101 정보 보호 기술 용어 TTAK.KO-12.0002_R3.pdf

T T

A S

t a n

d a

r d

정보통신단체표준(국문표준)

TTAK.KO-12.0002/R3 개정일: 2013년 12월 18일

정보 보호 기술 용어

Information Security Terminology


TTAK.KO-12.0002/R3 개정일: 2013년 12월 18일


Information Security Terminology

본 문서에 대한 저작권은 TTA에 있으며, TTA와 사전 협의 없이 이 문서의 전체 또는 일부를

상업적 목적으로 복제 또는 배포해서는 안 됩니다.

Copyrightⓒ Telecommunications Technology Association 2013. All Rights Reserved.


TTAK.KO-12.0002/R3i

서 문

1. 표준의 목적

본 표준은 정보 보호 기술에 관한 용어의 혼용을 방지하고 이해를 돕기 위하여 정보

보호 기술 용어에 대한 정의를 제공한다.

2. 주요 내용 요약

주요 내용으로는 정보 보호 기술 분야의 용어에 대한 정의를 제공한다.

3. 표준 적용 산업 분야 및 산업에 미치는 영향

본 표준은 정보 보호 시스템 개발자, 보안 관리, 정보 보호를 이해하려는 일반인 등 정

보 보호에 관련된 모든 사람들이 참고하여 사용할 수 있으며, 용어 사용의 혼동을 감소

시켜 정보 보호 기술에 대한 이해에 도움을 줄 수 있다.

4. 참조 표준(권고)

4.1. 국외 표준(권고)

- 해당 사항 없음.

4.2. 국내 표준


5. 참조 표준(권고)과의 비교

5.1. 참조 표준(권고)과의 관련성


5.2. 참조한 표준(권고)과 본 표준의 비교표



TTAK.KO-12.0002/R3ii

6. 지적 재산권 관련 사항

본 표준의 ‘지적 재산권 확약서’ 제출 현황은 TTA 웹사이트에서 확인할 수 있다.

※본 표준을 이용하는 자는 이용함에 있어 지적 재산권이 포함되어 있을 수 있으므로,

확인 후 이용한다.

※본 표준과 관련하여 접수된 확약서 이외에도 지적 재산권이 존재할 수 있다.

7. 시험 인증 관련 사항

7.1. 시험 인증 대상 여부


7.2. 시험 표준 제정 현황


8. 표준의 이력 정보

8.1. 표준의 이력

판수 제정․개정일 제정․개정 내역

제1판 1998.11.25.제정

TTAS.KO-12.0002

제2판 2003.10.24.개정

TTAS.KO-12.0002/R1

제3판 2012.12.21.개정

TTAI.KO-12.0002/R2

제4판 2013.12.18.개정

TTAK.KO-12.0002/R3

8.2. 주요 개정 사항

신규 용어 정의 추가.


TTAK.KO-12.0002/R3iii

Preface

1. Purpose of Standard

This standard provides the definition of Information Security terminologies to

avoid confusion and improve understanding of Information Security terminologies.

2. Summary of Contents

This standard provides the definition of Information Security terminologies.

3. Applicable Fields of Industry and its Effect

This standard can be used as a reference for information security system

developers, managers, and any other people who are interested in Information

Security. It would contribute to better awareness of Information Security.

4. Reference Standards(Recommendations)

4.1. International Standards(Recommendations)

- None.

4.2. Domestic Standards

- None.

5. Relationship to Reference Standards(Recommendations)

5.1. Relationship of Reference Standards(Recommendations)

- None.

5.2. Differences between Reference Standard(Recommendation) and this Standard

- None.


TTAK.KO-12.0002/R3iv

Edition Issued date Outline

The 1st edition 1998.11.25.Established

TTAS.KO-12.0002

The 2nd edition 2003.10.24.Revised

TTAS.KO-12.0002/R1

The 3rd edition 2012.12.21.Revised

TTAS.KO-12.0002/R2

The 4th edition 2013.12.18.Revised

TTAK.KO-12.0002/R3

6. Statement of Intellectual Property Rights

IPRs related to the present document may have been declared to TTA. The

information pertaining to these IPRs, if any, is available on the TTA Website.

No guarantee can be given as to the existence of other IPRs not referenced on

the TTA website.

And, please make sure to check before applying the standard.

7. Statement of Testing and Certification

7.1. Object of Testing and Certification

- None.

7.2. Standards of Testing and Certification

- None.

8. History of Standard

8.1. Change History

8.2. Revisions

add new terminologies.


TTAK.KO-12.0002/R3v

목 차

1. 개요 ·············································································································································1

2. 표준의 구성 및 범위 ···············································································································1

3. 참조 표준(권고) ························································································································1

4. 정보 보호 기술 용어 정의 ·····································································································1


TTAK.KO-12.0002/R3vi

Contents

1. Introduction ·······························································································································1

2. Constitution and Scope ········································································································1

3. Reference Standards(Recommendations) ·······································································1

4. Information Security Terminology Standard ···································································1


TTAK.KO-12.0002/R31


(Information Security Terminology)

1. 개요

본 표준은 정보 보호 기술에 관한 용어의 혼용을 방지하고 이해를 돕기 위하여 정보

보호 기술 용어에 대한 정의를 제공한다.

2. 표준의 구성 및 범위

본 표준은 정보 보호 기술에 대한 용어를 정의한다.

3. 참조 표준(권고)


4. 정보 보호 기술 용어 정의

4.1. 3중 DES(triple-DES(Data Encryption Standard))

DES(Data Encryption Standard)에 기초한 알고리즘으로서, 키 길이가 56 비트인 3개

의 키를 이용해서 데이터 블록을 3번 암호화 및 복호화하는 구조를 가짐.

4.2. AAA(Authentication, Authorization, and Accounting)

인증, 권한 부여, 과금, 인증이란 어떤 사람이나 사물이 실제로 등록(신고)된 바로 그

사람(또는 실체)인지를 판단하는 과정이다. 개별 또는 인터넷을 포함한 공공 네트워크에

서의 인증은 대게 로그온 시 패스워드(암호)의 사용을 통해 이루어짐.

4.3. ACL(Access Control List)

개개의 사용자들이 디렉터리나 파일과 같은 특정 시스템 객체에 접근할 수 있는 권한

을 정의해 놓은 목록.

4.4. AES(Advanced Encryption Standard)

DES를 대체하는 블록 암호 알고리즘으로, 현재 미국 연방정부표준 블록 암호 알고리즘

(NIST FIPS 197)이며 128 비트 블록 크기에 128, 192, 256 비트 가변 키 길이를 지원함.


TTAK.KO-12.0002/R32

4.5. APCERT(Asia-Pacific Computer Emergency Response Team)

아시아, 태평양 지역의 국가대표 CERT(Computer Emergency Response Team) 조직

간 협의체로서, 매년 정기적으로 국제공동모의훈련을 주관하고 연례 총회를 개최하여 구

성원간 침해대 응 관련 정보교류 및 협력 활동을 수행함.

4.6. APT(Advanced Persistent Threat) 공격

특정 공격 대상을 겨냥해 지능적, 지속적으로 은밀하게 공격을 행함으로써 기밀 정보

및 중요 정보를 유출하고 내부 시스템에 피해를 유발하는 해킹 기법으로, 해킹 공격 방

법에 제약을 가지지 않는다는 특징을 가짐.

4.7. ARIA

경량 환경 및 하드웨어 구현 최적화를 고려하여 설계된 범용 블록암호 알고리즘으로

정부 행안망 등에서 사용되고 있음. 128 비트 블록 크기에 128, 192, 256 비트 키 길이

를 지원함.

4.8. ARP 스푸핑(ARP(Address Resolution Protocol) spoofing)

네트워크의 물리적 주소(MAC)를 변조함으로써 네트워크 구간에서의 트래픽 흐름을 가

로채거나 방행하는 공격 기법으로, 동일 네트워크(같은 빌딩, 아파트 등)에 존재하는 보

안 게이트웨이의 IP를 해커 자신의 랜카드 주소(MAC)로 연결시켜 다른 PC에 전달되어야

하는 정보를 중간에서 가로채기함으로써 공격이 수행됨.

4.9. CC Attack(Cache-Control Attack)

서버에 과부하를 일으켜 시스템을 다운시키는 형태의 공격으로, HTTP 헤더에 정의된

Cache Control과 관련된 값을 변조함으로써 클라이언트에서 발생하는 모든 요청을 서버

로 전달함으로써 서버의 부하를 증가시킴.

4.10. CRL 분배점(Certificate Revocation List distribution points)

공개 키 기반 구조에서 CRL(인증서 취소 목록) 크기가 증가하는 것을 방지하기 위하

여, 전체 CRL을 취소 이유별로 구분하여 작은 크기 단위로 발행한 CRL을 찾기 위한 분

배점을 나타냄. 인증서 폐지 목록을 접근하기 위한 디렉터리 엔트리.


TTAK.KO-12.0002/R33

4.11. CSR(Certificate Signing Request)

SSL 서버를 운영하는 회사의 정보를 암호화하여 인증 기관으로 보내 인증서를 발급받

게 하는 일종의 신청서.

4.12. CTF(Capture The Flag)

해킹 대회 시 실력을 확인하는 방법 중의 하나로 단순 문제풀이 방식의 절대적 평가의

한계를 극복하기 위하여 본인의 서버를 방어하고 상대방의 서버를 공격하여 서로의 실력

을 검증하는 대회 방법임

4.13. CVE(Common Vulnerabilities and Exposures)

알려진 취약점과 공격 위험에 대한 표준 목록 명칭.

4.14. DES(Data Encryption Standard)

80~90년대 미국 연방정부표준으로 사용된 블록암호 알고리즘으로 64 비트 블록 크기

에 56 비트 키 길이를 지원함. 현재는 안전성 문제로 인해 사용이 권고되고 있지 않으며

AES로 대체됨.

4.15. Diffie-Hellman 알고리즘(Diffie-Hellman Algorithm)

두 사용자가 사전에 어떠한 비밀 교환 없이도 공통키 교환을 가능하게 하는 가장 오래

된 공개 키 암호 시스템으로 이산 구조의 복잡함을 활용한 방식임.

4.16. DNS 스푸핑(DNS(Domain name system) spoofing)

해커가 DNS 서버를 해킹하거나, 패킷을 조작하여 특정 도메인에 대응하는 IP주소를 해

커가 원하는 IP 주소로 위조하는 기법.

4.17. DNS 싱크홀(DNS(Domain name system) sinkhole)

국내 주요 ISP와 협력을 통해 악성봇에 감염된 PC가 해커의 명령을 받기 위해 C&C로

연결을 시도할 때 C&C 대신 싱크홀 서버로 우회시켜 더 이상 해커로부터 조종 명령을

받지 않도록 해주는 시스템.


TTAK.KO-12.0002/R34

4.18. DNS 캐시 포이즈닝(DNS(Domain name system) cache poisoning attack)

DNS 프로토콜 자체의 취약성을 이용해 캐시 DNS에 저장된 쿼리 정보를 위, 변조하여

공격자가 원하는 주소로 DNS Cache 정보를 변경시키는 공격을 의미. 이용자가 질의한

도메인에 대해 공격자가 지정한 사이트로 연결시켜 버릴 수 있어 피싱, 악성코드 유포

등에 악용됨.

4.19. DRM(Digital Right Management)

디지털 콘텐츠의 무단 사용을 막아, 제공자의 권리와 이익을 보호해주는 기술과 서비스

를 의미하며 불법 복제와 변조를 방지하는 기술 등을 제공.

4.20. DSA(Digital Signature Algorithm)

공개 키 암호화 알고리즘 중 하나인 ElGamal에 기반하여 개발된 전자서명 알고리즘으

로 미국 연방정부표준(NIST FIPS 186-3)에 포함되어 있음.

4.21. DSS(Digital Signature Standard)

미국 연방정부표준으로 등재된 암호 알고리즘 중 전자서명 표준(NIST FIPS 186)을 지

칭하는 것으로 RSA 서명, DSA, ECDSA를 포함하고 있음.

4.22. EAM(Extranet Access Management)

분산 환경에서 사용자가 한번의 로그인만으로 다양한 서비스를 이용할 수 있는 효과적

인 통합 인증 환경과 이를 기반으로 컴퓨터 시스템에서 인증된 사용자가 자기에게 부여

된 권한에 해당되는 기능만을 수행할 수 있도록 통합된 사용자 인증 및 권한 관리 서비

스 제공.

4.23. EAP(Extensible Authentication Protocol)

인증을 위해 사용하는 프로토콜로, EAP 자체 실제 인증 프로토콜이 아니지만 확장성을

지원하여 내부적으로 MD5, 일회용 패스워드(One-Time Password), 스마트 카드, 전송

계층 보안(EAP-TLS), 터널 방식으로 개량된 TLS(EAP-TTLS)와 같은 인증 방식을 사용

할 수 있게 되어 있다. 기업용 또는 공중 무선랜 환경 등에서 인증 서버를 이용한 인증

에 사용됨.


TTAK.KO-12.0002/R35

4.24. EAP-AKA(Extensible Authentication Protocol - Authentication and Key

Agreement)

3세대 이동통신의 인증 및 키 일치 프로토콜. 가입자 인증 정보를 휴대단말이 아닌

UICC(Universal IC Card)에 안전하게 저장, 관리, 처리함으로써 가입자 인증 정보를 안

전하게 보호할 수 있다. 원래, 3세대 이동통신 표준인 AKA 방식을 IEEE 802.1x 표준인

EAP 인증 프로토콜에 적용하여 3세대 이동통신과 무선 랜을 끊김 없이 연동하기 위하여

제안된 인증 프로토콜로서 가입자만을 인증하는 단일 인증과 가입자와 인증 서버를 서로

인증할 수 있는 상호 인증이 가능함.

4.25. ECC(Elliptic Curve Cryptosystem)

Weistrass 방정식을 만족하는 점들의 집합인 타원곡선에 기반하여 설계된 공개 키 암

호 체계로 소인수분해 문제나 이산대수 문제에 기반한 공개 키 암호 체계에 비해 짧은

키 길이로 동일한 안전성을 제공할 수 있다는 장점을 가지고 있음.

4.26. EMS(Enterprise Management System)

전산 시스템들의 자체적 성능, 사용량, 이상 유무 등을 종합적으로 관리할 수 있는 시

스템. 시스템에 대한 운영상황 감시와 사전조치, 서버 장애시 복구, 시스템 성능분석과

통계자료 등을 제공.

4.27. ESM(Enterprise Security Management)

침입차단시스템(Firewall), 침입탐지시스템(IDS), 침입방지시스템(IPS) 등 이기종의 다양

한 보안 장비들로부터 발생하는 다양한 형태의 이벤트들에 대해 통합 관리를 함으로써

보안의 위협에 대해 종합적으로 분석 및 판단이 가능하도록 지원하는 시스템

4.28. ESP(Encapsulating Security Payload)

IPSec 프로토콜의 일부분으로써, ESP 프로토콜은 송신하고자 하는 페이로드를 암호화

하여 송수신 데이터에 대해 기밀성과 제한된 트래픽 흐름 기밀성을 제공. 기밀성, 데이터

출처 인증과 재전송 공격에 대한 보호 서비스도 제공할 수 있는 IPSec 보안 프로토콜.

4.29. FIRST(Forum of Incident Response and Security Teams)

각 국의 정부, 교육기관, 상업에서 활동하고 있는 침해 사고 대응 팀들로 조직된 국제

협의체로, 매년 정기 운영회의, 연례 컨퍼런스, 기술 세미나 등을 통해 침해대응 정보교

류 및 협력활동 수행.


TTAK.KO-12.0002/R36

4.30. GET Flooding Attack

HTTP 프로토콜의 GET 명령을 단수 또는 복수의 사용자가 대량으로 전송하여 웹서버

자원을 고갈시키는 분산서비스거부(DDoS) 공격.

4.31. HAS-160(Hash Algorithm Standard 160)

국내 단체표준으로 제정된 해시 함수 알고리즘으로 임의 길이 입력 메시지에 대해 160

비트 고정 길이 값을 출력함.

4.32. HIGHT(HIGh security and light weigHT)

RFID, USN 등과 같은 경량 환경에 특화하여 설계된 블록암호 알고리즘으로 64 비트

블록 크기에 128 비트 키 길이를 지원함.

4.33. HTTP(Hyper Text Transport Protocol) Continuation Attack

HTTP 프로토콜의 Continuation 명령을 대량으로 전송하여 웹서버의 자원을 고갈시키

는 분산서비스거부(DDoS) 공격.

4.34. HTTP(Hyper Text Transport Protocol) Slow Attack

DDoS 공격의 근원지를 식별하고 통제하는 것으로 어렵게 하기위하여 정상 행위의 범

위 내에서 작은 양의 HTTP GET 요청만을 발생시키는 공격으로, 근원지 IP당 작은 양의

요청을 하는 대신 다수의 IP가 동원됨.

4.35. ICMP(Internet Control Message Protocol) Flooding Attack

네트워크 전송 구간의 가용성 상태를 체크하기 위한 목적으로 이용되는 ICMP 프로토

콜을 다량의 발생시킴으로써 서버 및 네트워크의 과부하와 시스템 자원의 고갈을 유도하

는 공격.

4.36. IKE(Internet Key Exchange)

IPSec(IP Security) 프로토콜에서 키와 알고리즘 파라미터를 포함한 각종 보안 메커니

즘 상호 결정을 위해 사용하는 키 관리 프로토콜.


TTAK.KO-12.0002/R37

4.37. IP 스푸핑(IP(Internet Protocol) spoofing)

IP를 변조하는 공격 방법으로 IP 기반의 ACL 통제를 우회하거나 회피하기 위한 공격

방법으로, 변조된 IP를 이용하여 공격을 행 할 경우 향후 공격에 대한 추적을 어렵게 만

들 수 있음.

4.38. IP 역추적(IP(Internet Protocol) traceback)

사이버 범죄를 시도하는 공격자의 실제 위치를 탐색할 수 있는 기술로 크게 네트워크

상의 모든 라우터가 자신을 지나가는 패킷에 자신의 IP주소를 마킹하는 기법과

ICMP(Internet Control Message Protocol) 메시지를 이용하여 근원지 패킷의 전달 경로

정보를 파악하는 기법, 그리고 네트워크 관리 프로토콜을 응용한 방법 등으로 나눌 수

있음.

4.39. IPSec(Internet Protocol Security)

네트워크 계층인 인터넷 프로토콜에서 보안성을 제공하는 표준(IETF RFC) 기술로 데이

터에 대한 인증 제공에 한정한 인증 헤더(Authentication Header)와 데이터에 대한 인증

과 기밀성을 함께 지원하는 ESP(Encapsulating Security Payload) 등 두 종류의 보안 서

비스를 제공하며, 보안 게이트웨이 간의 보안 터널을 제공하는 터널모드와 종단 호스트

간의 보안 터널을 제공하는 트랜스포트 모드 등 2가지 모드를 제공함. IPv4에서는 선택

으로 IPv6에서는 필수로 제공하도록 되어 있음.

4.40. ISAKMP(Internet Security Association and Key Management Protocol)

CISCO Systems에서 제안한 키 관리 프로토콜로서 보안 연계(SA) 관리와 협상을 위한

자료를 저장하는 형식을 명시하며 새로운 키 관리 프로토콜이 없이도 여러 종류의 키 교

환 알고리즘과 암호화 협상이 삽입될 수 있음.

4.41. ITSEC(Information Technology Security Evaluation Criteria)

ITSEC은 영국, 독일, 프랑스 및 네덜란드 등 자국의 정보보호시스템 평가기준을 제정

하여 시행하던 4개국이 평가제품의 상호 인정 및 평가 기준이 상이함에 따른 정보보호

제품의 평가에 소요되는 시간, 인력 및 소요 비용을 절감하기 위하여 소위 "Harmonized

Criteria"를 작성하기로 합의하고 1991년에 ITSEC v1.2를 제정. ITSEC은 TCSEC(Trusted

Computer Security Evaluation Criteria)과는 달리 단일 기준으로 모든 정보보호제품을

평가. 따라서 보안 기능은 개발자가 제품이 사용될 환경을 고려하여 보안기능을 설정하

거나 TCSEC 혹은 독일의 ZSIEC(Criteria for the Evaluation of Trustworthiness of

Information Technology Systems)에서 미리 정의한 보안 기능을 사용토록 하였으며 제


TTAK.KO-12.0002/R38

품에 대한 평가는 보증 부분만 가지고 수행. ITSEC에서 정의한 보안 기능은 TCSEC과의

호환을 위한 F-C1, F-C2, F-B1, F-B2 및 F-B3등 5가지와 독일의 ZSIEC의 보안 기능

을 이용한 F-IN(무결성), F-AV(가용성), F-DI(전송 데이터 무결성), F-DC(기밀성) 및

F-DX(전송 데이터 기밀성) 등 총 10가지임.

