남정현 @rkttu@hackers.pub
Public

최근 보안의 화두는 제로트러스트지만, 정작 가장 민감한 공동인증서 파일은 여전히 NPKI라는 고전적인 디렉터리 구조 속에 노출되어 있습니다.

OS 수준의 암호화 기술인 BitLocker나 VBS의 이점을 전혀 활용하지 못하는 현 상황을 개선해보고자, Windows 인증서 저장소를 백엔드로 활용하는 방식을 고민 중입니다. macOS의 Keychain 시스템처럼 인증서를 시스템 보안 영역 내부로 끌어들임으로써, 파일 탈취 위험을 획기적으로 낮추는 것이 목표입니다.

인프라 자체를 바꿀 순 없어도, 엔드포인트 단에서 '방어의 밀도'를 높이는 유의미한 시도가 될 것 같습니다. :-D

https://forum.dotnetdev.kr/t/npki/14187

방치되다시피 한 NPKI 공동인증서를 관리하기 위한 노력

제로트러스트를 강조하는 지금까지도 거의 방치되다시피 한 NPKI 디렉터리 상의 공동인증서 파일들을 조금이나마 "안전한 방식"으로 관리하기 위한 식탁보의 사이드킥 애플리케이션의 PoC 개발을 착수하고 있습니다. NPKI 디렉터리가 아닌 Windows 인증서 저장소에 보관했다가 필요할 때에만 NPKI 디렉터리에 파일들을 내놓는 형태의 “NPKI Vault” 프로그램을 구상하고 있습니다. NPKI 공동 인증서 인프라 자체가 레거시 모델이고, SEED 같은 한국에서만 통용되는 대칭형 암호화 알고리즘에 대한 지원까지 따져야 하다보니 안타깝게도 .NET BCL 만으로는 해결이 어려워서 Bouncy Castle의 .NET 포팅 버전까지 사용해야 하는 노력이 필요하지만, 일단 NPKI → Windows Cert Store로 Root CA와 Intermediate CA, 그리고 User Cert까지 Import 하는 코드를 만들어 볼 수 있었습니다. 어느 정도 개발이 완료되면, Window...

forum.dotnetdev.kr · 닷넷데브

0
0
0

If you have a fediverse account, you can quote this note from your own instance. Search https://hackers.pub/ap/notes/019b64cc-98d3-7fcc-96a9-298dac11341d on your instance and quote it. (Note that quoting is not supported in Mastodon.)