KR101575040B1 - 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템 - Google Patents

이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템 Download PDF

Info

Publication number
KR101575040B1
KR101575040B1 KR1020150061351A KR20150061351A KR101575040B1 KR 101575040 B1 KR101575040 B1 KR 101575040B1 KR 1020150061351 A KR1020150061351 A KR 1020150061351A KR 20150061351 A KR20150061351 A KR 20150061351A KR 101575040 B1 KR101575040 B1 KR 101575040B1
Authority
KR
South Korea
Prior art keywords
layer
control data
security
instrumentation
key
Prior art date
Application number
KR1020150061351A
Other languages
English (en)
Inventor
나성인
이옥연
조용상
Original Assignee
주식회사 조양
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 조양 filed Critical 주식회사 조양
Priority to KR1020150061351A priority Critical patent/KR101575040B1/ko
Application granted granted Critical
Publication of KR101575040B1 publication Critical patent/KR101575040B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/12—Transmitting and receiving encryption devices synchronised or initially set up in a particular manner
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Abstract

본 발명은 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스에 관한 것이다. 계장제어 시스템의 제어판넬에 구비되는 제 1통신개체와, 계장 설비에 구비되는 제 2통신개체와, 관리서버에 구비되는 제 3통신개체를 포함하며, 제 1 내지 제 3통신개체는 각각 상위계층 및 제 1 내지 제 3계층으로 구성되는 계장제어 통신 시스템에 있어서, 제 1 내지 제 3통신개체의 제 2계층과 제 3계층 사이에 각각 배치되는 내장형 2.5계층 보안장치를 포함하며, 상기 2.5계층 보안장치는 상위 인터페이스가 연결되어 상위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트와; 하위 인터페이스가 연결되어 하위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트와; 상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 계장제어 데이터의 보안절차를 진행하는 보안 에이전트와; 보안 에이전트에 연결되어 계장제어 데이터에 대한 암호화를 실시하는 암호모듈을 포함한다.

