메인에서 사설(Protected) 도메인으로 데이터가 전송되는 경우, 유입되는 데이터의 보안 등급 처리가 가장 중요한 고려사항이 된다. 데이터의 전송을 허용하기 위해서는 송신측 사설 도메인의 보안 등급과 수신측 사설 도메인의 보안 등급의 조율이 사전에 협의 되어야 한다. 사전에 협의된 과정 없이 데이터를 전송 하기 위해서는 최소의 권한으로 전송되어야 한다. 사실상 사설(Protected) 도메인의 모든 데이터는 기본적인 보안 등급을 포함하기 때문에 이 경우 데이터 전송은 현실적으로 불가능하다. 이하의 설명에서는 사설(Protected) 도메인간의 보안 등급 협상이 이루어져 있다고 가정한다.When data is transferred from a private domain to a protected domain, the security level handling of incoming data is the most important consideration. In order to allow data transmission, the security level of the sending private domain and the security level of the receiving private domain must be negotiated beforehand. In order to transmit data without prior consultation, it must be transmitted with minimum authority. Virtually all data in a protected domain includes a basic security rating, so data transfer is not practical in this case. In the following description, it is assumed that security level negotiation is performed between protected domains.

이와 같이, 구성된 각 도메인들 간에는 자신의 보안 등급에 따라 데이터 또는 정보를 상호 송수신한다. As such, each configured domain exchanges data or information with each other according to its security level.

그런데, 플로우 기반 어플리케이션을 이용하여 정보를 전달할 시에는, 보다 안정적인 서비스를 위해 TCP를 사용하게 된다. VoIP의 경우도 민감한 정보가 포함되어 있기 때문에 TCP가 권장된다. 암호화, 인증을 위해서 TLS(Transport Layer Security), IPSec(Internet Protocol Security) 등의 보안 알고리즘이 사용된다. 플로우 기반 어플리케이션은 HTTP, VoIP 등이 존재한다. However, when transmitting information using a flow-based application, TCP is used for more stable service. In the case of VoIP, TCP is recommended because it contains sensitive information. Security algorithms such as TLS (Transport Layer Security) and IPSec (Internet Protocol Security) are used for encryption and authentication. Flow-based applications include HTTP and VoIP.

이 경우, 전달한 어플리케이션의 IP 패킷망 전달 시에 원하지 않는 도메인을 거치거나, 혹은 캐스케이딩(cascading)이 발생할 수 있다. 본 발명에서는, TLS와 IPSec 보안적용 하에서 플로우 기반 어플리케이션 정보 전송을 추적 또는 소스 인증하기 위한 방법을 제공한다.In this case, cascading may occur or pass through an undesired domain during IP packet network delivery of the delivered application. The present invention provides a method for tracking or source authentication of flow-based application information transmission under TLS and IPSec security.

먼저, 본 발명에 따라 정보 전송을 추적하는 방법을 설명하기 위해 도 1에서 사설 도메인(10)의 제1 유저(16)가 퍼블릭 도메인(20)의 제2 유저(26)에게 정보 전송을 요청한 것으로 가정한다. 그에 따라, 사설 도메인(10)의 제1 가드 장치(14)는 송신 가드 장치가 되며, 퍼블릭 도메인(20)의 제2 가드 장치(24)가 수신 가드 장치가 된다. First, in order to explain a method of tracking information transmission according to the present invention, the first user 16 of the private domain 10 requests the information transmission to the second user 26 of the public domain 20 in FIG. 1. Assume Accordingly, the first guard device 14 of the private domain 10 becomes a transmission guard device, and the second guard device 24 of the public domain 20 becomes a reception guard device.

도 1을 참조하면, 제1 유저(16)가 VoIP 나 HTTP 데이터를 제2 유저(26)에게 전송하면, 송신 가드 장치(14)는 제1 유저(16)로부터 플로우 기반 어플리케이션 데이터를 수신한다. Referring to FIG. 1, when the first user 16 transmits VoIP or HTTP data to the second user 26, the transmission guard device 14 receives flow-based application data from the first user 16.

송신 가드 장치(14)는 플로우 기반 어플리케이션 데이터를 이용하여 데이터 패킷을 생성한다. 이 경우, 데이터 패킷은 암호화 및 인증을 위해 TLS 또는 Ipsec 패킷이 된다.The transmission guard device 14 generates a data packet using the flow-based application data. In this case, the data packet becomes a TLS or Ipsec packet for encryption and authentication.

또한, 송신 가드 장치(14)는 본 발명에 따라 데이터 패킷의 헤더에 자신의 ID(Guard Identity), 보안등급(classification) 정보 및 소스 인증 정보를 기록하거나 삽입한다. In addition, according to the present invention, the transmission guard device 14 records or inserts its ID (Guard Identity), security level information and source authentication information in the header of the data packet.