4.42. KCDSA(Korea Certificate-based Digital Signature Algorithm)

국내 단체표준 및 ISO 표준으로 제정된 전자서명 알고리즘으로 이산대수 문제

(Discrete Logarithm Problem)의 어려움에 기반하여 설계됨.

4.43. KrCERT/CC(KOREA Computer Emergency Response Team/Coordination

Center)

대한민국 대표 CERT 조직으로서 국내 인터넷망의 침해 사고 대응 활동 및 공조 체제

를 구축․운영하고, 국제적 침해 사고 대응을 위한 단일 창구의 역할도 수행하고 있음.

4.44. LAND Attack

인위적으로 송신지 IP 주소 및 Port를 목적지(대상 웹서버) IP 주소 및 Port와 동일하게

설정하여 트래픽을 전송하는 공격.

4.45. LDAP(Lightweight Directory Access Protocol)

인증서와 인증서폐지목록 등의 PKI 정보를 모아둔 디렉터리로의 접근 프로토콜. 조직

이나 실체, 그리고 인터넷, 기업 내의 인트라넷 등 네트워크상에 있는 파일이나 장치들과

같은 자원 등의 위치를 찾을 수 있게 해주는 소프트웨어 프로토콜. LDAP은 DAP(디렉터

리 접근 프로토콜)보다 코드의 양이 적은 경량판이며, 네트워크 내의 디렉터리 서비스 표

준인 X.500을 가볍게 재조정한 것. X.500은 UNIX 시스템의 OSI 7계층 구조로 중대형 컴

퓨터에 사용되던 것으로 일반 데스크톱 PC의 인터넷 환경에서는 시스템의 과부하를 일

으켜 현실적으로 사용하기 어려움. 이런 단점을 LDAP은 OSI 7 계층을 사용하는 대신 인

터넷 프로토콜(TCP/IP) 스택을 사용함으로써 해결함.

4.46. MD5(Message-Digest algorithm 5)

해시함수 알고리즘 중 하나로 Unix 패스워드 저장이나 APOP 등의 다양한 암호 응용

프로토콜에 적용되었으나, 현재는 안전성 문제로 인해 SHA로 대체되고 있음.


TTAK.KO-12.0002/R39

4.47. MIME(Multi-purpose Internet Mail Extensions)

인터넷 프로토콜 군에서 전자우편의 멀티미디어를 지원하기 위한 표준(IETF RFC)기술.

인터넷 통신에서 여러 포맷의 문서를 전송하기 위해 사용(보통의 텍스트 데이터 이외의

확장 코드나, 화상, 음성 등을 인터넷 메일로 보내기 위한 방법)되며, 원래 문서 내용의

포맷과 컴퓨터상에 나타나는 문서 포맷 간의 관계를 설정하는 것으로 복잡한 파일 포맷

을 관리함.

4.48. NIST(National Institute of Standards and Technology)

미국 국립 표준 기술 연구소로서, 정부의 기술표준 활동과 민간 부문의 적합성평가 활

동을 조정하고, 자발적인 표준 사용 참여를 위한 가이드라인 제공.

4.49. OTP(One Time Password)

인터넷뱅킹 등 전자금융거래 시 고정된 비밀번호 대신 매 1분마다 다른 비밀번호를 사

용하는 일회용 비밀번호.

4.50. OWASP(The Open Web Application Security Project)

웹 애플리케이션 보안을 연구하는 비영리 단체로, 주로 웹을 통한 정보 유출, 취약점

등을 연구하며, 10대 웹 애플리케이션 취약점(OWASP TOP 10)을 매년 공개 발표함.

4.51. P3P(Platform for Privacy Preferences)

W3C에서 개발한 프라이버시보호 표준기술플랫폼으로, 특정 웹 사이트의 개인정보 보

호 정책을 준수하고 있음을 쉽게 확인할 수 있음.

4.52. PEM(Privacy Enhanced Mail)

안전한 암호화 기술을 이용하여 기밀성, 메시지 인증, 무결성 등 보안성을 보장하는 안

전한 전자우편에 대한 인터넷 규격으로서, PEM은 MIME(Multi-purpose Internet Mail

Extensions)에 의해서 지원되는 새로운 형태의 다중형 전자우편은 암호 처리할 수 없음.

키를 발급하기 위해서는 인증 기관에 대한 엄격한 계층 구조를 필요로 함.


TTAK.KO-12.0002/R310

4.53. PGP(Pretty Good Privacy)

인터넷 전자 우편에 대한 PGP 보안 응용은 다양한 암호화 규격을 이용하며, 모든 주

요한 운영체제들에 대해서 완전한 호환성을 가짐. 메시지는 전자우편 프로그램을 이용하

기 전에 암호화될 수 있으며, 일부의 우편 프로그램들은 암호화된 우편을 처리하기 위해

서 특수한 PGP 삽입 모듈을 이용할 수 있음.

4.54. RADIUS(Remote Authentication Dial-in User Services)

원격지 이용자의 접속 요구 시 이용자 ID나 패스워드, IP 주소 등의 정보를 인증 서버

에 보내어 이용자의 식별 및 인증을 실행하는 것으로, 사원의 자택이나 외출 시 공중 회

선 또는 인터넷을 거쳐 서버에 원격 접속하는 기회가 증가되고 있기 때문에 이용자 인증

시스템 역시 결함이 없어야 하며, 접속할 때쯤 암호를 변경해도 정당한 이용자만을 인증

하기 때문에 암호를 도난당한 경우에도 부정사용을 방지할 수 있음.

4.55. RSA(Rivest, Shamir, Adleman)

설계자인 D. Rivest, A. Shamir, L. Adelman의 머릿글자를 따서 명명된 공개 키 암호

체계로, 인수분해 문제의 어려움에 기반하여 고안되었으며, 공개 키 암호화 알고리즘(예

RSA-OAEP)이나 전자서명 알고리즘(예 RSA-PSS) 설계의 기반 프리미티브로 사용됨.

4.56. S/MIME(Secure Multipurpose Internet Mail Extension)

전자 우편의 안전성을 보장하는 전송 방식의 하나. S/MIME은 인터넷의 멀티미디어 전

자우편 프로토콜인 MIME(Multi-purpose Internet Mail Extensions)을 확장해서 전자 우

편 자체에 대한 암호 처리와 전자 우편에 첨부하는 전자서명을 제공.

4.57. SCADA(Supervisory Control and Data Acquisition)

전력, 가스 등 에너지 설비, 대규모 산업 플랜트를 운영 관리하기 위해 필수적으로 사

용되는 집중 원격감시 제어시스템 또는 감시 제어 데이터 수집시스템으로, 분산 설치되

어 있는 원격 단말 장치를 중앙에서 집중 감시 및 제어할 수 있음.

4.58. SEED

민간 부분인 인터넷, 전자상거래, 무선 통신 등에서 민감 정보 및 프라이버시 보호를

위해 1999년 2월 KISA가 주축이 되어 개발한 128 비트 및 256 비트 대칭 키 블록 암호

알고리즘으로, IETF 및 ISO/IEC 국제표준으로 채택된 바 있음.


TTAK.KO-12.0002/R311

4.59. SET(Secure Electronic Transaction) 프로토콜

SET 프로토콜은 Visa와 Master Card에서 안전한 온라인 거래를 위해서 개발한 프로토

콜. 네트워크를 통해서 거래(transaction)가 이루어지는 온라인 거래의 경우 개인의 은행

계좌 정보나 신용 정보 등이 공중망을 통해서 노출되거나 문서의 위조․변경 등의 문제를

해결하기 위해서 만들어졌으며, 메시지 암호화 방법을 이용하여 데이터의 기밀성을 보장

하고, 이중 전자서명을 이용하여 데이터의 무결성을 보장하며, 전자서명과 인증서를 이용

하여 실체를 인증함.

4.60. SHA(Secure Hash Algorithm)

미국 연방정부 표준 해시함수 알고리즘으로 임의길이 메시지에 대해 160, 224, 256,

384, 512 비트 출력값을 생성하도록 설계됨. 각각의 출력 길이에 따라 알고리즘의 내부

구조나 초기값, 출력 방법 등이 다르기 때문에 각각을 SHA-1, SHA-224, SHA-256,

SHA-384, SHA-512로 구분함. SHA를 포함하는 미국 연방정부 해시함수 표준

SHS(Secure Hash Standard)는 NIST FIPS 180으로 발간되어 관리되고 있음.

4.61. Slow Post Attack

분산서비스거부(DDoS) 공격의 근원지를 식별하고 통제하는 것으로 어렵게 하기 위하

여 정상 행위의 범위 내에서 작은 양의 HTTP POST 요청만을 발생시키는 공격. 이 공격

의 경우는 근원지 IP 당 작은 양의 요청을 하는 대신 다수의 IP가 동원됨.

4.62. Slowloris Attack

Slow POST Attack과 비슷한 원리의 공격으로 불완전한 HTTP method의 패킷을 웹서

버로 전송하여 웹서버의 HTTP 연결 수를 다른 정상 이용자가 사용할 수 없도록 선점하

는 분산서비스거부(DDoS) 공격.

4.63. SMS 피싱(SMS Phishing)

휴대폰의 SMS(단문자 메시지 서비스)를 이용한 결제 사기 수법으로, 메시지나 사진이

도착했다면서 가입자를 유료 페이지로 유도하여 정보를 자동으로 이용하게 함으로써 사

용료를 결제하게 만드는 수법 같은 것이 대표적임.


TTAK.KO-12.0002/R312

4.64. SQL 인젝션(SQL(Structured Query Language) injection)

다양한 응용 프로그램에 S/W 개발자가 생각지 못한 입력 및 조작으로 인해 발생하는

SQL 명령문의 구문 오류를 이용하여 발생하는 공격 기법으로, 웹 서비스의 필터를 우회

한 DB 정보의 비정상적인 접근 및 명령어를 실행할 수 있음.

4.65. SSL(Secure Socket Layer)

인터넷에서 데이터를 안전하게 전송하기 위해 넷스케이프사에서 만든 프로토콜로써

HTTP나 FTP등의 데이터를 암호화하여 송/수신하는 기술. SSL 프로토콜에 기반해 보안

서버로 구축된 웹사이트는 인터넷 주소가 ‘http’ 대신 ‘https’ 를 사용.

4.66. TCP(Transmission Control Protocol) flags flooding Attack

TCP 프로토콜의 특정 Flags(SYN, ACK, FIN, RESET 등) 패킷을 대량으로 전송하여

웹서버 자원 또는 회선 대역폭을 고갈시키는 분산서비스거부(DDoS) 공격.

4.67. TCSEC(Trusted Computer Security Evaluation Criteria)

미국은 국방부, NBS(National Bureau of Standards, NIST의 전신) 및 MITRE 등을 중

심으로 안전한 컴퓨터시스템의 구축 및 평가 등에 관한 지속적인 연구 결과로 1983년에

소위 "Orange Book"으로 불리는 안전한 컴퓨터시스템 평가 기준인 TCSEC 초안을 제정

하였고 1985년에 미 국방부 표준(DoD 5200.28-STD)으로 채택. 미 국방부는 안전․신뢰

성이 입증된 컴퓨터시스템을 국방부 및 정부기관에 보급하기 위하여 TCSEC을 6가지 등

급(C1, C2, B1, B2, B3, A1)으로 분류하여 각 기관별 특성에 맞는 컴퓨터 시스템을 도

입․운영하도록 권고. TCSEC은 보안 정책, 표시, 신분 확인, 감사 기록, 보증 및 지속적인

보호의 기본적인 컴퓨터 보안 요구 사항을 갖고 있음.

4.68. Teardrop Attack

조작된 데이터를 여러 조각으로 나누어 전송함으로써 재조합할 때 오류가 발생하도록

유도하는 분산서비스거부(DDoS) 공격.

4.69. TKIP(Temporal Key Integrity Protocol)

WEP의 취약성을 보완하기 위해 암호알고리즘(RC4)의 입력 키 길이를 128 비트로 늘

리고 패킷당 키 할당, 키값 재설정 등 키 관리 방식을 개선한 기술로 WAP에 채택되었

음.


TTAK.KO-12.0002/R313

4.70. TLS(Transport Layer Security)

IETF에서 SSL(Secure Socket Layer) V3.0을 표준화하기 위해 제안한 보안 프로토콜

로, SSL에 비해 보안성이 강화되었음. 기능적 차이는 거의 없으나, HMAC 계산과 Cipher

Suite, 의사난수 계산 방식을 달리하고 있으며, RFC 발간 이후에도 취약성 보완 및 확장

성 강화를 위해 설계를 개선하여 현재 TLS 1.2가 발표됨.

4.71. UDP(User Datagram Protocol) Flooding Attack

패킷 전송의 유효성을 검증하지 않는 UDP 프로토콜을 대량으로 전송함으로써 네트워

크 및 서버의 자원을 고갈 시키는 분산서비스거부(DDoS) 공격 방법.

4.72. VPN(Virtual Private Network)

공중망에서 통신 채널을 암호화하여 개별 망들을 하나의 사설 망처럼 구성하여 안전한

통신을 할 수 있도록 보장하는 네트워크 기술. 사설망과 공중망의 중간 형태로 공중 통

신망인 인터넷을 사용해 사설 망을 구축할 수 있게 해 주기 때문에 인터넷으로 일반 전

용회선을 사용한 것과 동일한 보안상의 효과를 볼 수 있으며, 장비와 회선 임대료 비용

을 절감할 수 있음. VPN의 핵심인 보안을 가능케 하는 기술에는 인증, 암호화, 터널링

등이 있음.

4.73. WAP(Wireless Application Protocol)

사용자가 무선 단말기를 비롯한 여러 무선 장비를 사용하여 필요한 정보에 접근하기

위하여 WAP 포럼에서 정의한 표준 프로토콜로, WTLS(Wireless Transport Layer

Security), WALS(Wireless Application Layer Security), WPKI(Wireless PKI),

WIM(Wireless Identification Module) 등으로 구성

4.74. WEP(Wired Equivalent Privacy)

무선 LAN 보안을 위해 개발된 표준으로 스트림암호 RC4에 기반하여 기밀성을 제공하

는 것을 주요 목적으로 하고 있음. 현재 짧은 키 길이(40 또는 104 비트)를 비롯하여 다

양한 취약성이 발견되어 WPA나 WPA2로 대체하는 것이 권고되고 있음.

4.75. WPA(Wi-Fi Protected Access)

WEP의 취약성에 대한 대안으로 발표된 무선랜 보안 기술 규격으로 IEEE 802.11i 표준

이 완성되기 전에 단기간 보안 해결책으로 Wi-Fi alliance에서 제시한 표준이다. TKIP을

통한 암호화 향상, EAP를 통한 사용자 인증 등을 포함하고 있음.


TTAK.KO-12.0002/R314

4.76. WPA2(Wi-Fi Protected Access2)

IEEE 802.11i 규격의 완성에 따라 IEEE 802.11i 규격을 완전히 수용하는 표준으로

WPA와 구분하기 위해 WPA2로 불린다. AES-CCMP를 통한 암호화 기능 향상, EAP 사

용자 인증 강화 등을 포함하고 있음.

4.77. X.509

ITU-T의 공개 키 기반 인증서 규격의 표준 번호로, 이 규격을 기반으로 작성된 인증서

를 X.509 인증서로 부름.

4.78. 가용성(availability)

정당한 사용자가 정보 시스템의 데이터 또는 자원을 필요로 할 때 부당한 지체 없이

원하는 객체 또는 자원으로의 접근 및 사용을 보장해 주는 성질.

4.79. 감사(audit)

사용 정책 및 보안 정책을 수립하고 이에 따라 정보 시스템이 안전하게 운용되고 있는

지 확인하기 위하여 정보 시스템 내에 기록, 저장되어 있는 각종 사용자 행위에 대한 상

세 내용을 조사, 분석하는 행위.

4.80. 감사 기록(Audit Logging)

정보 시스템 사용자의 행위에 대한 증거가 되는 데이터를 시간순으로 기록, 저장하는

것으로 관리 책임자에 의해 총괄 관리되며 시스템의 각 업무 관리자는 당해 업무에 대한

감사 기록만 열람할 수 있음.

4.81. 감사 추적(audit trail)

정보 시스템 내에 저장된 감사 기록 데이터를 이용하여 사용자의 비인가된 행위, 사용

자 행위의 처리 과정, 정보 시스템 활용 현황 등에 대한 정보를 조사하는 방법.

4.82. 감청(Lawful Interception)

당사자 동의 없이 대화를 엿듣거나 행동을 채집하여 기록하거나 녹음하는 행위. 「통신

비밀보호법」에서는 감청을 “전기통신에 대하여 당사자의 동의 없이 전자장치·기계장치

등을 사용하여 통신의 음향·문언·부호·영상을 청취·공독하여 그 내용을 지득 또는 채록하


TTAK.KO-12.0002/R315

거나 전기통신의 송·수신을 방해하는 것을 말한다”고 규정하고 있음. 범죄 수사나 국가

안보를 위하여 법원의 감청 영장을 발부받아 감청하면 합법적인 감청이 되지만, 그렇지

않았을 때는 불법인 도청이 된다. 다만, 국가 안위와 관련한 긴급한 사유가 있을 때에는

법원의 허가 없이도 감청할 수 있음.

4.83. 강제적 접근 통제(MAC, Mandatory Access Control)

정보 시스템 내에서 어떤 주체가 특정 객체에 접근하려 할 때 양쪽의 보안 레이블

(Security Label)에 기초하여 높은 보안 수준을 요구하는 정보(객체)가 낮은 보안 수준의

주체에게 노출되지 않도록 접근을 제한하는 통제 방법.

4.84. 개념 증명 코드(PoC, Proof of Concept)

제품 또는 설루션에 대한 동작 방식과 개념을 전달하고 입증하는 과정으로, 보안 취약

점을 이용해 실제로 공격이 성공하는 것을 보여주는 증명이기도 함.

4.85. 개인정보 관리사(CPPG, Certified Privacy Protection General)

개인 정보 보호 정책과 대처 방법론에 대한 지식이나 능력을 갖춘 사람. 개인 정보 보

호와 관련된 보안 정책의 수립, 기업 또는 기관의 개인 정보 보호의 이해, 개인 정보 취

급자 관리, 관련 법규에 대한 지식이나 적용 같은 것에 대한 업무 능력을 보유한 사람으

로서 해당 기관에서 주관하는 자격시험에 응시하여 합격한 자를 말함.

4.86. 개인정보(Personal Information)

살아 있는 개인에 관한 정보로서 성명, 주민등록번호나 영상으로 개인을 알아볼 수 있

는 정보. 여기에는 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 결

합하여 알아볼 수 있는 정보까지 포함함.

4.87. 개인식별번호(PIN, Personal Identification Number)

신분을 확인하기 위하여 각 개인에게 유일하게 부여되는 번호로 숫자 및 문자의 조합

으로 이루어짐. 정보 시스템을 사용하기 전 또는 정보를 전달할 때, 사용자를 확인하기

위해 부여된 보안 번호.

4.88. 개인위치정보

특정 개인의 위치정보(위차 정보만으로는 특정 개인의 위치를 알 수 없는 경우에도 다

른 정보와 용이하게 결합하여 특정 개인의 위치를 알 수 있는 것을 포함한다)를 말함.


TTAK.KO-12.0002/R316

4.89. 개인정보 영향평가 제도(PIA, Privacy Impact Assessment)

개인 정보를 활용하는 새로운 정보 시스템의 도입 및 기존 정보 시스템의 중요한 변경

시, 시스템의 구축ㆍ운영이 기업의 고객은 물론 국민의 사생활에 미칠 영향에 대해 미리

조사ㆍ분석ㆍ평가하는 제도. 개인 정보 침해 위험성을 사전에 발견해, 정보 시스템 구축

및 운영에서 시행착오를 예방하고 효과적인 대응책을 수립하기 위하여 도입하는 제도로

서 개인정보보호법에 의하여 공공 기관은 의무화되어 있음.