Description

이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템{Different Units Same Security for instrumentation control}
본 발명은 계장제어 시스템에 관한 것으로서, 서로 다른 통신방식을 사용하는 계장제어 시스템의 구성 개체들간에 보안수준을 높이기 위하여 2계층과 3계층의 사이에 2.5계층 보안 시스템을 적용한 기술에 관한 것이다.
통상적으로, 계장(계측)제어시스템이란(이하, 계장 제어 시스템) 프로세스를 자동화하기 위한 제어기술로서, 계측, 계량, 제어, 설치, 설계, 운전 등을 포함한다.
이러한 계장 제어시스템은 1950년대 미국에서 공정계통의 자동화 Instrumentation에서 유래되었고 일본에서 계기를 설치하고 운용하는 기술에서 유래되었다.
상기 계장제어시스템은 다양한 요소들로 구성되며, 예를 들면, 발신기, 수신기, 조절부, 조작부, 공압원, 유압원, 온도지시전송계, 압력계, 초음파 다회선유량계, 초음파 개수로식 유량계, 초음파 수위계, PH Meter, SS Meter, COD, BOD, TN, TP, 레벨스위치 등으로 구성된다.
이러한 각 요소들은 기술의 발달에 의해 감시 및 제어 보호하기 위해서 점차 디지털화해지고 있다.
즉, 기존의 아날로그 기기 등을 대체하여, 마이크로 프로세서나 DSP칩과 같은 디지털 기기를 이용하여 하나의 제어판넬에 의해 각종 계측, 제어, 보호 기능을 수행하므로 소형화가 가능하고 배선이 간소화될 수 있다.
그리고, 점차 기술이 발전됨에 따라 구성되는 계장제어 시스템의 각 구성요소는 표준통신(Ethernet, RS232, 485, 422, Modbus, Zigbee 등)을 가지고 있으며 이는 통신라인을 통하여 운영관리소 및 원격지에서 PC환경 및 모바일 등에서 제어 및 감시를 하고 있다.
그리고, 이러한 계장제어 시스템과 같은 산업계장 설비들은 제어 시스템에 의하여 제어를 하는 바, 이러한 제어 시스템은 통신을 기반으로 하는 바, 계장제어 통신 시스템은 개방형 시스템간 상호 접속(Open System Interconnection; OSI) 기준모델을 따른다.
즉, 도 1에 도시된 바와 같이, OSI 모델은 상위계층과, 인터페이스와, 하위 계층의 7계층으로 구성된다. 하위계층은 제1계층(물리계층), 제 2계층(계장제어 데이터 링크계층), 제 3계층(네트워크 계층)으로 구분될 수 있다. 그리고, 인터페이스는 제 4계층(전송계층)이고, 상위 계층은 제 5계층(세션계층), 제 6계층(표현계층), 제 7계층(응용계층)으로 구분될 수 있다.
제 1계층은 물리계층으로서 물리채널(Physical Channel)을 이용하여 상위 계층과 정보 전송 서비스(Information Transfer Service)를 주고 받는다. 물리계층은 상위에 있는 매체접속제어(Medium Access Control) 계층과는 전송채널(Transport Channel)을 통해 연결되어 있으며, 이 전송채널을 통해 매체접속제어 계층과 물리계층 사이의 계장제어 데이터가 이동한다. 그리고, 서로 다른 물리계층 사이, 즉 송신측과 수신측의 물리계층 사이는 물리채널을 통해 계장제어 데이터가 이동한다.
제 2계층은 매체접속제어(Medium Access Control; 이하 MAC이라 약칭함) 계층으로서 논리채널(Logical Channel)을 통해 하위계층인 링크제어(Link Control) 계층과 서비스를 주고 받는다. 제 2계층은 오류제어 및 흐름제어를 한 후 상위 계층(네트워크 계층)에서 받은 비트열의 계장제어 데이터로 프레임을 구성하여 하위 계층(물리계층)으로 전달함으로써 신뢰성 있는 계장제어 데이터의 전송을 지원한다.
제 2계층의 PDCP 계층은 IPv4 나 IPv6와 같은 IP 패킷을 이용하여 전송되는 계장제어 데이터가 상대적으로 대역폭이 작은 무선 구간에서 효율적으로 전송하기 위해 불필요한 제어정보를 줄여주는 헤더 압축(Header Compression) 기능을 수행한다. 이러한 제 2계층은 이너넷, HDLC, ADCCP, LLC, ALOHA 등이 있다.
제 3계층은 네트워크 계층으로서, 통신노드에서 다양한 경로를 설정하고, 메시지 등을 라우팅하며, 망 노드간에 트랙픽을 제어함으로써 계장제어 데이터가 각 노드를 거칠 때마다 정확한 경로를 찾아주는 역할을 한다.
이러한 제 3계층은 라우팅(Routing), 주소변환, 순서제어, 다중화를 수행하며, 라우터, L3 스위치 등이 있다.
그러나, 종래의 계장제어 시스템 관련한 계장제어 통신 시스템은 각 계층끼리 통신하는 방식으로서, 상위 계층끼리, 3계층끼리 혹은 2계층간에 보안을 하게 되는 방식이므로, 멀티홉 기반의 종단간 암호를 취하기 위해서는 3계층 이상에서만 가능한 바, 상위계층 혹은 3계층에 보안시스템이 없으며, 2계층에 보안 시스템을 적용하는 방식으로는 멀티홉 기반의 종단간 암호설정이 어려우며, 결국 종단간에는 암호 시스템이 적용되지 않은 문제점이 있다.
특허출원 제10-2013-17389호(명칭: 이중화를 지원하는 배전반용 보안 시스템)
따라서, 본 출원은 이러한 문제점을 해결하기 위하여 제안된 것으로서, 본 출원의 목적은 서로 다른 통신방식을 사용하여 보안 방식이 상이한 계장제어 시스템의 구성개체간에 모두 적용할 수 있는 보안 시스템을 제공하는 것이다.