보안 등급 정보는 데이터 패킷을 수신한 수신 가드 장치(16)가 데이터 패킷에 대한 열람을 위해 인증 및 키분배를 송신 가드 장치(14)에게 요청하는 경우에 송신 가드 장치(14)에 의해 체크되어 해당 수신 가드 장치(16)가 데이터 패킷을 오픈할 권리가 있는 지를 판단하는데 사용된다. 이 보안 등급 정보는 해당 정보 또는 데이터가 어느 보안 등급의 수신자에 의해 열람이 가능한 지를 나타내는 정보이다.The security level information is checked by the transmission guard device 14 when the reception guard device 16 that has received the data packet requests the transmission guard device 14 for authentication and key distribution for viewing the data packet. It is used to determine whether the receiving guard device 16 has the right to open a data packet. This security level information is information indicating which security level the information or data can be viewed by the recipient.

소스 인증 정보는 해당 패킷의 소스를 확인할 수 있도록 한 정보이며, 송신 가드 장치에 의해 생성된 서명값이다. 이 소스 인증 정보는 송신 가드 장치의 비밀키 및 보안 등급 정보를 이용하여 생성된다. 이를 위해 송신 가드 장치(14)는 TTP(30)에게 자신의 ID를 전송하여 공개키 및 비밀키를 요청한다. The source authentication information is information which can confirm the source of the packet, and is a signature value generated by the transmission guard apparatus. This source authentication information is generated using the secret key and the security class information of the transmission guard apparatus. To this end, the transmission guard device 14 requests its public key and private key by transmitting its ID to the TTP 30.

TTP(Trusted Third Party)(30)는 공개키를 채용한 시스템에서 채용된다. TTP(30)는 통신 쌍방만의 비밀 통신이 필요 할 경우에는 해당 통신을 위한 세션 키 를 그 때마다 생성하고 이를 당사자들에게 전송하여 해당 세션에만 사용하도록 하는 방식을 사용 할 수 있다. 또한, 공개키 방식에서도 TTP(30)가 요구된다. The Trusted Third Party (TTP) 30 is employed in a system employing a public key. TTP 30 may use a method of generating a session key for the corresponding communication each time when only a secret communication is required for both communication and transmitting the same to the parties to use the session only. In addition, the TTP 30 is also required in the public key method.

TTP(30)는 송신 가드 장치(14)로부터 그 ID를 수신하면 가드 장치(14)의 공개키 및 비밀키를 계산하고 송신 가드 장치(14)로 전송한다. When the TTP 30 receives the ID from the transmission guard device 14, the TTP 30 calculates the public key and the secret key of the guard device 14 and transmits it to the transmission guard device 14.

송신 가드 장치(14)는 비밀키 및 보안등급 정보를 이용하여 소스 인증 정보(source authentication information)를 생성한다. 구체적으로 송신 가드 장치(14)는 비밀키 및 보안등급 정보(classification)를 이용하여 서명을 생성함으로써 소스 인정 정보를 생성한다. The transmission guard device 14 generates source authentication information using the secret key and the security level information. Specifically, the transmission guard device 14 generates source authentication information by generating a signature using a secret key and security class information.

송신 가드 장치(14)는 가드 ID, 보안등급 및 소스 인정 정보를 전송할 데이터 패킷 예컨대, TLS 패킷 또는 Ipsec 패킷의 헤더에 기록하거나 삽입한다. 그리고, 송신 가드 장치(14)는 데이터 패킷을 수신 가드 장치(24)에게 전송한다.The transmission guard device 14 records or inserts the guard ID, security level, and source authentication information in the header of a data packet to be transmitted, for example, a TLS packet or an Ipsec packet. The transmission guard device 14 then transmits the data packet to the reception guard device 24.

수신 가드 장치(24)는 데이터 패킷을 수신하면 데이터 패킷으로부터 가드 ID와 소스 인증 정보를 획득하고, 송신 가드 장치에 대한 인증을 수행한다. 구체적으로, 수신 가드 장치(24)는 데이터 패킷의 Guard Identity 필드를 확인하여 송신 가드 장치(14)의 ID를 확인한 후에, 서명(소스 인증 정보)를 확인한다. 서명 확인 후에, 수신 가드 장치(24)은 인증 및 키분배를 송신 가드 장치(14)로 요청한다. When the reception guard device 24 receives the data packet, the reception guard device 24 obtains the guard ID and the source authentication information from the data packet, and performs authentication on the transmission guard device. Specifically, the reception guard device 24 confirms the ID of the transmission guard device 14 by checking the Guard Identity field of the data packet, and then confirms the signature (source authentication information). After signature verification, the reception guard device 24 requests the transmission guard device 14 for authentication and key distribution.

인증 및 키분배 요청을 받은 송신 가드 장치(14)는 보안등급 정보를 보고, 열람을 요청한 해당 수신 가드 장치(24)가 열람권한이 있는 지를 판단한다. The transmission guard device 14 having received the authentication and key distribution request looks at the security level information, and determines whether the corresponding reception guard device 24 that has requested the reading has the right to view.

송신 가드 장치(14)는 해당 수신 가드 장치(24)가 해당 패킷을 열 수 있는 권한이 있다면 암호 세션키 k를 공개키로 암호화하여 수신 가드 장치(50)에 대한 인증 및 키분배를 수행한다. The transmission guard device 14 encrypts the encrypted session key k with the public key if the receiving guard device 24 has the authority to open the packet, and performs authentication and key distribution for the reception guard device 50.

