WLAN(Wireless local area network) 기술은 논쟁의 여지가 많은 주제입니다. WLAN을 배포한 조직은 WLAN의 안전 여부를 염려합니다. WLAN을 배포하지 않은 조직은 사용자 생산성 이점과 TCO(총 소유 비용) 절감 기회를 놓치지 않을까 염려합니다. 그리고 WLAN이 기업 환경에서 사용하기에 안전한지에 대한 혼란이 여전히 남아 있습니다.
1세대 WLAN 보안 소프트웨어의 약점을 발견한 후 분석가와 네트워크 보안 업체는 이를 해결하기 위해 노력해 왔습니다. 이런 노력이 무선 보안을 개선하는 데 크게 공헌한 점도 있습니다. 하지만 나름대로 문제점이 있습니다. 해결 노력에 따라 또 다른 보안 취약점을 낳기도 하고 값비싼 독점 하드웨어가 필요한 경우도 있습니다. 또한 VPN(가상 사설망)과 같은 잠재적인 복잡성을 안고 있는 다른 보안 기술을 채택하여 WLAN 보안 문제를 전적으로 회피하기도 합니다.
이와 함께 IEEE(Institute of Electrical and Electronic Engineers)는 다른 표준화 기구와 함께 적극적으로 무선 보안 표준을 다듬고 개선하여 WLAN이 21세기 초반의 적대적인 보안 환경에 견딜 수 있게 만들었습니다. 표준화 기구와 업계 선두주자들의 노력 덕분에 "WLAN 보안"은 이제 더 이상 말 뿐인 기술이 아닙니다. 이제 보안에 대한 강한 확신을 가지고 WLAN을 배포하고 사용할 수 있습니다.
이 장은 Microsoft의 두 가지 WLAN 보안 솔루션을 소개하며 WLAN 보안을 위한 최적의 사용법에 관한 질문에 답하고 있습니다.
무선 솔루션 개요
이 장의 주요 목표는 조직에 가장 적합한 WLAN 보안 방법을 결정하도록 도움을 주는 것입니다. 이를 위해 네 가지 주요 분야를 다룹니다.
WLAN 관련 보안 문제 처리
보안 WLAN 표준 사용
VPN(가상 사설망) 및 IPsec(인터넷 프로토콜 보안)과 같은 대체 전략 채택
조직에 적합한 WLAN 옵션 선택
Microsoft는 IEEE, IETF(Internet Engineering Task Force) 및 Wi–Fi Alliance와 같은 표준화 기구에서 제정한 개방형 표준을 기반으로 두 가지 WLAN 솔루션을 개발했습니다. 두 솔루션은 Securing Wireless LANs with Certificate Services 및 Securing Wireless LANs with PEAP and Passwords입니다. 이름에서 알 수 있듯 전자는 공용 키 인증서를 사용하여 WLAN에 접속하려는 사용자와 컴퓨터를 인증하고 후자는 사용자 이름과 암호만 사용합니다. 하지만 두 솔루션의 기본 아키텍처는 유사합니다. 두 솔루션 모두 Microsoft® Windows Server™ 2003 인프라 및 Microsoft Windows® XP 및 Microsoft Pocket PC 2003을 사용하는 클라이언트 컴퓨터를 기반으로 합니다.
솔루션 이름에는 나와 있지 않지만 사용자는 솔루션마다 다릅니다. Securing Wireless LANs with Certificate Services는 주로 비교적 복잡한 정보 기술(IT) 환경을 보유한 대기업을 겨냥한 솔루션이고 Securing Wireless LANs with PEAP and Passwords는 소규모 기업이 쉽게 배포할 수 있는 훨씬 간단한 솔루션입니다.
하지만 이는 대기업이 암호 인증을 사용할 수 없다거나 인증서 인증이 소규모 기업에 적합하지 않다는 뜻은 아닙니다. 기술 사용은 그 기술을 적용할 가능성이 큰 조직의 유형을 반영하는 것 뿐입니다. 다음 그림에는 조직에 가장 적합한 WLAN 솔루션을 선택하는 데 도움이 되는 간단한 판별 트리가 나와 있습니다.
WLAN 보안을 구현하는 데 사용하는 세 가지 주요 기술 옵션은 다음과 같습니다.
소규모 업체와 홈 오피스(SOHO)용 WPA-PSK(Wi–Fi Protected Access - Pre-shared Key)
인증서 사용을 원치 않는 조직을 위한 암호 기반 WLAN 보안
인증서를 배포하는 조직을 위한 인증서 기반 WLAN 보안
이러한 구현 옵션은 마지막 두 옵션의 기능을 병합하여 혼합 솔루션을 만드는 법과 함께 이 장 뒤에서 설명합니다.
오늘날 비즈니스에서 WLAN의 매력을 이해하기는 어렵지 않습니다. WLAN 기술은 거의 10년 간 형태를 달리하여 존재해 왔지만 최근까지는 별다는 호응을 얻지 못했습니다. 안정되고 표준화된 저가형 기술이 점점 늘어나는 보다 우수한 연결성을 보장하는 유연한 방법에 대한 요구와 만나면서 WLAN 기술이 실제로 부상하기 시작했습니다. 하지만 이 기술의 급속한 채택으로 1세대 WLAN의 수많은 심각한 보안 취약점이 표면화되기도 했습니다. 이 절은 WLAN의 장점(기능) 및 단점(보안)을 모두 살펴봅니다.
무선 LAN의 이점
WLAN 기술의 이점을 크게 두 가지 범주로 나눌 수 있는데 핵심적인 업무상 이점과 운영상의 이점입니다. 핵심적인 업무상 이점에는 직원 생산성 향상, 신속하고 효율적인 업무 처리 및 전혀 새로운 업무 기능 창조의 가능성 증대 등이 있습니다. 운영상의 이점은 관리 비용 및 자본 지출의 절감입니다.
핵심적인 업무상 이점
WLAN의 핵심적인 업무상 이점은 직원에게 향상된 유연성과 이동성을 제공할 수 있다는 점입니다. 직원은 데스크의 구속에서 벗어나 네트워크 연결을 유지한 상태로 사무실을 자유롭게 돌아다닐 수 있습니다. 이동성 및 네트워크 유연성 향상이 업무에 어떻게 기여하는지 예를 보면 쉽게 이해할 수 있습니다.
사무실 사이에 이동이 잦은 직원은 회사 LAN과의 연결을 유지하여 시간과 수고를 절약합니다. 사용자는 무선 서비스 범위 내 모든 물리적 장소에서 거의 즉시 연결이 가능하고 네트워크 포트, 케이블 또는 네트워크에 연결해 줄 IT 담당자를 찾을 필요가 없습니다.
지식 기반직 종사자들은 건물 안의 어디에 있든지 서로 연락할 수 있습니다. 직원들은 회의를 하거나 자리를 떠나 업무를 처리하는 동안에도 전자 메일, 전자 달력, 채팅 기술 등을 사용하여 온라인 상태를 유지할 수 있습니다.
온라인 정보는 항상 사용 가능합니다. 또한 누군가 지난 달 결산 보고서나 업데이트된 프레젠테이션 자료를 가지러 뛰쳐 나간 동안 회의 진행을 미루지 않아도 됩니다. 따라서 회의의 질과 생산성을 현저하게 향상시킬 수 있습니다.
조직의 유연성이 향상됩니다. 직원들이 더 이상 자리를 지킬 필요가 없기 때문에 팀 및 프로젝트 구조가 바뀌는 경우 자리 이동이나 심지어 사무실 전체 이동도 쉽고 빠르게 이루어집니다.
새 장치와 응용 프로그램을 회사의 IT 환경에 통합하는 방법이 크게 개선됩니다. 지금까지 PDA(개인용 정보 단말기) 및 Tablet PC와 같은 장치는 IT 회사의 경영진들이나 사용하는 것으로 여겨졌지만 조직이 무선 기능을 갖출 경우 훨씬 통합되고 유용한 장치가 됩니다. 제조업체 작업 현장, 병원의 병동, 점포 및 식당 등 네트워크가 없던 영역에 무선 컴퓨터, 장치 및 응용 프로그램을 제공함으써 이전에는 IT의 영향을 받지 않았던 작업자 및 업무 프로세스도 이점을 얻을 수 있습니다.
조직에 따라 다양한 이점을 얻습니다. 어떤 이점이 조적에 적합한지는 업무 성격과 직원 규모 및 지리적 분포와 같은 수많은 요소에 따라 결정됩니다.
운영상의 이점
자본과 운영 비용을 낮추는 기능인 WLAN 기술의 운영상 이점은 다음과 같이 요약할 수 있습니다.