상기한 과제를 달성하기 위하여, 본 발명의 일 실시예는,
계장제어 시스템의 제어판넬에 구비되는 제 1통신개체와, 계장 설비에 구비되는 제 2통신개체와, 관리서버에 구비되는 제 3통신개체를 포함하며, 제 1 내지 제 3통신개체는 각각 상위계층 및 제 1 내지 제 3계층으로 구성되는 계장제어 통신 시스템에 있어서,
제 1 내지 제 3통신개체의 제 2계층과 제 3계층 사이에 각각 탈착식으로 배치되는 내장형 2.5계층 보안장치를 포함하며,
상기 2.5계층 보안장치는 통신처리부와;
상위 인터페이스가 연결되어 상위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트와;
하위 인터페이스가 연결되어 하위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트와;
상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 계장제어 데이터의 보안절차를 진행하는 보안 에이전트와;
보안 에이전트에 연결되어 계장제어 데이터에 대한 암호화를 실시하는 암호모듈과;
CPU 및 전원을 포함하며,
보안 에이전트는 계장제어 데이터의 기밀성을 보장하기 위하여 계장제어 데이터를 암호화하는 암호화부와; 계장제어 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 계장제어 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하며,
암호모듈은 암호화 및 복호화를 실시하는 암호기능 유닛과, 암호를 관리하기 위한 기능을 보유하는 관리 유닛을 포함한다.
본 발명의 다른 실시예는, 계장제어 시스템의 제어판넬에 구비되는 제 1통신개체와, 계장 설비에 구비되는 제 2통신개체와, 관리서버에 구비되는 제 3통신개체를 포함하며, 제 1 내지 제 3통신개체는 각각 상위계층 및 제 1 내지 제 3계층으로 구성되는 계장제어 통신 시스템에 있어서,
제 1통신개체의 제 1계층과 탈착식으로 직결되거나, 제 1통신개체의 제 2계층과 탈착식으로 직결되는 제 1보안장치와;
제 2통신개체의 제 1계층과 탈착식으로 직결되거나, 제 2통신개체의 제 2계층과 탈착식으로 직결되는 제 2보안장치를 포함하며,
상기 제 1 및 제 2보안장치는 복수개의 제 1계층과, 복수개의 제 2계층과, 상위 계층으로서의 2.5계층 보안장치를 각각 포함하며,
2.5계층 보안장치는 통신 처리부와;
상위 인터페이스가 연결되는 입,출력 포트와;
하위 인터페이스가 연결되는 입,출력 포트와;
상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 계장제어 데이터의 보안절차를 진행하는 보안 에이전트와;
보안 에이전트에 연결되어 암호화를 실시하는 암호모듈과; 그리고
CPU 및 전원을 포함하며,
보안 에이전트는 계장제어 데이터의 기밀성을 보장하기 위하여 계장제어 데이터를 암호화하는 암호화부와; 계장제어 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 계장제어 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하고,
암호모듈은 암호화 및 복호화를 실시하는 암호기능 유닛과, 암호를 관리하기 위한 기능을 보유하는 관리 유닛을 포함한다.
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제
본 발명은 계장제어 시스템의 보안 시스템에 있어서, 3계층과 2계층의 사이인 2.5계층에 보안 장치를 적용함으로써 종단간 암호설정이 어려운 경우, 또는 3계층 이상에서만 보안이 가능한 시스템에도 보안이 가능한 장점이 있다.
도 1은 종래 기술에 따른 계장제어 시스템의 통신 체계인 1 내지 7계층을 개략적으로 보여주는 도면이다.
도 2는 본 발명의 일 실시예에 따른 2.5계층 보안장치가 현장 제어반과, 계장설비와, 관리서버로 구성된 계장제어 시스템에 각각 적용된 상태를 보여주는 도면이다.
도 3은 도 2에 도시된 보안장치가 계장제어 시스템에 적용된 것을 보여주는 도면이다.
도 4는 도 3에 도시된 계장제어 시스템에 2.5계층 보안 장치가 내장형 또는 일체형으로 적용된 계장제어 통신 시스템을 개략적으로 보여주는 도면이다.
도 5는 도 4에 도시된 2.5계층 보안 장치와 외부장치간의 신호 전달 구조를 개략적으로 보여주는 도면이다.
도 6은 도 5의 2.5계층 보안 장치의 구조를 개략적으로 보여주는 도면이다.
도 7은 도 6의 2.5계층 보안장치의 내부 구조를 개략적으로 보여주는 구조도이다.
도 8은 본 발명의 다른 실시예에 따른 2.5계층 보안장치가 외장형으로 적용된 계장제어 통신 시스템을 개략적으로 보여주는 도면이다.
이하, 본 발명의 일 실시예에 따른 보안 시스템이 적용된 계장제어 시스템을 첨부된 도면을 참조하여 상세하게 설명한다.
도 2 내지 도 7에 도시된 바와 같이, 본 발명이 제안하는 계장제어 시스템의 보안시스템은 계장제어 시스템을 구성하는 각 개체에 적용할 수 있다.
즉, 계장제어 시스템은 다양한 계장 설비들로 구성되는 바, 예를 들면, 발신기, 수신기, 조절부, 조작부, 공압원, 유압원, 온도지시전송계, 압력계, 초음파 다회선유량계, 초음파 개수로식 유량계, 초음파수위계, PH Meter, SS Meter, COD, BOD, TN, TP, 레벨스위치 등을 포함한다.
