안녕 횽들.. .

횽들 우리나라 정보보호(보안)에 대한 개념에 대해서 생각해 보고 싶어

솔직히 인터넷만 빨라서 정보가 발달했다고 할 수 없지?

정보를 찾는것도 중요하지만 지키는 것도 중요한 일이잖아.

특히 우리나라 국가적 이익을 다루는 공공기관의 경우는 더욱 그렇다 할 수 있어.

그렇기 때문에 공공기관을 대상으로 하는 정보보호시스템은 시장성이 클 수 있을 거야.

하지만 우리나라의 경우 정보보호시스템을 만들 경우 인증이 굉장히 까다로워

일단 세계 표준 정보보호시스템를 인정해 주는 CCRA를 취득해야 하고 

국가정보원에서 인증하는 보안적합성을 취득해야 하지..

얼마전 \'보안적합성제도\'가 바뀌어서 이번에는 \'암호모듈검증제도\'란 것이 새로 생겨났어

암호모듈검증제도에 대해서 국가정보원에 물어보니깐 검증에 통과된 암호논리만

인정이 된다고 하더라

따라서 다른 암호논리(예:AES, DES, BlowFish)는 인정이 안되고 오직 ARIA 암호화논리로만

소프트웨어를 개발해야 인정이 된다고 하더라

RSA(공개키값 암호화 알고리즘) 같은 경우도 개인이 만든다고 인정이 되는것이 아니라 개발인정된 회사에서 만든 RSA 모듈만 인정이 된데..

특히 자바에서 기본라이브러리로 제공하는 RSA는 인정이 안된다고 하더라

즉 암호 제품의 경우 특정업체만 개발할 수 있데..

아쒸.. 그래서 내가 얼마전 개발하려고 했던 정보보호시스템을 접기로 했어.

이미 자바로 제공되는 RSA, AES, DES, BlowFish을 활용을 못하고 오직 특정업체에서 개발된 암호모듈과 논리만 인정이 된다고 하니

그 만큼 기술개발이 느려질 수 밖에 없다고 생각해..

공공기관 입장에서도 보호되어져야 하는 정보를 특정 개발업체에서 제공하는 소프트웨어가 없다면

수주해서 개발할 수 없으니.. 손만 빨아야 되고... 

한심한  현실이 아닐 수 없다..

3줄요약:
1. 우리나라는 정보보호시스템을 인정받기 위해서는 외국과 틀리게 CCRA, 보안적합성 검증 두가지를 맡아야 한다.
2. 하지만 그게 정말 정보보안을 위한 제도인지 생각해 볼 필요가 있다.
3. 새로 생겨난 \'암호모듈 검증\'제도는 특정 업체만 암호화소프트웨어를 개발할 수 있도록 하였다.