4.90. 개인정보보호 관리 체계 인증제(Personal Information Management System

Authentication)

고객의 개인 정보를 안전하게 관리하는 기업에 주는 인증 제도. 개인 정보를 다루는 기

업이 전사 차원에서 개인 정보 보호 활동을 체계와 지속 있게 하려고 필요한 보호 조치

체계를 구축했는지를 점검해 어느 정도 이상의 기업에 인증해 주는 것이다. 고객의 개인

정보 보호를 위해 필요한 법에 따른 요구 사항을 포함해 모두 3개 분야 119개 통제 항

목으로 구성되어 있음.

4.91. 개인정보보호 관리체계(PIMS, Personal Information Management System)

기업 또는 조직이, 고객의 개인정보를 수집, 이용, 제공, 파기하는 전체 생명주기에서

안전하게 보호하기 위한 종합적인 절차와 대책. 기업이 고객정보 등 개인정보를 안전하

게 관리하기 위해 무엇을(what to do), 어떻게(how to do) 조치하여야 하는지 기준을 제

시하고 있음.

4.92. 개인정보보호 지수(IPI, Index on Personal Information)

개인정보보호 수준에 대한 평가 결과를 수치화한 지표. 기업과 개인 영역으로 분류되어

있으며, 각 영역별로 6개의 세부지표로 구성되어 있음. 기업영역 세부지표는 개인정보취

급방침 고지율, 개인정보보호조직 구성률, 개인정보보호교육 실시율, 암호화 통신율, 암

호화 저장률, 물리적 접근통제율로 구성되어 있으며, 개인영역 세부지표는 개인정보취급

방침 확인율, PC 및 웹사이트 비밀번호 관리율, 공인인증서 사용률, 악성코드 제거프로

그램 사용률, 인터넷 보안설정률, 운영체제(OS) 업데이트율로 구성되어 있음.

4.93. 개인정보 처리자(Personal Information Manager)

업무를 목적으로 개인 정보 파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여

개인 정보를 처리하는 공공 기관, 법인 단체 및 개인. 개인정보처리자는 개인정보 보호법

이나 관계 법령에서 정한 책임과 의무를 준수하여야 함.


TTAK.KO-12.0002/R317

4.94. 개인정보 취급자(Personal Information Handler)

개인정보처리자의 지휘․감독을 받아 개인 정보를 처리하는 업무를 담당하는 자로서 직

접 개인 정보에 관한 업무를 담당하는 자와 업무상 필요로 개인 정보에 접근하여 처리하

는 모든 자. 개인 정보 처리 업무를 담당하고 있는 자라면 정규직, 비정규직, 하도급, 시

간제 근로 등 모든 근로 형태를 불문하며, 고용 관계가 없더라도 실질적으로 개인정보처

리자의 지휘․감독을 받아 개인 정보를 처리하는 자를 포함함.

4.95. 개인정보 파일(Personal Information File)

개인 정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성

한 개인 정보의 집합물. 개인의 이름이나 고유 식별 정보, ID 등을 색인(index)이나 검색

값으로 하여 쉽게 검색 할 수 있도록 체계적으로 배열하거나 구성한 것을 말하며, 일반

적으로는 전자적 형태로 구성된 데이터베이스(DB)를 비롯한 워드, 엑셀 등 문서 파일을

포함한 수기(手記) 문서 자료 등도 포함됨.

4.96. 개인 키(private key)

공개 키 암호 체계에서 모든 사용자에게 공개되는 공개 키와 달리 사용자 자신만이 알

고 있는 비밀 정보로 공개 키와는 풀기 어려운 수학적 문제에 기반한 연관성을 가짐으로

써 공개 키로부터 개인 키를 아는 것이 어렵도록 구성됨. 따라서 개인 키는 개인 키를

소유한 당사자만 할 수 있어야 하는 계산에 사용되며, 이러한 예로 공개 키 암호 체계에

서 공개 키로 암호화된 암호문을 복호화하거나 전자서명값을 생성하는 것을 들 수 있음.

4.97. 개체 인증(entity authentication)

어떤 실체가 정당한 실체임을 확인하기 위한 과정.

4.98. 고스트 계정(Ghost Identity)

퇴사한 직원이나 사망한 직원의 계정. 이미 퇴사한 직원이나 사망한 직원의 계정이 시

스템에 남아 있는 것을 말하며 이것은 보안 문제를 일으킬 수 있음.

4.99. 공개 키(Public key)

공개 키 암호 체계에서 해당 사용자를 대표하여 모든 사용자에게 공개되는 정보로 개

인 키와는 풀기 어려운 수학적 문제에 기반한 연관성을 가지도록 쌍으로 구성됨. 공개

키는 모든 사용자가 공개 키 소유자와 연관되어 수행하는 계산에 사용되며, 이러한 예로

공개 키를 사용한 데이터 암호화나 개인 키로 생성된 전자서명값을 검증하는 것을 들 수


TTAK.KO-12.0002/R318

있음.

4.100. 공개 키 기반 구조(PKI, Public Key Infrastructure)

공개 키 암호 체계에서 사용자의 공개 키와 개인 키의 관리 및 공개 키를 소유한 사용

자의 보증 방법 등 체계 자체의 안전성에 근간을 이루는 키 관련 이슈를 정의한 구조

4.101. 공개 키 암호 시스템(Public key cryptographic system)

암호학적 연산을 위한 키를 사전에 공유해야 하는 비밀 키 암호 체계의 단점을 해소하

기 위해, 모든 사용자에게 공개되는 정보와 각 사용자가 비밀리에 보호해야 하는 정보를

분리하여 사용함으로써 사전 공유 정보의 필요성을 배제한 암호 체계. 모든 사용자에게

공개되는 정보인 공개 키는 모든 사람이 다룰 수 있도록 공개하는 반면, 각 사용자의 비

밀정보인 개인 키는 소유자만이 사용할 수 있도록 관리되어야 하여, 공개 키와 개인 키

는 계산적으로 어려운 문제에 의해 연관성을 가짐. 대표적인 공개 키 암호 체계로는

RSA와 ECC를 들 수 있음

4.102. 공개 키 인증서(Public key certificate)

인증서 소유자의 신분 확인 정보와 공개 키를 암호학적으로 안전하게 연결시키기 위하

여 인증 기관의 서명용 개인 키로 생성한 전자서명값을 포함한 데이터 구조

4.103. 공격용 툴킷(Attack Toolkit)

네트워크에 연결된 컴퓨터를 공격하려고 사용하는 악성 코드 프로그램을 모아 놓은 것

으로, 대표적인 공격용 툴킷으로는 제우스(Zeus)와 스파이아이(Spyeye) 등이 있음

4.104. 공공 아이핀(G-PIN, Goverment-Personal Identification Number)

주민등록번호 대체 수단으로, 주민번호 오·남용, 도용 등 개인정보보호를 강화하기 위

해 공공 기관 웹사이트 회원가입이나 게시판 이용 시 사용하도록 의무화되었음. 민간부

분에서 사용 중인 인터넷 개인식별번호(i-PIN)과 G-PIN을 연계하여 개인이 하나의 PIN

을 이용하여 사용할 수 있음

4.105. 공인 인증서(Certificate)

인터넷 뱅킹, 전자민원(G4C), 전자입찰, 인터넷 주택청약 등에서 신원확인 수단으로 사

용하고 있는 공인인증 기관이 발행한 인증서


TTAK.KO-12.0002/R319

4.106. 공증(notarization)

통신 중인 데이터의 무결성과 발신지 및 목적지 등과 같은 특성의 정확성을 보증하는

것으로, 통신 실체들이 신뢰할 수 있는 제3자(공증인)가 증거를 제공

4.107. 공증인, 공증 기관(notary, notary authority)

만료 기간이나 폐지 기간이 넘은 기존 토큰의 생명주기를 확장하기 위해, 또는 저장된

데이터나 통신하는 데이터 혹은 실체의 특성에 관한 증거를 제공하기 위해 필요한 제3의

신뢰기관

4.108. 공통 데이터 보안 구조(CDSA, Common Data Security Architecture)

Intel 주도 하에 여러 업체들이 참여하여 응용에 대한 보안서비스 제공 규격 및 보안모

듈 개발 방법론을 제공하는 것을 목적으로 하는 이기종간 플랫폼에서(cross-platform)

동작되도록 만든 표준화된 응용 프로그래밍 인터페이스. Netscape, Datakey, VASCO

Data Security, Verisign 등의 제품에 CDSA가 내장되어 있음.

4.109. 공통평가기준(CC, Common Criteria)

IT 제품 및 시스템의 보안성 평가를 위한 국제표준(ISO/IEC 15408-1,2,3)으로 채택된

평가기준으로 1부는 소개 및 일반 모델, 2부는 보안 기능 요구 사항, 3부는 보증 요구

사항으로 구성. IT 보안 요구 사항을 명시할 수 있는 프레임워크를 제공하고 국가 간 IT

제품 및 시스템의 보안성 평가 결과를 상호 인정할 수 있는 근거 제공.

4.110. 교차 인증(Cross-Certification)

인증서 발급기관 상호간에 인증하는 것. 상호 인증을 적용할 때 다른 인증 기관이 발행

한 인증서를 상호 인증서(cross certificate)라 함

4.111. 국가 공개 키 기반 구조(NPKI, National Public Key Infrastructure)

국가 전체를 대상으로 전자 거래의 안전성 및 신뢰성을 제공하기 위한 공개 키 기반

구조. 전자 서명법에 의해 정보 통신부에서 정책을 담당하고 한국 정보 보호 진흥원이

최상위 인증 기관 역할을 수행하며, 하위에 공인 인증 기관을 지정하여 일반 국민을 대

상으로 전자 서명용 공인 인증서를 발급하는 구조임


TTAK.KO-12.0002/R320

4.112. 국가정보보호지수(National Information Security Index)

국내 정보 보호의 현황을 파악하기 위하여 제정한 지수. 국가 정보 보호 지수는 백신

보급률, 패치 보급률, 방화벽 보급률 같은 것으로 구성된 정보 보호 기반 영역, 정보 보

호 관련 예산 비율 같은 정보 보호 환경 영역과 해킹, 바이러스 신고 비율 같은 정보화

역기능 영역으로 구성되어 있음.

4.113. 권한(Privilege)

사용자, 프로그램, 프로세스에 부여된 권한으로 시스템의 접근통제보다 우선함. 사용자

인증 절차를 통해 신원이 확인된 사용자에게 시스템이나 네트워크의 자원을 접근할 권리

를 부여하는 것.

4.114. 권한 관리 기반 구조(PMI, Privilege Management Infrastructure)

인증된 사용자에게 시스템 정보 및 자원에 접근할 수 있는 권한은 물론 중요 접근통제

권한까지 부여해주는 권한 관리 체계.

4.115. 권한 상승

시스템 사용에 있어 제한없이 자유자재로 사용하기 위해 시스템에서 허용하는 권한을

상승시키는 행위.

4.116. 그래픽 패스워드(Graphical password)

그래픽 사용자 인터페이스(GUI)로 표현된 사용자 이미지를 사용하는 인증 방식. 이 방

식을 사용하는 인증을 그래픽 사용자 인증(GUA: Graphical User Authentication)이라 하

며, 그래픽 패스워드는 문자 패스워드보다 사람들이 기억하기 쉽고, 보안성이 좋음.

4.117. 기밀성(Confidentiality)

중요 정보가 인가되지 않은 상대방에게 노출되지 않음을 보장해 주는 성질.

4.118. 네트워크 보안(Network security)

인가되지 않은 노출, 변경, 파괴로부터 네트워크, 네트워크 서비스, 네트워크상의 정보

를 보호하는 정보보호 활동을 총칭하며, 암호화, 전자서명, 접근통제, 데이터 무결성, 인

증 교환 등의 보안 메커니즘과 침입탐지시스템, 침입방지시스템, 침입차단시스템 등을 이

용한 정보보호 활동이 있음.


TTAK.KO-12.0002/R321

4.119. 논리 폭탄(Logic bomb)

특정 조건이 만족되면 트리거에 의해 특정 형태의 '공격'을 하는 코드. 예를 들어, 12

월 5일에 모든 파일을 지워버리는 논리폭탄이 있을 수 있음. 바이러스와 달리 논리폭탄

은 자신을 복제할 수 없음.

4.120. 능동 위협(Active threat)

단순히 정보를 가로채는 것 이외에 의도적으로 그 정보를 훼손, 변조하는 행위. 고의로

시스템의 내용을 변조하거나 시스템의 상태를 변경시키는 위협.

4.121. 다중 레벨 보안(MLS, Multi-Level Security)

상이한 보안 권한과 정보제공원칙을 가진 사용자들이 동시에 접근을 허가받을 수 있도

록 상이한 중요도를 지닌 정보를 포함하는 시스템의 등급.

4.122. 단 대 단 인증(Peer to peer authentication)

통신 당사자 간의 신분 확인과 자격 유무의 확인, 통신 당사자 간의 신뢰성 있는 연결

의 확립 또는 데이터 전송 과정에서 적용되는 서비스를 의미함.

4.123. 단방향 인증(Unilateral authentication)

사용자가 시스템을 확인하지는 않는 대신, 시스템이 전송받은 사용자 신분을 확인하여

서비스가 이루어지는 인증 방식. A가 B에 패스워드를 전송하고자 할 때 패스워드를 암호

화하여 전송하고 반대로 B는 이를 해석하여 A의 신분을 확인함.

4.124. 대칭 암호화 알고리즘(Symmetric encipherment algorithm)

1개의 비밀 키를 사용하는 암복호화 알고리즘으로 연산(암복호화) 속도가 빠르다는 장

점이 있음. 그러나 비밀 키 암호 체계의 특성상 암호화와 복호화 연산을 수행하는 각 사

용자는 비밀 키를 사전에 공유해야 함.

4.125. 데이터 무결성(Data integrity)

데이터의 변경 혹은 변조 사실을 확인할 수 있도록 하는 보안 서비스


TTAK.KO-12.0002/R322

4.126. 데이터 발신 인증(Data origin authentication)

수신된 데이터의 발신 객체에 대한 인증으로, 네트워크를 통해 수신된 데이터가 도중에

해킹 등 악의의 공격으로부터의 변조 없이 발신자로부터 올바로 전송되었음을 확인함.

4.127. 데이터 보안(Data security)

하드웨어나 소프트웨어의 오류로 인한 자료의 손실을 방지하고, 천재지변이나 도난 또

는 고의적인 유출로부터 자료를 보호하는 것. 인증되지 않은 사용자로부터 데이터를 안

전하게 보관하고 네트워크를 통해 서로 안전하게 주고받을 수 있도록 하는 보호하는 방

법.

4.128. 데이터 유출 방지(DLP, Data Loss Prevention)

내부정보 유출 방지 설루션. 사내 직원이 사용하는 PC와 네트워크상의 모든 정보를 검

색하고 사용자의 행위를 탐지·통제해 외부로의 유출을 사전에 막을 수 있음.

4.129. 데이터베이스 보안(Database security)

데이터베이스 및 데이터베이스 내에 저장된 데이터를 비인가된 객체에 의해서 변경, 파

괴, 노출 및 비일관성을 발생시키는 사건으로부터 보호하는 방법.

4.130. 데프콘(DEFCON)

미국에서 개최되는 세계 최대의 컴퓨터 보안 컨퍼런스이자 해킹 대회로서, 전 세계 해

커들과 보안 전문가들이 모여서 CTF(Capture The Flag)방식으로 대회 진행.

4.131. 델타 CRL(d-CRL, delta CRL, delta Certificate Revocation List)

공개 키 기반 구조에서 폐지된 인증서의 수가 증가함에 따라 CRL의 크기가 무한대로

커져 가는 것을 방지하기 위하여 이전 CRL 발생 이후에 폐지된 인증서만을 모아둔 부분

CRL.

4.132. 도청(eavesdropping)

비인가된 사용자, 컴퓨터 또는 프로그램이 전송 정보를 불법적으로 가로채는 것으로,

송수신되는 정보의 변경을 포함하지 않는, 정보의 수신만을 의미.


TTAK.KO-12.0002/R323

4.133. 동적 WEP 키(Dynamic WEP Key, Dynamic Wired Equivalent Privacy Key)

무선 단말기와 AP 간의 WEP키를 주기적으로 자동 변경함으로써, 무선랜의 보안성을

향상시킨 방식. 정적 WEP 키 방식은 공유된 해킹툴로도 간단하게 해킹이 가능해져, 이

를 보완하기 위해 동적 WEP 키 방식을 사용하고 있음. WEP이 키를 변경하지 않고 사용

하는 데서 발생하는 취약성을 보완하기 위해, 무선 단말기와 AP 간의 WEP 키를 주기적

으로 자동 변경시키는 방식.

4.134. 등록 기관(RA, Registration Authority)

인증 기관으로부터 인증서 발급을 원하는 사용자의 신분 확인 업무를 위임받아 수행하

는 기관

4.135. 디렉터리 시스템(Directory System)

①일반적으로 어떤 대상의 이름과 그것에 관계되는 정보를 모아 놓은 표를 관리하는

시스템으로, 통신의 전화번호부(telephone directory) 관리 시스템이 한 예임 ② 컴퓨터

시스템에서 사용하고 있는 각종 등록부(Directory)를 관리하는 시스템 ③공개 키 기반구

조에서 사용되는 정보들을 관리하는 시스템으로, 인증서, CRL, 사용자 정보 등을 분산환

경하에서 효율적으로 저장하고 배포하는 기능을 제공함

4.136. 디지털 위험(Digital Risk)

디지털 기술에 기반한 각종 매체 및 사이버 공간 상에서 발생하는 위험. 디지털화가 가

속화되면서 사회공동체의 존립과 운영에 부정적 영향을 미치는 정치·경제·사회·문화적 측

면의 각종 위험을 포괄함. 개인정보 유출, 해킹·바이러스, 사이버 폭력, 인터넷 중독 등이

대표적인 디지털 위험 사례임.

4.137. 디지털 증거(Digital Evidence)

디지털 형태로 저장되거나 전송되는 증거로서 가치를 가지는 정보. 물리적 증거와는 달

리 눈에 보이지 않지만 전자장치에 저장되어 있는 문서, 이미지, 영상, 음향 등과 통신망

을 통해 교환되는 네트워크 패킷 등이 있음.


TTAK.KO-12.0002/R324

4.138. 디지털 포렌식(Digital Forensic)

정보기기 내에 내장된 디지털 자료를 법적 증거가 되도록 하기 위해 자료를 수집, 보

관, 분석, 보고하는 절차와 방법을 의미함. 주로, 범죄수사, 민형사상 소송, 기업감사 등

에서 많이 이용되며, 컴퓨터를 매개체로 하여 일어난 행위들을 비롯 숨겨진 파일이나 삭

제된 파일도 복구하여 사실관계를 증명함으로써 수사의 증거자료로 활용.

4.139. 랜섬웨어(Ransomware)

Ransom(몸값)과 Ware(제품)의 합성어로, 미국에서 문서자료를 볼모로 돈을 요구한 사

건을 계기로 등장한 용어. 사용자 PC나 문서파일에 강제로 암호를 걸어두고 해커가 지정

한 계좌번호로 돈을 보내야 암호를 풀어주는 금품갈취형 악성 프로그램.

4.140. 로그 분석(LA, Log Analysis)

로그(log)는 컴퓨터나 장비의 데이터 처리내용, 이용 상황 등 다양한 운용 정보를 시간

의 흐름에 따라 기록한 정보를 의미. 침해 사고 발생 시점, 침입 경로, 공격자 추적 등

단서를 확보할 수 있어 침해 사고 원인분석에 꼭 필요한 절차임.

4.141. 루트 인증 기관(Root CA, Root Certification Authority)

공개 키 기반구조에서의 모든 실체에 의해 직접적으로 신임되는 인증 기관(CA)으로,

계층구조상 최상위계층 CA를 의미함.

4.142. 루트킷(Rootkit)

루트킷은 해커가 설치한 악성코드(트로이목마, 악성봇 등)가 백신이나 PC 사용자에게

발각되지 않도록 숨겨주는 역할을 함. 대부분의 루트킷은 일반 프로그램이 동작하는 계

층보다 더 하위 계층, 즉 커널이라는 운영체제 핵심 부분에 숨어서 동작하여 탐지․분석이

어려움.

4.143. 루팅(Rooting)

구글의 안드로이드 운영체제가 탑재된 스마트폰의 보안기능을 해제하여, 허용되지 않은

기능(카메라 무음 등)을 사용하거나 유료 앱을 무료로 사용할 수 있도록 운영체제를 변경

하는 행위.


TTAK.KO-12.0002/R325

4.144. 마스터 키(Master Key)

비밀 키 암호 체계에서 암호학적 연산에 직접 사용되는 암호 키나 키 정보 암호화용

키를 유도하는 데 사용되는 정보.

4.145. 메모리 해킹(Memory Hacking)

일반적인 해킹은 PC內 하드디스크 상의 파일을 탈취, 변조하는데 반해, 메모리 해킹은

한글, 엑셀 등 응용 프로그램이 실행되는 과정에서 사용되는 메모리 정보를 변조하는 행

위를 의미.

4.146. 메시지 다이제스트(Message digests)

임의의 길이의 메시지에 해쉬함수를 적용하여 일정한 길이의 비트열로 축약하는 것.

4.147. 메시지 인증(Message authentication)

네트워크를 통해 메시지를 송수신 할 때, 메시지가 전송 도중에 위변조되지 않았음을

확인하는 과정.

4.148. 메시지 인증 코드(MAC, Message Authentication Code)

데이터의 무결성을 보장을 위해 해당 데이터에 대한 tag값을 생성하는 비밀 키 암호

알고리즘.

4.149. 메신저 피싱(Messenger Phishing)

메신저를 이용한 피싱. 타인의 메신저 아이디를 도용하여 로그인한 뒤 등록된 지인에게

메시지를 보내 금전을 요구하는 행위 등을 말함.

4.150. 메일 서버 등록제(SPF, Sender Policy Framework)

이메일 발신자 진위를 확인하는 인증 기술로서 위∙변조된 이메일 주소에서 발송되는 스

팸을 차단하기 위해 사용되는 기술.


TTAK.KO-12.0002/R326

4.151. 명령 제어 서버(C&C(Comand and Control) Server)

해커가 각 봇(좀비PC)을 관리하고 명령을 내리기 위해 구축하는 서버로, 사용자PC 등

이 봇에 감염되면 해당 C&C서버로 자동 접속됨. C&C서버에 접속하면 봇넷의 일원이 되

고 해커가 C&C서버에 내리는 명령을 받아 다양한 공격을 수행하게 됨.

4.152. 모바일 일회용 패스워드(MOTP, Mobile One Time Password)

휴대폰이나 스마트폰 등 이동단말에서 사용하는 1회용 비밀번호. 일회용 비밀번호

(OTP)는 보안을 강화하기 위하여 도입한 시스템으로 보안이 필요한 모바일 단말에서 사

용하는 OPT를 모바일 일회용 패스워드(MOTP)라 한다. 공인인증서 방식의 본인확인도

가능함.

4.153. 모의 해킹(Penetration Testing)

보안이 취약한 부분을 찾아내고 사전 조치 및 개선 방안을 마련하여 보안 사고를 미연

에 방지하기 위해 시행하는 선의의 해킹. 사전에 허가된 사람에게 대상 서버나 서비스에

대해 실제 해커와 동일한 방법을 이용하여 침투 가능성을 진단함

4.154. 목표 복구 지점(RPO, Recovery Point Objective)

조직에서 발생한 여러 가지 재난 상황으로 IT 시스템이 마비되었을 때 각 업무에 필요

한 데이터를 여러 백업 수단을 활용하여 복구할 수 있는 기준점. 복구가 필요한 업무에

대하여 어느 시점까지 데이터가 필요한가에 따라 시점을 정함

4.155. 무결성(Integrity)

네트워크를 통하여 송수신되는 정보의 내용이 불법적으로 생성 또는 변경되거나 삭제

되지 않음을 보장해주는 성질

4.156. 무선 공개 키 기반 구조(WPKI, Wireless Public Key Infrastructure)

무선 네트워크 환경에서의 공개 키 기반 구조로, 현재 국내 무선 인터넷 접속 기술로

활용되고 있는 무선 응용 통신 규약(WAP)과 MME(Microsoft Mobile Explorer)에 모두 사

용 가능함. 규격 내용은 전자서명, WTLS(Wireless Transport Layer Security) 인증서 프

로파일, 인증서 DN(Distinguish Name), 인증서 및 알고리즘 관련 OID(object indentifier)

등으로 구성


TTAK.KO-12.0002/R327

4.157. 바이러스(Virus)

자기 자신을 복제할 수 있는 기능을 가지고 있으며 컴퓨터 프로그램이나 실행 가능한

부분을 변형시킴으로써 그곳에 자신 또는 자신의 변형을 복사해 넣는 악의적인 명령어들

의 조합. 이미 감염된 대상을 사용자가 접근하여 활성화할 때, 관련된 시스템의 저장장치

를 삭제하거나 시스템을 무력하게 하는 등 불특정 다수에게 피해를 주기 위한 목적으로

제작된 모든 컴퓨터 프로그램 또는 실행 가능한 부분.

4.158. 바이러스 스캐너(Virus scanner)

알려진 바이러스를 파일, 메모리, 디스크의 마스터 부트, 부트 섹터에서 검색하는 프로

그램. 바이러스 검색기라고 불림. 다형성 또는 스텔스 바이러스들에는 별로 효과적이지

못 함. 또한 새로운 바이러스는 인식하지 못 함.

4.159. 바이러스 월(Virus Wall)

네트워크를 통해 유입되는 콘텐츠의 바이러스 감염 여부를 검색하고 치료, 격리 및 차

단하여 바이러스의 확산과 피해를 최소화하도록 설계된 보안 설루션

4.160. 방화벽, 침입 차단 시스템(Firewall)

내부 네트워크를 보호하기 위해 외부에서의 불법적인 트래픽 유입을 막고, 허가된 트래

픽만 허용시켜 주는 시스템. 네트워크 또는 각 장치 간에 전송되는 데이터 패킷의 내용

에 기초하여 접근통제를 구현. 네트워크상에서 보안에 대한 단일 통제점을 제공함으로써,

침입차단시스템은 개별적인 프로토콜이나 응용들에 대한 공격에 대항하는 보호수단을 제

공하고 있으며, spoofing(위장하기)에 대한 보호 수단으로서 효과적. 하지만, 프라이버시

또는 인증 기능은 지원하지 못하며, 바이러스로부터 네트워크를 보호하지는 못 함.

4.161. 배스천 호스트(Bastion host)

인터넷과 내부망과의 연결단에 설치되는 시스템. 접근통제 및 응용 시스템 게이트웨이

로서 프락시 서버의 설치, 인증, 로그 등을 담당. 배스천 호스트(bastion host)는 정해진

계획에 따라 시스템을 검사하고 시스템 관리자에 의한 집중화된 보안 관리를 할 수 있으

며 보안 정책에 따른 계정 설정 및 접근 권한을 설정하고, 접근 내역을 저장하고 사용

내용을 감시함.


TTAK.KO-12.0002/R328

4.162. 백도어(Back door)

시스템의 정상적인 보호 수단을 우회하기 위하여 사용하는 은폐 메커니즘으로 시스템

개발자가 만들어 놓는 경우가 많음. 접근 인증의 정상적인 방법으로가 아닌 접근을 허가

받기 위해 사용되어지는 프로그램에 들어가는 비밀 입구로 해커가 이용자 몰래 컴퓨터에

접속하여 악의적인 행위를 하기 위해 설치하는 출입통로 역할을 함.

4.163. 버퍼 오버플로(Buffer Overflow)

컴퓨터상에서 특정 프로그램에 할당된 메모리 영역을 초과하는 크기의 데이터를 입력

시킴으로써 발생되는 취약점을 이용한 해킹 기법. 버퍼 크기보다 더 많은 데이터를 입력

시켜 버퍼가 넘치면 메모리의 다른 영역을 침범하게 되는데, 이때 반환되는 주소값을 공

격코드가 저장된 메모리 위치가 되도록 조작하여 공격 코드가 실행되도록 하는 방법.

4.164. 보안 감사(Security Audit)

보안시스템이 안전하게 운영되고 있는지를 조사하고 분석하는 행위. 감사 대상은 기업

의 보안 정책의 수립부터 운영에 관련된 모든 사항을 포함함.

4.165. 보안 관리(Security management)

비인가된 접근으로부터 통신네트워크 및 시스템, 응용서비스 등을 보호하기 위한 관리

기능. 보안관리에는 보안 서비스와 메커니즘의 생성, 제어, 삭제 기능, 보안 관련 정보의

분배 기능, 보안 관련 이벤트의 보고 기능, 암호 키의 분배 제어 기능, 인가된 사용자의

접근권한 관리 기능 등 다양한 서브 기능들이 포함됨.

4.166. 보안 등급(Security level)

정보의 중요도를 표현한 것으로 중요도 단계와 중요도 범주로 이루어짐. Security

Level : Top Secret, Secret, Confidential, Unclassified

4.167. 보안 연계(SA, Security Association)

보안 통신을 수행하기 위하여 통신 객체들은 그들이 사용할 각종 보안 서비스의 종류

와 매개변수들(보안 프로토콜, 키, 키의 사용기간 등)을 통신 전에 상호 규정하여야 함.

이런 사전 규약을 정의하는 프로토콜 또는 그 결과를 SA라 함.


TTAK.KO-12.0002/R329

4.168. 보안 연계 DB(SAD, Security Association Data Base)

보안연계(SA)를 통하여 결정된 매개변수들을 DB화 시켜 놓은 것으로 SAD는 데이터

교환 전에 통일되어야 할 요소들을 정의함. 예를 들어 “A 사이트와의 인증은 MD5를 사

용하며 암호 방식은 DES이고, 비밀 키는 K이다”라는 정보를 DB화 시켜 놓은 것을 SAD

라 함.

4.169. 보안 운영 체제(Secure OS)

컴퓨터 운영체제의 보안상 결함으로 인하여 발생 가능한 각종 해킹으로부터 시스템을

보호하기 위하여 기존의 운영체제 내에 보안 기능을 운영체제의 커널에 통합시켜 소기의

보안 목적을 거둘 수 있도록 구성된 운영체제.

4.170. 보안 정책(Security policy)

조직의 관리 및 보호 방법과 중요 정보의 분배 방법을 규정한 법, 규칙, 관습의 집합.

4.171. 보안 정책 기술 언어(Security Policy Description Language)

일반적으로 보안서비스를 효율적으로 기술하기 위한 XML 기반 언어. 예를 들면, 홈 네

트워크 내에서 디바이스의 유형에 따라 그 접근 범위가 결정되며 디바이스 각각에 대한

보안정책을 XML 형태로 xDHL을 제공하여 각 홈 디바이스의 접근 제어를 용이하게 제공

함.

4.172. 보안 칩(Security chip)

하드웨어 플랫폼에 보안 기능을 탑재해 한층 강화된 보안 서비스를 제공하는 칩. 마이

크로프로세서, 마이크로 컨트롤러, 플래시 메모리 등이 내장된 칩 자체에 보안 기능을 탑

재하여 컴퓨터 메모리에 저장되어 있는 다양한 애플리케이션을 무단 해킹과 같은 공격으

로부터 안전하게 보호할 수 있음.

4.173. 보안 커널(Security kernel)

하드웨어, 펌웨어, 소프트웨어를 포함한 컴퓨터 시스템에 참조 모니터 개념을 적용한

TCB(Trusted Computing Base) 요소. 커널 레벨에서 시스템 내의 모든 접근 요구를 조

정하고, 불법적인 변형을 막음.


TTAK.KO-12.0002/R330

4.174. 보안 평가(Security Evaluation)

정보보안 사고를 사전에 예방하기 위하여 정보 제품에 대한 보안성 평가. 관리자는 네

트워크 모니터에서 해킹에 이르기까지 시스템과 네트워크에 직접 침입함으로써 전산 시

스템에 대한 정확한 평가를 할 수 있다. 보안 평가는 응용 환경을 배제한 상태에서 하드

웨어와 소프트웨어의 기능이나 확인 사항에 대해 평가하는 제품 평가와 특정 운영 임무

와 시스템의 안전에 대한 인증이나 인가 과정을 평가하는 시스템 평가가 있음.

4.175. 보안 권고문(Security Advisory)

발견된 취약점에 영향을 받는 시스템, 위험도, 해결 방안 등을 제시하여 사용자에게 공

식적으로 알리는 문서.

4.176. 보안 목표 명세서(ST, Security Target)

평가를 시행하려는 정보보호시스템에 해당하는 PP(보호프로파일)의 보안 요구 사항을

기초로 시스템 사용 환경, 보안 환경, 보안 요구 사항, 보안기능 명세 등을 서술한 문서.

4.177. 보안 서버(Secure server)

인터넷상에서 전송되는 자료를 암호화하여 송수신하는 기능을 제공하는 웹 서버(웹 사

이트). 개인 정보 보호를 위한 가장 기본적인 수단으로 사용된다. 보안 서버는 H/W 기반

으로 구현되는 것이 아니다. 기존의 웹 서버에 SSL 인증서를 설치하는 ‘SSL 방식 보안

서버’와 암호화 툴킷을 적용하여 암호 통신 기능을 제공하는 ‘응용 프로그램 방식 보안

서버’가 있음.

4.178. 보안 취약점(Security Vulnerability)

시스템 또는 프로그램에 내재되어 있는 버그(잘못된 부분)를 의미하며, 해커는 이를 악

용해 시스템에 침입하여 정보 유출, 시스템 파괴 등 유발.

4.179. 보안 토큰(HSM, Hardware Security Module)

전자 서명 생성 키 등 비밀 정보를 안전하게 저장 및 보관할 수 있고 기기 내부에 프

로세스 및 암호 연산 장치가 있어 전자 서명 키 생성, 전자 서명 생성 및 검증 등이 가

능한 하드웨어 장치로 기기 내부에 저장된 전자 서명 생성 키 등 비밀 정보는 장치 외부

로 복사 또는 재생성되지 않음.


TTAK.KO-12.0002/R331

4.180. 보안 통제(Security Control)

정보 시스템을 보호하기 위해 제공된 하드웨어, 펌웨어 및 소프트웨어 안에서 구현되는

보안 메커니즘과 물리적, 인적, 절차적 및 관리적 보안 요구 사항을 포함하는 조치 사항

들.

4.181. 보안 패치/보안 업데이트(Security Patch/Security Update)

프로그램의 일부분을 신속하게 수정하는 행위 또는 수정하는 프로그램을 말하며, 취약

점 또는 오류가 발견된 프로그램을 보완하는 데 사용됨. 예를 들어, 윈도, 파워포인트,

익스플로러 등 각종 운영체제나 응용 프로그램에 해커가 악용할 수 있는 문제점이나 오

류 등을 보완하기 위해 제품업체에서 내놓는 개선된 패키지.

4.182. 보이스 피싱(Voice Phishing)

수집된 개인정보를 이용, 전화를 걸어 공공 기관 등 공신력 있는 기관을 사칭, 돈을 요

구하거나 추가적인 정보(개인 정보, 금융 정보 등)를 수집하는 행위를 의미.

4.183. 보호 프로파일(PP, Protection Profile)

정보보호시스템 사용 환경에서의 보안문제를 서술하고 이를 해결하기 위한 보안요구

사항을 국제공통평가기준(CC)에서 선택하여 작성한 제품군별 평가기준. 보호프로파일의

작성목적은 정보보호시스템의 구현기술을 서술하고자 하는 것이 아니라 보안환경에 의해

서 정의한 보안목적을 만족하도록 보안대책을 체계적으로 세우고 이에 합당한 보안 요구

사항을 도출하여 정보보호시스템 평가를 위한 논리적 기초를 마련하고자 하는 것.

4.184. 복제 방지 기술(Copy Protection)

기기간 전송 또는 기록 장치로 저장시 콘텐츠의 불법복제 방지를 위한 기술. 기기들 간

콘텐츠 복사나 이동 시의 콘텐츠 보호는 가능하지만 콘텐츠에 대한 다양한 권한제어가

불가능함.

4.185. 복호화(Decipherment, Decryption)

암호화된 문장을 평문으로 변경하는 것. 대응되는 암호화 과정의 역과정으로 암호화 알

고리즘에 따라 암호문을 평문으로 대응시키는 변환.


TTAK.KO-12.0002/R332

4.186. 봇(Bot)

로봇과 같이 스스로 움직이지 못하나 명령자의 명령에 의해 원격으로 제어나 실행이

가능한 프로그램 또는 코드를 의미하며 흔히 ‘좀비 PC’로 일컬어짐. 운영체계나 비밀번

호의 취약점, 웜 바이러스의 백도어 등을 이용하여 전파되며 스팸메일 전송이나 분산서

비스거부(DDoS) 공격 등에 악용됨.

4.187. 봇넷(Botnet)

악성 프로그램에 감염되어 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워

크로 연결된 형태.

4.188. 부인 방지(Non-repudiation)

행위나 이벤트의 발생을 증명하여, 나중에 그런 행위나 이벤트를 부인할 수 없도록 하

는 서비스. 정보보안의 방법에 의하여 데이터의 송수신자가 송수신 사실을 부인하지 못

하도록 방지하는 서비스.

4.189. 분산 서비스 거부 공격(DDoS attack, Distributed Denial of Service attack)

공격자(해커)가 악성코드에 감염된 다수의 PC를 이용하여 대량의 유해 트래픽을 특정

시스템에 전송함으로써 네트워크 및 시스템의 과부하를 유발하여 정상적인 서비스를 방

해하는 사이버 공격.

4.190. 블랙 마켓(Black market)

블랙마켓은 특정 상품이 매매되는 물리적 장소를 의미하는 것이 아닌, 서비스나 제품을

불법적으로 사고파는 경제적 활동을 의미. 적법한 과정을 거치지 않고 어둠 속에서 활동

이 이루어진다는 의미로 ‘블랙’이라는 단어를 사용.

4.191. 블랙 햇(Black hat)

악의적 목적을 가지고 정보 시스템에 침입, 데이터 변조, 악성코드 유포 등의 악성행위

로 해를 끼치는 해커. 서부 영화에 나오는 악당 역할의 등장인물이 자주 쓰는 검은 색의

모자에서 유래 되었으며, 반대로 윤리적인 해커는 화이트햇(White hat).


TTAK.KO-12.0002/R333

4.192. 블로그 스팸(Blog Spam)

블로그를 악용하는 스팸. 블로그 댓글에 악의적인 웹페이지로 연결되는 링크와 유인 문

구를 게시해 사용자가 악성 콘텐츠를 다운로드 받도록 유도함.

4.193. 블록 암호(Block cipher)

데이터를 블록으로 나누어 이를 암호화하여 이에 대응하는 암호문 블록을 생성하는 비

밀 키 암호 알고리즘.

4.194. 비대칭 서명 시스템(Asymmetric signature system)

서명 생성 시에는 개인 키를 사용하고 검증시에는 공개 키를 사용하는 비대칭 암호 기

술에 기반한 서명 시스템.