건물에 네트워크 액세스를 제공하는 비용이 실질적으로 줄어듭니다. 사무 공간은 대부분 네트워크 사용을 위해 케이블로 연결되어 있지만 공장 생산 현장, 창고 및 점포 등의 다른 많은 작업 공간은 그렇지 않습니다. 유선 네트워크가 실용적이지 못한 옥외, 해상, 심지어 교전 지역 등의 장소에도 네트워크를 제공할 수 있습니다.
조직 구조가 바뀌면 네트워크를 쉽게 확장하여 달라진 요구에 대응하는데 심지어 일상적인 변화에도 적응할 수 있습니다. 예를 들어 필요하면 유선 네트워크 포트 수를 늘이는 것보다 훨씬 쉽게 더 고밀도의 무선 액세스 지점(AP)을 배포할 수 있습니다.
무선 네트워크 인프라를 새 건물에 비교적 쉽게 이동할 수 있기 때문에 자본 비용은 더 이상 건물 인프라에만 묶이지 않습니다. 유선은 보통 영구 고정 장치입니다.
무선 LAN의 보안 문제
이런 이점이 있지만 WLAN의 수많은 보안 문제 때문에 조직의 WLAN 채택이 제한적입니다. 특히 금융 및 정부 등 보안이 중요한 분야를 예로 들 수 있습니다. 보호되지 않는 네트워크 데이터를 근방의 사용자에게 브로드캐스트하는 데 따르는 위험이 명백한데도 많은 수의 WLAN이 보안 기능 없이 설치됩니다. 대부분의 업체는 나름의 무선 보안 체계를 갖추고 있습니다. 하지만 오늘날의 기준으로는 올바른 보호 기능이라 할 수 없는 기본적인 1세대 기능의 형식일 뿐입니다.
첫 번째 IEEE 802.11 WLAN 표준을 작성할 당시 보안은 지금처럼 큰 관심사는 아니었습니다. 위협의 수준과 정교함이 훨씬 낮았고 무선 기술 채택은 걸음마 단계였습니다. WEP(Wired Equivalent Privacy)라는 1세대 WLAN 보안 기술을 이런 배경에서 등장했습니다. WEP는 무선 보안을 유선 보안과 "동등한" 수준으로 만드는 데 필요한 대책을 과소평가했습니다. 이와 대조적으로 최신 WLAN 보안 방법은 물리적인 경계 또는 네트워크 경계가 분명하지 않은 공중과 같이 적대적인 환경에서 작동하도록 설계되었습니다.
1세대 정적 WEP(네트워크를 보호하는 공유 암호를 사용함)와 WEP 암호화에 강력한 인증 및 암호화 키 관리 기능을 결합한 보안 기법을 구분해야 합니다. 전자는 인증 및 데이터 보호 기능을 비롯한 완전한 보안 기법으로 이 장에서 "정적 WEP"라 지칭합니다. 반면 동적 WEP는 데이터 암호화 및 무결성 방법만 정의하는데 이는 이 장 뒷부분에서 설명할 더 안전한 솔루션에 사용됩니다.
정적 WEP에서 발견된 보안 취약점은 정적 WEP가 보호하는 WLAN의 취약점으로 이어져 여러 유형의 위협에 노출되도록 합니다. Airsnort 및 WEPCrack과 같은 무료 "감사" 도구 때문에 정적 WEP의 보호를 받는 무선 네트워크에 침입하는 것은 어렵지 않습니다. 보안이 없는 WLAN도 동일한 위협에 노출되어 있는 것은 당연합니다. 차이점이라면 보안이 없는 WLAN을 공격하는 데 필요한 전문 지식, 시간 및 리소스가 더 적다는 것입니다.
최신 WLAN 보안 솔루션의 동작 원리를 논의하기 전에 WLAN의 주요 위협을 검토할 필요가 있습니다. 다음 표에 WLAN 보안 위협이 요약되어 있습니다.
표 2.1: WLAN의 주요 보안 위협
위협
위협 설명
도청(데이터 노출)
네트워크 전송 도청으로 기밀 데이터와 보호되지 않는 사용자 자격 증명 정보가 노출될 수 있고 신원 노출의 위험도 있습니다. 또한 정교한 기술을 보유한 침입자는 IT 환경에 대한 정보를 수집하여 다른 방법으로는 노출되지 않는 다른 시스템이나 데이터를 공격하는 데 사용할 수 있습니다.
데이터 가로채기 및 수정
공격자가 네트워크 액세스를 얻으면 무허가 컴퓨터를 사용하여 합법적인 두 그룹 간에 전송되는 네트워크 데이터를 가로채 수정할 수 있습니다.
스푸핑
언제든지 내부 네트워크를 액세스할 수 있는 침입자는 겉으로 보기에 합법적인 데이터를 네트워크 외부에서는 불가능한 방법으로 위조할 수 있습니다(예: 위장된 전자 메일 메시지). 시스템 관리자를 비롯한 직원은 회사 네트워크 외부에서 들어온 것보다 내부에서 시작된 항목을 훨씬 신뢰하기 마련입니다.
DoS(서비스 거부)
악의적인 공격자는 여러 가지 방식으로 DoS 공격을 개시합니다. 전파 수준 신호 방해는 전자 렌지 같은 낮은 수준의 기술을 사용하여 발생시킬 수 있습니다. 하위 수준 무선 프로토콜 자체를 대상으로 하는 보다 복잡한 공격과 임의 트래픽으로 단순히 WLAN을 초과하게 하여 네트워크를 대상으로 하는 비교적 간단한 공격이 있을 수 있습니다.
무료 로딩(리소스 도용)
침입자가 사용자의 네트워크를 무료 인터넷 액세스 지점으로 사용하려는 것 외에 다른 나쁜 뜻이 없는 경우도 있습니다. 무료 로딩은 다른 위협처럼 해를 가하지는 않지만 최소한 합법적인 사용자가 이용하는 서비스 질을 떨어뜨릴 뿐 아니라 바이러스나 다른 위협을 끌어들일 수 있습니다.
실수에 의한 위협
WLAN 기능은 의도하지 않은 위협을 초래하는 경우가 있습니다. 예를 들어 합법적인 방문객이 네트워크에 연결할 생각 없이 휴대용 컴퓨터를 시작했는데 자동으로 회사의 WLAN에 연결될 수 있습니다. 이때 방문객의 휴대용 컴퓨터가 네트워크에 바이러스를 유포하는 잠재적인 진입점이 됩니다. 이러한 종류의 위협은 보안되지 않은 WLAN에서만 문제가 됩니다.
무허가 WLAN
회사가 공식적으로 WLAN을 사용하지 않아도 관리하지 않는 WLAN이 네트워크에 들어와 위협에 노출될 수 있습니다. 직원이 구입한 저가의 WLAN 하드웨어가 네트워크에 의도하지 않은 취약점을 만들 수 있습니다.
정적 WEP에 집중된 WLAN 보안 문제는 언론의 큰 관심을 받았습니다. 이 보안 문제를 해결할 우수한 보안 솔루션이 있지만 크고 작은 조직은 여전히 WLAN에 대해 회의적입니다. 상당수는 WLAN 배포를 중단하거나 금지하기까지 합니다. 혼란과 WLAN과 안전하지 않은 네트워크가 동격이라는 일반의 잘못된 인식을 야기시킨 주요 요인으로는 다음과 같은 것이 있습니다.
- 안전한 WLAN 기술과 안전하지 못한 WLAN 기술에 대해 불확실성이 널리 퍼져 있습니다. 기업은 정적 WEP의 결함이 수없이 등장하자 모든 WLAN 보안 대책을 불신합니다. 문제를 해결하기 위해 요구하는 공식 표준 및 독점 솔루션 목록으로는 이러한 혼동을 해결할 수 없습니다.
- 무선은 보이지 않습니다. 이는 네트워크 보안 관리자에게 심리적인 불안을 안겨줄 뿐 아니라 실제 보안 관리 문제도 일으킵니다. *침입자가 유선 네트워크에 케이블을 연결하는 것은 실제로 볼 수 있지만 WLAN 침입은 볼 수 없습니다*. 유선 네트워크를 보호하는 벽과 문 같은 전통적인 물리적 방어 수단은 "무선" 공격자에 대해서는 무용지물입니다.
- 현재 정보 보안 필요성에 대한 인식이 날로 높아지고 있습니다. 기업은 훨씬 높은 수준의 시스템 보안을 원하고 새로운 보안 취약점을 만드는 기술을 신뢰하지 않습니다.
- 높아지는 보안 인식으로 인해 데이터 보안을 다루는 법률 및 규제가 만들어지는 국가와 산업 분야가 늘고 있습니다. 가장 널리 알려진 예는 개인 건강 보험 데이터 취급을 다루는 미국 정부의 1996 건강보험 정보호환 및 책임법(HIPAA)입니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### WLAN을 실제로 보호하는 방법
WLAN 보안 취약점을 발견한 후 주요 네트워크 공급업체, 표준 단체 및 분석가는 문제 해결 방법을 모색하는 데 엄청한 노력을 기울여 왔습니다. 이는 WLAN 보안 문제에 관해 수많은 대응책을 낳았습니다. 주요 대안은 다음과 같습니다.
