하드웨어 보안의 최신 동향
암호 모듈 인증 기준인 FIPS 140-3의 보안 레벨 1~4에 대해, 물리적 안전성 요구의 설명으로 올바른 것은?
- A레벨 1이 가장 엄격한 요구이며 숫자가 커질수록 요구는 느슨해지고, 레벨 4는 소프트웨어만으로 이루어진 암호 모듈을 위한 레벨이다
- B레벨은 사용할 수 있는 암호 키의 길이로 정해지며, 레벨 3은 AES-192, 레벨 4는 AES-256을 사용하는 것을 의미하고, 물리적 안전성 요구는 포함하지 않는다
- C레벨 2는 연 흔적이 남을 것, 레벨 3은 열기 어렵게 하고 감지하면 키를 지울 것, 레벨 4는 외장 전체에서의 침입 감지나 전압·온도 이상에 대한 대책까지 요구한다
정답과 해설 보기
정답: C. 레벨 2는 연 흔적이 남을 것, 레벨 3은 열기 어렵게 하고 감지하면 키를 지울 것, 레벨 4는 외장 전체에서의 침입 감지나 전압·온도 이상에 대한 대책까지 요구한다
FIPS 140-3은 미국 NIST가 정하는 암호 모듈 기준으로, 국제 규격 ISO/IEC 19790을 바탕으로 하며, FIPS 140-2의 후속으로 2020년에 인증 접수가 시작되었습니다. 레벨 1에서는 제품으로서 일반적인 품질의 부품이면 되고, 레벨 2에서는 연 흔적이 남는 봉인이나 코팅, 레벨 3에서는 열거나 탐색하기 어렵게 하고 감지하면 키 등의 중요한 값을 지울 것, 레벨 4에서는 외장 전체에서 침입을 감지하는 것과 전압이나 온도가 범위를 벗어났을 때의 보호가 요구됩니다. 인증 대상은 물리적 안전성뿐 아니라 암호 알고리즘의 올바른 구현, 키 관리, 자가 테스트 등에도 미칩니다. HSM이나 보안 칩을 조달하는 조건으로 레벨 지정이 자주 사용됩니다.