4.195. 비대칭 암호 기술(Asymmetric cryptographic technique)

1) 정보를 암호화하기 위하여 사용하는 암호화 키와 암호화된 정보를 복원하기 위하여

사용하는 복호화 키가 서로 다른 암호화 방식으로 공개 키 암호 방식이라고도 함. 메시

지를 전달하고자 할 경우 받는 사람의 공개 키를 이용해서 직접 암호화(예, RSA 방식)

및 유사한 효과를 내는 방식(예, ElGamal 계열의 키 유도 및 키 공유)으로 변환하여 암

호화하여 전송하게 되고 이러한 메시지를 받는 사람은 자신의 개인 키를 이용해서 복호

화함

2) 암호화 처리의 경우, 공개 키에 의하여 정의되는 공개 변환함수와 개인 키에 의하여

정의되는 비공개 변환함수의 두개의 상관 변환함수를 이용하는 암호 기술. 이 두개의 변

환 함수는 공개 변환함수가 알려져도 비공개 변환함수를 유추하는 것이 계산적으로 불가

능하다는 성질을 가짐

4.196. 비대칭 암호 시스템(Asymmetric cryptographic system)

암호화와 복호화에 쓰이는 키가 서로 다른 암호 시스템으로서 공개 키 암호 시스템을

의미함. 암호화에 공개 키를 사용하고 복호화에 개인 키를 사용하는 비대칭 암호 기술에

기반한 시스템

4.197. 비대칭 암호화 방식(Asymmetric cyptosystem)

메시지를 암호화하는 공개 키와 메시지를 복호화하는 개인 키를 따로 두는 암호화 방

식으로, 공개 키는 일반적으로 누구나 알 수 있으나 개인 키는 소유자만이 알고 있으며,

송신자는 메시지 수신자의 공개 키로 메시지를 암호화하여 수신자에게 전송하고, 메시지


TTAK.KO-12.0002/R334

를 받은 수신자는 자신의 개인 키를 이용해서 복호화함.

4.198. 비대칭 키쌍(Asymmetric key pair)

1) 공개 키 암호 시스템에서 메시지를 암호화할 때 쓰는 공개 키와 암호화된 메시지를

복호화할 때 쓰는 개인 키를 함께 이르는 말.

2) 비공개 변환함수를 정의하는 개인 키와 공개 변환함수를 정의하는 공개 키로 이루어

진 상호 관련을 갖는 키의 쌍.

4.199. 비대칭 키 알고리즘(Asymetric Key Algorithm)

암호화 및 복호화 시 각기 다른 두 가지 키가 필요한 암호 알고리즘으로, 두 가지 키를

일반적으로 공개 키(public key)와 개인 키(private key)라고 하는데, 비대칭 알고리즘을

공개 키 알고리즘이라고도 함. 일반적으로 비대칭 키 알고리즘은 세션 키를 교환하거나

메시지나 문서를 전자적으로 서명하는 데 사용되며, 비대칭 알고리즘은 대칭 알고리즘에

비해 속도가 느리며 암호화 속도와 복호화 속도가 서로 차이가 날 수 있음.

4.200. 비밀 키(Secret key)

대칭 암호 기술에 사용되는 암호 키.

4.201. 비상 대책(Contingency plan)

가능한 모든 통제수단이 설치되고 운영됨에도 불구하고 정보 시스템 시설에 재난이나

사고가 발생할 수 있음을 고려하여, 재난이 발생하더라도 그것이 복구되기 이전까지 조

직의 업무가 제한적인 범위에서라도 계속 수행될 수 있도록 사전에 이에 대비하여 수립

하는 계획. 서비스의 연속성 및 안전성을 고려하고 있음.

4.202. 비정상 행위 탐지(Anomaly detection)

정상 행위 자료를 기반으로 하여 이에서 벗어나는 행위를 침입 행위로 탐지하는 기술.

4.203. 사이버 보안 지수(Cyber Security Index)

국가, 조직 등에서 사이버 보안 수준을 측정하는데 활용하기 위한 평가지수로, 국제전

기통신연합(ITU-T)에서 국제 표준 사이버 보안 지수 측정 체계 수립을 추진 중임. 이 표

준은 우리나라 주도로 개발 중이며, X.1208 국제 표준으로 채택될 예정임. 사이버 보안

지수는 32개의 지표로 구성되며, 한국 국가 정보보호지수의 모든 지표들이 포함되어 있

음.


TTAK.KO-12.0002/R335

4.204. 사이버 보안(Cyber Security)

사이버 환경에서 네트워크를 통해 연결된 조직∙사용자 자산을 보호하기 위해 사용되는

기술적 수단, 보안 정책, 개념, 보안 안전장치, 가이드라인, 위기관리방법, 보안 행동, 교

육∙훈련, 모범사례, 보안 보증, 그리고 보안 기술들의 집합으로 정의된다. 사이버보안은

사이버 환경에서 다양한 보안 위협으로부터 조직과 사용자의 자산이 지속적으로 유지되

는 것을 보장한다. 일반 보안 목표는 가용성, 메시지 인증∙부인방지를 포함한 무결성, 그

리고 기밀성으로 달성됨.

4.205. 사이버 스토킹(Cyber Stalking)

정보통신망을 이용해 악의적인 의도로 지속적으로 공포감이나 불안감 등을 유발하는

행위. 사이버 스토킹이 성립하려면 악의적인 행위가 정보통신망을 통해 이루어져야 하고

상대방의 의사와 관계없이 의도적, 반복적, 지속적으로 이루어져야 하며, 통상적인 판단

력을 가진 사람이면 누구나 자신 또는 가족의 생명이나 신체의 안전에 위협을 느낄만한

내용이 있어야 함.

4.206. 사이버 위기 경보(Cyber Crisis Alert)

사이버공격에 대한 체계적인 대비 및 대응을 사전에 준비할 수 있도록 발령하는 경보.

사이버공격의 수준에 따라 4단계로 발령된다. 평상시에는 정상(초록)을 유지하다가 관심

(파랑)→주의(노랑)→경계(주황)→심각(빨강) 순으로 단계별로 발령됨.

4.207. 사이버 위험(Cyber Risk)

네트워크와 정보기술로 인해 사이버 공간에서 발생할 수 있는 손실. 사이버 테러와 사

이버 전쟁 같은 군사적 행위부터 사이버 범죄와 개인정보 침해에 이르기까지 매우 다양

하다. 전 국토가 네트워크화 되면서 어느 한 곳에 대한 공격이 국가를 총체적 위기로 몰

아가 사회적 혼란을 야기할 수 있음.

4.208. 사이버 정보전(Cyber Information Warfare)

특정한 정치나 사회적 목적을 가진 개인, 테러 집단 또는 적이 되는 나라가 해킹을 하

거나 컴퓨터 바이러스를 유포하는 전자 공격으로 정보 통신 기반 시설을 파괴하거나 마

비되게 함으로써 사회 혼란과 국가 안보를 위협하는 행위. 정보 통신 발달과 해킹 도구

를 지능화해 침입 속도가 빨라지고 피해 규모도 매우 증가하고 있음.


TTAK.KO-12.0002/R336

4.209. 사이버 공격(Cyber attack)

특정한 정치나 사회적 목적을 가진 개인, 테러 집단 또는 적이 되는 나라가 해킹을 하

거나 컴퓨터 바이러스를 유포하는 전자 공격으로 정보 통신 기반 시설을 파괴하거나 마

비되게 함으로써 사회 혼란과 국가 안보를 위협하는 행위. 정보 통신 발달과 해킹 도구

를 지능화해 침입 속도가 빨라지고 피해 규모도 매우 증가하고 있음.

4.210. 사이버 대피소(DDoS Cyber Urgent Shelter)

디도스 방어 시스템(DDoS Defense System)을 이용하여 디도스 공격을 받은 사이트의

방어를 지원하기 위한 대피소로 한국인터넷진흥원(KISA) 인터넷침해대응센터(KISC) 내에

사이버 긴급대피소가 구축되어 있음. 디도스 사이버 긴급대피소는 디도스 공격을 받은

사이트의 IP 주소를 바꾸어 주어 공격을 차단하기 위한 보안 방법이다. 자체적으로

DDoS 대응 환경을 갖추기 어려운 영세 기업 또는 비영리단체 등의 DDoS 공격피해 최

소화를 위해 DDoS 피해 예방 및 공격대응 서비스를 제공함. 공격트래픽은 대피소에서

막아주고, 정상적인 이용자의 접속은 연결시켜 줌으로써, 공격이 발생하더라도 서비스 이

용에 문제가 없음.

4.211. 사전 공격(Dictionary attack)

‘Rose’, ‘Love’ 등과 같이 이용자들이 사전에 포함되어 있는 쉬운 단어를 비밀번호로

많이 사용하는 점을 악용해 비밀번호를 알아내는 기법. 사전의 수만 단어를 컴퓨터에 자

동 처리시켜 짧은 시간 내에 입력 가능하며, 대소문자를 뒤섞거나 단어에 숫자를 조합하

기도 함.

4.212. 사회공학적 해킹(Social Engineering Hacking)

시스템이 아닌 사람의 취약점을 공략하여 원하는 정보를 얻는 공격 기법. 사회공학적

해킹은 인터넷의 발달로 이메일, 인터넷 메신저, 트위터 등을 통해 사람에게로의 접근채

널이 다각화됨에 따라 지인으로 가장하여 원하는 정보를 얻어내는 공격 방법.

4.213. 상호 인증(Mutual authentication)

통신을 위한 두 실체가 서로 상대방의 신분을 확인하는 인증.


TTAK.KO-12.0002/R337

4.214. 서비스 거부(Denial of service)

정보 시스템의 데이터나 자원을 정당한 사용자가 적절한 대기시간 내에 사용하는 것을

방해하는 행위. 주로 시스템에 과도한 부하를 일으켜 정보 시스템의 사용을 방해하는 공

격의 방식.

4.215. 서비스 거부 공격(Denial of service attack)

정보 시스템이 서비스 거부 상태가 발생하도록 시스템 외부에서 공격하는 것으로 주로

대량의 서비스 요구 데이터 패킷을 통신망을 통하여 공격하고자하는 정보 시스템으로 보

내어, 시스템에 과부하를 발생시켜 사용자에게 서비스를 제공하지 못하도록 하는 공격.

4.216. 세션 하이재킹(Session hijacking)

다른 사람의 세션 상태를 훔치거나 도용하여 액세스하는 해킹 기법. 일반적으로 세션

ID 추측 및 세션 ID 쿠키 도용을 통해 공격이 이루어짐. 하이재킹으로 인한 직접적인 피

해는 세션 상태에 어떤 정보가 저장되어 있느냐에 달려 있지만 그보다 더 위험한 것은

ID와 패스워드를 사용하는 인증 절차를 건너뛰어 서버와 사용자가 주고받는 모든 내용을

그대로 도청하거나 서버의 권한을 확보할 수도 있음.

4.217. 세션 키(Session key)

통신을 하는 실체간에 한 통신 세션 동안에만 사용하는 암호 알고리즘 동작 키. 세션에

관계없이 하나의 키를 사용할 경우 공격자에게 주어지는 정보가 많아지기 때문에 이를

방지하기 위하여 세션마다 변경하여 사용하는 키.

4.218. 속성 기관(AA, Attribute Authority)

속성 인증서를 생성하는 하나 이상의 실체로 구성된 신뢰된 제 3의 실체.

4.219. 속성 인증서(Attribute certificate)

속성 정보 소유자와 사용자의 권한, 지위, 임무 등 속성 정보를 인증 기관의 개인 키로

서명한 인증서.


TTAK.KO-12.0002/R338

4.220. 수동 위협(Passive threat)

데이터 통신에 대한 공격의 일종으로 이 형태의 공격에서 침입자(intruder)는 전송되고

있는 데이터의 어떤 특성을 알아내려고 시도하거나 그 내용을 읽어 데이터의 프라이버시

를 훼손할 수도 있으며 데이터의 내용 자체는 안전하게 전송되더라도 메시지에 첨부된

송수신국의 식별자를 읽거나 메시지의 길이 또는 전송 빈도를 조사할 수도 있음. 이는

메시지의 내용을 변경시키지는 않음.

4.221. 스니핑(Sniffing)

해커가 네트워크상에서 송수신되는 패킷을 수집하여 비밀번호 등을 알아내는 해킹 기

법.

4.222. 스마트 서명(Smart Sign)

모든 스마트폰 웹브라우저에서 전자서명이 가능한 기술. 브라우저별 특성에 관계없는

공통의 스마트 사인 앱(smart sign app)을 설치하면 모든 스마트폰 웹브라우저에서 공인

인증서 전자서명을 이용할 수 있음.

4.223. 스마트 토큰(Smart Token)

보안 기능과 IC카드 기능을 하나로 통합한 USB 메모리 모양의 토큰. 은행카드 기능을

내장한 IC칩, 보안모듈, CPU, 메모리, 공인인증서를 탑재해 기본적인 보안기능에 인터넷

뱅킹, 전자통장, IC 카드 등의 기능도 제공함.

4.224. 스미싱(Smishing)

SMS와 피싱(Phishing)의 결합어로 문자메시지를 이용하여 피싱하는 새로운 휴대폰 해

킹 기법. 웹사이트 링크가 포함된 문자 메시지를 보내 휴대폰 사용자가 링크를 클릭하면

트로이목마를 주입해 휴대폰을 통제할 수 있게 함.

4.225. 스캐닝(Scanning)

시스템의 특성을 파악하기 위한 행위인데, 해킹의 사전 단계로 악용됨.

4.226. 스크리닝 라우터(Screening router)

패킷 필터링 기능을 가지고 있어, 이에 대한 접근 조건에 트래픽의 통과가 허가 또는

거부되도록 설정할 수 있는 라우터.


TTAK.KO-12.0002/R339

4.227. 스턱스넷(Stuxnet)

원격 감시 제어 시스템(SCADA)의 제어 소프트웨어에 침투하여 시스템을 마비하게 하

는 악성 코드. 원자력 발전소와 송·배전망, 화학 공장, 송유·가스관과 같은 산업 기반 시

설에 사용되는 제어 시스템에 침투하여 오동작을 유도하는 명령 코드를 입력해서 시스템

을 마비하게 하는 악성 코드.

4.228. 스트림 암호(Stream cipher)

데이터를 비트 단위로 암호화 시키는 비밀 키 암호 방식으로 알고리즘 동작 과정에서

얻어지는 키수열을 암호화 또는 복호화하고자 하는 데이터와 비트 단위 XOR 연산을 한

결과를 암호 알고리즘의 최종 결과값으로 출력함.

4.229. 스파이웨어(Spyware)

스파이(spy)와 소프트웨어(software)의 합성어로, 이용자의 동의 없이 또는 이용자를

속여 설치되어 이용자 몰래 정보를 빼내거나 시스템 및 정상 프로그램의 설정을 변경 또

는 운영을 방해하는 등의 악성행위를 하는 프로그램.

4.230. 스팸(Spam)

정보통신망을 통해 이용자가 원하지 않는데도 불구하고 일방적으로 전송되는 광고성

정보.

4.231. 스팸 릴레이(Spam Relay)

보안이 취약한 메일 서버의 릴레이 기능을 이용하여 스팸메일을 보내는 것. 메일 서버

를 정당한 권한 없이 스팸메일 서버로 악용하는 것으로, 스팸 릴레이 공격이 진행되면

대량의 이메일을 송수신하기 위해 네트워크 트래픽이 증가해 정상적인 이메일 수신을 방

해할 수도 있음.

4.232. 스팸 블로그(Splog, Spam blog)

블로그 운용자를 대상으로 한 정상 블로그처럼 위장된 블로그. 스팸 전파자들이 블로그

를 악용하여 정상적인 블로그처럼 위장한 것으로, 스팸 블로그에 들어가면 도박 사이트

나 포르노 사이트 등으로 자동 연결된다. 스팸 블로그의 확산은 검색 사이트의 블로그

생성 도구를 통해 스팸 블로그가 만들어지고 있음.


TTAK.KO-12.0002/R340

4.233. 스푸핑(Spoofing)

컴퓨터들이 통신하는 과정에 필요한 주소를 임의의 다른 값으로 변조하는 행위. 정상적

인 이용자에게 전달될 메시지가 위조된 주소(해커)로 전달되므로 해커는 허가되지 않은

정보를 훔쳐보거나, 인증을 거친 이용자의 세션정보를 중간에서 가로채어 정상적인 서비

스를 이용할 수 있게 됨.

4.234. 스피어 피싱(Spear Phishing)

‘작살 낚시(spearfishing)’에 빗댄 표현으로, 불특정 다수를 대상으로 한 일반적 피싱과

는 달리, 미리 확보한 정보 등을 이용해 특정인이나 특정 그룹을 목표로 하여 개인정보

를 탈취 하거나 사기를 치는 변형된 피싱.

4.235. 스핌(SPIM)

스팸과 인스턴트 메시지의 조합어로, 인터넷 메신저를 통해 이용자가 원하지 않는데도

불구하고 일방적으로 전송되는 광고성 메시지.

4.236. 슬래머웜(Slammer Worm)

2003년 1.25 인터넷침해 사고(소위 125 인터넷 대란)을 일으킨 웜의 일종으로, 발생

10분만에 전 세계적으로 7만 5천 개의 취약한 MS-SQL 서버에 감염이 되어, 트래픽 폭

증으로 인한 인터넷 장애를 유발하였음.

4.237. 시도 응답(Challenge response)

검증자가 요구하는 임의의 요청(도전)에 대해서도 정확한 인증 정보(응답) 제공을 요구

함으로써 실체를 인증하는 방법. 패스워드기반의 사용자인증기법에 대한 도전 응답 방법

은 사용자가 인증 요구와 함께 사용자 식별 번호(PIN)를 인증 서버에게 전달하면, 인증

서버는 난수를 생성하여 도전 메시지로 사용자에게 전달한다. 이와 동시에 인증 서버는

해당 사용자의 식별 번호에 해당하는 패스워드를 키 데이터베이스에서 꺼내 이것을 이용

하여 난수의 암호화를 시작한다. 도전 메시지를 받은 사용자는 그것을 자신의 패스워드

로 암호화하여 응답한다. 사용자로부터 응답을 받은 인증 서버는 서버 자신이 계산한 값

과 수신된 응답 값을 비교하여 일치하는 경우에 사용자를 정당한 사용자로 인증하게 됨.


TTAK.KO-12.0002/R341

4.238. 식별(Identification)

다른 사람이나 객체의 신분을 확인하는 절차. 복수의 사용자(고객)가 이용하는 컴퓨터

시스템이나 통신망에서 정당한 사용자를 확인함.

4.239. 아이핀(i-PIN, Internet Personal Identification Number)

대면확인이 어려운 인터넷상에서 명의도용이 쉬운 주민등록번호를 대신하여 신원확인

을 할 수 있는 아이디․비밀번호 방식의 개인 식별 수단.

4.240. 악성 앱(Malicious App)

사용자의 동의 없이 개인정보 유출, 부당과금 유발, 분산서비스거부(DDoS) 등의 악성

행위를 수행하는 앱.

4.241. 악성 코드 은닉 사이트 탐지 프로그램(MC-Finder, Malicious Code-Finder)

보안이 취약한 홈페이지가 해킹되어 악성코드를 유포하거나 경유사이트로 악용되는 것

을 사전에 탐지 및 대응하기 위하여 개발된 악성코드 은닉 사이트 자동탐지 프로그램.

MC-Finder 프로그램은 웹서버가 해킹 당한 후 악성코드를 다운로드하는 정보가 삽입되

어 웹 서비스 이용자 PC에 악성코드를 설치하는지 여부를 확인하는 프로그램이다. 웹서

버 해킹을 예방하기 위해서는 웹 방화벽 등을 설치/운영하거나 XSS(Cross Site

Scripting), SQL Injection 등 취약점에 대한 정기적 점검이 필요하다. 국내 홈페이지(180

만개)의 초기화면을 매일 점검하여 악성코드가 은닉된 홈페이지를 자동으로 탐지하여 삭

제조치 함으로써, 이용자 PC의 악성코드 감염을 사전에 예방하는 시스템.

4.242. 악성 코드, 악성 프로그램(Malicious code)

악의적인 목적을 위해 작성된 실행 가능한 코드의 통칭으로 자기 복제 능력과 감염 대

상 유무에 따라 바이러스, 윔, 트로이목마 등으로 분류됨.

4.243. 안티 스파이웨어(Anti-spyware)

각종 스파이웨어 프로그램이나 그 피해로부터 컴퓨터와 네트워크를 보호하는 프로그램


TTAK.KO-12.0002/R342

4.244. 암호(Cryptography)

정보의 보안을 위하여 안전한 정보와 신뢰할만한 정보를 생성하기 위해 수학을 사용하

는 기술로 평문을 제3자가 이해하기 곤란한 형식으로 변환하거나 암호문을 판독 가능한

형식으로 변환하는 원리나 수단, 방법 등을 다루는 기술. 정보보호를 위한 각종 요구 사

항을 만족시키기 위해 적용하는 보안 기술 일체.