- WLAN 기술을 배포하지 않습니다.
- 802.11 정적 WEP 보안을 계속 사용합니다.
- VPN을 사용하여 WLAN의 데이터를 보호합니다.
- IPsec을 사용하여 WLAN 트래픽을 보호합니다.
- Use 802.1X 인증 및 데이터 암호화 기법을 사용하여 WLAN을 보호합니다.
대체 전략은 비록 주관적이긴 하지만 보안, 기능 및 사용성을 기준으로 가장 만족도가 낮은 것부터 가장 높은 것 순으로 나열했습니다. Microsoft는 가장 마지막 대안인 802.1X 인증 및 WLAN 암호화를 선호합니다. 이 방식은 다음 절에서 다루며 앞에 소개한 표 2.1의 주요 WLAN 위협에 대해 검토합니다. 나머지 접근 방식의 장단점 역시 뒷부분에서 논의합니다.
#### 802.1X 인증 및 데이터 암호화로 WLAN 보호
이 접근 방식을 권장하는 수많은 이유가 있습니다(제목과 모호한 전문 용어 나열은 이유가 될 수 없음). 이 접근 방식을 기반으로 한 솔루션의 장점을 논하기 전에 용어 정의를 분명히 하고 솔루션 동작을 이해하는 것이 중요합니다.
##### WLAN 보안 이해
WLAN 보호에는 세 가지 주요 요소가 있습니다.
- 어떤 사용자 또는 장치가 네트워크 연결을 시도하는지 확실하게 알 수 있도록 네트워크에 연결된 사용자(또는 장치) 인증
- 네트워크 액세스 권한 부여를 관리하기 위한 사용자 또는 장치에 WLAN 사용 권한 부여
- 도청이나 무단 수정을 막기 위해 네트워크로 전송되는 데이터 보호
이 외에 WLAN 감사 기능이 필요합니다. 하지만 감사는 주로 나머지 보안 요소를 검사하고 강화하는 수단입니다.
###### 네트워크 인증 및 권한 부여
정적 WEP 보안은 간단한 공유 암호(암호 또는 키)를 사용하여 WLAN 사용자 및 장치를 인증합니다. 비밀 키를 가진 사용자는 누구나 WLAN을 액세스할 수 있습니다. WEP의 암호화 오류는 공격자가 손쉽게 구할 수 있는 도구를 사용하여 WLAN에서 사용 중인 정적 WEP 키를 알아낼 수 있는 기회가 됩니다. 원본 WEP 표준도 WEP 키를 자동으로 업데이트하거나 분배하는 방법을 제공하지 않으므로 키를 변경하기가 아주 어렵습니다. 정적 WEP WLAN은 한 번 공격당하면 계속 공격에 노출됩니다.
Microsoft와 많은 다른 공급업체는 훨씬 강력한 인증 및 권한 부여 방법을 제공하기 위해 802.1X 프로토콜을 사용하는 WLAN 보안 프레임워크를 제시했습니다. 802.1X 프로토콜은 네트워크 액세스를 인증하고 옵션으로 트래픽 보호에 사용하는 키를 관리하기 위한 IEEE 표준입니다. 802.1X 용도는 무선 네트워크에 국한되지 않습니다. 많은 고급 유선 LAN 스위치에도 구현됩니다.
802.1X 프로토콜은 네트워크 사용자, 무선 AP와 같은 네트워크 액세스(또는 게이트웨이) 장치 및 RADIUS(Remote Authentication Dial-In User Service) 서버 형식의 인증 및 권한 부여 서비스를 포함합니다. RADIUS 서버는 사용자 자격을 인증하고 사용자에게 WLAN 액세스 권한을 부여하는 작업을 수행합니다.
802.1X 프로토콜은 EAP(확장할 수 있는 인증 프로토콜)라는 IETF 프로토콜을 사용하여 클라이언트와 RADIUS 서버 간에 인증 정보를 교환합니다. 인증 정보는 AP가 전달합니다. EAP는 암호, 디지털 인증서 또는 다른 형식의 자격 증명을 기반으로 여러 인증 방법을 지원하는 범용 인증 프로토콜입니다. 확장 가능
EAP가 인증 방법 옵션을 제공하기 때문에 사용하는 EAP 표준 인증 형식은 한 가지가 아닙니다. 다양한 환경에 맞게 다양한 형식의 자격 증명 및 인증 프로토콜을 사용하는 여러 EAP 방법이 있습니다. WLAN 인증에 EAP 방법을 사용하는 것은 이 장 뒷부분에서 다룹니다.
###### WLAN 데이터 보호
802.1X 인증 및 네트워크 액세스 선택은 솔루션의 일부에 불과합니다. 다른 주요 솔루션 구성 요소는 무선 네트워크 트래픽 보호에 사용하는 것입니다.
앞에서 설명한 WEP 데이터 암호화 결함은 정적 WEP에 정기적으로 암호화 키를 자동으로 업데이트하는 기능이 있었다면 개선되었을 수도 있습니다. 정적 WEP을 공격하는 도구는 동일한 키로 암호화된 패킷 백만 ~ 천만개를 수집해야 합니다. 정적 WEP 키는 여러 주, 여러 달 동안 변경되지 않기 때문에 공격자가 이만한 양의 데이터를 수집하기 쉽습니다. WLAN의 모든 컴퓨터가 같은 정적 키를 공유하기 때문에 공격자는 WLAN의 모든 컴퓨터에서 전송되는 데이터를 수집하여 키를 알아낼 수 있습니다.
802.1X 기반 솔루션을 사용하면 암호화 키를 자주 변경할 수 있습니다. 802.1X 보안 인증 프로세스의 일환으로 EAP는 각 클라이언트에 고유한 암호화 키를 생성합니다. WEP 키에 대한 공격을 완화하기 위해(앞에서 기술함) RADIUS 서버는 정기적으로 새로운 암호화 키를 생성합니다. 따라서 훨씬 안전하게 WEP 암호화 알고리즘(대부분의 현재 WLAN 하드웨어에 있음)을 사용할 수 있습니다.
###### WPA 및 802.11i
802.1X 동적 rekey 기능이 있는 WEP가 대부분의 실용적인 용도에 안전하지만 다음과 같은 문제가 남아 있습니다.
- WEP는 브로드캐스트 패킷과 같은 글로벌 전송에 별도의 정적 키를 사용합니다. 사용자별 키와 달리 글로벌 키는 정기적으로 업데이트되지 않습니다. 기밀 데이터를 브로드캐스트로 전송할 확률은 낮지만 글로벌 전송에 정적 키를 사용하면 공격자가 IP 주소 및 컴퓨터/사용자 이름과 같은 네트워크 정보를 알아낼 위험이 있습니다.
- WEP 보호 기능이 있는 네트워크 프레임은 무결성 보호가 취약합니다. 공격자는 암호화 기법을 사용하여 수신자가 알아채지 못하게 WLAN 프레임의 정보를 수정하고 프레임의 무결성 확인 값을 업데이트할 수 있습니다.
- WLAN 전송 속도가 향상되고 컴퓨터 사용 능력 및 암호화 기법이 발전하기 때문에 WEP 키를 더 자주 갱신해야 합니다. 이는 RADIUS 서버에 허용치 이상의 부하를 가할 수 있습니다.
이 문제를 해결하기 위해 IEEE는 802.11i(RSN(Robust Security Network)이라고도 함)라는 새로운 WLAN 보안 표준 작업을 하고 있습니다. 주요 Wi – Fi 공급업체 컨소시엄인 Wi – Fi Alliance는 802.11i의 초기 릴리스를 발전시켜 WPA(Wi – Fi Protected Access)라는 업계 표준을 발표했습니다. WPA는 802.11i 기능의 큰 하위 집합을 포함합니다. Wi – Fi Alliance는 WPA를 발표하여 Wi – Fi 로고가 있는 모든 장비의 WPA 준수를 의무화할 수 있고 Wi – Fi 네트워크 하드웨어 공급업체가 802.11i 발표에 앞서 표준화된 강력한 보안 옵션을 제공할 수 있도록 했습니다. WPA는 WLAN을 보호하기 위해 현재 사용할 수 있는 가장 안전한 방법으로 널리 간주되는 보안 기능 집합을 통합합니다.
WPA에는 두 가지 모드가 있습니다. 하나는 802.1X 및 RADIUS 인증(간단히 WPA라고 함)을 사용하는 것이고 다른 하나는 미리 공유한 키(WPA PSK라고 함)를 사용하는 SOHO 환경에 적합한 간단한 기법입니다. WPA는 견고한 암호화 기능에 802.1X 프로토콜의 강력한 인증 및 권한 부여 메커니즘을 결합한 것입니다. WPA 데이터 보호는 다음과 같은 기능을 제공하여 WEP의 알려진 취약점을 보완합니다.