그리고, 이러한 계장제어 시스템의 각 계장 설비들과, 현장 제어반과, 관리서버는 디지털화 됨으로써 각 개체들간에 디지털 통신에 의한 데이터의 입출력이 이루어지는 바, 제어판넬 등이 이러한 기능을 수행한다. 이때 계장제어 데이터로는 온도, 압력, 유량 등의 다양한 물리량을 나타내는 데이터를 포함한다.
이러한 계장제어 통신 시스템의 관점에서 보면, 계장제어 시스템의 통신방식은 계장제어 시스템의 현장 제어반에 구비되는 제 1통신개체(1)와, 각 계장 설비에 구비되는 제 2통신개체(3)와, 관리서버에 구비되는 제 3통신개체로 구분될 수 있다.
이때, 각 통신개체는 제어판넬에 Ethernet, RS232/485/422, Modbus, Zigbee 등의 표준통신을 위한 포트나 PC연동을 통한 포트들 구비하고 있어서, 외부와 디지털 계장제어 데이터 통신이 가능하므로 관리서버나 현장 제어반이나 계장 설비간에 계장제어 관련 신호를 송수신할 수 있어서 감시 및 제어가 가능하다.
이러한 각 통신개체는 제 1계층(PHY 계층)과 제 2계층(Mac 계층)과, 제 3계층(네트워크 계층)등으로 구성되는 동일한 통신 계층구조를 갖는다.
따라서, 제 1 내지 제 3통신개체는 동일한 구조를 가지므로 이하 제 1통신개체에 의하여 설명하며 필요에 따라 다른 통신개체를 인용하여 설명한다.
제 1통신개체(1)는 상위계층(5) 및 제 1 내지 제 3계층(L1,L2,L3)으로 이루어지는 계장제어 통신 시스템으로서, 제 2계층(L2)과 제 3계층(L3) 사이에 배치되어 계장제어 데이터에 대한 암호화 및 복호화를 실시하는 2.5계층 보안장치(7)를 내부에 포함한다.
그리고, 2.5계층 보안장치(7)는 상위 인터페이스가 연결되어 상위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트(9)와; 하위 인터페이스가 연결되어 하위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트(11)와; 상위 및 하위 인터페이스의 입,출력 포트(9,11)에 연결되며, 계장제어 데이터의 보안절차를 진행하는 보안 에이전트(13)와; 보안 에이전트(13)에 연결되어 계장제어 데이터에 대한 암호화를 실시하는 암호모듈(15)을 포함한다.
이러한 구조를 갖는 보안 시스템에 있어서, 상위 인터페이스는 제 3계층(L3)인 네트워크 계층을 의미하며, 예를 들면 라우터, L3 스위치 등에 연결된다.
그리고, 상위 인터페이스 입,출력포트(9)는 네트워크 계층(L3)으로부터 계장제어 데이터가 입력되거나 출력되는 포트(9)를 의미한다.
또한, 하위 인터페이스는 제 2계층(L2)인 계장제어 데이터 링크 계층을 의미하며, 예를 들면 이더넷, HDLC, ADCCP, LLC, ALOHA, WiFi, LTE, Serial, Optic, TV White Space 등에 연결된다.
그리고, 하위 인터페이스 입,출력포트(11)는 계장제어 데이터 링크 계층(L2)으로부터 계장제어 데이터가 입력되거나 출력되는 포트(11)를 의미한다.
따라서, LAN은 Mac 주소를 통해 통신을 하고, Wan은 ip 주소를 통해 통신을 한다. 또한, ARP는 ip주소를 통해 Mac주소를 얻고, RARP는 Mac 주소를 통해 IP주소를 얻어온다.
그리고, 보안 에이전트(13)는 암호모듈(15)과 연동하여 입,출력되는 계장제어 데이터의 암호화 및 복호화, 인증, 전자서명을 진행한다.
즉, 보안 에이전트(13)는 계장제어 데이터의 기밀성을 보장하기 위하여 계장제어 데이터를 암호화하는 암호화부(17)와; 계장제어 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부(19)와; 메시지 무결성과 계장제어 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부(21)와; 신원 확인을 위한 양방향 인증부(23)로 구성된다.
보다 상세하게 설명하면, 암호화부(17)에 의하여 계장제어 데이터의 암호화가 진행될 수 있다. 즉, 암호화를 이용해서 보호해야 할 계장제어 데이터를 평문(Plaintext)이라 하고, 평문을 암호화 알고리즘을 이용해서 변환된 것을 암호문(Ciphertext)이라 한다. 이때 평문을 암호문으로 변환하는 과정을 암호화(Encryption), 암호문을 평문으로 변환하는 과정을 복호화(Decryption)라고 한다.
그리고, 이 과정에서 대칭키 또는 공개키 등의 키(Key)가 사용되며, 해당 키에 의하여만 정상적으로 암호화와 복호화를 진행할 수 있다.
이러한 키의 사용은 키 관리부(19)에 의하여 진행되며, 키 관리부(19)는 키를 교환 하거나 일치여부를 확인한다.
키는 대칭키 방식(비밀키)과 비대칭키 방식(공개키)이 사용될 수 있다.
대칭키 방식은 암호화할 때 사용하는 키와 복호화할 때 사용하는 키가 동일한 방식이다. 이 암호 방식은 공개키 암호 방식보다 연산 속도가 빨라서 대량의 계장제어 데이터의 암호화에 많이 사용한다. 그러나 송신자와 수신자 모두 동일한 키를 공유해야 하므로 키 관리가 어렵다는 문제점이 있다.
반면에, 공개키 암호는 비밀키 암호와 달리 암호화와 복호화에 사용하는 키가 서로 다른 비대칭키 방식이다. 즉, 특정 알고리즘을 사용하여 공개키와 개인키로 이루어진 키쌍(KeyPair)을 생성한다. 그런 다음 공개키로 메시지를 암호화하고, 개인키로 메시지를 복호화하는 방식이다.