4.245. 암호 알고리즘(Cryptographic algorithm)

평문 또는 이해 가능한 정보를 키라고 부르는 문자열과 결합시켜 인식 불가능한 암호

문을 만들어내는 수학적인 함수. 하나 이상의 비밀 매개변수를 사용하여 데이터의 정보

내용을 해독할 수 없도록 변환하거나, 그렇게 변환된 내용을 다시 원문으로 환원시키기

위해 데이터를 변형시키는 알고리즘. 암호 기법을 실제 적용하기 위한 방법 및 절차.

4.246. 암호 해독(Cryptanalysis)

암호문 또는 모든 형태의 암호를 깨는 학문이나 기술. 암호 알고리즘 적용을 통해 보장

되는 정보보호 서비스를 비적법 절차를 통해 무력화 시키는 방법으로, 비밀 키를 모르는

상태에서 암호문에 대응하는 평문을 찾아내는 것 등을 예로 들 수 있음.

4.247. 암호문(Ciphertext)

제3자의 불법적 정보 획득을 방지하기 위해 암호화 알고리즘을 적용하여 얻어진 결과

값으로, 복호화 알고리즘을 적용하여 암호화 알고리즘의 입력값(평문)을 복구할 수 있음.

4.248. 암호 키(Encryption key)

전자문서를 대칭 암호화방식으로 암호화 또는 복호화하기 위하여 이용하는 전자적 정

보. 비밀 키 암호화 알고리즘을 이용하여 정보를 암호화 또는 복호화 할 때 사용하는 알

고리즘 동작 키로 유일한 비밀 요소로 관리되어야 함.

4.249. 암호학(Cryptology)

평문을 해독 불가능한 형태로 변형하거나 암호화된 문장을 해독 가능한 형태로 변환하

기 위한 원리, 수단, 방법 등을 취급하는 학문의 한 분야. 암호 기법 및 암호 해독에 대

한 원리, 수단, 방법 등을 취급하는 학문의 한 분야.


TTAK.KO-12.0002/R343

4.250. 암호화(Encryption, Encipherment)

정보보호 또는 기밀성 보호를 위하여 평문을 암호문(암호화 알고리즘의 출력)으로 변환

하는 일련의 과정으로서, 데이터의 보안성을 보장. 대상 정보에 대한 기밀성과 무결성 제

공을 위하여 정보를 가공하는 절차로 비밀 정보인 키를 통해 안전성을 보장함.

4.251. 애드웨어(Adware)

원래는 무료로 사용되는 프리웨어(freeware)나 일정한 금액으로 제품을 구매해야 하는

셰어웨어(shareware) 등에서 광고 보는 것을 전제로 사용이 허용되는 프로그램을 의미.

무분별한 팝업 광고나 브라우저의 시작페이지 고정 등 불편을 야기하거나 사용자 모르게

개인정보 등이 광고업체에 제공되는 등 문제를 야기함.

4.252. 앱 게놈 프로젝트(The App Genome Project)

구글 안드로이드 마켓, 애플 앱 스토어, 블랙마켓 등 스마트폰 애플리케이션 마켓에서

유통되는 앱의 기능 및 보안위협 등을 분석하여 악성 행위여부를 파악하기 위한 프로젝

트.

4.253. 역공학(Reverse Engineering)

정보보호 분야에서는 주로 악성코드의 기능이나 동작을 분석할 때 사용되며, 소스코드

가 제공되지 않는 프로그램을 역으로 분석하여 기능을 추적하는 행위를 의미함. 시스템

이나 프로그램 등을 개발하기 위하여 설계-구현-테스트 등 단계적으로 절차를 진행하는

것에 반대되는 개념.

4.254. 영구 삭제(Wiping)

저장매체에서 삭제된 데이터가 복구 도구에 의해 복구되지 않도록 삭제하는 방법.

4.255. 오용 분석(Misuse analysis)

정보 시스템을 평가하기 위해 필요한 보증 요구 사항 중의 하나로써 정보 시스템이 안

전하지 않은 상태로 구성되거나 혹은 설치, 사용될 수 있는지의 여부를 평가하는 것.

4.256. 오용 탐지(Misuse detection)

침입 행위 자료를 기반으로 침입 탐지하는 것으로 현재 알려진 공격 패턴과 일치하는

지 검사하는 방법(Pattern Matching).


TTAK.KO-12.0002/R344

4.257. 온라인 인증서 상태 검증 프로토콜(OCSP, On-line Certificate Status Protocol)

공개 키 기반 구조 내에서 인증서에 대한 상태 정보를 서버에게 문의하여 알기 위하여

사용되는 프로토콜로서, 인증서 상태 정보를 요구하는 질의 메시지와 인증서 상태 정보

요구에 응하는 응답 메시지로 구성됨.

4.258. 옵트아웃(Opt-out)

사용자가가 수신거부 의사를 밝혀야 광고 등 서비스가 제공되지 않는 방식.

4.259. 옵트인(Opt-in)

사전 동의를 한 사용자에 한하여 광고 등 서비스가 제공하는 방식.

4.260. 워터마킹(Watermarking, digital watermarking)

디지털 이미지, 오디오, 비디오 등 디지털 형식으로 되어 있는 지적재산의 저작권 보호

를 위해 자료에 삽입한 비트 패턴을 말함. 중세시대에 비밀문서를 주고받기 위해 물에

적시거나 잉크에 적셔서 글을 읽을 수 있도록 했던 것에서 유래됨.

4.261. 웜(Worm)

다른 파일에 기생하지 않고 독립적으로 자신을 복제하여 확산함으로써 전파 속도가 매

우 빠른 특징을 가지는 악성코드 유형. 주로 메일이나 네트워크 공유폴더 등을 통해 전

파되어 시스템과 네트워크에 부하를 높이는 증상을 보임.

4.262. 웹 기반 공격(Web-Based Attack)

웹사이트를 매개로 악성 소프트웨어를 유포해 시도하는 공격 방법. 대부분 공격자가 합

법적인 웹사이트에 침입해 악의적 목적의 소프트웨어인 악성코드를 설치하고 악성코드가

웹사이트를 방문한 사용자의 컴퓨터를 공격하여 사용자 컴퓨터를 악의적인 활동에 이용

함. 이런 웹 기반 공격의 피해를 막기 위해서는 운영체제(OS), 애플리케이션, 웹 브라우

저 등 모든 소프트웨어를 최신 상태로 유지하고, 사용 중인 보안 제품 역시 항상 업데이

트해야 함.


TTAK.KO-12.0002/R345

4.263. 웹 방화벽(Web firewall)

웹 해킹을 탐지 및 차단하기 위하여 특화된 시스템으로 일반 방화벽에서는 탐지하지

못하는 HTTP 프로토콜의 헤드 정보 및 패턴의 식별을 통하여 웹 서버에 대한 공격을 차

단함으로써 웹 서버를 보호할 수 있는 시스템.

4.264. 웹 페이지 하이재킹(Web page hijacking)

사용자도 모르게 다른 웹 사이트로 페이지 주소가 변경되게 만드는 각종 수법. 예를 들

면, 브라우저 홈 페이지 주소를 변경(홈 페이지 하이재킹)해 버리거나, 유명 메뉴나 보안

성이 낮은 메뉴 및 홈 페이지를 변경(브라우저 하이재킹)되게 함. 또한 제3의 사이트에

유명 웹 페이지를 복사시켜 검색 엔진으로 하여금 검색하게 하기도 함.

4.265. 웹 해킹(Web hacking)

웹 서비스와 관련된 구성 요소들을 공격하여 불법적으로 이용자 권한을 획득하거나 관

리자 권한을 획득, 정보 수집, 유출 등을 수행하는 행위.

4.266. 웹쉘(WebShell)

업로드 취약점을 통하여 해커가 원격에서 웹서버를 조종할 수 있도록 작성한 웹 스크

립트.

4.267. 웹체크(Webcheck)

인터넷 브라우저에 설치되어 이용자 PC의 해킹 감염 가능성이나 방문한 사이트의 위

험성을 알려주고 유해정보 차단 등 사용자의 인터넷이용환경을 보호해주고 예방해 주는

정보보호서비스(http://webcheck.kisa.or.kr).

4.268. 위장(Impersonation, masquerade)

한 실체가 시스템에 접근하고자 할 때, 정상적으로 허가받은 다른 실체인 것처럼 흉내

내어 시스템에 접근을 시도하는 행위.

4.269. 위험(Risk)

예상되는 위협에 의하여 자산에 발생할 가능성이 있는 손실의 기대치. 자산의 가치 및

취약성과 위협 요소의 능력, 보호 대책의 효과 등에 의해 영향을 받음.


TTAK.KO-12.0002/R346

4.270. 위험 분석(Risk analysis)

보안 위험을 확인하고 그것들의 중요도를 결정하며 보호수단을 요하는 부분을 확인하

는 과정. 위험 분석은 위험 관리의 일부분.

4.271. 위험 평가(Risk assessment)

위험 분석을 통해 확인된 보안 위협 요소와 위협 요소를 통해 발생 가능한 손실을 평

가함으로써 우선순위에 따른 보안 대책 수립에 활용.

4.272. 위협(Threat)

보안에 위배되는 행동으로 자산에 손실을 발생시키는 원인이나 행위.

4.273. 융합 보안(Convergence Security)

정보보안과 물리보안 간의 융합 또는 보안 기술이 非 IT기술·산업과 융·복합되어 창출

되는 보안 제품 및 서비스.

4.274. 은닉 서명(Blind signature)

임의의 전자서명을 만들 수 있는 서명자와 서명 받을 메시지를 제공하는 제공자로 구

성되어 있는 서명 방식으로, 제공자의 신원과 [메시지, 서명] 쌍을 연결시킬 수 없는 특

성을 유지할 수 있는 서명. 따라서, 제공자 이외의 다른 사람에게 모든 메시지 정보를 밝

히지 않고도 다른 사람으로부터 메시지를 서명 받을 수 있는 구조, 은닉 서명은 주로 은

행이 전자 화폐를 발급할 때, 돈이 누구에게 발급되었는지 알 수 없도록 하기 위해 사용

되는 것으로 사용자 즉 서명자가 은행에게는 서명을 받으려는 문서를 비밀로 한 채 은행

의 서명을 받는 방법으로 고객이 만들어 보낸 은닉된 데이터에 은행이 금액 정보만 확인

하고 고객의 신상 정보에 관한 내용은 알지 못한 채 서명을 하는 방식을 말함.

4.275. 의사 난수(Pseudorandom number)

완전한 난수를 발생시키는 일이 생각보다 어렵고, 긴 난수열을 보존, 전송하는 일은 효

율면에서 문제가 크므로 완전한 난수 대신으로 실용상 유익한 난수와 거의 구별이 되지

않게 사용되는 유사 난수를 말함. 의사난수는 짧은 난수의 초기값으로부터 함수를 이용

해 긴 계열로 변환해서 얻을 수 있음.

완전한 난수의 생성 및 보존, 전송의 어려움을 고려하여, 짧은 길이의 초기값(seed)과

암호 알고리즘으로부터 얻어지는 유사 난수.


TTAK.KO-12.0002/R347

4.276. 이메일 실시간 스팸 차단 리스트(RBL, Realtime Blocking List)

이메일 스팸발신 IP 리스트를 참조하여 포털․기업 등이 해당 IP에서 발신된 이메일을

수신자에게 수신되기 전에 실시간 차단하는 시스템.

4.277. 이미지 스팸(Image spam)

기존의 텍스트 광고를 이미지로 바꾼 것으로, 스팸필터링 기술이 텍스트를 분석하여 작

동한다는 점에 착안, 필터링에 걸러지지 않기 위해 등장한 이메일 스팸의 변형된 유형임.

4.278. 이미징(Imaging)

서버, PC 등 시스템의 하드디스크와 완벽히 같은 사본 파일을 만드는 과정을 이미징

(Imaging)이라고 함. 이미징을 통해 사본 파일을 분석하는 것을 이미지 분석이라고 함.

숨김 파일, 임시파일, 손상/삭제 파일의 잔여정보가 그대로 존재하고, 원본 증거를 보호

할 수 있음.

4.279. 익스플로잇(Exploits)

해커가 컴퓨터의 소프트웨어나 하드웨어의 보안 취약점을 공격하여 부당하게 권한을

획득하는 행위나 이러한 목적으로 제작한 악의적 프로그램.

4.280. 인가(Authorization)

특정 프로그램, 데이터 또는 시스템 서비스 등에 접근할 수 있는 권한이 주어지는 것.

비밀 보호를 목적으로 데이터나 프로그램 등 외부에서 접근하는 부분에 비밀 잠금 장치

를 하여, 인가를 받지 않으면 임의로 접근할 수 없도록 되어 있으며, 승인된 패스워드 등

의 키를 사용할 경우 특정 서비스를 받을 수 있음.

4.281. 인증(Authentication)

정보 교환에 의해 실체 식별을 확실하게 하는 방법. 임의정보에 접근할 수 있는 객체의

자격이나 객체의 내용을 검증하는데 사용되는 수단으로 이를 통해 시스템의 부당한 사용

이나 정보의 부당한 전송 등을 방어하는데 사용됨. 인증은 자격인증과 내용인증으로 구

별되며, 송신에 관계된 인증과 수신에 관계된 인증이 있음. 송신에 대한 인증은 메시지

자체의 인증, 메시지 전송 사실 인증 혹은 발신자를 증명하기 위한 인증이 있으며, 수신

에 대한 인증은 특정 범주를 가진 정보를 수신할 자격이 있는지를 검증하는 수단으로 사

용됨.


TTAK.KO-12.0002/R348

4.282. 인증(Certification)

제품이나, 시스템, 서비스 등이 규정된 요구 사항을 만족시키는지 평가하는 것. 인증서

에서는 인증서 내 데이터 항목에 대해 신뢰성과 정확성을 보증하는 행위나 과정을 말함.

공개 키 기반구조에서 인증은 공개 키 인증서를 발행함으로써 공개 키가 특정의 사용자

에게 한정됨을 확인하는 행위나 과정을 나타냄.

4.283. 인증 경로(Certification path)

클라이언트(Client)가 신뢰하고 있는 공개 키가 속한 인증서에서 시작하여 클라이언트

가 유효성을 검증해야 할 공개 키를 포함한 인증서까지의 모든 인증서들을 순서적으로

모아둔 인증서 계열.

4.284. 인증 교환(Authentication Exchange)

인증 수행을 위해 인증 정보를 교환하는 것. 인증 교환에는 암호화 알고리즘이나 메시

지 인증 코드(MAC)를 많이 사용한다. MAC를 이용하면 메시지 전송 중에 수신자의 변경

여부를 확인할 수 있으며, 메시지가 순서번호(Sequence Number)를 갖고 있다면 메시지

가 올바른 순서로 도착하는지도 확인이 가능하다. 또한 동기화 클럭(Synchronized

Clock)을 이용하여 양 당사자 간에 동기를 맞출 수 있음.

4.285. 인증 헤더(AH, Authentication Header)

IPSec(IP Security)에서 사용하는 프로토콜로 무결성과 데이터 출처 인증을 제공하며

재전송 공격에 대한 보호 서비스를 선택적으로 제공하는 용도로 사용됨. IPSec 보안 프

로토콜의 보안 서비스의 일종으로 원본 IP 헤더를 포함한 IP 패킷 전체의 무결성을 보장

함.

4.286. 인증 기관(CA, Certification Authority)

종단 실체(End Entity)와 다른 인증 기관에게 인증서를 발행해 주는 신뢰성이 보장된

실체. 인증 기관은 인증서와 CRL을 저장소(Repository)를 통해 여러 실체들에게 공표함.

4.287. 인증 기관 키 식별자(Authority key identifier)

인증서의 경우에 발급자 CA(인증 기관)의 공개 키와 결합된 인증키 식별자를 말하며,

인증서 폐지 목록에서는 CRL(인증서 폐지 목록) 서명문을 생성하는 데 사용된 인증키 식

별자를 말함. 인증 기관이 여러 개의 공개 키를 사용하는 경우, 특정의 인증 기관 공개

키를 확인하기 위한 공개 키 식별자를 나타냄.


TTAK.KO-12.0002/R349

4.288. 인증 기관 폐기 목록(CARL, Certification Authority Revocation List)

인증 기관 자신이 발행한 인증 기관 인증서 중에서 더 이상 유효하지 않는 인증서 목

록을 포함한 인증서 폐지 목록.

4.289. 인증서 검증 프로토콜(SCVP, Simple Certificate Validation Protocol)

SCVP 서버와 고객 간의 프로토콜로서 서버는 인증서 유효성에 관한 정보와 믿을 수

있는 인증서까지의 인증서 경로 유효성 등의 다양한 정보를 클라이언트에게 제공.

4.290. 인증서 관리 프로토콜(CMP, Certificate Management Protocol)

인증서를 각 실체 사이(인증 기관-인증 기관, 인증 기관-종단 실체, 종단 실체-종단

실체)에서 전송하기 위한 프로토콜로, 인증서를 발급하고 인증서를 사용자에게 전달하는

절차, 인증 기관 간의 상호인증과 관련된 절차, 인증서를 발급 받는 종단실체가 인증서에

포함된 공개 키에 대응되는 개인 키를 소유하고 있음을 인증 기관이 증명하는 개인 키

소유 증명 절차, 인증 기관의 암호 키 갱신을 위한 절차 등으로 구성.

4.291. 인증서 정책(Certificate policy)

공개 키 기반 구조에서 특정 그룹에 의하여 사용될 인증서 발급 정책, 인증서 사용 목

적, 공표 방법 등 인증서와 관련된 일련의 규정을 의미하는 정책으로써 인증업무준칙

(CPS)으로 구체화됨.

4.292. 인증서 폐지 목록(CRL, Certificate Revocation List)

공개 키 기반 구조에서 사용자 혹은 인증 기관의 인증서가 만료되지 않은 시점에서, 주

체의 소속 변경 혹은 개인 키의 노출 등의 이유로 무효화된 인증서에 대한 목록을 알리

기 위하여 이들 정보를 인증 기관의 개인 키로 서명한 데이터 구조.

4.293. 인증 업무 준칙(CPS, Certification Practice Statement)

인증 기관이 인증서를 발행할 때 적용해야 할 규칙의 집합. 인증 업무의 종류, 수행 방

법 및 절차, 이용 조건 및 이용 요금, 기타 인증 업무의 수행에 관하여 필요한 사항을 인

증 기관이 공표하는 것으로 공인 인증 서비스 이용 기준이 될 수 있음.


TTAK.KO-12.0002/R350

4.294. 인터넷 전화 스팸(VoIP SPAM)

VoIP 전화 서비스에 연관되어 생성되는 스팸. 일반 전화와는 달리 VoIP 전화는 인터넷

에 기반을 두고 있어 스팸 공격의 가능성이 매우 높음. 종류로는 크게, 전화로 걸려 오는

전화 스팸과 이메일과 유사하게 메신저 서비스에 연결되어 들어오는 인스턴트 메시징 스

팸, 그리고 구독 메시지를 대량으로 발송하는 프레즌스(presence) 스팸 등이 있음. VoIP

스팸 방지 기술로는 음성이나 비디오, 인스턴트 메시징 등의 내용물을 필터링하거나, 수

신 허가(white list), 또는 수신 불가(black list) 등 주소를 관리하는 방법, 수신시마다 수

신자의 승락을 얻어 연결시키는 방법, SIP 등 프로토콜로 안티 스팸 프레임워크를 구축

하는 방법, 그리고 여러 경험이나 습관, 통계 등을 이용하여 보다 지능적인 스팸 방지 서

비스를 제공하는 방법 등이 연구되고 있음.

4.295. 임의 접근통제(DAC, Discretionary Access Control)

접근통제 정책의 하나로 시스템 객체에 대한 접근을 사용자 개인 또는 그룹의 식별자

를 기반으로 제한하는 방법. 여기서 임의적이라는 말은 어떤 종류의 접근 권한을 갖는

사용자는 다른 사용자에게 자신의 판단에 의해서 권한을 줄 수 있다는 것임. 주체와 객

체의 신분 및 임의적 접근통제 규칙에 기초하여 객체에 대한 주체의 접근을 통제하는 기

능.