그에 따라, 수신 가드 장치(24)는 공개키를 이용하여 암호 세션키를 해독하고, 암호 세션키로 암호화 된 TLS, Ipsec 패킷을 열람할 수 있다. Accordingly, the reception guard device 24 can decrypt the encrypted session key using the public key, and read the TLS and Ipsec packets encrypted with the encrypted session key.

이하, 이러한 플로우 기반 어플리케이션 정보 전송의 추적하는 방법을 송신 가드 장치와 수신 가드 장치 간의 메시지 흐름을 참조하여 설명한다.Hereinafter, a method of tracking the flow-based application information transmission will be described with reference to the message flow between the transmission guard device and the reception guard device.

도 2는 본 발명의 바람직한 실시예에 따른 정보전송 추적 방법을 나타낸 메시지 흐름도이다.2 is a message flow diagram illustrating an information transmission tracking method according to a preferred embodiment of the present invention.

도 2를 참조하면, 먼저, 송신 가드 장치(14)는 단계 102에서 VoIP 또는 HTTP 데이터 송신이 요청되는 지를 판단한다. 예컨대, 도 1에서 제1 유저(16 또는 제2 유저(26)가 제2 유저(26) 또는 제1 유저(16)로 데이터 전송을 요청할 수 있다. Referring to FIG. 2, first, the transmission guard apparatus 14 determines whether a VoIP or HTTP data transmission is requested in step 102. For example, in FIG. 1, the first user 16 or the second user 26 may request data transmission to the second user 26 or the first user 16.

그러면 송신 가드 장치(14)는 단계 104에서 TTP(30)로 자신의 ID(Guard Identity)를 전송한다. TTP(30)는 단계 106에서 송신 가드 장치(40)의 공개키 및 비밀키를 계산한다. 여기에서 공개키는 QID = h1(ID)이며, 비밀키는 dID=sQID이다. TTS(30)는 송신 가드 장치(14)의 공개키 및 비밀키를 계산한 후 단계 108에서 송신 가드 장치(14)에게 공개키 및 비밀키를 전송한다. Then, the transmission guard device 14 transmits its ID (Guard Identity) to the TTP 30 in step 104. The TTP 30 calculates the public and private keys of the transmission guard device 40 in step 106. Here, the public key is Q ID = h 1 (ID), and the private key is d ID = sQ ID . The TTS 30 calculates the public key and the private key of the transmission guard device 14 and transmits the public and private key to the transmission guard device 14 in step 108.

송신 가드 장치(14)는 TTS(30)로부터 공개키 및 비밀키를 수신하면 단계 110에서 비밀키 및 보안등급 정보를 이용하여 소스 인증 정보(source authentication information)를 생성한다. 구체적으로 송신 가드 장치(14)는 자신의 ID에 해당하는 비밀키 및 보안등급 정보(classification)를 해쉬(Hash)한 결과를 연접해서 암호화 함으로써 소스 인증 정보를 생성한다. 다시 말해, 송신 가드 장치(14)는 비밀키와 보안등급 정보를 이용하여 서명을 생성하는데, 이 서명이 소스 인증 정보이다. 이하 수학식 1은 서명의 일 예로서, sig= < U, V > 이다.When the transmission guard apparatus 14 receives the public key and the secret key from the TTS 30, the transmission guard device 14 generates source authentication information using the secret key and the security level information in step 110. In more detail, the transmission guard device 14 generates source authentication information by concatenating and encrypting a result of hashing a secret key and a security level information (classification) corresponding to its own ID. In other words, the transmission guard device 14 generates a signature using the secret key and the security level information, which is the source authentication information. Equation 1 below is an example of a signature, sig = <U, V>.

Figure 112009010110264-pat00001
Figure 112009010110264-pat00001

이어서, 송신 가드 장치(14)는 단계 112에서 가드 ID(Guard Identity), 보안등급 정보 및 인증 정보를 이용하여 TLS 또는 Ipsec 패킷을 생성한다. 이를 위해, 송신 가드 장치(14)는 데이터 패킷의 헤더에 Guard Identity 필드, Classification 필드, 및 Source authentication information 필드를 생성하고, 이들 필드에 각각 상기 가드 ID(Guard Identity), 보안등급 정보 및 인증 정보를 기록하거나 삽입한다.Subsequently, in step 112, the transmission guard device 14 generates a TLS or Ipsec packet using a guard identity, security level information, and authentication information. To this end, the transmission guard device 14 generates a Guard Identity field, a Classification field, and a Source authentication information field in the header of the data packet, and transmits the Guard ID, security level information, and authentication information to these fields, respectively. Record or insert.

도 3은 본 발명에 따른 TLS 패킷의 구조를 나타낸 도면이고, 도 4는 본 발명에 따른 Ipsec 패킷의 구조를 나타낸 도면이다.3 is a diagram illustrating the structure of a TLS packet according to the present invention, and FIG. 4 is a diagram illustrating the structure of an Ipsec packet according to the present invention.

