사용자 정의 암호화 라이브러리로 IIoT 시스템 보안 강화

OMG DDS 보안 사양이 버전 1.0으로 발전하면서 DDS 표준에 네이티브 데이터 중심 보안 모델이 도입되었습니다. 이 진화는 DDS가 이미 제공하는 유연성, 신뢰성, 실시간 성능으로 산업용 IoT(IIoT) 솔루션을 강화합니다.

사양의 두드러진 특징은 서비스 플러그인 인터페이스(SPI) 아키텍처입니다. SPI를 사용하면 애플리케이션 코드를 수정하지 않고도 인증, 접근 제어, 암호화, 로깅, 데이터 태깅 등 보안 메커니즘을 맞춤화할 수 있습니다.

이 글은 SPI 프레임워크를 설명하고 RTI Connext DDS Secure의 내장 플러그인을 구성하여 암호화 작업을 원하는 라이브러리에 위임하는 방법을 보여줍니다.

DDS 보안 서비스 플러그인 인터페이스(SPIs)

DDS 보안 사양은 애플리케이션 API를 변경하지 않습니다. 대신 DDS 미들웨어가 필요에 따라 호출하는 다섯 가지 플러그인 구성 요소를 정의합니다. 이 플러그인들은 표준화된 인터페이스를 통해 고유한 정보 보증 기능을 제공합니다.

다섯 가지 SPI는 다음과 같습니다:

SPI 이름	타입 및 연산의 목적
인증	DDS 도메인 참여자의 신원 확인, 상호 인증 지원, 공유 비밀 설정.
접근제어	인증된 참여자가 수행할 수 있는 DDS 작업 결정(도메인 참여, 토픽/데이터리더/데이터라이터 생성 등).
암호화	암호화/복호화, 해싱, 디지털 서명, 메시지 인증 코드 수행.
로깅	도메인 참여자의 보안 관련 이벤트 기록.
데이터 태깅	애플리케이션별 용도로 데이터에 보안 레이블 또는 태그 추가.

SPI 아키텍처는 각 보안 측면을 광범위하게 맞춤화할 수 있게 합니다. 어떤 SPI 구현도 교체할 수 있지만, SPI 호출 시기는 DDS 미들웨어가 관리하여 사양 준수를 보장합니다.

사양 9장에 설명된 내장 플러그인은 DDS 구현 간 원활한 상호운용성을 제공합니다. RTI Connext DDS Secure는 이 플러그인과 간단한 커스터마이징 경로를 함께 제공합니다.

번들된 보안 플러그인 바이너리는 안전한 DDS 시스템의 즉각적인 배포를 가능하게 합니다. 도메인 참여자의 PropertyQosPolicy를 구성하여 사양에 따라 필요한 보안 아티팩트(접근 제어 파일, 거버넌스 문서, 신원 인증서)를 가리키도록 합니다.

더 깊은 수정이 필요한 경우 RTI는 빌드 가능한 소스 파일을 제공합니다. 그러나 대부분의 시나리오에서 OpenSSL EVP API를 활용하는 것이 더 간단한 해결책입니다.

내장 플러그인은 암호화 기능에 OpenSSL의 EVP 엔진을 사용하지만, 사용자 정의 엔진을 주입할 수 있습니다. 사용자 엔진은 FIPS 준수 라이브러리나 EVP 인터페이스를 지원하는 다른 암호화 공급자로 호출을 리디렉션할 수 있습니다.

플러그인이 노출하는 기능은 다음과 같습니다:

다른 암호화 공급자를 사용하려면 플러그인을 구성하여 사용자 EVP 엔진을 로드하거나, 호출을 사용자 라이브러리로 전달하는 쉼(shim)을 구현하세요.

기본 알고리즘이나 매개변수가 요구사항을 충족하지 못하면 플러그인 소스 코드를 변경할 수 있습니다. 일반적인 변경 사항에는 대체 알고리즘 선택, 키 크기 조정, 동적 링킹에서 정적 링킹으로 전환 등이 포함됩니다.

새로운 신원 인증 방식과 같은 더 광범위한 커스터마이징의 경우, DDS 보안 사양과의 호환성을 보장하기 위해 RTI 전문가와 상담하세요.

사물 인터넷 기술