하드웨어 보안의 최신 동향
보안 제품을 평가하는 국제 규격인 공통 평가 기준(Common Criteria, ISO/IEC 15408)의 EAL(평가 보증 등급)이 나타내는 것으로 올바른 것은?
- A제품이 사용하는 암호 키의 길이와, 그 암호를 무차별 대입으로 깨는 데 필요한 계산량을 1부터 7까지의 단계로 나타낸 것
- B평가가 얼마나 깊고 엄밀하게 이루어졌는지의 정도로, 무엇을 보호하는지라는 기능 요구는 보안 목표 명세서 등에서 별도로 정한다
- C제품이 출시된 뒤 실제로 공격받은 횟수와 발견된 취약점 수를 바탕으로 평가 기관이 매년 다시 매기는 점수
정답과 해설 보기
정답: B. 평가가 얼마나 깊고 엄밀하게 이루어졌는지의 정도로, 무엇을 보호하는지라는 기능 요구는 보안 목표 명세서 등에서 별도로 정한다
공통 평가 기준에서는 제품이 충족해야 할 보안 기능을 보안 목표 명세서(ST)나 보호 프로파일(PP)로 정하고, 그 기능이 올바르게 만들어져 있는지를 제3자 평가 기관이 조사합니다. EAL은 1부터 7까지 있으며, 숫자가 클수록 설계 문서나 테스트, 취약점 분석을 깊고 엄밀하게 평가했음을 나타냅니다. IC 카드 칩에서는 높은 공격 능력을 상정한 취약점 평가를 추가한 EAL5+나 EAL6+ 등의 인증이 많이 쓰입니다. EAL이 같아도 보호하는 범위는 제품마다 다르므로, 숫자뿐 아니라 ST의 내용을 보고 비교해야 합니다.