- 패킷별 고유한 암호화 키
- 키 입력 자료를 128비트 추가하여 효과적으로 키 공간을 두 배로 늘인 훨씬 긴 initialization vector
- 무단 변경이나 스푸핑에 취약하지 않은 서명된 메시지 무결성 확인 값
- replay 공격을 막기 위해 통합된 암호화 프레임 카운터
하지만 WPA는 WEP가 사용하는 것과 같은 암호화 알고리즘을 사용하지 않기 때문에 간단한 펌웨어 업그레이드로 기존 하드웨어에 이를 구현할 수 있습니다.
WPA의 PSK 모드로 소규모 조직 및 홈 오피스 사용자가 정적 WEP의 취약점 없이 공유 키 WLAN을 사용할 수 있습니다. 하지만 이 옵션의 현실성은 단순한 암호 추측 공격을 방지할 만큼 강력한 미리 공유한 키 선택에 따라 결정됩니다. RADIUS 기반 WPA 및 동적 WEP와 마찬가지로 각 무선 클라이언트에 대해 개별적으로 암호화 키를 생성합니다. 미리 공유한 키는 인증 자격 증명으로 사용됩니다. 키를 가지고 있으면 WLAN 사용할 수 있고 데이터 보호를 위한 고유한 암호화 키를 받을 수 있습니다.
802.11i RSN 표준은 서비스 거부(DoS)에 대한 더 나은 보호 기능을 비롯하여 WLAN에 훨씬 강화된 보안 기능을 제공합니다. 새로운 표준은 2004년 중반에 출시될 예정이었습니다.
###### EAP 인증 방법
이름의 "확장 가능한"이 의미하는 대로 EAP는 많은 인증 방법을 지원합니다. 이 방법은 Kerberos 버전 5 인증 프로토콜, TLS(전송 레이어 보안) 프로토콜 및 MS – CHAP(Microsoft – Challenge Handshake Authentication Protocol)과 같은 다양한 인증 프로토콜을 사용합니다. 또한 암호, 인증서, 일회성 암호 토큰 및 생체 측정법을 비롯한 다양한 자격 증명 방법을 사용합니다. 이론적으로는 802.1X 프로토콜에서 모든 EAP 방법을 사용할 수 있지만 모든 방법이 WLAN 사용에 적합한 것은 아닙니다. 특히 선택한 방법이 보호되지 않는 환경에 적합해야 하고 암호화 키를 생성할 수 있어야 합니다.
WLAN에 사용하는 주요 EAP 방법은 EAP – TLS, PEAP(보호된 EAP), TTLS(Tunneled TLS) 및 LEAP(Lightweight EAP)입니다. 이들 중 Microsoft는 PEAP 및 EAP – TLS를 지원합니다.
**EAP – TLS**
EAP – TLS는 IETF 표준(RFC 2716)으로 현재 사용되는 무선 클라이언트와 RADIUS 서버 모두에서 가장 널리 지원되는 인증 방법입니다. EAP-TLS 방법은 공용 키 인증서를 사용하여 무선 클라이언트와 RADIUS 서버 사이에 암호화된 TLS 세션을 설정하여 인증합니다.
**PEAP**
PEAP은 2단계 인증 방법입니다. 1단계는 서버와 TLS 세션을 설정하여 클라이언트가 서버의 디지털 인증서를 사용하여 서버를 인증하도록 합니다. 2단계는 PEAP 세션 내부에 두 번째 EAP를 설정하여 RADIUS 서버에 접속할 클라이언트를 인증합니다. 이로써 PEAP은 MS – CHAP v2(MS – CHAP version 2) 프로토콜의 암호 및 PEAP 내부에 설정된 EAP – TLS를 사용한 인증서를 포함하여 다양한 클라이언트 인증 방법을 사용합니다. MS – CHAP v2와 같은 EAP 방법은 PEAP 없이는 오프라인 사전 공격에 취약하기 때문에 PEAP 보호 기능 없이 사용하는 것은 안전하지 않습니다. PEAP은 업계에서 널리 지원되며 Microsoft Windows XP SP1 및 Pocket PC 2003은 PEAP 기능을 내장하고 있습니다.
**TTLS**
TTLS는 TLS 세션을 사용하여 터널링된 클라이언트 인증을 보호하는, PEAP과 유사한 2단계 프로토콜입니다. TTLS는 터널 EAP 방법 외에도 CHAP, MS – CHAP 등의 EAP 버전이 아닌 인증 프로토콜을 사용합니다. Microsoft와 Cisco는 TTLS를 지원하지 않지만 다른 공급업체가 다양한 플랫폼의 TTLS 클라이언트를 제공합니다.
**LEAP**
LEAP은 암호를 사용하여 클라이언트를 인증하는 Cisco가 독자적으로 개발한 EAP 방법입니다. LEAP는 인기가 있지만 Cisco및 소수 몇몇 공급업체의 하드웨어 및 소프트웨어에서만 동작합니다. LEAP은 오프라인 사전 공격(공격자가 사용자의 암호를 알아낼 수 있음) 및 끼어들기(man-in-the-middle) 공격에 취약한 점 등 몇 가지 알려진 보안 문제가 있습니다. 도메인 환경에서 LEAP은 WLAN에 접속하는 *사용자*만 인증하며 *컴퓨터*는 인증하지 않습니다. 컴퓨터 인증 없이는 컴퓨터 그룹 정책을 올바로 실행할 수 없습니다. 소프트웨어 설치, 로밍 프로필 및 로그온 스크립트 모두 실패하고 사용자는 만료된 암호를 변경할 수 없습니다.
802.1X 프로토콜을 다른 EAP 방법에서 사용하는 WLAN 보안 솔루션이 있습니다. EAP – MD5와 같은 EAP 방법은 WLAN 환경에서 사용할 때 심각한 보안상의 약점이 있습니다. 이런 이유로 이런 EAP 방법은 사용하지 않습니다. 일회성 암호 토큰 및 Kerberos 프로토콜과 같은 다른 인증 프로토콜을 지원하는 방법도 있습니다. 하지만 이 방법은 아직 WLAN 시장에서 큰 성과를 거두지 못했습니다.
##### 802.1X의 WLAN 데이터 보호 이점
WLAN용 802.1X 프로토콜 기반 솔루션의 주요 이점은 다음과 같이 간추릴 수 있습니다.
- **고급 보안:** 프로토콜은 클라이언트 인증서 또는 사용자 이름/암호를 사용하기 때문에 고급 보안 인증 기법을 제공합니다.
- **강력한 암호화:** 프로토콜은 네트워크 데이터를 높은 수준으로 암호화합니다.
- **투명성:** 프로토콜은 투명한 WLAN 인증 및 연결 기능을 제공합니다.
- **사용자 및 컴퓨터 인증:** 프로토콜을 사용하여 사용자와 컴퓨터에 별도의 인증 방법을 사용할 수 있습니다. 별도의 컴퓨터 인증으로 로그인한 사용자가 없는 경우에도 컴퓨터를 관리할 수 있습니다.
- **저렴한 비용:** 네트워크 하드웨어가 저렴합니다.
- **고성능:** 클라이언트 컴퓨터 CPU가 아닌 WLAN 하드웨어가 WLAN 암호화를 수행하기 때문에 암호화가 클라이언트 컴퓨터 성능에 아무런 영향을 주지 않습니다.
802.1X 프로토콜 기반 솔루션에서 주의해야 할 점도 몇 가지 있습니다.
- 802.1X 프로토콜은 범용으로 인식될 만큼 널리 보급되었지만 다른 EAP 방법을 사용하면 상호 운용성을 항상 보장할 수는 없습니다.
- WPA는 아직 보급 초기 단계에 있고 이전 하드웨어에는 사용할 수 없습니다.
- 차세대 RSN(802.11i) 표준은 아직 승인을 받지 못했고 하드웨어 및 소프트웨어 업데이트 배포가 필요합니다(네트워크 하드웨어는 보통 펌웨어 업데이트를 필요로 함).
하지만 이는 비교적 사소한 문제에 불과하고 802.1X 프로토콜의 장점이 훨씬 더 돋보입니다. 특히 이 장 뒤에서 다룰 대안 접근 방식의 심각한 결함에 비교하면 훨씬 우수합니다.
###### 보안 위협에 대한 802.1X 솔루션의 대처 능력
이 장 앞부분 표에서 주요 WLAN 보안 위협을 설명했습니다. 다음 표는 802.1X 프로토콜 및 WLAN 데이터 보호를 기준으로 솔루션에 가해지는 위협을 다시 평가한 것입니다.