도 3 및 도 4를 참조하면, 각 패킷은 송신가드의 ID, 보안등급 정보 및 비밀키를 이용한 소스 인증 정보를 포함한다. 3 and 4, each packet includes source guard information using an ID, security level information, and a secret key of a transmission guard.

송신 가드 장치의 ID는 Guard Identity 필드에 기록되며, 8 비트의 길이를 갖는다. 이 ID는 글로벌(global) CA에서 인식 가능하다.The ID of the transmitting guard device is recorded in the Guard Identity field and has a length of 8 bits. This ID is recognized by the global CA.

보안등급 정보는 Classification 필드에 기록되며, 8 비트의 길이를 갖는다. 보안등급 정보는 해당 플로우(flow)의 보안 정보, 즉 보안 등급을 나타낸다. Classification 필드는 비보안(Unclassified) 등급을 나타내는 0x01, 비밀(Confidential) 등급을 나타내는 0x02, 기밀(Secret) 등급을 나타내는 0x03, 및 일급 비밀(Top secret) 등급을 나타내는 0x04의 값을 가질 수 있다. 이 보안등급 정보는 TCP 패킷 순서가 바뀌었을 시에도 효율적으로 식별 가능하다.Security level information is recorded in the Classification field and has a length of 8 bits. The security level information indicates security information of the flow, that is, security level. The Classification field may have a value of 0x01 representing an unclassified grade, 0x02 representing a confidential grade, 0x03 representing a secret grade, and 0x04 representing a top secret grade. This security level information can be efficiently identified even when the TCP packet order is changed.

소스 인증 정보(Source authentication information)는 Source authentication information 필드에 기록되며 32 비트의 길이를 갖는다. 소스 인정 정보는 해당 패킷의 소스를 확인할 수 있는 정보 송신 가드 장치에 의해 생성된 서명값 sig= < U, V >이다.Source authentication information is recorded in the Source authentication information field and has a length of 32 bits. The source acknowledgment information is a signature value sig = < U, V > generated by the information transmission guard apparatus capable of confirming the source of the packet.

도 3에는 TLS와 IPSec 패킷헤더 포맷이 도시되어 있다. 도 4에는 IPSec 패킷헤더 포맷이 도시되어 있다. 도 4(a)는 ESP 모드 사용시의 패킷 헤더 구조를 나타내며, 도 4(b)는 AH 모드 사용 시의 패킷 헤더구조를 나타낸다.3 shows the TLS and IPSec packet header formats. 4 shows an IPSec packet header format. 4 (a) shows a packet header structure when using the ESP mode, and FIG. 4 (b) shows a packet header structure when using the AH mode.

이와 같이, 송신 가드 장치(10)는 단계 114에서 패킷을 생성한 후 수신 가드 장치(24)로 전송한다. In this way, the transmission guard apparatus 10 generates a packet in step 114 and transmits it to the reception guard apparatus 24.

수신 가드 장치(24)는 패킷 수신 후 Guard Identity 필드를 확인하여 송신 가드 장치(10)의 ID를 확인한 후에, 서명(소스 인증 정보)를 확인한다. After receiving the packet, the reception guard device 24 checks the Guard Identity field to confirm the ID of the transmission guard device 10, and then confirms the signature (source authentication information).

이 때, 수신 가드 장치(24)는 이하의 수학식 2에 따라 서명을 검증한다.At this time, the reception guard device 24 verifies the signature according to Equation 2 below.

Figure 112009010110264-pat00002
Figure 112009010110264-pat00002

서명 확인 후에, 수신 가드 장치(24)은 단계 116에서 인증 및 키분배를 송신 가드 장치(14)로 요청한다. 이는 FTP의 경우 passive mode, HTTP의 경우 페이지 로드되지 않음(인증서 확인 요망), VoIP의 경우 콜 수신 인증 등으로 구현될 수 있다. After signature verification, the reception guard device 24 requests the transmission guard device 14 for authentication and key distribution in step 116. This can be implemented in passive mode for FTP, page not loaded for HTTP (certificate verification required), call receipt authentication for VoIP, and so on.

이후, 인증 및 키분배 요청을 받은 송신 가드 장치(14)는 단계 118에서 자신이 라벨링한 데이터를 보고, 열람을 요청한 해당 수신 가드 장치(24)가 열람권한이 있는 지를 판단한다. 송신 가드 장치(14)가 라벨링한 데이터는 보안등급(classification) 정보이다. Subsequently, the transmission guard device 14 having received the authentication and key distribution request looks at the data labeled by the user in step 118, and determines whether the corresponding reception guard device 24 that has requested the reading has right to read. The data labeled by the transmission guard device 14 is security class information.

송신 가드 장치(14)는 해당 수신 가드 장치(24)가 해당 패킷을 열 수 있는 권한이 있다면 단계 122에서 암호 세션키 k를 공개키로 암호화하여 단계 124에서 수신 가드 장치(24)로 전송함으로써 수신 가드 장치(24)에 대한 인증 및 키분배를 수행한다. The transmitting guard device 14 encrypts the encrypted session key k with the public key in step 122 and transmits it to the receiving guard device 24 in step 124 if the receiving guard device 24 is authorized to open the packet. Perform authentication and key distribution on device 24.

