엔터프라이즈 환경에서의 TLS 1.3 도입

F5

지난 8월 IETF가 새로운 전송 계층 보안(TLS) 1.3 사양을 발표함에 따라 많은 조직이 이 새로운 표준의 도입 계획을 검토하고 있습니다. F5는 연구 프로젝트를 의뢰하여 Enterprise Management Associates와 함께 기업들이 전반적인 암호화 사용 증가에 어떻게 대응하고 있는지 심층적으로 조사했습니다. 일부 업계 단체에서는 TLS 1.3 사용 시 문제 해결 및 잠재적 멀웨어 탐지를 위해 트래픽을 복호화하고 검사하는 기능에 심각한 우려를 표명했지만, 다행히 설문 조사 응답자 중 상당수가 이미 TLS 1.3을 활성화하고 있거나 조만간 활성화할 계획인 것으로 나타났습니다. 또 다른 긍정적인 신호는 설문 조사 응답자의 확실한 과반수가 TLS 1.3을 기술적인 수준에서 잘 알고 있다고 답했다는 점입니다.

새로운 표준을 신속하게 도입하려는 계획에는 여러 요인이 작용했습니다. 주요 웹 서버 및 브라우저 공급업체가 이미 자사 제품에 TLS 1.3을 구현했다는 점이 그중 하나입니다. 또 다른 요인은 TLS 1.3의 향상된 기능으로 개인정보 보호와 종단 간 데이터 보안이 개선될 것이라는 기대입니다. TLS와 같은 암호화 프로토콜은 공격자가 데이터를 도청하거나 변조하지 못하도록 방지하기 위해 존재합니다. 그러나 애플리케이션 보안 모니터링에 대한 우려로 인해 신중한 접근이 요구되고 있습니다.

지난 몇 년간 인터넷에서 암호화 사용이 크게 증가했습니다. F5 Labs 2017 TLS 원격 측정 보고서에 따르면 현재 웹 페이지의 81%가 HTTPS를 통해 로드되고 있습니다. 지난 18개월 동안 데이터 센터와 기업 네트워크에서 암호화 사용이 가장 크게 증가한 가운데, 향후 18개월에는 기업들이 자체 개발한 애플리케이션과 웹 서비스에 관심을 돌릴 것입니다.

TLS 1.3 사양이 미칠 영향을 고려할 때, 응답자의 확실한 과반수가 조직 내 TLS 1.3 도입과 관련해 운영 및 보안 측면 모두에서 우려를 표했습니다. 설문조사 결과, 전체 응답자의 56%가 운영 측면에서 어느 정도 또는 상당한 우려를 나타냈으며, 61%는 보안 측면에서 어느 정도 또는 상당한 우려를 나타냈습니다.

그림 1: TLS 1.3 구현에 대한 운영 및 보안 우려 수준

가장 큰 보안 우려 사항은 애플리케이션 보안 및 데이터 센터에 대한 가시성이었으며, 응답자의 57%가 애플리케이션 보안을 모니터링할 수 없다는 점을 가장 큰 우려 사항으로 꼽았습니다.

그림 2: 애플리케이션 보안에 대한 가시성 상실이 가장 큰 우려 사항

그들은 무엇을 두려워할까요?

정상 트래픽에 숨겨진 악성 행위를 놓치는 것입니다. 전혀 우려하지 않는다고 답한 비율은 6%에 불과했습니다.

그림 3: 암호화되는 네트워크 트래픽이 증가함에 따라, 기존 보안 모니터링 방식/기법이 암호화된 파일에 숨겨진 멀웨어를 탐지하지 못할 가능성에 대해 귀사는 얼마나 우려하고 있습니까?

이러한 우려에도 불구하고 되돌릴 수는 없습니다. 정책적 관점에서 기업들은 데이터 보호를 위해 전송 암호화 사용을 명확히 의무화하고 있으며, TLS가 가장 선호되는 프로토콜입니다.

조직이 전략, 정책, 관행 및 우려 사항과 함께 TLS 1.3 배포를 어떻게 처리할 계획인지 알아보려면 전체 기업의 TLS 1.3 도입 보고서를 여기에서 확인하세요.

작성자 소개

F5

F5의 다른 블로그 게시물