**표 2.2: 제시된 솔루션의 보안 위협 평가**
위협
완화
도청(데이터 노출)
암호화 키를 자주 동적으로 지정하고 변경하며 각 사용자 세션별로 고유한 키를 갖도록 하면 키 업데이트를 자주 수행하는 한 현재 알려진 수단으로 키를 발견하여 데이터를 액세스하는 것은 불가능합니다.
WPA는 패킷별로 암호화 키를 변경하여 보안을 강화합니다. 글로벌 키(브로드캐스트 트래픽 보호)는 패킷별로 rekey합니다.
데이터 가로채기 및 수정
무선 클라이언트와 무선 AP 사이의 데이터 무결성 및 수준 높은 데이터 암호화를 구현하여 악의적인 사용자가 전송 중인 데이터를 가로채 수정할 수 없도록 합니다.
클라이언트, RADIUS 서버, 무선 AP 사이의 상호 인증을 사용하면 공격자가 이러한 것 중 어느 것이든지 가장하기가 어려워집니다.
WPA는 Michael 프로토콜로 데이터 무결성을 향상시킵니다.
스푸핑
네트워크에 대한 보안 인증을 통해 권한이 없는 개인은 네트워크에 연결하여 위장된 데이터를 내부로부터 전달할 수 없습니다.
DoS
네트워크 수준의 데이터 범람 및 다른 DoS 공격은 802.1X 프로토콜을 사용하여 WLAN 액세스를 제어하여 방지합니다. 동적 WEP 또는 WPA에서 낮은 수준의 802.11 DoS 공격을 방어할 방법은 없습니다. 이는 802.11i 표준에서 다룹니다.
하지만 새 표준도 네트워크의 물리적 계층(무선 수준) 손상에 대해서는 대책이 없습니다.
이런 취약점은 현재 802.11 WLAN의 특성으로 이 장에서 논의할 나머지 모든 옵션에도 공통적으로 해당됩니다.
무료 로딩(리소스 도용)
수준 높은 인증을 요구하여 네트워크 무단 사용을 막습니다.
실수에 의한 위협
보안 인증을 요구하여 실수로 WLAN에 연결하는 것을 방지합니다.
무허가 WLAN
솔루션이 무허가 무선 AP를 직접 다루지 않지만 이런 보안 무선 솔루션 구현으로 무허가 WLAN을 설치하려는 동기를 사전에 차단합니다.
하지만 무허가 WLAN 사용을 명백하게 금지하는 정책을 만들어 게시하는 것이 좋습니다. 네트워크에서 무선 AP 하드웨어 주소를 검색하는 소프트웨어 도구와 핸드헬드 WLAN 탐지 장비를 사용하여 이 정책을 시행합니다.
기타 WLAN 보안 접근 방식
앞 절에서 WLAN 데이터 보호의 802.1X 인증을 상세하게 다루었습니다. 이 절은 앞에서 설명한 WLAN 보안("WLAN을 실제로 보호하는 방법" 절 앞부분)의 네 가지 대안을 상세하게 다룹니다.
네 가지 접근 방식은 다음과 같습니다.
WLAN 기술을 배포하지 않습니다.
802.11 정적 WEP 보안을 계속 사용합니다.
VPN을 사용하여 WLAN 데이터를 보호합니다.
IPsec을 사용하여 WLAN 트래픽을 보호합니다.
네 가지 접근 방식과 802.1X 프로토콜 기반 솔루션의 주요 차이점을 다음 표에 요약해 놓았습니다(다른 방법과 직접 비교할 수 없기 때문에 "WLAN 사용 안 함"은 포함하지 않음). 이 옵션은 이 장 뒷부분에서 자세하게 다룹니다.
표 2.3: WLAN 보안 접근 방식 비교
기능
802.1X WLAN
정적 WEP
VPN
IPsec
수준 높은
인증(1)
필요함
필요 없음
필요하지만
공유 키 인증을 사용하는 VPN은 필요 없음
인증서
Kerberos 인증을 사용할 경우 필요함
강력한 데이터 암호화
필요함
필요 없음
필요함
필요함
투명한 WLAN 연결 및 재연결
필요함
필요함
필요 없음
필요함
사용자 인증
필요함
필요 없음
필요함
필요함
컴퓨터 인증(2)
필요함
필요함
필요 없음
필요함
브로드캐스트 및 멀티캐스트 트래픽 보호
필요함
필요함
필요함
필요 없음
추가 네트워크 장치
RADIUS 서버
필요 없음
VPN 서버, RADIUS 서버
필요 없음
WLAN 자체의 보안 연결
필요함
필요함
필요 없음
필요 없음
(1) IPsec 터널 모드를 사용하는 많은 VPN 구현이 *XAuth*라는 취약한 공유 키 인증 기법을 사용합니다.
(2) 컴퓨터 인증이란 컴퓨터에 로그온한 사용자가 없더라도 컴퓨터가 WLAN 및 회사 네트워크에 연결되어 있는 것을 뜻합니다. 컴퓨터 인증은 다음의 Windows 도메인 기능이 올바로 동작하기 위해 필요합니다.
- 로밍 사용자 프로필
- 컴퓨터 그룹 정책 설정(특히 시작 스크립트 및 배포된 소프트웨어)
- 사용자 로그온 스크립트 및 그룹 정책을 사용하여 배포된 소프트웨어
##### 대안 1: WLAN 기술을 배포하지 않음
WLAN 보안 위협을 다루는 가장 확실한 방법은 WLAN을 배포하지 않음으로써 아예 위협을 만들지 않는 것입니다. 이 전략도 이 장 초반에 간략히 다룬 WLAN의 이점을 포기하는 것 외에 문제가 아주 없는 것은 아닙니다. 이 방법을 선택한 조직은 META 그룹이 "연기 비용"이라고 부르는, 단순한 기회 비용보다 높은 부담을 안아야 합니다. META 그룹은 10년 전과 비교하여 많은 조직에서 유선 LAN 사용이 관리되지 않는 상태로 증가하는 것에 관한 연구를 발표했습니다. 이에 대해 대부분 중앙 IT 부서가 개입하여 LAN 배포 관리를 맡을 수 밖에 없었습니다. 보통 독립적이고 때로는 호환이 되지 않는 다양한 부서별 LAN을 재구성하는 데는 엄청난 비용이 듭니다. 자세한 정보는 2002년 12월 12일 META 그룹이 발간한 기사 "How Do I Limit My Exposure Against the Wireless LAN Security Threat? The New Realities of Protecting Corporate Information"를 참조하십시오.
같은 위협이 WLAN에서도 표면화되었습니다. 특히 각 장소에서 어떤 일이 일어나는지 물리적으로 확인이 불가능한 대규모 조직이 좋은 예입니다. 비용이 아주 저렴한 구성 부품으로 구현이 가능한 관리되지 않는 개인의 WLAN 배포는 최악의 시나리오라 할 수 있습니다. 조직은 앞에서 설명한 온갖 보안 위협에 노출되지만 중앙 IT 부서는 이를 알지 못하고 위협을 차단할 조치도 취할 수 없습니다.
이런 이유로 WLAN 기술을 채택하지 않는 전략을 선택할 경우 수동적이기보다는 능동적으로 이 전략을 추진해야 합니다. 명확하게 게시된 정책을 사용하여 이 결정을 보완해야 하며 모든 직원이 이 정책 결정과 정책을 위반할 때의 결과에 대해서도 잘 알고 있어야 합니다. 네트워크에서 무허가 무선 장비를 사용하는지 감시하기 위한 스캔 장비 및 네트워크 패킷 모니터도 고려해야 합니다.
##### 대안 2: 802.11 기본 보안(정적 WEP) 사용
기본 802.11 보안(정적 WEP)은 공유 키를 사용하여 네트워크 액세스를 제어하고 같은 키를 사용하여 무선 트래픽을 암호화합니다. 이 간단한 인증 모델을 WLAN 카드 하드웨어 주소를 기반으로 한 포트 필터링으로 보완하는 경우가 있는데 이는 802.11 보안에 속하지는 않습니다. 이 접근 방식의 큰 매력은 간단하다는 것입니다. 이것은 보안되지 않은 WLAN을 통해 어느 정도 보안을 제공하지만 보다 대규모 회사인 경우 보안 결점뿐 아니라 심각한 관리상 문제가 있습니다.
정적 WEP 사용의 문제점은 다음과 같습니다.
- WLAN 어댑터와 Airsnort 또는 WEPCrack 같은 해킹 툴을 갖춘 컴퓨터만 있으면 사용 중인 네트워크에서 수 시간 내에 정적 WEP 키를 발견할 수 있습니다.
- 정적 WEP의 가장 심각한 약점은 네트워크 암호화 키를 동적으로 지정하거나 업데이트할 메커니즘이 없다는 것입니다. 정기적인 키 업데이트를 수행할 802.1X 및 EAP가 없으므로 정적 WEP가 사용하는 암호화 알고리즘은 키를 알아내려는 공격에 취약합니다.