한편, 양방향 인증부(23)는 제 1내지 제 3통신개체(1,2,3)가 상대방이 자신이 의도한 정당한 사용자인지를 서로 확인한다.
양방향 인증을 하기 위해서는 암호화에 사용하는 비밀키와 같이 제 1 내지 제 3통신개체(1,2,3)만이 알고 있는 인증키를 사용한다. 따라서, 계장제어 데이터를 송수신할 때 그 메시지에 대한 무결성과 출처인증을 위해 그 인증키로 메시지 인증코드(Message Authentication Code)를 생성한다.
이 메시지 인증코드를 계장제어 데이터와 함께 상대방에게 전달하면 상대는 수신된 계장제어 데이터와 자신이 가진 인증키로 인증코드를 생성하고, 이렇게 생성된 인증코드가 수신된 인증코드와 동일한지 확인한다.
이때, 메시지 인증코드를 생성하기 위해서 해시함수를 사용하거나 블록 암호를 사용한다.
그리고, 전자서명(Digital Signatures)은 메시지 인증코드와 비슷하지만, 대칭키 방식의 메시지 인증코드와 달리 공개키 암호 방식을 사용한다.
즉, 메시지 인증코드는 인증키라는 동일한 키를 가지고 인증과 검증을 하지만, 전자서명은 개인키로 서명값을 생성하고, 공개키로 서명값을 검증하므로 메시지의 훼손여부와 상대가 정당한 사용자인지 여부를 입증할 수 있다.
예를 들면, 제 1통신개체(1)가 키 생성 알고리즘으로 공개키 및 비밀키의 키쌍을 생성하고 제 2통신개체(3)에 계장제어 데이터를 전달할 때 비밀키와 서명 알고리즘으로 서명값을 생성하여 계장제어 데이터와 서명값을 같이 전달하게 되며, 제 2통신개체(3)는 서명을 검증하기 위해 제 1통신개체(1)의 공개키를 사용한다.
제 2통신개체(3)는 제 1통신개체(1)의 공개키와 전자서명의 검증 알고리즘으로 수신한 계장제어 데이터와 서명값이 제 1통신개체(1)가 전송한 것인지 확인할 수 있다.
이러한 전자서명의 보호함수로는 RSA-PSS, KCDSA, ECDSA, EC-KCDSA 등이 사용된다.
아울러, 메시지 인증코드는 인증키를 가진 제 1 내지 제 3통신개체(1,2,3) 모두 생성할 수 있어서 메시지 인증코드로는 누가 인증코드를 생성했는지는 알 수 없다.
그러나, 전자서명은 제 1 내지 제 3통신개체(1,2,3)가 자신의 개인키로 서명값을 생성하므로 상대는 서명값을 생성할 수 없다. 따라서, 서명값을 검증할 때에도 상대의 공개키만 있으면 서명자를 확인할 수 있다.
한편, 상기한 암호모듈(15)은 계장제어 데이터에 대한 암호화 및 복호화를 실시하는 암호기능 유닛(25)과, 암호를 관리하기 위한 기능을 보유하는 관리 유닛(27)으로 구성된다.
이러한 암호모듈(15)에 있어서, 암호기능 유닛(25)은 블록 암호를 반복적으로 사용하여 계장제어 데이터에 대한 기밀 및 인증(35) 등을 지원하는 블록암호 운영모드(29); 해시함수(hash function;31)와; 메시지 인증코드를 생성하기 위한 모드(33)를 포함한다.
블록암호 운영모드(29)는 블록 암호를 반복적으로 사용하기 위한 것이다.
즉, 암호화하려는 계장제어 데이터에 대한 평문의 길이는 매우 다양한 반면, 블록 암호는 고정된 길이 단위로 동작하므로 암호화하기 위해서는 가변 길이의 계장제어 데이터를 블록 단위로 나누어야 한다. 이렇게 나누어진 블록들을 어떤 방식으로 사용할지 결정해야 하는데, 이 방법을 블록암호 운영 모드라고 한다.
보다 상세하게 설명하면, 블록암호 방식은 고정된 크기의 블록 단위로 계장제어 데이터를 암/복호화하는 함수로, 주로 사용하는 블록 단위의 크기는 128비트다. 즉, 128비트의 평문을 입력받아서 128비트의 암호문을 생성하고, 복호화는 128비트의 암호문을 입력받아서 128비트의 평문을 생성한다. 이처럼 블록 암호는 평문과 암호문의 크기가 동일하며, 그 블록의 크기는 기본이 되는 블록암호에 따라 결정된다.
이러한 블록 암호에서 암/복호화하려면 키가 필요한데, 이 키를 보통 대칭키라고 부른다. 대칭키의 크기는 암호 알고리즘에 따라 다르지만, 일반적으로 128비트, 192비트 또는 256비트다.
이러한 블록암호 운영모드(29)는 ECB(Electronic Codebook), CBC(Cipher Block Chaining), CFB(Cipher Feedback), OFB(Output Feedback), CTR(Counter) 등 다양한 종류로 구분된다.
그리고, 상기 해시함수(31)에 있어서, 해시함수(hash function)는 임의의 길이의 계장제어 데이터를 고정된 길이의 계장제어 데이터로 매핑하는 알고리즘이다.
또한, 해시함수는 입력값이 같은 경우에는 항상 같은 결과값이 나오므로, 만약의 두 해시 값이 다르다면 그 해시값에 대한 원래 계장제어 데이터도 달라야 한다. 즉 역은 성립하지 않는다. 따라서, 입력된 계장제어 데이터에 대한 지문(Finger print)을 생성함으로써 계장제어 데이터의 오류나 변조를 탐지할 수 있는 무결성을 제공한다. 또한, 암호학적 의사난수를 만들어 키를 생성하거나 전자서명에서 메시지를 축약할 때 사용한다.
이러한 해시함수는 암호학적 해시함수(Cryptographic Hash Function)와 비암호학적 해시함수로 구분될 수 있다.
그리고, 암호학적 해시함수의 종류로는 MD5, SHA계열 해시함수가 있으며, 비암호학적 해시함수로는 CRC-32 등이 있다.