그에 따라, 수신 가드 장치(24)는 공개키를 이용하여 암호 세션키를 해독하고, 암호 세션키로 암호화 된 TLS, Ipsec 패킷을 열람할 수 있다. Accordingly, the reception guard device 24 can decrypt the encrypted session key using the public key, and read the TLS and Ipsec packets encrypted with the encrypted session key.

결과적으로 flow 마다의 패킷라벨링은 정보 전송 가드 장치의 입장에서는 자신의 데이터가 원치 않는 가드 장치를 지나게 되어 열람됨을 방지할 수 있고, 정보수신 가드 장치의 입장에서는 소스인증에 활용할 수 있다. 소스인증의 경우 특히 퍼블릭 도메인에서 사설(protected) 도메인으로 데이터가 수신될 때 유용하다.As a result, the packet labeling for each flow can be prevented from being viewed by the information transmission guard device as it passes through the unwanted guard device, and can be used for source authentication from the information reception guard device. Source authentication is especially useful when data is received from a public domain to a protected domain.

정보의 중요성이 증대됨에 따라 다양한 정보에 대한 접근 및 열람 권한의 설정이 중요한 문제로 제기되고 있다. 또한 보안 요구사항을 만족시키기 위하여 관리 자는 각 정보에 대한 보안 등급 설정하여 등급에 맞는 정보만을 제공하고, 무분별한 접근을 통제할 수 있어야 한다. 따라서 안전성 높은 도메인 간 정보교환 기법의 마련이 매우 중요한 시점이다. As the importance of information increases, the establishment of authority to access and view various information is an important issue. In addition, in order to satisfy the security requirements, the administrator must set the security level for each information to provide only the information that meets the level and control the indiscriminate access. Therefore, it is very important to prepare a secure information exchange between domains.

본 발명은 교차도메인(Cross-domain) 상에서의 인증, 암호화 기법에 대한 연구가 아닌 정보전달 시 발생할 수 있는 사용자 시나리오와 보안요구사항에 대해 제안하였다. 또한 플로우 어플리케이션(HTTP, FTP, SMTP, VoIP)에 적용될 수 있는 패킷라벨링 기법을 제시하고 있다. 교차도메인 상황에서의 정보전달 시 본 발명의 권고사항을 통하여 시스템을 구축할 수 있다.The present invention proposes a user scenario and security requirements that can occur during information transfer, not a study on authentication and encryption schemes in a cross-domain. It also proposes a packet labeling technique that can be applied to flow applications (HTTP, FTP, SMTP, VoIP). When communicating information in a cross-domain situation, the system can be constructed through the recommendations of the present invention.

상기에서는 본 발명의 바람직한 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.It will be apparent to those skilled in the art that various modifications and variations can be made in the present invention without departing from the spirit or scope of the present invention as defined by the following claims It can be understood that

도 1은 교차도메인 상에서 사설 도메인(protected domain)과 퍼블릭 도메인(public domain) 간의 연결 및 네트워크 구조를 나타낸 도면이다.FIG. 1 is a diagram illustrating a connection and network structure between a protected domain and a public domain on a cross domain.

도 2는 본 발명의 바람직한 실시예에 따른 정보추적 방법을 나타낸 메시지 흐름도이다.2 is a message flow diagram illustrating an information tracking method according to a preferred embodiment of the present invention.

도 3은 본 발명에 따른 TLS 패킷의 구조를 나타낸 도면이다.3 is a diagram illustrating the structure of a TLS packet according to the present invention.

도 4는 본 발명에 따른 Ipsec 패킷의 구조를 나타낸 도면이다.4 is a diagram illustrating a structure of an Ipsec packet according to the present invention.

*도면의 주요 부분에 대한 간단한 설명** Brief description of the main parts of the drawing *

10: 사설 도메인 12: 제1 라우터10: private domain 12: first router

14: 제1 가드 장치 20: 퍼블릭 도메인14: first guard device 20: public domain

22: 제2 라우터 24: 제2 가드 장치22: second router 24: second guard device

30: TTP30: TTP

Claims (20)