- 정적 키를 변경할 수 있지만 AP 및 무선 클라이언트에서 이를 수행하는 프로세스는 보통 수작업이고 시간이 많이 소요됩니다. 또한 클라이언트 연결성을 보장하려면 클라이언트와 AP에서 키를 동시에 업데이트해야 합니다. 실제로 동시 업데이트는 매우 어려운 일이므로 키를 변경하지 않고 그대로 둡니다.
- 정적 키는 모든 WLAN 사용자 및 모든 무선 AP가 공유해야 합니다. 이런 상황에서 수많은 장치와 사용자가 비밀을 공유하면 오랫동안 비밀을 유지하기 힘들기 때문에 문제가 발생합니다.
정적 WEP은 WEP 키를 안다는 것을 토대로 매우 제한된 액세스 제어 메커니즘을 WLAN에 제공합니다. WEP 키 뿐 아니라 알아내기 쉬운 네트워크 이름까지 발견하면 네트워크에 연결할 수 있습니다.
이 문제를 해결하는 한 가지 방법은 무선 AP를 구성하여 미리 정의된 클라이언트에게만 네트워크 어댑터 주소를 허용하는 것입니다. 일반적으로 MAC(미디어 액세스 제어) 주소 필터링으로 알려져 있습니다. MAC 계층은 네트워크 어댑터의 하위 수준 펌웨어를 참조합니다.
액세스 제어를 위한 네트워크 어댑터 주소 필터링 자체에 문제가 있습니다.
- 관리 효율이 극히 저조합니다. 소수의 클라이언트만 사용하도록 하드웨어 주소록을 관리하는 것은 어렵습니다. 또한 모든 AP에 하드웨어 주소록을 배포하고 동기화하는 것이 큰 과제입니다.
- 확장성이 나쁩니다. 액세스 지점에는 필터 테이블 크기 제한이 있을 수 있으므로 지원하는 클라이언트 수가 제한됩니다.
- MAC 주소를 사용자 이름과 연결할 수 있는 방법이 없으므로 사용자는 사용자 ID 대신 컴퓨터 ID에 의해서만 인증될 수 있습니다.
- 침입자는 "허용된" MAC 주소를 위장할 수 있습니다. 합법적인 MAC 주소를 알아내면 침입자는 어댑터에 새겨진 미리 정의된 주소 대신 간단하게 이 주소를 사용할 수 있습니다.
미리 공유한 키 솔루션은 여러 위치의 키 업데이트 관리가 어렵기 때문에 사용자 및 AP가 소수인 경우에만 유용합니다. WEP의 암호화 결점으로 유용성이 크게 문제가 되며 아주 소규모 환경에서조차 유용성을 장담할 수 없습니다.
반대로 WPA의 미리 공유한 키 모드는 소규모 조직에서 인프라 오버헤드가 아주 낮은 경우에는 우수한 보안을 제공합니다. 또한 광범위한 하드웨어가 WPA PSK를 지원하고 사용자가 WLAN 클라이언트를 수동으로 구성할 수 있습니다. 이런 이유로 WPA PSK는 SOHO 환경에 알맞은 구성입니다.
##### 대안 3: 가상 사설망(VPN) 사용
VPN은 가장 널리 사용되는 네트워크 암호화 형식입니다. 수많은 사용자가 테스트를 거쳐 신뢰할 수 있는 VPN 기술을 사용하여 인터넷에서 전송되는 데이터의 기밀성을 유지합니다. 정적 WEP의 취약점이 발견되었을 때 VPN은 WLAN에 전송되는 데이터를 보호하는 최선의 방법으로 널리 제시되었습니다. VPN 방식은 Gartner Group과 같은 분석 기관의 인정을 받았고 VPN 솔루션 공급업체가 적극적으로 이를 보급했음은 당연한 일입니다.
VPN은 인터넷과 같은 적대적인 네트워크를 안전하게 통과하는 뛰어난 솔루션입니다(VPN 구현 품질 수준은 차이가 있음). 하지만 내부 WLAN을 보호하는 데 있어 반드시 최고의 솔루션은 아닙니다. 이런 환경에 대해 VPN은 802.1X 솔루션과 비교할 때 추가 보안을 거의 제공하지 않습니다. 하지만 802.1X 솔루션은 복잡성과 비용을 대폭 높이고 사용도를 저하시키며 중요한 기능이 동작하지 않을 수도 있습니다.
**참고:** 이 제약은 VPN을 사용하여 공용 무선 LAN 핫스팟의 트래픽을 보호하는 것과 다릅니다. VPN의 정당한 사용은 적대적인 원격 네트워크에 연결된 사용자의 네트워크 데이터를 보호하는 것입니다. 이런 종류의 시나리오에서 사용자는 보안 연결이 LAN 연결에 비해 훨씬 공격에 약하고 기능이 떨어질 것으로 예상하는데 이는 회사 내부에서는 예상할 수 없는 일입니다.
다음은 VPN을 사용하여 WLAN을 보호할 때의 이점입니다.
- 대부분의 조직은 이미 VPN 솔루션을 배포한 상태이므로 IT 담당자는 솔루션에 익숙할 것입니다.
- VPN 데이터 보호는 보통 하드웨어 기반 암호화에 비해 알고리즘을 쉽게 변경하고 업그레이드할 수 있는 소프트웨어 암호화를 사용합니다.
- VPN 보호가 WLAN 하드웨어에 독립적이기 때문에 상대적으로 저렴한 하드웨어를 사용할 수 있습니다(하지만 802.1X 기능 네트워크 하드웨어의 가격 프리미엄이 거의 사라짐).
기본 WLAN 보안 대신 VPN을 사용할 때의 단점은 다음과 같습니다.
- VPN은 사용자 투명성이 부족합니다. VPN 클라이언트는 보통 사용자가 수동으로 VPN 서버와 연결을 시작해야 합니다. 따라서 유선 LAN 연결처럼 투명하지 않습니다. Microsoft 제품이 아닌 VPN 클라이언트의 경우 네트워크에 연결을 시도할 때 표준 네트워크 또는 도메인 로그온 외에 로그온 자격 증명을 요구하는 메시지가 나타납니다. WLAN 신호가 불량하거나 사용자가 AP 사이를 로밍하고 있어 VPN 연결이 끊어진 경우 클라이언트는 네트워크에 다시 연결해야 합니다.
- 사용자만 VPN 연결을 시작할 수 있기 때문에 로그오프된 컴퓨터는 VPN에(따라서 회사 LAN에도) 연결할 수 없습니다. 따라서 사용자가 컴퓨터에 로그온하지 않으면 컴퓨터를 원격으로 관리하거나 모니터링할 수 없습니다. 때문에 시작 스크립트 및 컴퓨터 지정 소프트웨어와 같은 특정 컴퓨터 그룹 정책 개체(GPO) 설정을 적용할 수 없을 수 있습니다.
- 로밍 프로필, 로그온 스크립트 및 GPO를 사용하여 사용자에게 배포된 소프트웨어가 예상대로 동작하지 않을 수 있습니다. 사용자가 Windows 로그온 프롬프트에서 VPN 연결을 사용하여 로그온하지 않으면 사용자가 로그온하여 VPN 연결을 시작할 때까지 컴퓨터는 회사 LAN에 연결되지 않습니다. 사용자가 연결을 시작하기 전에 보안 네트워크를 액세스하려는 시도는 실패합니다. Microsoft 제품이 아닌 VPN 클라이언트의 경우 VPN 연결로 전체 도메인 로그온을 하는 것은 불가능합니다.
- 대기 모드 또는 최대 절전 모드에서 복구될 때 자동으로 VPN 연결을 다시 설정하지 않습니다. 사용자가 직접 연결해야 합니다.
- VPN은 VPN 터널 내부의 데이터는 보호하지만 WLAN 자체는 보호하지 않습니다. 따라서 침입자가 WLAN에 연결하여 WLAN에 연결된 장치를 검색하거나 공격할 수 있습니다.
- VPN 서버가 제약이 될 수 있습니다. 모든 WLAN 클라이언트의 회사 LAN 액세스는 VPN 서버를 통과합니다. 전통적으로 VPN 장치는 비교적 속도가 낮은 원격 클라이언트에 대량으로 서비스를 제공합니다. 따라서 대부분의 VPN 게이트웨이는 최고 LAN 속도로 실행되는 수천대의 클라이언트를 처리할 수 없습니다.
- VPN 장치의 하드웨어 추가 및 관리 비용은 기본 WLAN 솔루션보다 훨씬 높은 경우가 대부분입니다. 보통 각 사이트는 WLAN AP 외에 자체 VPN 서버가 필요합니다.