메시지 인증코드 모드(33)는 계장 관련한 메시지의 내용, 작성자, 발신처 등 메시지의 무결성을 확인하고 메시지에 대한 인증을 하는 모드이다. 임의의 길이의 메시지로부터 고정 비트 길이의 출력을 계산하는 것은 일방향 해시함수와 유사하나, 일방향 해시함수는 해시값을 계산할 때는 키를 사용하지 않으나, 그에 반해 메시지 인증코드는 제 1 내지 제 3통신개체(1,2,3)가 공유하는 키를 사용하는 차이점이 있다.
따라서, 이 메시지 인증코드를 계장제어 데이터와 함께 상대방에게 전달하면 상대는 수신된 계장제어 데이터와 자신이 가진 인증키로 인증코드를 생성하고, 이 인증코드가 수신된 인증코드와 동일한지 확인한다.
그리고, 이러한 메시지 인증코드는 해쉬기반과 블록기반으로 구분되는 바, 해쉬기반의 보호함수로는 HMAC 등이 있고, 블록기반으로는 CMAC, GMAC 등이 있다.
한편, 관리유닛(27)은 난수를 생성하는 모드(37)와; 키를 생성하는 모드(39)와; 키를 삭제하는 제로화 모드(41)와; 상기 모드들과 연계하여 보안 정책에 의해 키의 생성부터 폐기까지 전 과정을 관리하는 암호키 관리모드(43)와; 암호모듈(15) 전체를 관리하는 암호모듈 관리모드(45)를 포함한다.
상기 난수 생성모드(37)는 암호화시 동일 계장제어 데이터들이 같은 암호문이 되지 않도록 난수를 발생시킨다. 예를 들면, 암호문을 만들기 위해 암호 키와 알고리듬을 계장제어 데이터 블록 단위로 적용하며, 난수 발생기(RNG)에 의한 초기화 벡터를 평문의 첫 블록에 조합함으로써 다음 블록들이 이전 암호 블록과 다른 암호문이 되는 방식이다.
이러한 난수 생성모드(37)에서는 보호함수로서 HASH_DRBG, CTR_DRBG, HMAC_DRBG 등을 사용한다.
키 생성(Key Generation)모드(39)에서는 암호화 혹은 복호화에 필요한 키를 생성하게 된다. 예를 들면 인증키, 대칭키, 비대칭키, 계장제어 데이터베이스 마스터키, 서비스 마스터키 등 다양한 키들을 생성한다.
제로화 모드(Key Zeroization;41)는 암호화 이후 더 이상 사용되지 않는 값이 공개되는 것을 방지하기 위하여 암호화 모듈(15)에서 키와 같은 중요한 매개변수를 삭제한다.
상기 암호키 관리모드(43)는 키의 생성부터 등록, 인가, 등록취소, 분배, 설치, 저장, 압축, 폐지, 유도와 파괴의 전 과정을 관리한다.
또한, 암호키를 주기적으로 갱신하고, 암호키의 사용 만료시 공격자가 암호키를 획득하여 재 사용할 수 없도록 파기한다.
그리고, 암호모듈 관리모드(45)는 암호모듈(15)의 암호기능 유닛(25)과, 관리 유닛(27)을 제어함으로써 계장제어 데이터에 대한 암호화 혹은 복호화 과정을 관리하게 된다.
한편, 도 8에는 본 발명의 다른 실시예에 따른 외장형 2.5계층 보안장치(50, 52)가 적용된 계장제어 시스템의 계장제어 통신 시스템이 도시된다.
본 실시예에서는 외장형 2.5계층 보안장치(50, 52)가 제 1 내지 제 3통신개체(1,2,3)의 2계층과 3계층의 사이에 탈착식 또는 일체형으로 장착될 수 없는 경우에 적용되는 차이점이 있다.
즉, 본 실시예에 따른 2.5계층 보안장치(50, 52)는 한 쌍으로 이루어지는 바, 한 쌍의 보안장치중 제 1보안장치(50)는 제 1통신개체(1)의 1계층에 직결되고, 제 2보안장치(52)는 제 2통신개체(3)의 1계층에 직결된다.
그리고, 제 1보안장치(50)와 제 2보안장치(52) 사이에는 유선 또는 무선 등으로 직접 또는 혼재된 네트워크로 연결되며, 인터넷 등의 연결환경을 갖는 구조이다.
또한 제 1보안장치(50)는 제 1계층은 각각 PHY_A와 PHY_B로 구성되고, 제 2계층(L2)은 MAC_A와 MAC_B로 구성된다.
그리고, 2.5계층 보안장치(7)는 전술한 도 5의 보안장치와 동일한 구조를 갖는다.
이것은 도 5의 개체_A와 개체_D가 상이한 통신 인터페이스 PHY_A와 PHY_D를 갖는 이기종 통신개체라도 동일한 보안정책 에이전트(13)를 갖게 하는 것이다.
또한, 제 2보안장치(52)도 제 1계층은 각각 PHY_C와 PHY_D로 구성되고, 제 2계층(L2)은 MAC_C와 MAC_D로 구성된다.
그리고, 2.5계층 보안장치(7)는 전술한 도 5의 보안장치와 동일한 구조를 갖는다.
또한, 제 1보안장치(50)의 제 1계층의 PHY_B와 제 2보안장치(52)의 제 1계층의 PHY_C가 서로 직결되거나 인터넷 등의 유선 또는 무선으로 연결되어 계장제어 데이터의 송수신이 이루어질 수 있다.
상기에서는 외장형 2.5계층 보안장치로서, 제 1 내지 제 3통신개체(1,2,3)중 2개의 통신개체, 즉 제 1 및 제 2통신개체(1,2)에 의하여 설명하였지만, 본 발명은 이에 한정되는 것은 아니고 제 1 및 제 3통신개체간, 제 2 및 제 3통신개체간, 혹은 제 1 내지 제 3통신개체간에 모두 적용가능하다.
상기한 바와 같이, 본 발명은 3계층과 2계층의 사이인 2.5계층에 보안 장치를 적용함으로써 종단간 암호설정이 어려운 경우 또는 3계층 이상에서만 보안이 가능한 시스템에도 내장형 2.5계층 보안장치(7) 또는 외장형 보안장치(50, 52)를 사용하여 동일한 보안이 가능한 장점이 있다.
1: 제 1통신개체
3: 제 2통신개체
5: 상위계층
7: 2.5계층 보안장치
13: 보안 에이전트
15: 암호모듈

