인증과 접근 통제

인증(authentication)은 "누구인가"를 확인하고, 접근 통제(access control)는 "무엇을 할 수 있는가"를 정한다. 둘을 나눠야 확인된 사람에게도 필요한 만큼만 권한을 줄 수 있다. 시험은 인증 유형의 영어 표현, DAC·MAC·RBAC의 구분, AAA의 세 기능, OAuth의 정의를 묻는다.

인증의 종류

인증(authentication)은 사용자가 주장하는 신원이 맞는지 확인하는 절차다. 무엇으로 확인하느냐에 따라 나누며, 영어 표현이 그대로 답이 되는 경우가 많다. 지식·소유·생체를 3요소로 부르고, 위치·행위를 더하기도 한다.

유형	영어 표현	예
지식 기반	Something You Know	비밀번호, PIN
소유 기반	Something You Have	OTP, 스마트카드
생체 기반	Something You Are	지문, 홍채, 얼굴
위치 기반	Somewhere You Are	GPS, IP 주소
행위 기반	Something You Do	서명, 동작

두 종류 이상을 함께 쓰는 것을 다중 요소 인증(multi-factor authentication)이라 한다. 하나가 새도 나머지가 막아 준다. 표의 PIN은 개인 식별 번호, OTP는 한 번만 쓰는 일회용 비밀번호, GPS는 위성 위치 확인 장치다.

접근 통제 세 가지

접근 통제(access control)는 인증된 주체가 어떤 객체에 어떤 동작을 할 수 있는지 정하는 일이다. 주체는 사용자·프로세스, 객체는 파일 같은 자원이다.

임의 접근 통제(DAC, Discretionary Access Control)는 사용자의 신원에 따라 권한을 주며, 객체의 소유자가 권한을 정한다. UNIX 파일 권한이 대표적이고, 소유자가 자기 권한을 남에게 넘겨줄 수도 있다. 유연하지만 소유자의 실수를 막지 못한다.

강제 접근 통제(MAC, Mandatory Access Control)는 주체의 보안 등급과 객체의 보안 등급을 비교해 시스템이 접근을 결정한다. 권한은 관리자나 시스템 정책이 정하고 소유자라도 바꾸지 못한다. 네트워크 장비의 주소인 MAC 주소(Media Access Control address)와는 이름만 같고 전혀 다른 개념이다.

역할 기반 접근 통제(RBAC, Role-Based Access Control)는 권한을 사람이 아니라 역할에 묶고, 사람에게는 역할을 준다. 부서를 옮기면 역할만 바꾸면 되어 관리가 쉽다. 중앙 관리자가 역할을 정하며, DAC와 MAC의 단점을 보완한 방식으로 설명된다.

구분	권한 부여 기준	누가 정하나
DAC	사용자 신원	데이터 소유자
MAC	주체·객체의 보안 등급	시스템(관리자)
RBAC	사용자의 역할	중앙 관리자

AAA

AAA(Authentication, Authorization, Accounting, 인증·인가·과금)는 사용자가 자원에 접근할 때 필요한 세 기능, 인증·인가·과금을 묶은 보안 구조다. 인가(authorization)는 확인된 사용자에게 허용할 권한을 정하고, 과금(accounting)은 누가 자원을 얼마나 썼는지 기록한다.

OAuth와 SSO

OAuth(Open Authorization, 개방형 인가)는 사용자가 웹사이트나 앱에 비밀번호를 넘기지 않고 자기 정보에 대한 접근 권한만 위임하는 표준이다. 대신 접근 토큰으로 필요한 범위만 허락한다. 그래서 비밀번호가 여러 서비스에 흩어지지 않는다. OAuth 1.0은 2010년 IETF(Internet Engineering Task Force, 국제 인터넷 표준화 기구)의 RFC(Request For Comments, 인터넷 표준 문서) 5849로, 지금 널리 쓰는 OAuth 2.0은 2012년 RFC 6749로 발표되었다.

SSO(Single Sign-On, 통합 인증)는 한 번 로그인하면 연결된 여러 시스템을 다시 로그인하지 않고 쓰게 하는 방식이다. 편리하지만 그 계정 하나가 뚫리면 모두 위험해진다.

시험 포인트

• 소유자 재량, 신원 기준 → DAC. 보안 등급 비교, 시스템이 결정 → MAC. 역할 단위, 중앙 관리 → RBAC.
• Something You Know·Have·Are → 지식·소유·생체 기반 인증.
• 인증·인가·과금 → AAA. 인가는 권한 부여, 과금은 사용 기록.
• 비밀번호는 넘기지 않고 토큰으로 권한만 위임 → OAuth.