- VPN 세션은 클라이언트가 AP 사이를 로밍할 때 연결이 끊어질 가능성이 더 큽니다. 애플리케이션은 무선 AP를 전환할 때 순간적으로 연결이 끊어지는 것을 허용하기도 하지만 VPN 세션이 아주 잠깐 끊기더라도 사용자가 직접 네트워크에 다시 연결해야 합니다.
- VPN 서버 및 클라이언트 소프트웨어 사용권 비용은 소프트웨어 배포 비용과 함께 Microsoft 제품이 아닌 VPN 솔루션에 문제가 될 수 있습니다. Microsoft 제품이 아닌 클라이언트는 코어 Windows 기능을 대신하는 경우가 많기 때문에 VPN 클라이언트 소프트웨어 호환성 문제도 있습니다.
- 많은 분석가와 공급업체는 VPN 보안이 항상 WLAN 보안보다 우수하다고 가정합니다. 이 가정이 정적 WEP에는 맞을지 몰라도 이 장에 기술한 802.1X EAP 기반 솔루션에 모두 적용되는 것은 아닙니다. 특히 VPN 인증 방법은 *안정성이 크게 떨어지거나* 좋아도 아주 뛰어나지는 않습니다. 예를 들어 Microsoft가 지원하는 WLAN 솔루션은 VPN 솔루션과 정확히 같은 EAP 인증 방법을 사용합니다(EAP – TLS 및 MS – CHAP v2). 많은 VPN 구현 특히, IPsec 터널 모드를 기반으로 한 VPN 구현은 미리 공유한 키 인증(그룹 암호)을 사용합니다. 이 방법은 신뢰를 받지 못하며 심각한 보안 취약점 아이러니하게도 정적 WEP의 취약점을 가진 것으로 밝혀졌습니다.
- VPN은 WLAN 자체를 보호하는 기능은 없습니다. VPN 터널 내부의 데이터는 안전하지만 누구나 WLAN에 연결하여 WLAN의 합법적인 무선 클라이언트 및 다른 장치를 공격할 수 있습니다.
VPN은 사용자가 가정에서 광대역 연결을 사용하든 무선 핫스팟에서 연결하든 적대적인 네트워크를 통과하는 트래픽을 보호하는 데 안성맞춤입니다. 하지만 VPN은 내부 네트워크의 네트워크 트래픽을 보호하도록 설계된 기술은 아닙니다. 이런 부분에서 VPN은 너무 취약하고 사용자 기능이 제한적이며 IT 부서가 관리하기에 비용이 너무 많이 들고 복잡합니다.
특정 연결 또는 트래픽 형식이 필요한 예외적인 경우 이 기능은 VPN 터널 또는 IPsec 전송 모드에서 기본 WLAN 보호에 *추가로* 제공합니다. 이는 네트워크 리소스를 합리적으로 사용하는 것입니다.
##### 대안 4: IP 보안 사용
IPsec으로 두 네트워크 피어가 안전하게 서로를 인증하고 각 네트워크 패킷을 인증 또는 암호화합니다. IPsec을 사용하여 한 네트워크를 다른 네트워크에서 안전하게 터널링하거나 두 컴퓨터 사이에 전송 중인 IP 패킷을 보호합니다.
IPsec 터널링은 보통 클라이언트 액세스 또는 사이트 간 VPN 연결에 사용합니다. IPsec 터널 모드는 전체 IP 패킷을 보호되는 IPsec 패킷 내에 캡슐화하여 작업하는 VPN의 일종입니다. 다른 VPN 솔루션처럼 IPsec 터널 모드도 실제 동일한 네트워크 내 시스템 간 통신에 필요하지 않은 오버헤드를 만듭니다. IPsec 터널 모드의 장단점은 앞 절의 VPN 논의에서 다루었습니다.
IPsec도 IPsec *전송 모드*를 사용하여 두 컴퓨터 사이의 지점 간 트래픽(터널링 없음)을 보호합니다. VPN처럼 IPSec도 많은 환경에서 구현할 수 있는 뛰어난 솔루션이지만 네트워크 하드웨어 계층에서 구현된 기본 WLAN 보호 기능을 직접 대체할 수는 없습니다.
IPsec 전송 모드 보호의 이점은 다음과 같습니다.
- 사용자에게 투명합니다. VPN과 달리 특별한 로그온 절차가 필요 없습니다.
- IPsec 보호는 WLAN 하드웨어에 독립적입니다. 인증되지 않은 개방형 WLAN만 있으면 됩니다. VPN과 달리 각 통신 경로의 끝에 있는 컴퓨터 사이에서 직접 보안 협상이 이루어지기 때문에 추가 서버나 장치가 필요하지 않습니다.
- 암호화 알고리즘 사용은 WLAN 하드웨어의 제약을 받지 않습니다.
기본 WLAN 보안 대신 IPsec을 사용할 때의 단점은 다음과 같습니다.
- IPSec은 컴퓨터 수준의 인증만 사용하므로 사용자 기반 인증 기법을 함께 구현할 수 없습니다. 대부분의 조직에서 이는 문제가 되지 않지만 *권한이 없는* 사용자가 *권한 있는* 컴퓨터에 로그온할 겨우 IPsec 보호를 받는 네트워크의 다른 컴퓨터에 연결할 수는 있습니다.
**참고:** Windows가 아닌 다른 플랫폼의 IPsec 구현은 사용자만 인증하는 방식을 사용합니다. 하지만 VPN 솔루션에서처럼 컴퓨터는 사용자가 로그온하지 않으면 네트워크에 연결되지 않으므로 일부 관리 작업을 수행할 수 없고 사용자 설정 기능도 사용할 수 없습니다.
- IPSec 정책 관리는 대규모 조직의 경우 복잡할 수 있습니다. 일반 IP 트래픽 보호를 시도하면 종단 간 보호가 필요한 경우에 IPSec의 특¹화된 기능 수행을 방해할 수 있습니다.
- 높은 수준의 보안을 구현하려면 종단 간 트래픽을 모두 암호화해야 하지만 일부 장치는 IPSec을 사용할 수 없습니다. 때문에 이런 장치로 전송되는 트래픽은 암호화하지 않은 채 전송할 수 밖에 없습니다. IPsec은 이런 장치에 보호 기능을 제공하지 않기 때문에 장치는 WLAN에 연결하는 모든 사용자에게 노출됩니다.
- 그 이유는 IPSec 보호가 MAC 계층이 아닌 네트워크 수준에서 발생하여 방화벽과 같은 네트워크 장치에 완전히 투명하지 않기 때문입니다. 일부 IPsec 구현은 NAT(네트워크 주소 변환) 장치에서 올바로 동작하지 않습니다.
- 지점 간 IPsec은 서로를 인증하고 키를 교환하는 두 당사자에 대해 동작하기 때문에 브로드캐스트 또는 멀티캐스트 트래픽을 사용할 수 없습니다.
- IPsec 패킷 내부의 데이터는 보호하지만 WLAN 자체는 보호하지 않습니다. 침입자는 WLAN에 연결하여 WLAN에 연결된 임의의 장치를 검색, 공격하거나 IPsec의 보호를 받지 않는 트래픽을 수신 대기할 수 있습니다.
- IPsec 네트워크 트래픽 암호화 및 암호 해독은 컴퓨터 CPU의 부하를 증가시킵니다. 사용량이 많은 서버에 과부하가 걸릴 수 있습니다. 이 처리 부담을 특화된 네트워크 카드에 맡길 수 있지만 대부분의 서버는 이 카드가 장착되어 있지 않습니다.
VPN과 마찬가지로 IPsec도 많은 보안 시나리오에서 우수한 솔루션이지만 기본 WLAN 보호 뿐 아니라 WLAN 보안도 다루지 않습니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 적합한 WLAN 옵션 선택
앞 절의 논의를 토대로 802.1X WLAN 솔루션은 단연 최고의 대안입니다. 하지만 "WLAN 보안 이해" 절에서 다룬 대로 802.1X 솔루션을 사용하기로 결정하면 솔루션을 사용하기 위해 다수의 옵션 중 하나를 선택해야 합니다.
두 가지 중요한 선택은 다음과 같습니다.
- 사용자 및 컴퓨터 인증에 암호 또는 인증서 중 어느 것을 사용할지 결정합니다.
- 동적 WEP 또는 WPA WLAN 데이터 보호 중 어느 것을 사용할지 결정합니다.
이상의 두 가지 선택은 서로 아무 관련이 없습니다.
이 장 초반에 논의한 것처럼 Microsoft는 두 가지 WLAN 보안 솔루션 가이드가 있는데 하나는 암호 인증을 사용하는 것이고 다른 하나는 인증서 인증을 사용하는 것입니다. 두 솔루션 모두 동적 WEP 또는 WPA에서 동작합니다.
