정보 기술-전기 통신 및 시스템간의 정보 교환-수송층 보안 프로토콜
信息技术系统间通信和信息交换传输层安全协议
发布日期:
2007-11-30
该规格与KS X 3702和KS X 3703中规定的程序一起使用,不排除实现这两种规格的两个设备之间的非安全通信。根据该规格定义的安全协议进行的信息保护取决于适当的安全管理动作,包括密钥管理。但该规格不规定管理功能或支持该安全协议所需的附加协议。该协议与运输层相关,支持KS X ISO/IEC7498-2中定义的完整性、机密性、认证和访问控制服务。该协议支持这些服务,包括密码方式、密钥和认证识别等安全属性,以及通过预设的安全管理或安全连接协议(SA-P)进行设置等。信息保护只在安全原则的概念中提供。该协议在建立连接时支持同级个体认证,如果使用SA-P或协议之外的手段,则支持密钥重新分配。安全联系(SA)只能在安全原则的概念中设置。安全原则的设置取决于用户,这可能受该规格中定义的程序限制。下列项目可能包括在安全原则中。a)SA设置/解除手段,SA的可用时间b)认证/访问控制方式c显示方式d)SA设置或保护TPDU发送时接收无效TPDU的程序e)密钥的可用时间f)密钥更新和安全控制信息(SCI)为交换程序重新分配密钥的时间间隔g)SCSI交换和密钥重新分配程序的时间限制h)SCSI交换和密钥重新分配程序的重试次数该规格规定了可用于设置安全连接的协议。
要设置SA的对象必须使用认证和密钥分配的通用方式,该规格规定了公钥密码系统所遵循的通知机制。但是,该算法的实现不是强制规定,如果采用其他方式,必须满足以下条件:a)5.2的SA属性将全部实现。b)实现的密钥将得到认证。
이 규격은 KS X 3702와 KS X 3703에 규정된 절차와 함께 사용되며, 이 두 규격을 구현한 두 장치 사이의 비보안성 통신을 배제하지 않는다. 이 규격에 의해 정의된 보안 프로토콜에 의한 정보보호는 키 관리를 포함한 적절한 보안 관리 동작에 달려 있다. 그러나 이 규격에서는 관리 기능이나 이 보안 프로토콜을 지원하는 데 필요한 추가적 프로토콜을 규정하지 않는다. 이 프로토콜은 수송층과 관련되어 KS X ISO/IEC 7498-2에 정의된 무결성, 기밀성, 인증 및 접근제 어 서비스를 지원한다. 이 프로토콜은 이러한 서비스를 지원함에 있어 암호 방식, 키와 인증 식별과 같은 보안 속성, 미리 설정된 보안 관리나 보안 연계 프로토콜(SA-P)을 통한 설정 등을 이용한다. 정보보호는 보안 원칙의 개념 속에서만 제공된다. 이 프로토콜은 연결 설정시 동급 개체 인증을 지 원하며, SA-P나 프로토콜 이외의 수단을 사용하는 경우 키 재할당을 지원한다. 보안 연계(SA)는 보안 원칙의 개념 속에서만 설정될 수 있다. 보안 원칙의 설정은 사용자에게 달려 있으며 이는 이 규격에 정의된 절차에 의해 제한될 수 있다. 다음 항목들이 보안 원칙에 포함될 수 있다. a) SA 설정/해제 수단, SA의 가용시간 b) 인증/접근 제어 방식 c) 표시 방식 d) SA 설정 또는 보호 TPDU 송신시 무효 TPDU를 수신하는 절차 e) 키의 가용시간 f) 키의 갱신과 보안제어정보(SCI) 교환절차를 위한 키 재분배의 시간 간격 g) SCI 교환과 키 재분배 절차의 시간 제한 h) SCI 교환과 키 재분배 절차의 재시도 횟수 이 규격은 보안 연계 설정에 사용될 수 있는 프로토콜을 규정한다. SA를 설정하고자 하는 개체는 인증과 키 분배에 대한 공통 방식을 사용해야 하는데 이 규격에서는 공중키 암호 시스템에 따른 알 고리즘을 규정한다. 그러나, 이 알고리즘의 구현은 강제 규정이 아니며, 다른 방식을 사용하는 경우 다음의 조건을 만족시켜야 한다. a) 5.2의 SA 속성이 모두 구현될 것. b) 구현된 키들이 인증될 것.