교차 도메인 상에서 정보전송을 추적하기 위한 통신 시스템에 있어서,A communication system for tracking information transmission on a cross domain, 제1 도메인에 속하며, 정보 전송이 요청되면 자신의 가드 ID(Identity), 상기 정보가 어느 보안 등급의 수신자에 의해 열람이 가능한 지를 나타내는 보안 등급 정보, 및 상기 정보의 소스를 확인할 수 있도록 한 소스 인증 정보를 획득하고, 상기 정보를 위한 데이터 패킷의 헤더에 상기 가드 ID, 상기 보안 등급 정보, 및 상기 소스 인증 정보를 삽입 또는 기록하여 데이터 패킷을 생성하고, 생성된 데이터 패킷을 전송하는 송신 가드 장치와,Source authentication, belonging to the first domain, when the information transmission is requested, identifying its guard ID, security level information indicating which security level the information can be viewed by a recipient of the information, and a source authentication for identifying the source of the information. A transmission guard device for acquiring information, inserting or recording the guard ID, the security level information, and the source authentication information into a header of the data packet for the information to generate a data packet, and transmitting the generated data packet; , 제2 도메인에 속하며, 상기 송신 가드 장치로부터 데이터 패킷을 수신하면 상기 송신 가드 장치로 인증 및 키분배를 요청하는 수신 가드 장치를 포함하는 것을 특징으로 하는 통신 시스템.And a reception guard device belonging to a second domain and requesting authentication and key distribution to the transmission guard device when receiving a data packet from the transmission guard device. 제1항에 있어서, The method of claim 1, 상기 수신 가드 장치는 상기 송신 가드 장치로부터 상기 데이터 패킷을 수신하면 상기 데이터 패킷으로부터 상기 가드 ID 및 소스 인증 정보를 획득하여 상기 송신 가드 장치에 대한 인증을 수행하는 것을 특징으로 하는 통신 시스템.And when the reception guard device receives the data packet from the transmission guard device, obtains the guard ID and source authentication information from the data packet and performs authentication on the transmission guard device. 제1항에 있어서, The method of claim 1, 상기 송신 가드 장치는 상기 정보 전송이 요청되면 TTP(Trusted Third Party)에게 상기 가드 ID를 송신하면서 비밀키와 공개키를 요청하고, 상기 TTP로부 터 비밀키와 공개키를 수신하면, 상기 비밀키 및 보안등급 정보를 이용하여 서명을 생성함으로써 소스 인정 정보를 생성하는 것을 특징으로 하는 통신 시스템.The transmission guard device requests a secret key and a public key while transmitting the guard ID to a trusted third party (TTP) when the information transmission is requested, and receives the secret key and the public key from the TTP. And generating source authentication information by generating a signature using the security level information. 제1항에 있어서, The method of claim 1, 상기 송신 가드 장치는 상기 수신 가드 장치가 상기 데이터 패킷에 대한 인증 및 키분배를 요청하면, 상기 보안등급 정보를 확인하여 상기 수신 가드 장치가 상기 데이터 패킷을 열람할 수 있는 지를 판단하고 열람 가능하면 암호 세션키를 공개키로 암호화하여 상기 수신 가드 장치로 전송하는 것을 특징으로 하는 통신 시스템.When the reception guard device requests authentication and key distribution for the data packet, the transmission guard device checks the security level information to determine whether the reception guard device can view the data packet, and if possible, encrypts the data. And encrypts a session key with a public key and transmits the session key to the receiving guard device. 제1항에 있어서, The method of claim 1, 상기 송신 가드 장치는 상기 데이터 패킷의 헤더에 Guard Identity 필드, Classification 필드, 및 Source authentication information 필드를 생성하고, 이들 필드에 각각 상기 가드 ID(Guard Identity), 보안등급 정보 및 인증 정보를 기록하거나 삽입하는 것을 특징으로 하는 통신 시스템.The transmitting guard device generates a Guard Identity field, a Classification field, and a Source authentication information field in a header of the data packet, and records or inserts the Guard ID, security level information, and authentication information into these fields, respectively. A communication system, characterized in that. 제5항에 있어서, The method of claim 5, 상기 Classification 필드는 8비트의 길이를 가지며, 비보안(Unclassified) 등급을 나타내는 0x01, 비밀(Confidential) 등급을 나타내는 0x02, 기밀(Secret) 등급을 나타내는 0x03, 및 일급 비밀(Top secret) 등급을 나타내는 0x04의 값을 가 지는 것을 특징으로 하는 통신 시스템.The Classification field has a length of 8 bits, and has 0x01 indicating an unclassified grade, 0x02 indicating a confidential grade, 0x03 representing a secret grade, and 0x04 representing a top secret grade. A communication system characterized by having a value. 제1항에 있어서, The method of claim 1, 상기 가드 ID는 글로벌(global) CA((Certificate Authority)에 의해 인식 가능한 것을 특징으로 하는 통신 시스템.And the guard ID is recognizable by a global certificate authority (CA). 제1항에 있어서, The method of claim 1, 상기 데이터 패킷은 TLS(Transport Layer Security) 및 Ipsec(Internet Protocol Security) 패킷 중 어느 하나인 것을 특징으로 하는 통신 시스템.The data packet is any one of a transport layer security (TLS) and Internet Protocol Security (IPsec) packet. 제1항에 있어서, The method of claim 1, 상기 정보는 플로우 기반 어플리케이션 정보인 것을 특징으로 하는 통신 시스템.The information is flow-based application information. 제9항에 있어서, 10. The method of claim 9, 상기 플로우 기반 어플리케이션을 위한 프로토콜로서, HTTP(Hyper Text Transfer Protocol), FTP(File Transfer Protocol), SMTP(Simple Mail Transfer Protocol) 및 VoIP(Voice over Internet Protocol) 중 어느 하나가 사용되는 것을 특징으로 하는 통신 시스템.As a protocol for the flow-based application, any one of a Hyper Text Transfer Protocol (HTTP), a File Transfer Protocol (FTP), a Simple Mail Transfer Protocol (SMTP), and a Voice over Internet Protocol (VoIP) is used. system. 