#### 적합한 WLAN 보안 솔루션 결정
다음 순서도는 두 가지 WLAN 보안 솔루션 가이드 선택 과정을 요약한 것입니다.
.gif)
**그림 2.2 WLAN 보안 솔루션 판별 트리**
이 판별 트리의 결과는 조직의 규모 및 특정 보안 요구 사항에 따라 달라집니다. 대부분의 조직은 Microsoft WLAN 솔루션 중 하나를 수정하지 않고 사용할 수 있습니다. 예를 들어 대부분의 중소 규모 조직은 *Securing WLANs with PEAP and Passwords* 솔루션 가이드에 기술한 단순한 암호 기반 인증 솔루션을 선택합니다. 규모가 큰 조직은 디지털 인증서 기반의 *Securing Wireless LANs with Certificate Services* 솔루션 가이드를 선택하는 경우가 많습니다.
각 솔루션이 이런 사용자를 염두에 두고 만들어졌지만 솔루션을 적용하는 데 큰 폭의 유연성이 있습니다. *Securing Wireless LANs with PEAP and Passwords*는 사용자가 수십명에 불과한 조직부터 수천명인 대규모 조직에 이르기까지 다양한 조직에 배포합니다. *Securing Wireless LANs Certificate Services* 솔루션은 수백명에서 수만명까지의 사용자를 보유한 조직에 적용합니다(500명 미만의 조직은 보통 인증 기관을 배포하고 관리할 만한 IT 리소스가 없습니다.).
두 가이드를 적용할 수 없는 한 가지 공통된 경우는 대규모 조직에서 암호 기반 WLAN 솔루션을 배포할 때입니다. *Securing Wireless LANs with PEAP and Passwords* 솔루션의 기술적인 세부 사항은 대기업과 소규모 기업에 똑같이 적용할 수 있지만 대규모 조직에 필요한 설계, 계획 및 운영상의 세부 사항은 단순함을 위해 많이 누락되어 있습니다. 다행히 두 솔루션에서 공통으로 사용하는 아키텍처 및 기술 구성 요소가 유사하기 때문에 비교적 쉽게 솔루션을 믹스하고 일치시킬 수 있습니다. *Securing Wireless LANs with PEAP and Passwords* 솔루션에는 암호 기반 WLAN 솔루션을 배포하려는 대규모 조직에 각 솔루션의 어떤 부분이 적합한지 설명하는 부록이 있습니다.
#### 동적 WEP 및 WPA 선택
WEP 데이터 보호는 802.1X 및 EAP가 제공하는 수준 높은 인증 및 동적 키 업데이트와 결합하면 대부분의 조직에 아주 뛰어난 수준의 보안을 제공합니다. 하지만 WPA 표준은 이를 개선하여 훨씬 높은 수준의 보안을 제공합니다.
어떤 솔루션이든 WPA를 사용하는 것과 동적 WEP를 사용하는 것의 차이는 미미하고 동적 WEP 환경에서 WPA 환경으로의 마이그레이션은 매우 간단합니다. 동적 WEP에서 WPA로 변환할 때의 큰 변화는 다음과 같습니다.
- 현재 네트워크 하드웨어(무선 AP 및 무선 네트워크 어댑터)가 WPA를 지원하지 않으면 네트워크 하드웨어의 펌웨어 업데이트를 구해 배포해야 합니다. 무선 네트워크 어댑터의 펌웨어 업데이트는 네트워크 드라이버 업데이트에 포함된 경우가 많습니다.
- 무선 AP에서 WPA를 사용해야 합니다.
- WEP 보안 대신 WPA를 협상하도록 WLAN 클라이언트 구성을 변경해야 합니다.
- WEP 키를 업데이트하는 데 사용하는 인터넷 인증 서비스(IAS) 원격 액세스 정책의 세션 시간 제한을 늘여 IAS 서버의 부하를 줄여야 합니다.
**참고:** IAS는 Microsoft RADIUS 서버 제품입니다. 이는 Windows Server 2003에 포함되어 있지만 기본으로 설치되지 않습니다.
WPA는 사용 가능한 경우 첫 번째 선택으로 합니다. 하지만 다음 문제로 인해 WPA 사용에 차질이 생기지 않는지 고려해야 합니다.
- 네트워크 하드웨어가 WPA를 지원하지 않을 수도 있습니다(새 장치의 경우는 그럴 가능성이 낮지만 WPA 하드웨어가 대량으로 미리 설치된 경우가 있습니다.).
- GPO 제어 설정 지원은 Windows Server 2003의 다음 업데이트부터 가능합니다. 다른 버전은 이를 지원하지 않으므로 사용자가 Windows XP 클라이언트에서 수동으로 WPA 설정을 구성해야 합니다.
- WPA는 모든 클라이언트에서 지원되지 않을 수도 있습니다. 예를 들어 Windows 2000 이하 버전 및 Pocket PC에는 현재 WPA 지원 기능이 내장되어 있지 않습니다.
WPA를 배포할 형편이 못 된다고 판단되면 동적 WEP 솔루션을 배포하고 사정이 허락될 때 WPA로 마이그레이션할 계획을 세우는 것이 좋습니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 요약
이 장은 조직의 무선 LAN 보안 전략을 정의할 때 필요한 정보를 제공합니다. 이 장의 첫 부분은 무선 네트워크의 업무상의 이점 및 보안이 부실한 WLAN이 직면한 보안 위협을 검토합니다. 중반부는 802.1X 프로토콜, EAP 및 높은 수준의 데이터 보호를 기반으로 한 무선 LAN 보안이 어떤 식으로 위협에 대처하는지 살펴봅니다. VPN, IPsec 및 정적 WEP 보안과 같은 대안의 장점도 논의합니다. 마지막으로 어떤 WLAN 보안 옵션이 조직에 가장 적합한지 두 가지 Microsoft WLAN 보안 솔루션 중 어느 쪽이 조직에 더 적합한지 결정하는 법을 설명합니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 참조
이 절은 이 장과 관련 있는 중요한 보충 정보 및 기타 배경 자료에 관한 참조입니다.
- [*Securing Wireless LANs with PEAP and Passwords*](https://go.microsoft.com/fwlink/?linkid=23459)용 Microsoft 솔루션은 https://go.microsoft.com/fwlink/?LinkId=23459.
- IEEE 802.11 및 관련 기술에 관한 상세한 기술 정보는 Windows Server 2003 Technical Reference의 "[802.11 Wireless Technical Reference](https://www.microsoft.com/technet/prodtechnol/windowsserver2003/proddocs/techref/w2k3tr_wir_intro.mspx)" 절, https://www.microsoft.com/korea/technet/prodtechnol/windowsserver2003/proddocs
/techref/w2k3tr\_wir\_intro.mspx를 참조하십시오.
- 802.11의 자세한 내용은 IEEE 802.11 표준 뉴스 게시판의 [IEEE 802.11](https://www.ieee802.org/11/) 페이지 www.ieee802.org/11/을 참조하십시오.
- 802.1X의 자세한 내용은 [802.1x - Port Based Network Access Control](https://www.ieee802.org/1/pages/802.1x.html) 페이지 www.ieee802.org/1/pages/802.1x.html을 참조하십시오.
- EAP 표준에 대한 자세한 내용은 www.ietf.org/rfc/rfc2284.txt?number=2284의 [RFC 2284](https://www.ietf.org/rfc/rfc2284.txt?number=2284)를 참조하십시오.
- Wi–Fi Alliance WPA 표준에 대한 자세한 내용은
[Wi–Fi Alliance 개요](https://www.wi-fialliance.org/opensection/pdf/wi-fi_protected_access_overview.pdf): www.wi-fialliance.org/OpenSection/pdf/Wi-Fi\_Protected\_Access\_Overview.pdf.
- 무선 네트워킹에 관한 자세한 정보는 Microsoft Windows Server System 웹 사이트의 [Wi-Fi](https://www.microsoft.com/wifi) 페이지 https://www.microsoft.com/wifi.
- PEAP 및 LEAP(및 EAP–TLS 및 EAP–MD5)과의 차이점 비교에 관한 상세한 논의는 기사 "[The Advantages of Protected Extensible Authentication Protocol (PEAP): A Standard Approach to User Authentication for IEEE 802.11 Wireless Network](https://www.microsoft.com/windowsserver2003/techinfo/overview/peap.mspx)", https://www.microsoft.com/windowsserver2003/techinfo/overview/peap.mspx.
- META 그룹 기사 "[How Do I Limit My Exposure Against the Wireless LAN Security Threat? The New Realities of Protecting Corporate Information](https://www.metagroup.com/cgi-bin/inetcgi/jsp/displayarticle.do?oid=35725)"은 www.metagroup.com/cgi-bin/inetcgi/jsp/displayArticle.do?oid=35725를 참조하십시오.
[](#mainsection)[페이지 위쪽](#mainsection)
.gif)