|
|
|
|
스탠포드 대학 무선랜 구축사례 |
 |
2003년 08월 23일 00:00:00 |
Network Computing
|
 |
|
|
대학이 네트워크 보안에 신경을 쓰지 않는다고 누가 말했던가. 스탠포드 대학에서는 MAC(Media Access Control) 어드레스를 등록할 때 네트워크에 구멍이 남는다는 사실을 발견한 후 최근 방화벽의 처음 설치기반을 걷어내고 대학 무선랜에 또 다른 인증 계층을 추가했다.
스탠포드에서는 무선 802.11b 랜에 별다른 보안 결함을 경험하지 않았지만 이 대학 네트워크 서비스 그룹에서는 MAC 어드레스가 쉽게 복제 혹은 도난이 가능하다는 사실을 잘 알고 있었다. 그리고 무선 네트워크가 성장함에 따라 이곳에 접속하는 사람을 추적하고 이것을 악용하는 사람들을 막기는 훨씬 더 힘들어질 것이었다. 캘리포니아주 팔로알토에 있는 스탠포드의 네트워크 서비스 디렉터인 필 리즈는 “사용되지 않고 있는 정적 어드레스를 확보한 사람은 네트워크에 들어올 수 있다”고 말했다.
이에 스탠포드는 대학의 무선랜에 보다 진보된 인증 방안을 구축했으며, 무선랜은 유선 기가비트 이더넷 캠퍼스 백본과 의도적으로 떨어져 있다. 인증 아키텍처는 신규 업체인 퍼티고(Pertifo)의 인증 서버 어플라이언스, 대학의 MAC 어드레스 데이터베이스, S/Ident라는 내부 싱글사인온 방안, 그리고 커버로스 인증 인프라로 돼 있다.
사용자 증명서 암호화
사용자가 시스코시스템즈 액세스 포인트의 범위 안에 들어오면, 사용자는 팝업 클라이언트 로그인 화면을 보게 되며, 무선랜으로 인증을 한다. 대학에서 자체적으로 개발한 르랜드(Leland)라는 클라이언트 패키지는 커버로스를 이용해 인증 서버로의 전송을 위해 사용자의 증명서를 암호화한다.
무선 사용자는 자신들의 PC나 랩톱과 802.11b 무선 인터페이스 카드를 가져다 주며, 스탠포드의 네트워크 서비스 그룹은 스탠포드의 매니지드 캠퍼스 네트워크 서비스 아래서 16개의 유선 포트를 구입한 학부에 무료로 서비스를 제공하고 있다. 그 대신 무선에만 월 31달러의 요금을 낼 수도 있다. 현재까지 몇 개의 기숙사들과 함께 이 대학의 교육학부, 인문학부, 과학학부, 그리고 의료 및 법학부가 주요 무선 고객이다. 올 여름 스탠포드는 학생 시위 및 친목용으로 즐겨 사용되는 집합 장소인 화이트 플라자를 포함해 몇몇 공중 장소에도 무선 액세스를 제공하게 될 것이다.
그러나 스탠포드의 무선랜은 기대했던 것만큼 큰 인기를 끌지 못했다. 1만7천명의 학생들 가운데 사용자는 약 1천명에 불과하다. 네트워크 서비스 그룹에서 캠퍼스에 300개 가량의 시스코 액세스 포인트를 설치하긴 했지만, 창고에는 한 번도 사용한 적이 없는 300개 장비가 더 있다. 리즈는 일부 애플리케이션에서 무선이 유선을 대체하리라고 생각했지만, 실제로 그런 일은 일어나지 않았다고 말했다.
리즈는 “그것은 캠퍼스 유선망이 이미 너무 잘 갖춰져 있기 때문이다. 사람들은 밖으로 랩톱을 들고 나가서 무선으로 이메일을 읽고 있지만 유전자 분석을 할 때는 여전히 유선망을 이용한다”고 말했다. 기가비트 이더넷 백본은 데스크톱에 100Mbps로 연결되기 때문에, 유전자 알고리즘이나 다른 필요한 계산 작업을 수행할 때 10Mbps 무선으로 이를 대체하기는 힘들다는 얘기다.