통신 시스템에서 교차 도메인 상에서 정보 전송을 추적하기 위한 방법에 있어서,A method for tracking information transmission on a cross domain in a communication system, the method comprising: 제1 도메인에 속하는 송신 가드 장치가 정보 전송이 요청되면 자신의 가드 ID(Identity), 상기 정보가 어느 보안 등급의 수신자에 의해 열람이 가능한 지를 나타내는 보안 등급 정보, 및 상기 정보의 소스를 확인할 수 있도록 한 소스 인증 정보를 획득하는 단계와,When the transmission guard device belonging to the first domain is requested to transmit the information, it may identify its guard ID, security level information indicating which security level the information can be viewed by a recipient of the information, and a source of the information. Obtaining one source authentication information, 상기 송신 가드 장치가, 상기 정보를 위한 데이터 패킷의 헤더에 상기 가드 ID, 상기 보안 등급 정보, 및 상기 소스 인증 정보를 삽입 또는 기록하여 데이터 패킷을 생성하여 전송하는 단계와,The transmission guard apparatus generating and transmitting a data packet by inserting or recording the guard ID, the security level information, and the source authentication information in a header of the data packet for the information; 제2 도메인에 속하는 수신 가드 장치가 상기 송신 가드 장치로부터 데이터 패킷을 수신하면 상기 송신 가드 장치로 인증 및 키분배를 요청하는 단계를 포함하는 것을 특징으로 하는 정보 전송 추적 방법.And requesting authentication and key distribution from the transmission guard device when the reception guard device belonging to the second domain receives the data packet from the transmission guard device. 제11항에 있어서, The method of claim 11, 상기 수신 가드 장치는 상기 송신 가드 장치로부터 상기 데이터 패킷을 수신하면 상기 데이터 패킷으로부터 상기 가드 ID 및 소스 인증 정보를 획득하는 단계와,When the reception guard device receives the data packet from the transmission guard device, obtaining the guard ID and source authentication information from the data packet; 상기 수신 가드 장치가 상기 송신 가드 장치에 대한 인증을 수행하는 단계를 더 포함하는 것을 특징으로 하는 정보 전송 추적 방법.And receiving, by the reception guard device, authentication of the transmission guard device. 제11항에 있어서, The method of claim 11, 상기 송신 가드 장치가 상기 정보 전송이 요청되면 TTP(Trusted Third Party)에게 상기 가드 ID를 송신하면서 비밀키와 공개키를 요청하는 단계와, Requesting, by the transmitting guard device, a secret key and a public key while transmitting the guard ID to a trusted third party (TTP) when the information transmission is requested; 상기 송신 가드 장치가 상기 TTP로부터 비밀키와 공개키를 수신하면, 상기 비밀키 및 보안등급 정보를 이용하여 서명을 생성함으로써 소스 인정 정보를 생성하는 단계를 더 포함하는 것을 특징으로 하는 정보 전송 추적 방법.And when the transmitting guard device receives a secret key and a public key from the TTP, generating source authentication information by generating a signature using the secret key and security level information. . 제11항에 있어서, The method of claim 11, 상기 송신 가드 장치가 상기 수신 가드 장치로부터 상기 데이터 패킷에 대한 인증 및 키분배가 요청되면, 상기 보안등급 정보를 확인하여 상기 수신 가드 장치가 상기 데이터 패킷을 열람할 수 있는 지를 판단하는 단계와,When the transmission guard device requests authentication and key distribution for the data packet from the reception guard device, determining whether the reception guard device can view the data packet by checking the security level information; 상기 송신 가드 장치가 상기 수신 가드 장치가 상기 데이터 패킷을 열람 가능하면 암호 세션키를 공개키로 암호화하여 상기 수신 가드 장치로 전송하는 단계를 더 포함하는 것을 특징으로 하는 정보 전송 추적 방법.And transmitting, by the transmitting guard apparatus, to the receiving guard apparatus by encrypting an encrypted session key with a public key if the receiving guard apparatus can view the data packet. 제11항에 있어서, The method of claim 11, 상기 데이터 패킷을 생성하여 전송하는 단계는,Generating and transmitting the data packet, 상기 송신 가드 장치가 상기 데이터 패킷의 헤더에 Guard Identity 필드, Classification 필드, 및 Source authentication information 필드를 생성하고, 이들 필드에 각각 상기 가드 ID(Guard Identity), 보안등급 정보 및 인증 정보를 기록하거나 삽입하는 것을 특징으로 하는 정보 전송 추적 방법.The transmitting guard device generates a Guard Identity field, a Classification field, and a Source authentication information field in a header of the data packet, and records or inserts the Guard ID, security level information, and authentication information into these fields, respectively. Information transmission tracking method, characterized in that. 제15항에 있어서, The method of claim 15, 상기 Classification 필드는 8비트의 길이를 가지며, 비보안(Unclassified) 등급을 나타내는 0x01, 비밀(Confidential) 등급을 나타내는 0x02, 기밀(Secret) 등급을 나타내는 0x03, 및 일급 비밀(Top secret) 등급을 나타내는 0x04의 값을 가지는 것을 특징으로 하는 정보 전송 추적 방법.The Classification field has a length of 8 bits, and has 0x01 indicating an unclassified grade, 0x02 indicating a confidential grade, 0x03 representing a secret grade, and 0x04 representing a top secret grade. Information transmission tracking method characterized in that it has a value. 제11항에 있어서, The method of claim 11, 상기 가드 ID는 글로벌(global) CA((Certificate Authority)에 의해 인식 가능한 것을 특징으로 하는 정보 전송 추적 방법.And the guard ID is recognizable by a global certificate authority (CA). 제11항에 있어서, The method of claim 11, 상기 데이터 패킷은 TLS(Transport Layer Security) 및 Ipsec(Internet Protocol Security) 패킷 중 어느 하나인 것을 특징으로 하는 정보 전송 추적 방법.And the data packet is one of a transport layer security (TLS) and an internet protocol security (IPsec) packet. 제11항에 있어서, The method of claim 11, 상기 정보는 플로우 기반 어플리케이션 정보인 것을 특징으로 하는 정보 전송 추적 방법.And the information is flow-based application information. 제19항에 있어서, The method of claim 19, 상기 플로우 기반 어플리케이션을 위한 프로토콜로서, HTTP(Hyper Text Transfer Protocol), FTP(File Transfer Protocol), SMTP(Simple Mail Transfer Protocol) 및 VoIP(Voice over Internet Protocol) 중 어느 하나가 사용되는 것을 특징으로 하는 정보 전송 추적 방법.As a protocol for the flow-based application, any one of Hyper Text Transfer Protocol (HTTP), File Transfer Protocol (FTP), Simple Mail Transfer Protocol (SMTP), and Voice over Internet Protocol (VoIP) is used. Transmission tracking method.
KR1020090013556A 2009-02-18 2009-02-18 Method for tracking information transmission in cross domains and communication system therefor KR101039975B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020090013556A KR101039975B1 (en) 2009-02-18 2009-02-18 Method for tracking information transmission in cross domains and communication system therefor