4.296. 자동 가입 방지 기술(CAPTCHA, Completely Automated Public Test to tell

Computers and Humans Apart)

웹사이트 회원 가입 시 사람인지 컴퓨터인지를 식별하는 인증기술로써 프로그램을 통

해 자동으로 회원 가입을 하는 것을 방지하는 기술.

4.297. 재전송 공격(Replay attack)

이전에 전송된 메시지를 다시 사용하는 위장 공격.

4.298. 저작권 보호 기술(Copyright Protection Technology)

디지털 콘텐츠 산업의 가치 사슬(value chain)에서 콘텐츠를 안전하게 유통하고 보호하

는 정보보호 기술의 일종. 디지털 워터마킹(Watermarking), 디지털 핑거프린팅

(Fingerprinting), 콘텐츠 인식, 암호기반 DRM 등이 있음.


TTAK.KO-12.0002/R351

4.299. 저작권 인증 제도(Copyright Authentication System)

정당한 저작권의 권리자인지 여부를 국가가 확인해 주는 제도. 정부는 권리자의 권리를

보호하고 안전한 저작물의 이용과 거래를 유도하기 위해 저작권 인증 제도임.

4.300. 전사 공격(Brute force attack)

암호문의 암호 키를 찾기 위해 모든 경우의 수를 적용하여 공격하는 방법. 과거에는 암

호문을 알아볼 수 있는 평문을 찾기 전에는 다른 키로 그 뜻을 파악하여 공격하는 암호

키를 알아내는데 사용하는 공격이었으나, 최근에는 ID와 패스워드를 알아내기 위하여 반

복 대입하는 공격이 사용되고 있음.

암호 알고리즘을 적용하여 생성된 결과값에 대응하는 비밀 정보(암호 키 등)를 찾기 위

해 모든 경우의 수를 적용하는 방법.

4.301. 전용 백신

일반백신과 달리 특정 악성코드만을 치료하는 백신프로그램으로, PC에 설치되지 않고

메모리상에 수행되어 치료 속도가 빠른 백신프로그램. 감염 PC 치료체계 가동을 통해 좀

비PC 이용자에게 전용백신 제공.

4.302. 전자 ID지갑(Electronic IDentity Purse)

일상생활에서 신용카드, 신분증 등을 넣어 사용하고 있는 '지갑'처럼 각종 전자인증에

필요한 개인정보와 인증정보(ID/PW, 인증서 등)를 언제 어디서나 저장, 이용할 수 있는

사이버상의 디지털 지갑으로 웹사이트 이용 시 개인정보 및 인증정보를 간단하게 선택해

이용할 수 있는 시스템으로 아이덴티티 관리시스템의 일종임.

4.303. 전자서명(Digital signature)

전자적 문서의 생성원과 무결성을 이 문서의 수신자가 검증할 수 있고 제 3자에 의한

해당 문서의 위조로부터 발신자 및 수신자를 보호하고 또한 수신자에 의한 위조로부터도

발신자를 보호하기 위하여 문서에 서명하기 위한 특수한 서명 방식으로서, 비대칭 암호

화 시스템과 송신자의 개인 키로 메시지 다이제스트를 암호학적 변환을 함으로서 만들어

짐. 데이터에 대한 인증 및 위조 방지를 목적으로 공개 키 암호 체계에서 사용자의 개인

키를 비밀정보로 사용하여 생성하는 값.


TTAK.KO-12.0002/R352

4.304. 전자서명 인증관리 센터

국내 최상위 인증 기관으로 1999년 「전자서명법」의 시행으로 한국인터넷진흥원

(KISA)내에 설립됨. 전자서명을 안전하고 신뢰성 있게 이용할 수 있는 환경을 조성하고

공인인증 기관들을 효율적으로 관리하는 것이 센터의 기능과 역할임. 주요 업무로는 공

인인증 기관에 대한 공인인증서 발급ㆍ관리 등 인증업무와 공인인증 기관들에 대한 실질

심사 및 정기점검, 전자서명인증 관련 기술 개발ㆍ보급, 전자서명인증 관련 제도 연구 및

국제협력 지원임(www.rootca.or.kr).

4.305. 전자 여권(e-Passport)

사진, 지문, 홍채 등 신원확인 정보가 입력된 마이크로 칩이 들어간 여권. 국제범죄 및

테러의 확산이 국가 안보의 중대한 위협 요소로 대두되면서 세계 각국은 여권 위·변조

방지를 통한 보안 강화 및 자국민의 해외 여행 시 편익 도모 등을 위하여 전자여권을 도

입하고 있음.

4.306. 전자정부 정보보호 관리체계(G-ISMS, Government-Information Security

Management System)

정부 행정기관 등의 조직 및 서비스의 특성에 적합하게 수립된 종합적인 정보보호 관

리체계.

4.307. 전자 주민등록증

개인정보가 들어있는 IC 칩을 장착한 주민등록증. 전자주민증은 암호화와 정보 저장 매

체 기술 같은 여러 분야의 최첨단 기술을 적용하여 보안 기능과 자기 인증 기능이 뛰어

남. 유럽, 아시아 같은 세계 여러 나라에서 전자주민증을 도입하고 있음.

4.308. 전자파 도청(TEMPEST, Transient Electromagnetic Pulse Surveillance

Technology)

누설 전자파 방어 대책. 컴퓨터나 통신기기를 사용할 때 누설되는 전자파를 제3자가

수신함으로써 정보가 유출되는 것을 막기 위한 대책.


TTAK.KO-12.0002/R353

4.309. 접근 권한(Access right)

접근 권한은 시스템 안에서 특정 사용자가 수행할 수 있는 작업(예: 판독, 기록, 실행,

생성, 삭제)을 특별히 정해 놓은 것. 불법 접근으로부터 시스템을 보호하거나 사용자의

파일을 보호하기 위해 각 파일에 대해 판독이 가능한가, 기록이 가능 여부 또는 실행 가

능 여부 등의 권한이 사용자마다 정해져 있음.

4.310. 접근 통제(Access control)

보안정책에 따라, 접근객체(시스템 자원, 통신자원 등)에 대한 접근주체(사용자, 프로세

스 등)의 접근권한 확인 및 이를 기반으로 한 접근제어를 통해 자원에 대한 비인가된 사

용을 방지하는 정보보호 기능.

4.311. 정보보호(Information security)

정보의 수집․가공․저장․검색․송신․수신 도중에 정보의 훼손․변조․유출 등을 방지하기 위한

관리적․기술적 수단 또는 그러한 수단으로 이루어지는 행위. 내․외부의 위협요인들로부터

네트워크, 시스템 등의 H/W와 S/W, 데이터베이스, 통신 및 전산시설 등 정보자산을 안

전하게 보호․운영하기 위한 일련의 행위로 정의.

4.312. 정보보호 시스템(Information Security System)

정보 통신망으로 수집, 저장, 검색과 그밖에 송신과 수신되는 정보 훼손, 변조, 유출 따

위를 막기 위한 기술이나 장치로서, 침입 차단, 침입 탐지 시스템 같은 정보 보안 시스템

과 개인 정보 암호화나 모니터링 시스템 같은 개인 정보 보호 시스템을 포함함. 정보에

대한 훼손, 변조, 유출 등을 방지하기 위한 일련의 기술이나 장치.

4.313. 정보공유분석 센터(ISAC, Information Sharing and Analysis Center)

사이버 테러나 정보 침해 등에 공동으로 대응하는 센터. 회원사 간 정보 보호를 공동으

로 대처함으로써 업무의 효율성을 제고하고 비용도 절감할 수 있음. 미국이 지난 1998년

금융·통신·국방·교통 등 8개 분야에 ISAC를 운영하면서 시작되었음. 우리나라는 정보통

신기반보호법에 의하여 금융 ISAC, 통신 ISAC 등을 운영 중임.

4.314. 정보보호 감사제도(Information Security Audit System)

기업의 정보 보호 관리체계를 검사하고 평가하는 제도로, 회계 감사와 마찬가지로 정보

보호를 위한 객관적 기준이 되는 통제항목들을 갖고 평가함.


TTAK.KO-12.0002/R354

4.315. 정보보호 안전진단제도

주요정보통신서비스제공자(ISP), 집적정보통신시설사업자(IDC), 쇼핑몰 등의 정보통신

망에서 발생하는 침해 사고 예방을 위해 정보통신망 사업자들을 대상으로 안전진단수행

기관이 이들의 관리적ㆍ기술적ㆍ물리적 정보보호지침 이행 여부를 검사하는 제도

(http://iscs.kisa.or.kr)로, 2013년 이후 정보보호관리체계(ISMS)로 통합 운영되고 있음.

4.316. 정보보호 관리체계(ISMS, Information Security Management System)

기업 또는 조직이 보유한 산업기밀 등 중요 정보자산을 안전하게 보호하기 위한 종합

적인 절차와 대책. 각종 위협으로부터 정보자산을 보호하는 위험관리 기반의 체계적이고

지속적인 프로세서 개선 활동을 지칭함. KISA는 현재 공공 부문과 민간 기업 부분의

ISMS를 평가하고 인증하는 사업을 운영 중임. 공공부문은 행정안전부의 ‘전자정부 정보

보호관리체계 인증업무’ 지침에 따라 설계된 ‘전자정부 정보보호관리체계(G-ISMS)'를 적

용하고 있으며, 민간 부분은 ’개인정보보호관리체계(PIMS)‘를 개발하여 일반 기업이 전사

차원에서 개인정보보호를 위해 수행할 수 있도록 조치체계와 기준을 제시하고 있음.

4.317. 정보보호 관리체계 인증(ISMS(Information Security Management System)

Authentication)

기업 및 조직이 보유하고 있는 기업 정보, 산업 기밀, 개인 정보 등의 중요한 정보 및

인프라 시설 자산이 안전하고 신뢰성 있게 관리되고 있음을 국가 공인의 인증 기관으로

부터 평가심사를 받아 보증 받는 제도. 정보통신망법에 근거하고 있으며, 인증을 받아야

하는 대상 사업자는 주요 정보통신서비스 제공자, 집적정보통신시설 사업자, 연간 매출액

또는 이용자 수가 일정 기준 이상에 해당하는 정보통신서비스 제공자임.

4.318. 정부 공개 키 기반 구조(GPKI, Government Public Key Infrastructure)

전자 정부 구축을 위해 행정 기관 간 전자 문서 교환 또는 일반 국민을 대상으로 전자

행정 서비스 제공 시 해당 공무원의 신원 확인 또는 행정 전자 문서의 신뢰성을 제고하

기 위한 체계. 우리나라의 경우 전자 정부법에 의해 정부가 정책 및 최상위 인증 기관을

담당하고 있고 각 부처에서 인증 기관의 역할을 수행함. 현재 정부 공개 키 기반 구조

(GPKI)의 업무 범위는 행정 기관에서 금융 기관 및 공공 기관으로 확대되고 있는 추세

임.

4.319. 정책 매핑(Policy mapping)

공개 키 기반구조의 인증서에서 사용되는 항목으로서, 어떤 영역에 속한 CA 인증서에

만 적용되며, CA가 다른 보안 영역에 속한 CA를 인증할 때 서로의 인증서 정책이 등가


TTAK.KO-12.0002/R355

임을 공표하는 것.

4.320. 정책 승인 기관(PAA, Policy Approval Authority)

모든 인증 과정이 시작되는 루트 인증 기관. 직접적으로는 하위 계층의 PCA(정책 인증

기관) 들을 인증해 주고, 완전히 다른 기반 구조의 PAA(정책 승인기관)와의 상호 인증을

허가해 주는 역할도 담당.

4.321. 정책 인증 기관(PCA, Policy Certification Authority)

정책을 인증하는 기관으로서, 공개 키 기반구조내의 PAA(정책 승인기관)의 정책에 준

하여 자신의 영역(회사 혹은 그룹) 내의 정책을 설정함. PAA(정책 승인기관)로부터 발급

받은 인증서를 하위계층의 CA에게 보내고, 또한 하위계층의 CA의 공개 키를 인증하기

위한 인증서를 발급하는 인증 기관.

4.322. 제3 신뢰 기관(TTP, Trusted Third Party)

정보보호 관련 및 인증활동에 있어 다른 실체들이 신뢰하는 보호 기관 또는 그것의 대

행 기관. 국제 표준의 문헌에 의하면 제 3의 신뢰기관은 인증을 위하여 송신자, 수신자,

전달기관 등이 신뢰할 수 있는 기관.

4.323. 제로데이(ZeroDay)

보안 취약점에 대한 패치가 제공되고 있지 않는 시점을 의미함.

4.324. 제로데이 공격(Zeroday Attack)

새로운 보안 취약점이 발견되었을 때 보안패치가 발표되기 전에 해당 취약점을 이용한

공격이 발생하는 것을 의미하며, 취약점에 대한 공격의 신속성이나 대처 방법이 없다는

위험성을 표현하기도 함.

4.325. 제한적 본인 확인제

인터넷 상에서 익명성의 역기능을 해소하기 위하여 한 번의 본인 확인 후 사용자명을

실명이 아닌 별명이나 ID만 표시하도록 하는 제도. 일종의 인터넷 실명제로 허위사실이

나 불법정보 유포 및 과도한 욕설이나 타인의 명예를 훼손하는 글 등 인터넷 질서를 어

지럽히는 게시글이나 댓글을 일정 부분이라도 방지해 보자는 취지에서 마련한 것이다.

정부는 일일 방문자수 30만명 이상의 포털과 일일 방문자수 20만명 이상의 인터넷 언론

등에 제한적 본인확인제를 도입토록 하고 있음.


TTAK.KO-12.0002/R356

4.326. 좀비 PC(Zombie PC)

해커가 웹사이트나 스팸메일 등을 통해 악성코드를 심어놓은 PC로, 해커가 원격에서

조종하여 좀비 PC 사용자도 모르게 자신의 의지와 상관없이 해커의 명령을 전달받아 스

팸 발송, 분산서비스거부(DDoS) 공격 등에 악용되게 됨.

4.327. 주민등록번호 클린센터

주민등록번호를 사용하여 회원 가입된 사이트를 일괄적으로 확인토록 해주는 사이트.

클린센터에 주민등록번호를 입력하면 최근까지 가입한 사이트 이름과 주민등록번호를 자

기 인증 수단으로 수집해 간 내역을 검색할 수 있음. 가입한 사실이 없거나 이용하지 않

는 사이트인 경우 이들 사이트에 더 이상 자신의 주민등록번호를 남기지 않으려면 회원

탈퇴를 요청하면 됨. 이 경우 해당 사이트는 이용자의 주민등록번호 같은 개인정보를 파

기하게 됨(http://clean.kisa.or.kr).

4.328. 주민등록증 진위확인 시스템

행정기관이나 금융기관 등에 설치한 식별단말기를 이용 주민등록증의 진위 여부를 확

인하는 시스템. 단말기를 통해 주민등록증의 앞·뒷면에 있는 번호·사진·지문 등의 특징과

행자부 전산센터 데이터베이스(DB)의 원본을 실시간으로 조회해 진위 여부를 곧바로 확

인할 수 있는 시스템으로, 행정기관에서 주로 사용 중에 있으며 은행 등 금융 기관에서

도 본인확인 및 업무처리 간소화를 위해 도입하고 있음

4.329. 주요 정보 통신 기반 시설(CNI, Critical Network Infrastructure)

고도화·지능화되고 있는 전자적 침해 사고에 효과적으로 대응하기 위해 국가·사회적으

로 중요한 시설을 주요정보통신기반시설로 지정. 해당 시설에 대해서는 주기적으로 취약

점 분석·평가를 실시하여 보호 대책을 수립·이행함으로써 정보보호 수준 향상 도모

4.330. 중간자 공격(MITM, Man In The Middle attack 혹은 MIMA, Man in the Middle

Attack)

통신하고 있는 두 당사자 사이에 들키지 않게 끼어들어 당사자들이 교환하는 통신내용

을 바꾸거나 도청하는 공격 기법.


TTAK.KO-12.0002/R357

4.331. 책임 추적성(Accountability)

한 실체의 행동이 그 실체에 의해서 유일하게 추적될 수 있음을 나타내는 특성. 시스템

내의 각 개인은 유일하게 식별되어야 한다는 정보보호 원칙에 의해서 정보 처리 시스템

은 정보보호 규칙을 위반한 개인을 추적할 수 있고, 각 개인은 그의 행위에 대해서 책임

을 짐. 보안 감사 기록에 근거를 두고 있는 것이 일반적임.

4.332. 충돌 회피 해시 함수(Collision-resistant hash function)

동일한 출력을 가지는 서로 다른 두 입력을 찾기가 계산적으로 불가능한 성질을 갖는

해시함수.

4.333. 취약점(Vulnerability)

기능명세, 설계 또는 구현단계의 오류나 시동, 설치 또는 운용상의 문제점으로 인하여

정보 시스템이나 네트워크가 내포하고 있는 취약한 부분으로 보안의 위협 대상이 됨.

4.334. 침입 탐지(Intrusion detection)

정보 시스템의 보안을 위협하는 침입행위가 시도되거나 발생할 경우 이를 탐지하는 기

능.

4.335. 침입 방지 시스템(IPS, Intrusion Prevention System)

침입을 탐지한 이후 즉시 행위를 차단할 수 있도록 설계되어 침입 사고에 대한 예방

및 방지를 할 수 있음. 침입 탐지시스템과 비교하여 능동적인 차단 기능을 포함하여 동

작할 수 있다는 것이 가장 큰 차이점임.

4.336. 침입자(Intruder)

전산망 등을 이용하여 정보 시스템에 불법으로 침입하여 자료를 유출, 변조, 파괴하는

등의 범죄적 행위를 하는 사람.

4.337. 침입탐지시스템(IDS, Intrusion Detection System)

네트워크나 시스템의 사용을 실시간으로 탐지하여 이상행위를 모니터링하고 식별할 수

있는 알람을 띄워주는 시스템. 네트워크 기반의 침입을 탐지하는 NIDS(Network IDS)과

시스템 기반의 침입을 탐지하는 HIDS(Host IDS)로 나누기도 하며, 탐지 방법에 따라 시

그니쳐(signature) 또는 행위기반(Anomally) 탐지 방식으로 나눌 수 있음.


TTAK.KO-12.0002/R358

4.338. 침해 사고(Incident)

모든 사이버 공격 행위나 그 결과에 따라 생긴 여러 가지 피해. 해킹, 컴퓨터 바이러

스, 논리 폭탄, 메일 폭탄, 서비스 거부 또는 고출력 전자기파 같은 방법으로 정보 통신

망 또는 이와 관련한 정보 시스템이 공격을 당하여 생긴 문제를 말하며, 바이러스, 트로

이잔, 웜, 백도어, 악성 코드 같은 공격, 인가되지 않은 네트워크 정보 접근, 시스템 접

근, 서비스 방해 등이 있음.

4.339. 캐슬(CASTLE)

주요 취약점을 이용해 웹서버를 공격하는 침입시도 및 공격코드들을 사전에 차단할 수

있도록 개발된 홈페이지 해킹 방지 프로그램. 한국인터넷진흥원(KISA)에서 개발하여 보

급하고 있으며, 운영하고 있는 홈페이지에 설치하여 적용함으로써 홈페이지의 공격 방어

능력을 향상시켜 보안성을 높일 수 있음.

4.340. 캐시 포이즈닝(Cache Poisoning)

사용자의 요청에 의한 서버로 부터의 데이터 전송을 효율적으로 제공하기 위하여 파일

및 데이터들을 임시로 저장소에 저장하여 제공해주게 되는데, 이때 임시로 저장된 파일

및 데이터를 변조시키는 행위를 말함.

4.341. 커버로스(Kerberos)

분산환경 하에서 개발자와 관리자 및 사용자에게 특정 사용자나 서비스에 대한 권한

부여 인증(authentication)을 통해 여러 형태의 공격을 막을 수 있도록 한 인증 메커니즘.

Kerberos는 MIT에서 개발한 인증 서비스 시스템으로 대칭 암호화 시스템에 기반을 두고

있으며 개방 네트워크상에서 인증과 통신의 암호화를 시행하여, 보안성을 확보함.

4.342. 컴퓨터 네트워크 공격(CNA, Computer Network Attack)

컴퓨터와 네트워크에 상주하는 정보를 불법적으로 획득, 변조 또는 파괴하는 것. 또는

컴퓨터와 네트워크 자체를 교란, 방해, 훼손 또는 파괴하여 네트워크를 사용하는 객체에

게 네트워크 서비스를 제공하지 못하도록 하는 모든 행위.