다시 인증 받을 필요가 없다
네트워크 보안은 스탠포드와 다른 대학에서 점점 더 전략적이 되어가고 있는데, 그 이유는 이들이 업무를 처리하는 방식을 바꾸었기 때문이다. 많은 주요 대학들과 마찬가지로, 스탠포드는 연구 협업을 위해 기업이나 다른 대학들과 보다 긴밀한 관계를 유지하고 있으며, 여기서는 누가 어디에 액세스를 하는지에 대해 신중하게 관리할 필요가 있다.
스탠포드 관리팀에서는 또한 새로운 ERP(Enterprise Resource Planning) 시스템을 가동하고 있으며, 이로 인해 민감한 데이터를 보호하기 위해 현재 네트워크 내부에 존재하고 있는 방화벽에 추가를 하게 된 것이다. 이제 한 시대가 가고 새로운 시대가 도래했다. 대학 전체의 데이터로 제공되던 공짜 맥주와 오픈 액세스는 막을 내리고 있다. 허가받은 데이터 액세스는 늘어나겠지만, 허가받지 않은 액세스는 줄어들 것이라고 리즈는 말했다.
현재 초청 교수나 기타 공식적인 방문객들은 자신들의 호스트에서 할당받은 게스트 계정을 이용해 스탠포드의 무선랜에 액세스한다. 리즈는 “게스트는 우리 MAC 어드레스 데이터베이스에 나타나진 않지만 스탠포드 것 대신 ISP IP 어드레스를 받는다”며 “그러면 네트워크를 사용할 수는 있지만 도서관과 같이 제한된 자원으로 액세스하지는 못한다”고 말했다.
리즈와 그의 팀이 지난 해 처음 인증 옵션들을 평가했을 때, 이들에게는 세 가지 조건이 있었는데 그것은 솔루션이 저렴해야 하고 전용 클라이언트 소프트웨어에 의존하지 말아야 하며 스탠포드의 커버로스 아키텍처와 호환 가능해야 한다는 것이었다. 리즈는 “수천 개의 컴퓨터에서 클라이언트를 로딩하는 것은 쉽지 않은 일이다. 우리는 헬프데스크를 괴롭히지 않는 인증이 필요했다”고 덧붙였다.
그러나 대학의 일부 운영팀에서는 인증용으로 클라이언트 패키지가 필요했다. 의료 학부에서는 퍼티고의 옵션인 시큐어스마트 클라이언트 패키지를 이용해 HIPAA(Health Insurance Portability and Accountability Act)의 암호화 필요조건을 충족시키고 있으며, 퍼티고 무선 클라이언트를 배치하게 될 다음 번 차례는 비즈니스 스쿨이다. 퍼티고 클라이언트는 비교적 가볍긴 하지만 의료 학부에서는 지원을 처리하기 위해 자체 헬프데스크를 두고 있다.
무선 네트워크는 캠퍼스의 메인 허브에서 유선 네트워크와 만나며 무선 부문은 8개 영역으로 나누어진다. 하지만 스탠포드가 무선 영역에서 발견한 사용자라 하더라도 근처 건물로 이동할 경우 이 사용자는 자신의 무선 접속을 잃어버릴 수 있다. 그럴 경우 그는 완전히 다시 인증을 받아야 한다. 리즈는 “랩톱을 닫고 같은 영역 안에 있는 한 건물에서 다른 건물로 갈 수 있어야 한다”고 말했다. 그는 이 문제는 랩톱 제조업체들이 하이버네이션 모드를 어떻게 처리하느냐와 연관이 있을 수 있다고 말했지만, 왜 이런 일이 발생하는지 아무도 확실히 얘기할 수는 없다. 이에 스탠포드는 퍼티고에게 자사의 S/Ident 클라이언트에 시큐어스마트(SecureSmart) 서버를 통합시키기 위해 퍼티고에게 내부 API를 주었다. 이제 서버는 사용자의 클라이언트 기계에서부터 암호화된(그리고 캐싱된) 증명서를 자동으로 요청한다. 따라서 무선 세션을 잃어버렸을 경우 완전히 다시 인증을 받을 필요가 없다고 한다.