Claims (7)

  1. 계장제어 시스템의 제어판넬에 구비되는 제 1통신개체와, 계장 설비에 구비되는 제 2통신개체와, 관리서버에 구비되는 제 3통신개체를 포함하며, 제 1 내지 제 3통신개체는 각각 상위계층 및 제 1 내지 제 3계층으로 구성되는 계장제어 통신 시스템에 있어서,
    제 1 내지 제 3통신개체의 제 2계층과 제 3계층 사이에 각각 탈착식으로 배치되는 내장형 2.5계층 보안장치를 포함하며,
    상기 2.5계층 보안장치는 통신처리부와;
    상위 인터페이스가 연결되어 상위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트와;
    하위 인터페이스가 연결되어 하위의 계장제어 데이터가 입력 및 출력되는 입,출력 포트와;
    상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 계장제어 데이터의 보안절차를 진행하는 보안 에이전트와;
    보안 에이전트에 연결되어 계장제어 데이터에 대한 암호화를 실시하는 암호모듈과;
    CPU 및 전원을 포함하며,
    보안 에이전트는 계장제어 데이터의 기밀성을 보장하기 위하여 계장제어 데이터를 암호화하는 암호화부와; 계장제어 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 계장제어 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하며,
    암호모듈은 암호화 및 복호화를 실시하는 암호기능 유닛과, 암호를 관리하기 위한 기능을 보유하는 관리 유닛을 포함하는 계장제어 통신 시스템.
  2. 계장제어 시스템의 제어판넬에 구비되는 제 1통신개체와, 계장 설비에 구비되는 제 2통신개체와, 관리서버에 구비되는 제 3통신개체를 포함하며, 제 1 내지 제 3통신개체는 각각 상위계층 및 제 1 내지 제 3계층으로 구성되는 계장제어 통신 시스템에 있어서,
    제 1통신개체의 제 1계층과 탈착식으로 직결되거나, 제 1통신개체의 제 2계층과 탈착식으로 직결되는 제 1보안장치와;
    제 2통신개체의 제 1계층과 탈착식으로 직결되거나, 제 2통신개체의 제 2계층과 탈착식으로 직결되는 제 2보안장치를 포함하며,
    상기 제 1 및 제 2보안장치는 복수개의 제 1계층과, 복수개의 제 2계층과, 상위 계층으로서의 2.5계층 보안장치를 각각 포함하며,
    2.5계층 보안장치는 통신 처리부와;
    상위 인터페이스가 연결되는 입,출력 포트와;
    하위 인터페이스가 연결되는 입,출력 포트와;
    상위 및 하위 인터페이스의 입,출력 포트에 연결되며, 계장제어 데이터의 보안절차를 진행하는 보안 에이전트와;
    보안 에이전트에 연결되어 암호화를 실시하는 암호모듈과; 그리고
    CPU 및 전원을 포함하며,
    보안 에이전트는 계장제어 데이터의 기밀성을 보장하기 위하여 계장제어 데이터를 암호화하는 암호화부와; 계장제어 데이터의 보안성 확보를 위해 필요한 모든 키에 대한 키를 교환 및 일치 여부를 실시하는 키 관리부와; 메시지 무결성과 계장제어 데이터 출처 인증 등의 부인방지를 보장하기 위한 전자서명부와; 신원 확인을 위한 양방향 인증부를 포함하고,
    암호모듈은 암호화 및 복호화를 실시하는 암호기능 유닛과, 암호를 관리하기 위한 기능을 보유하는 관리 유닛을 포함하는 계장제어 통신 시스템.
  3. 삭제
  4. 제 1항 또는 제 2항에 있어서,
    암호기능 유닛은 블록 암호를 반복적으로 사용하여 계장제어 데이터에 대한 기밀 및 인증 등을 지원하는 블록암호 운영모드; 해시함수(hash function)와; 메시지 인증코드를 생성하기 위한 모드를 포함하는 계장제어 통신 시스템.
  5. 제 1항 또는 제 2항에 있어서,
    관리유닛은 난수를 생성하는 모드와; 키를 생성하는 모드와; 키를 삭제하는 제로화 모드와; 상기 모드들과 연계하여 보안 정책에 의해 키의 생성부터 폐기까지 전 과정을 관리하는 암호키 관리모드와; 암호모듈 전체를 관리하는 암호모듈 관리모드를 포함하는 계장제어 통신 시스템.
  6. 제 2항에 있어서,
    제 1보안장치는 제 1계층은 각각 PHY_A와 PHY_B로 구성되고, 제 2계층은 MAC_A와 MAC_B로 구성되며, 제 2보안장치는 제 1계층은 각각 PHY_C와 PHY_D로 구성되고, 제 2계층은 MAC_C와 MAC_D로 구성되며,
    제 1보안장치의 제 1계층의 PHY_B와 제 2보안장치의 제 1계층의 PHY_C가 서로 직결되거나 인터넷 등의 유선 또는 무선으로 연결되어 계장제어 데이터의 송수신이 이루어 지는 것을 특징으로 하는 계장제어 통신 시스템.
  7. 제 1항에 있어서, 계장설비는 온도지시전송계,압력계,초음파 다회선유량계,초음파 개수로식 유량계,초음파수위계,PH Meter,SS Meter,COD,BOD,TN,TP,레벨스위치중 적어도 하나를 포함하는 계장제어 통신 시스템.