4.343. 컴퓨터 보안(Computer security)

정보 시스템에서 인증, 접근통제, 무결성, 기밀성, 감사 기록, 가용성과 같은 정보보호

기능 및 목표를 제공하기 위한 방법.


TTAK.KO-12.0002/R359

4.344. 컴퓨터 포렌식(Computer Forensic)

사이버 범죄를 과학적으로 분석해 법적 대응 근거를 마련하는 디지털 증거화 기술 및

설루션. 컴퓨터 범죄 증거 수집과 보존을 위한 핵심적인 역할을 하는 것으로 용의자가

지웠다고 생각하는 파일과 데이터를 복구하는 방법, 암호화된 데이터와 특수 소프트웨어

에 의해 다른 파일 내에 숨겨진 스테가노그래피(steganography) 데이터를 찾는 방법, 데

이터가 숨겨질 수 있는 파일 슬랙, 대체 데이터 스트림, 파티션 갭, 웹 캐시, 히스토리

로그, 스왑 파일을 비롯한 여러 곳에 남겨져 있는 증거를 찾는 법, 컴퓨터와 디지털 증거

를 수색하고 압류하기 위한 단계별 지침, 휘발성 증거를 보존하는 법과 디스크 이미징을

사용하는 방법, 수색이나 압류와 관련된 법적 문제, 법원에서 증거 보존 문제 등 컴퓨터

범죄와 관련된 컴퓨터 시스템의 수사를 말함.

4.345. 코드 난독화(Code Obfuscation)

프로그램 코드를 읽기 어렵게 일부 또는 전체를 변경하는 것. 난독화의 대상에 따라 크

게 1) 소스 코드 난독화와 2) 바이너리 난독화로 나뉜다. 소스 코드 난독화는 C/C++/자

바 등의 프로그램의 소스 코드를 알아보기 힘든 형태로 바꾸는 기술이고, 바이너리 난독

화는 컴파일 후에 생성된 바이너리를 역공학을 통해 분석하기 힘들게 변조하는 기술.

4.346. 코드 서명(Code Signing)

인터넷 또는 무선 환경에서 배포되는 실행 파일이 정당한 제작자에 의해 제작되었고

위변조 되지 않았음을 확인하는 방법. 배포되는 파일을 제작자가 전자서명 하여 유포하

며, 사용자는 웹 브라우저를 통해 제작자의 인증서 및 파일의 전자서명을 검증.

4.347. 콘텐츠 보안(Content Security)

음악, 동영상 등 디지털 콘텐츠의 불법 복제 및 유통 방지를 위한 기술적/관리적 수단.

콘텐츠 보안 방법으로는 디지털 워터마킹, 암호화 기법 등이 있음.

4.348. 콘텐츠 인식 기술(Content Recognition Technology)

멀티미디어의 고유한 특징을 추출하여 데이터베이스화 하고 이를 기반으로 임의의 콘

텐츠를 인식하는 기술. 예를 들어, 동영상 콘텐츠 인식 기술은 각각의 동영상에서 프레임

단위 별로 특정 인식 정보를 추출해 데이터베이스에 저장한 후 고속 검색 질의를 통해

저작권 동영상 여부를 판별함.


TTAK.KO-12.0002/R360

4.349. 크라임웨어(Crimeware)

범죄의 ‘Criminal’과 소프트웨어 ‘Software’의 합성어. 정보유출, 분산서비스거부

(DDoS), 원격제어 등 온라인 범죄 행위를 조장하기 위해 만들어진 악성 코드 또는 악성

프로그램들을 의미.

4.350. 크래커(Cracker)

허가되지 않은 시스템에 접근해서 데이터를 훼손하거나 시스템의 비정상적인 동작을

유발시키는 사람.

4.351. 크래킹(Cracking)

허가받지 않은 시스템에 강제로 침입하여 정신적인 피해나 물리적인 피해를 주는 것.

4.352. 크로스 사이트 스크립팅(XSS, Cross-site Scripting)

사용자 브라우저에 홈페이지 내용을 표현하기 위해 사용하는 스크립트를 악용할 수 있

는 취약점이나 해킹 기법을 의미. 홈페이지 게시판, 전자메일 등에 악의적인 목적의 스크

립트를 숨겨놓고, 사용자가 해당 게시물 또는 메일을 클릭하였을 때 악성 스크립트가 실

행되어 로그인정보나 개인정보, 내부 자료 등을 탈취.

4.353. 크리덴셜(Credentials)

실체의 신원을 확인하기 위해서 전송되는 데이터로써, 서로 신뢰할 수 없는 두 인증 서

버 간의 통신 시 신임장을 교환하여 서로의 신원을 검증함.

4.354. 클라우드 서비스 인증제(Cloud Service Authentication System)

클라우드 업체가 제공하는 서비스를 평가해 일정 수준 이상의 체계나 절차를 확보하고

있는 경우에 인증을 부여하는 제도. 심사 기준은 3대 분야(품질, 정보 보호, 기반) 7개

항목(가용성, 확장성, 성능, 데이터 관리, 보안, 서비스 지속성, 서비스 지원)으로 구성되

어 있으며, 총 세부 심사 항목은 105개임.

4.355. 키(Key)

암호 변환(즉, 암호화, 복호화, 암호화적 검사 함수 계산, 서명 계산 서명 검증 등)의

작동을 조절하는 기호의 열로써 메시지를 암호화, 복호화 하는데 사용되는 정보. 암호 알

고리즘 작동을 위해 적용되는 비밀정보.


TTAK.KO-12.0002/R361

4.356. 키 관리(Key management)

보안 정책에 의해 키의 생성, 등록, 인가, 등록취소, 분배, 설치, 저장, 압축, 폐지, 유

도, 파괴 등을 관리하는 것.

4.357. 키 관리 기반 구조(KMI, Key Management Infrastructure)

암호문의 소유자(일반적인 암호 시스템에서 키를 소유한 사람)가 아닐지라도 사전에 약

속된 어떤 특정한 조건 하에서 허가된 사람에게 복호화가 가능한 능력을 제공하는 시스

템. 암호 시스템에서 암호용 키를 잊어버리는 등의 상황에 대비해서 제3자가 키를 안전

하게 보관하고, 일정한 조건이 갖추어졌을 때 키를 복원해 주는 시스템.

4.358. 키 변환 센터(KTC, Key Translation Center)

키 변환 센터와 키를 각각 공유하고 있는 각 실체들 사이에 키 변환 임무를 수행하는

신뢰할 수 있는 실체.

4.359 키 복구(Key recovery)

기밀성 목적의 암호 사용에 있어, 암호화된 평문을 복호화 할 수 있는 키 또는 키와 관

련된 정보를 일정한 자격을 가진 권한이 있는 사람 또는 기관에게 위탁, 보관한 후, 키

분실 시에 위탁, 보관된 정보를 사용하여 키를 복구.

4.360. 키 분배(Key distribution)

키가 생성된 위치로부터 암호 알고리즘에서 사용된 위치로 암호화 키를 전송하는 과정.

비밀 데이터 값을 생성하여 각 사용자에게 분배함으로써 임의의 사용자는 이 분배된 정

보를 이용하여 자신들만의 공유키를 계속적으로 생성할 수 있는 방법.

알고리즘 동작 키 또는 이를 유도할 수 있는 비밀 정보를 하나의 entity로부터 다수의

entity로 배포하는 것.

4.361. 키 분배 센터(KDC, Key Distribution Center)

키 분배에 사용되는 비밀 데이터 값을 생성하는 신뢰할 수 있는 제3의 신뢰기관.


TTAK.KO-12.0002/R362

4.362. 키 생성 함수(Key generating function)

적어도 한 개는 비밀로 할 수 있는 몇 개의 변수들을 암호 알고리즘에 입력하여 응용

에 적합한 키를 출력하는 함수로서, 비밀 입력에 대한 사전 지식이 없이 출력을 추측해

내는 것은 계산상 불가능한 성질을 가짐.

4.363. 키 토큰(Key token)

키 관리 메커니즘을 실행하는 동안 한 실체가 다른 실체에게 보내는 키 관리 메시지

메커니즘

4.364. 키 페어, 키 쌍(Key pair)

공개 키 암호 알고리듬에 사용되는 개인 키(private key)와 공개 키(public key) 쌍

4.365. 키 로거(Key logger)

사용자의 키보드 입력값을 로그파일로 저장하여 유출하거나 원격의 해커에게 전송하여

중요한 정보를 빼내는 악성 프로그램.

4.366. 키 로거 공격(Key Logger Attack)

컴퓨터 사용자의 키보드 움직임을 탐지해 ID나 패스워드, 계좌번호, 카드번호 등과 같

은 개인의 중요한 정보들을 몰래 빼가는 해킹 공격. 이 공격 도구는 공격대상이 되는 컴

퓨터에 몰래 설치되어 공격 대상 컴퓨터에 입력되는 중요한 데이터를 공격자에게 전송

함.

4.367. 키보드 보안(Keyboard security)

개인 정보 입력의 최초 수단인 키보드 단계에서부터 서비스 전 구간에 걸쳐 시행되는

보안. 보드를 통해 입력되는 개인의 중요정보, 아이디, 패스워드, 계좌번호, 카드번호 등

을 키보드 드라이버 레벨에서 암호화함으로 키 로거(keylogger) 프로그램 등의 공격에

의해 중요 정보가 유출되는 것을 근본적으로 차단하는 보안 방식으로 백신, 개인용 방화

벽과 함께 주요한 개인 정보 보호 수단임.

4.368. 키보드 보안 프로그램(Keyboard security program)

사용자가 키보드로 입력하는 정보들을 가로채는 해킹으로부터 보호하기 위해, 키보드

입력 정보 암호화 및 해킹 툴 등을 탐지하는 프로그램.


TTAK.KO-12.0002/R363

4.369. 키보드 해킹(Keyboard Hacking)

키 로거(key logger) 프로그램 등을 이용해 이용자가 키보드로 입력하는 로그인 정보,

금융정보 등 개인정보를 수집하여 유출하는 행위.

4.370. 키젠, 불법 시디 키 생성 프로그램(Keygen)

소프트웨어 프로그램용 키나 CD 키를 만드는데 사용되는 프로그램으로, 소프트웨어 불

법 복제를 위해 프로그램을 설치할 때 필요로 하는 키를 만드는데 사용됨.

4.371. 타임 스탬프(Time stamp)

어느 시점에 데이터가 존재했다는 사실을 증명하기 위하여 특정 위치에 표시하는 시각.

공통적으로 참고하는 시각에 대해 시간의 기점을 표시하는 시간 변위 매개 변수.

4.372. 탈옥(JailBreak)

사용자가 제조사에서 제한한 여러가지 기능을 사용하기 위하여 잠금장치를 해제하는

행위. 대표적으로 아이폰 탈옥이 있음. 탈옥한 폰은 제조사가 설정한 보안기능을 해제하

여 허용되지 않는 기능을 사용하거나 유료 앱을 무료로 사용할 수 있도록 운영체제를 변

경할 수 있음.

4.373. 터널링(Tunneling)

하위 계층 통신 규약의 패킷을 상위 계층 통신 규약으로 캡슐화하는 것으로, 통신망상

의 두 점 간에 통신이 되도록 하는 것.

4.374. 통신 보안(Communication security)

정보가 유무선 통신상으로 전송되는 동안 인가되지 않은 사용자나 시스템 또는 프로그

램에 대해 노출방지, 변경방지 및 파괴되지 않도록 보호하는 것. 전송할 자료를 암호시스

템을 이용하여 통신망 내의 두 지점 사이에 안전하게 정보를 송수신함. 유무선 통신망을

통해 송수신되는 데이터에 대해 기술적인 수단을 통해 인가되지 않은 사용자나 시스템

또는 프로그램에 의한 공격(노출, 위/변조 등)에 안전하도록 하는 것.


TTAK.KO-12.0002/R364

4.375. 트랩도어(Trapdoor)

시스템의 보안이 제거된 비밀통로로서, 서비스 기술자나 유지보수 프로그래머들이 편리

하게 접근하도록 시스템 설계자가 고의적으로 만들어 놓은 것. 이러한 허점을 남기게 된

동기에 항상 악의가 있는 것은 아님. 일부 운영체제에서는 현장에서 서비스 기술자나 공

급사의 유지보수 프로그래머가 현장에서 사용할 수 있도록 특수한 계정이 함께 제공되기

도 함.

4.376. 트로이 목마(Trojan horse)

그리스 신화에서 유래된 명칭으로, 컴퓨터에 숨어 있다가 사용자의 정보를 몰래 유출하

는 악성코드의 일종이며, 정상적인 파일(게임, 응용 S/W 등)에 포함되어 함께 설치되는

경우가 많음.

4.377. 파밍(Pharming)

이용자 PC의 호스트 파일 변조 및 DNS 접속 정보 등을 변조하여 도메인의 정상 서버

의 접근이 아닌 공격자에 의해 위조된 서버로의 접근을 유하함으로써 이용자의 개인정보

및 금융정보 등을 탈취하는 공격 방법.

4.378. 파일 보안(File security)

파일에 대한 비인가된 사용자 및 프로세스로부터의 접근통제, 비인가 변조 방지를 위한

무결성, 암호화를 통한 파일 내용에 대한 노출 방지를 위한 기밀성과 같은 정보보호 기

능을 제공하기 위한 방법.

4.379. 평문(Plaintext, cleartext)

암호화가 되어 있지 않아 누구나 식별할 수 있는 문장 또는 문자열.

4.380. 프라이버시 강화 기술(Privacy Enhancing Technology)

개인정보 위험관리 기술. 최근 심각한 위험으로 대두되고 있는 개인정보 침해 위험을

관리하기 위한 핵심 기술로 암호화, 익명화 등 개인정보를 보호하는 기술에서 사용자가

직접 개인정보를 통제하기 위한 기술까지 다양한 사용자 프라이버시 보호 기술을 통칭

함.


TTAK.KO-12.0002/R365

4.381. 피기배킹(Piggy-backing)

합법화한 물리 절차나 보안 프로그램에 편승하는 공격 방법. 예를 들어 정당한 권한이

있는 사람이 출입 제한 지역으로 들어갈 때 문이 열린 틈을 타서 누군가 뒤따라 들어가

는 것을 말함.

4.382. 피싱(Phishing)

개인정보(Private data)를 낚는다(fishing)'라는 의미의 합성어. 사람의 마음을 현혹하여

개인정보를 유출하거나 송금(또는 결재)하도록 유도하는 일종의 온라인 사기수법. 초기에

는 홈페이지를 사칭하여 개인정보를 유출하는 것을 의미하였으나 최근에는 메신저, 음성

등을 포함한 포괄적인 사기 형태를 일컬음.

4.383. 한국 침해 사고 대응팀 협의회(CONCERT, Consortium of CERT)

국내 정보통신망 침해 사고대응팀(CERT) 간의 정보교류, 기술공유, 업무협조 등의 협

력체계를 마련하기 위해 결성된 국내 CERT 협의체.

4.384. 해시(Hash)

임의의 길이의 입력 데이터나 메시지를 고정된 길이의 비트열로 압축하는 단방향 함수.

4.385. 해커(Hacker)

컴퓨터에 대한 집요한 관심과 전문적 기술 및 해박한 지식을 갖추고 시스템을 자유자

재로 조작하는 사람을 지칭.

4.386. 해킹(Hacking)

컴퓨터 또는 시스템의 정당한 접근권한 없이 또는 허용된 접근권한을 초과하여 정보통

신 시스템에 침입하는 행위.

4.387. 핵티비즘(Hacktivism)

해커(hacker)와 행동주의(activism)의 합성어로, 자신의 정치․사회적 목적을 위해 해킹

을 수단으로 사용하는 새로운 유형의 행동주의.


TTAK.KO-12.0002/R366

4.388. 허니 넷(HoneyNet)

해커로 하여금 실제 운영 중인 시스템처럼 보이도록 위장하여 공격을 유인하고 공격

패턴이나 공격 정보 등을 추출 및 추적하여 정보를 수집하는 역할을 하는 가상의 시스템

들을 모아놓은 네트워크를 의미. KISA 허니넷은 보안이 취약한 PC 환경을 구축하고 다

수의 IP를 이용해 인터넷에 노출시켜 자동적으로 악성코드에 감염되게 하고 이를 채집.

4.389. 홈랜드 시큐리티(Homeland Security)

미국의 국가 주요 시설의 안전과 국민의 생명을 보호하기 위한 대책. 미국의 9·11 테

러 이후, 미국 홈랜드 시큐리티법 제정에 따라 정립된 개념으로, IT와 보안을 결합한 IT

융합 신산업 분야로 원전, 공항, 항만 등의 국가 중요 시설 및 기간 네트워크, 해안선,

국경선 등에 대한 보안을 포괄함.

4.390. 홈페이지 변조(Defacement)

인터넷 홈페이지의 이미지 및 내용을 변조함으로써, 해당 홈페이지의 운영 기업의 이미

지, 신뢰성 등을 실추시킴.

4.391. 화면 해킹

해커가 원격에서 일반사용자의 컴퓨터 화면을 훔쳐보고 정보를 유출할 수 있는 공격으

로, 악성코드에 감염된 PC 사용자가 인터넷 뱅킹을 사용할 경우 비밀번호 및 보안카드

번호 등을 해커가 염탐하는 수법.

4.392. 화이트 도메인(White Domain)

비정상 이용에 대한 탐지 차단에 의한 서비스의 중단을 예방하기 위하여 정상적으로

사용되는 이메일 주소 등 도메인을 등록하여 정상적인 서비스가 가능하도록 함.

4.393. 휘슬(WHISTL)

웹서버가 운영 중인 컴퓨터에서 웹문서 디렉터리에 존재하는 모든 웹문서 파일의 소스

코드를 점검함으로써 해커가 설치한 웹쉘 및 악성코드 은닉 사이트를 탐지할 수 있도록

개발된 프로그램. 한국인터넷진흥원(KISA)에서 개발하여 보급하고 있으며, 웹서버에 설치

또는 복사하여 사용함으로써 웹서버 관리자의 보안점검에 도움을 줄 수 있음. 공격자의

공격을 실시간으로 차단하는 기능을 가지는 웹 방화벽과는 차별성을 갖음.


TTAK.KO-12.0002/R367

4.394. 휴대 전화 실시간 스팸 차단 리스트(M-RBL, Mobile - Realtime Blocking List)

신고접수를 통해 확인된 스팸번호를 실시간으로 이동통신사에 제공하여 해당 번호로부

터 전송되는 모든 스팸문자를 차단하게 해줌.


TTAK.KO-12.0002/R368

표준 작성 공헌자

표준 번호 : TTAK.KO-12.0002/R3

이 표준의 제정․개정 및 발간을 위해 아래와 같이 여러분들이 공헌하였습니다.

구분 성명 위원회 및 직위연락처

(E-mail 등)소속사

표준(과제) 제안 김미주사이버보안

프로젝트그룹 위원

02-405-5207

[email protected]

한국인터넷진흥원

(KISA)

표준 초안 작성자 김미주사이버보안


02-405-5207

[email protected]


(KISA)

표준 초안 에디터

김미주사이버보안


02-405-5207

[email protected]


(KISA)

윤미연 -02-405-5298

[email protected]


(KISA)

서정준 -02-405-5194

[email protected]


(KISA)

박해룡 -02-405-5245

[email protected]


(KISA)

표준 초안 검토

임채태사이버보안 프로젝트그룹

의장

02-405-5540

[email protected]


(KISA)

외 프로젝트그룹 위원

표준안 심의

원유재정보보호 기술위원회

의장

02-405-5600

[email protected]


(KISA)

외 기술위원회 위원

사무국 담당

김영화 부장031-724-0110

[email protected]

오흥룡 선임031-724-0083

[email protected]

조은주 선임031-724-0117

[email protected]



(Information Security Terminology)

발행인 : 한국정보통신기술협회 회장

발행처 : 한국정보통신기술협회

463-824, 경기도 성남시 분당구 분당로 47

Tel : 031-724-0114, Fax : 031-724-0109

발행일 : 2013.12.

Documents

101 정보 보호 기술 용어 TTAK.KO-12.0002_R3.pdf