인프라 비용을 줄이는 대안으로
실리콘 밸리의 다른 곳들과 마찬가지로 스탠포드 역시 IT 업계 불황으로 고통받고 있다. 각 학부들은 올해 10%에 달하는 예산 절감을 경험했다. 따라서 무선에 대한 원래의 정당화 방안은 더 이상 먹혀들지가 않는다. 대신 무선은 이제 인프라 비용을 줄이기 위한 하나의 대안으로 고려되고 있다. 더 많은 케이블로 새 건물에 배선작업을 하는 대신, 대학에서는 건물에 액세스 포인트를 두게 될 것이다. 그러나 이 문제는 아직 논의 중인데, 그 이유는 무선 대역폭이 모든 학교 애플리케이션용으로 충분치가 못하며, 콘크리트 벽이나 다른 물리적 간섭이 있는 건물은 무선 액세스 포인트를 지원할 수 없기 때문이다.
스탠포드는 또한 자체적으로 개발한 르랜드(LeLand) 클라이언트를 내년이나 내후년에 배치할 계획이라고 리즈는 밝혔다. 이것은 무선랜에 웹 기반 인증 방안이나 IPSec 기반 VPN 터널 방식을 이용하는 것이다. 리즈는 그렇지 않을 경우 “차세대 무선 장비에 완전히 다른 솔루션이 있을 수도 있다”고 말했다.
대학 문화의 하나로 자리잡은 보안
엔드유저들은 스탠포드 대학이 처음 무선랜 인증 방안을 강화했을 때 격렬하게 항의했다. 네트워크 서비스 디렉터인 리즈는 “이들은 아무 것도 하지 않고 무선을 사용하고 있었기 때문에 여기에 대해 다소 말이 많았다”고 회상했다. 그러나 일단 퍼티고 인증이 사용자들의 를랜드 클라이언트에 통합되자 소음은 가라앉았다고 한다.
스탠포드의 IT 및 보안 부문 주요 의사결정자들은 처음부터 무선 인증 계획에 대해 의견을 같이 했다. 리즈는 “매우 다행스러운 일이었으며, 따라서 문제는 적절한 가격대의 적절한 솔루션을 찾는 일이었다”고 말했다.
리즈와 그 네트워크 서비스팀은 약 20만달러를 들여 시스코 액세스 포인트와 퍼티고 시큐어스마트 서버를 구입했으며, 이는 예산에 잘 맞는 결정이었다. 그의 팀은 캠퍼스를 일일이 돌아다니며 사람들에게 새로운 인증 프로시저를 일러주고 무선랜에 인증하는 방법에 대해 통보했다.
다음 문제는 인증을 무선 테스트를 가동 중인 캠퍼스 내 두 곳의 기숙사로 옮기는 일이다. 생도들은 비록 곧 그렇게 되겠지만 아직은 새로운 인증 기술을 갖고 있지 않다. 리즈는 이들 건물 각각에 시큐어스마트 어플라이언스를 추가할 계획이며, “이 전쟁에서 이겨야 할 필요가 있으며 그럴 수 있으리라고 생각한다”고 의지를 밝혔다.
유선 네트워크에 있는 새로운 방화벽들과 무선 네트워크에서의 강화된 인증으로 보안은 이제 스탠포드의 대표적인 문화들 중 하나로 한층 더 자리를 공고히 하고 있다.
1년 전만 하더라도 문제는 단순히 방화벽을 배치하는 것이었다. 리즈는 “이제 우리는 몇 주마다 한 번씩 방화벽을 배치하고 있다”고 말했다. 보안 기술은 대학 예산의 압박에도 불구하고 최고의 우선순위로 여겨지고 있다. 리즈는 “긴축 예산의 시기에는 보안에 훨씬 더 많은 관심이 쏟아진다”며 “그 이유는 누구도 내부 감사에 걸리기를 원치 않기 때문”이라고 말했다.  |
|
|
|
|
|
|
|
|
|
| ⓒ 데이터넷(http://t564.ndsoftnews.com) 무단전재 및 재배포금지 | 저작권문의 |
|
|
|
|
|
|
| |
| 가장 많이 본 기사 |
|
|
 |
|
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