KR1020150061351A 2015-04-30 2015-04-30 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템 KR101575040B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020150061351A KR101575040B1 (ko) 2015-04-30 2015-04-30 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020150061351A KR101575040B1 (ko) 2015-04-30 2015-04-30 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템

Publications (1)

Publication Number Publication Date
KR101575040B1 true KR101575040B1 (ko) 2015-12-07

Family

ID=54872487

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020150061351A KR101575040B1 (ko) 2015-04-30 2015-04-30 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템

Country Status (1)

Country Link
KR (1) KR101575040B1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101959686B1 (ko) * 2018-10-01 2019-03-18 한국수자원공사 네트워크 보안용 l2 스위치 및 이를 이용한 원격 감시제어 시스템
KR20230027726A (ko) 2021-08-20 2023-02-28 국민대학교산학협력단 양자보안 통신장치 통합형 스마트 계장제어 시스템 및 방법

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101252529B1 (ko) 2013-02-19 2013-04-09 삼덕전기 주식회사 이중화를 지원하는 배전반용 보안 시스템

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101252529B1 (ko) 2013-02-19 2013-04-09 삼덕전기 주식회사 이중화를 지원하는 배전반용 보안 시스템

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
장영민, 한국정보통신기술협회 보고서 "이종망간의 Handover 관련 표준화 및 기술 동향" (2004.12.31. 공개)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101959686B1 (ko) * 2018-10-01 2019-03-18 한국수자원공사 네트워크 보안용 l2 스위치 및 이를 이용한 원격 감시제어 시스템
WO2020071706A1 (ko) * 2018-10-01 2020-04-09 한국수자원공사 네트워크 보안용 l2 스위치 및 이를 이용한 원격 감시제어 시스템
JP2021503191A (ja) * 2018-10-01 2021-02-04 コリア ウォーター リソーシ コーポレーションＫｏｒｅａ Ｗａｔｅｒ Ｒｅｓｏｕｒｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎ ネットワークセキュリティ用ｌ２スイッチ及びこれを用いた遠隔監視制御システム
KR20230027726A (ko) 2021-08-20 2023-02-28 국민대학교산학협력단 양자보안 통신장치 통합형 스마트 계장제어 시스템 및 방법

Similar Documents

Publication Publication Date Title
US20220158832A1 (en) Systems and Methods for Deployment, Management and Use of Dynamic Cipher Key Systems
US6839841B1 (en) Self-generation of certificates using secure microprocessor in a device for transferring digital information
EP1151579B1 (en) Self-generation of certificates using a secure microprocessor in a device for transferring digital information
KR101032016B1 (ko) 제약된 암호 키
US7584505B2 (en) Inspected secure communication protocol
WO2010064666A1 (ja) 鍵配布システム
CN101170413B (zh) 一种数字证书及其私钥的获得、分发方法及设备
KR20140023799A (ko) Ｃａｎ에서 데이터의 기밀성과 무결성을 보장하는 방법
US9900296B2 (en) Securing communication within a network endpoint
Lesjak et al. Hardware-secured and transparent multi-stakeholder data exchange for industrial IoT
CN111147257A (zh) 身份认证和信息保密的方法、监控中心和远程终端单元
KR101575042B1 (ko) 이종의 자동제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템
CN102598575A (zh) 用于对密码保护的有效数据单元加速解密的方法和***
Mundt et al. General security considerations of LoRaWAN version 1.1 infrastructures
KR101575040B1 (ko) 이종의 계장제어 시스템간의 통신 인터페이스를 지원하는 2.5계층 보안 시스템
JP2016220062A (ja) 通信装置、サーバ、署名検証委託システム及び署名検証委託方法
KR101575050B1 (ko) 이종 통신 인터페이스를 지원하는 2.5계층 보안 시스템
KR101578910B1 (ko) 이종의 통신 인터페이스를 갖는 영상 감시 시스템의 2.5계층 보안 시스템
KR101575048B1 (ko) 이종의 통신 인터페이스를 갖는 수배전반간의 2.5계층 보안 시스템
JP2001111538A (ja) 通信システムとその方法、通信装置およびｉｃカード
CN101296077A (zh) 一种基于总线型拓扑结构的身份认证***
Toğay et al. Secure gateway for the internet of things
Banoth et al. Asymmetric Key Cryptography
KR100798921B1 (ko) Ｍａｃ 보안 서비스망에서의 보안 채널 제어 방법 및 이를구현하는 단말 장치
Køien Privacy enhanced device access

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20191210

Year of fee payment: 5