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020090013556A KR101039975B1 (en) 2009-02-18 2009-02-18 Method for tracking information transmission in cross domains and communication system therefor

Publications (2)

Publication Number Publication Date
KR20100094232A KR20100094232A (en) 2010-08-26
KR101039975B1 true KR101039975B1 (en) 2011-06-09

Family

ID=42758423

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020090013556A KR101039975B1 (en) 2009-02-18 2009-02-18 Method for tracking information transmission in cross domains and communication system therefor

Country Status (1)

Country Link
KR (1) KR101039975B1 (en)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20020041684A (en) * 2000-11-28 2002-06-03 윤종용 Information Restraint Supply System
KR20030048118A (en) * 2000-11-09 2003-06-18 인터내셔널 비지네스 머신즈 코포레이션 Method and system for web-based cross-domain single-sign-on authentication

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030048118A (en) * 2000-11-09 2003-06-18 인터내셔널 비지네스 머신즈 코포레이션 Method and system for web-based cross-domain single-sign-on authentication
KR20020041684A (en) * 2000-11-28 2002-06-03 윤종용 Information Restraint Supply System

Also Published As

Publication number Publication date
KR20100094232A (en) 2010-08-26

Similar Documents

Publication Publication Date Title
US10447674B2 (en) Key exchange through partially trusted third party
US10742611B2 (en) Method, a system and computer program products for securely enabling in-network functionality over encrypted data sessions
Foster et al. Security by any other name: On the effectiveness of provider based email security
US10084760B2 (en) Secure messages for internet of things devices
US20190222583A1 (en) Signed envelope encryption
US8904178B2 (en) System and method for secure remote access
US7584505B2 (en) Inspected secure communication protocol
EP3913854A1 (en) Methods and systems for pki-based authentication
JP2021500832A5 (en)
JP4101839B2 (en) Session control server and communication system
US8549280B2 (en) System, device and method for securely transferring data across a network
US20170091463A1 (en) Secure Audit Logging
JP2008529326A (en) Method and system for electronic message management and filtering using cryptographic techniques
US20130103944A1 (en) Hypertext Link Verification In Encrypted E-Mail For Mobile Devices
US20160359822A1 (en) Sovereign share encryption protocol
JP2005107935A (en) Program for electronic mail processor, and electronic mail processor
US20080133915A1 (en) Communication apparatus and communication method
CN101521667A (en) Method and device for safety data communication
KR101089269B1 (en) Attack Detection Method And System with Secure SIP Protocol
KR101039975B1 (en) Method for tracking information transmission in cross domains and communication system therefor
JP4608245B2 (en) Anonymous communication method
Bagaria et al. Detecting malignant tls servers using machine learning techniques
JP2008098856A (en) Ciphered mail system and gateway server
Zhao et al. An add-on end-to-end secure email solution in mobile communications
US11153288B2 (en) System and method for monitoring leakage of internal information by analyzing encrypted traffic

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20140402

Year of fee payment: 4

LAPS Lapse due to unpaid annual fee