HTTP/2.0 시대의 SSL 트래픽에 대한 가시성과 제어
F5 “SSL Everywhere” 아키텍처는 모든 F5 BIG-IP 배포에 포함되는 자체 개발 SSL/TLS 스택을 중심으로 설계되었습니다. 이를 통해 F5는 HTTP/2.0 시대의 SSL/TLS 트래픽에 대한 가시성과 제어 능력을 확보할 수 있습니다.
SSL/TLS 트래픽에 대한 가시성과 제어가 왜 그렇게 중요할까요? 불과 10년 전만 해도 SSL은 금융 기관과 공공 부문 기관 같은 일부 특정 조직에서 보안을 중시하는 웹 사이트 및 서비스의 로그인 페이지에만 사용되었습니다. 오늘날에는 대부분의 웹 기반 서비스로 사용 범위가 확대되었으며, 빠르게 사실상의 통신 프로토콜로 자리 잡고 있습니다. Gartner의 업계 조사에 따르면 2015년 말까지 전 세계 인터넷 트래픽의 50% 이상이 암호화될 것으로 예상됩니다.
오늘날 TLS는 네트워크 서버를 통한 통신 보안을 제공함으로써 기업이 IT 네트워크에 접근하는 방식에 패러다임의 전환을 가져옵니다. 전송되는 데이터가 대칭 키 암호화 방식으로 암호화되므로 클라이언트와 서버 간의 연결은 비공개로 유지됩니다.
HTTP/2.0의 SSL/TLS 트래픽에 대한 가시성 및 제어
암호화된 트래픽의 사용이 증가함에 따라 방화벽, 침입 방지 시스템 및 침입 탐지 시스템에 의존하는 기존 방식은 더 이상 유효하지 않습니다. 이러한 장비는 자신을 통과하는 데이터 스트림의 내용을 알 수 없어 제대로 대응할 수 없기 때문입니다.
이 문제를 해결하려면 보안 경계에서 초기 SSL 복호화를 수행해야 합니다. 그러나 업계에서 보안 경계에 적용할 수 있는 대부분의 솔루션은 “SSL 복호화”라는 특정 목적에 맞게 설계되거나 개발되지 않았습니다. 일부 솔루션은 복호화 기능을 갖추고 있을 수 있지만, 이를 충분히 효과적으로 수행하지는 못합니다. 또한 많은 기업이 SSL 복호화를 활성화할 때 상당한 성능 저하를 겪고 있습니다. 이에 따라 SSL 트래픽을 최적화하여 처리할 수 있도록 보안 경계를 “어떻게” 설계해야 하는지 모색하기 시작했습니다. 당연히 계층 7 보안 장치의 효과를 극대화하려면 보안 경계 인근에서 SSL 복호화를 수행해야 합니다. 인바운드 SSL 트래픽이 복호화되면 그에 따른 요청을 분석하고 수정하며 적절한 경로로 전달할 수 있습니다.
SSL 암호화 방식
사이버 범죄자들은 보안 장비가 보안상의 허점이라는 점을 알고 SSL을 이용해 이를 우회하는 방식으로 공격하는 경우가 많습니다. SSL 트래픽에 숨겨진 악성코드 역시 보안 플랫폼을 손쉽게 우회할 수 있습니다. 또한 Gartner는 2017년까지 기업 네트워크를 대상으로 한 공격의 50% 이상이 보안을 우회하기 위해 SSL을 사용할 것으로 전망했습니다.
Heartbleed, BEAST, POODLE 등의 공격을 유발하는 취약한 암호화 스위트가 계속 발견됨에 따라 보안 관리자가 취약점을 해결할 수 있는 시간은 매우 제한적입니다. 수백 또는 수천 대의 SSL 프런트엔드 서버를 관리해야 하는 경우 문제를 해결하는 데 수주가 걸릴 수 있으며, 그동안 서버는 악의적인 공격에 계속 노출됩니다.
결국 어떤 트래픽을 복호화해야 하는지 파악하는 것이 관건입니다. 기업이 외부 사용자에게 콘텐츠를 제공하는 경우, 장비를 사용해 서버의 SSL 트래픽 처리를 오프로드한 다음 트래픽 흐름에 보안 기능을 적용해야 합니다. 이 과정에서 SSL 연결을 해제하게 되지만, 지능적으로 처리해야 합니다. 예를 들어 은행 업무 세션은 복호화하지 않아야 하지만 Facebook 세션은 복호화해야 합니다. 보안 시스템은 트래픽의 목적지를 파악하고, 이를 복호화할지 아니면 그대로 둘지 결정할 수 있는 지능을 갖춰야 합니다.
SSL은 기술적으로 사용자에게 종단 간 보안을 제공하지만, 전체 트래픽의 보안까지 반드시 보장하는 것은 아닙니다. SSL 인증서를 위조하지 않고도 암호화된 트래픽에 악성코드를 숨겨 SSL 통신을 가로챌 수 있습니다. 따라서 IT 부문의 핵심 과제는 이러한 위협을 실시간으로 탐지하고 즉시 완화하는 것입니다.
F5의 풀 프록시 아키텍처는 변환과 복호화를 원활하게 수행하는 동시에 내부 및 외부 통신에 각각 별도의 연결을 구현합니다. 또한 SSL 세션을 종료할 수 있어 IT 부서는 외부 트래픽에는 암호화를 적용하고 필요에 따라 기존 HTTP를 더 쉽게 사용할 수 있습니다. 모든 연결이 가능하므로 IT 부서는 HTTP/2.0의 이점을 누리기 위해 전체 웹 애플리케이션 인프라를 철거하고 교체할 필요가 없습니다.
TLS 구성을 관리하면서도 성능 유지
더 강력한 키 길이인 2048비트를 기존 1024비트 대신 채택하면서 연산 요구량이 이전보다 4~8배로 급격히 증가했습니다. 이로 인해 비슷한 규모의 트래픽을 처리해야 하는 기존 인프라의 성능이 저하됩니다. 전용 하드웨어와 하드웨어 가속기를 함께 사용하면 전체 서버 팜의 CPU 리소스를 업그레이드해야 하는 부담을 줄일 수 있습니다.
PCI DSS 3.1에 따라 기업은 2016년 6월 30일까지 SSL 및 TLS 1.0 사용을 중단하고 최신 TLS 구현으로 전환해야 합니다. 이를 준수하려면 모든 장치를 중앙 집중식 SSL 관리 지점에서 관리하여 전체 환경에서 발생하는 문제를 몇 분 안에 해결할 수 있어야 합니다.
문서 참조: