AES 암호화

2022년 3월 4일 | 사이버

지금 CyberHoot으로 귀하의 사업을 보호하세요!!!

AES 암호화(고급 암호화 표준) 는 미국 정부가 기밀 정보를 보호하기 위해 사용하는 대칭 블록 암호 입니다. 1997년 미국 국립표준기술연구소( NIST )는 컴퓨팅 성능 향상에 따라 무차별 대입 공격 에 취약해진 데이터 암호화 표준(DES)을 대체할 암호화 알고리즘 개발을 의뢰했습니다 . 공모전이 개최되었고, 암호학자들이 제안서를 제출했으며, NIST는 2001년 AES를 최종 선정하여 새로운 암호화 표준으로 채택했습니다. AES는 DES, 3DES 및 경쟁 알고리즘에 비해 보안과 암호화 속도를 크게 향상시키면서 계산 효율성이 뛰어난 암호화 알고리즘이었기 때문에 선정되었습니다.

AES는 전 세계적으로 민감한 데이터를 암호화하기 위해 소프트웨어와 하드웨어 모두에서 구현되고 있습니다. AES는 다양한 키 길이를 가진 블록 암호를 사용하여, 무어의 법칙 에 따라 컴퓨팅 성능이 향상될 것으로 예측됨에 따라 더욱 강력하고 유연하게 사용할 수 있습니다.

AES-128은 128비트 키 길이를 사용합니다.
AES-192은 192비트 키 길이를 사용합니다.
AES-256은 256비트 키 길이를 사용합니다.

각 암호 방식은 128비트, 192비트, 256비트의 암호화 키를 각각 사용하여 128비트 블록 단위로 데이터를 암호화 하고 복호화합니다 .

128비트 키의 경우 10라운드, 192비트 키의 경우 12라운드, 256비트 키의 경우 14라운드가 있습니다. 각 라운드는 입력 평문을 최종 암호문으로 변환하기 위한 치환 , 전치, 혼합 등의 여러 처리 단계로 구성됩니다.

AES 암호화 알고리즘은 배열에 저장된 데이터에 대해 수행되는 수많은 변환을 정의합니다. 암호의 첫 번째 단계는 데이터를 배열에 넣는 것이며, 그 후 여러 암호화 라운드에 걸쳐 암호 변환이 반복됩니다.

AES 암호화의 첫 번째 변환은 치환표를 사용하여 데이터를 치환하는 것입니다. 두 번째 변환은 데이터 행을 이동하고, 세 번째 변환은 열을 섞습니다. 마지막 변환은 암호화 키의 다른 부분을 사용하여 각 열에 대해 수행됩니다. 키가 길수록 완료하는 데 더 많은 라운드가 필요합니다.

이러한 계산의 최종 결과는 오늘날 슈퍼컴퓨터 자원으로도 거의 해독할 수 없는 암호화입니다. 그러나 미래에는 양자 컴퓨팅의 발전으로 인해 키 길이 증가와 암호화가 필요한 데이터의 보안 유지를 위한 알고리즘 변경이 필요할 수 있습니다.

이는 중소기업에게 무엇을 의미할까요?

암호화 및 암호화 기술은 중요하고 민감한 정보의 기밀성 과 무결성을 보호하기 위해 모든 중소기업과 MSP(관리형 서비스 제공업체)에게 중요합니다 . 또한 암호화는 데이터 가용성을 보호하는 데에도 중요한 역할을 합니다. 중요하고 민감한 데이터가 포함된 백업은 반드시 암호화하여 보호해야 하기 때문입니다.

중소기업(SMB)이나 관리형 서비스 제공업체(MSP)는 CMMC, HIPAA, PCI 등과 같은 법적 규제를 받을 수 있으며, 이러한 규정들은 모두 특정 형태의 데이터 암호화를 요구합니다. 이러한 법적 요구 사항의 예로는 HIPAA(건강보험 이동성 및 책임법) 에 따른 개인 의료 기록 , PCI-DSS(결제 카드 산업 데이터 보안 표준)에 따른 신용 카드 개인 식별 정보(PAN) , CMMC(통제된 미분류 정보)에 따른 통제되지 않은 정보(CUI) , 그리고 유럽 연합의 일반 데이터 보호법 (GDPR) 이나 미국의 캘리포니아 소비자 개인정보 보호법 (CCPA) 에 따른 비공개 개인 정보(NPPI) 등이 있습니다.

중소기업(SMB)이 업계 규정 준수 요건을 충족하기 위한 한 가지 전략은 애초에 그러한 데이터를 보유하지 않는 것입니다. 예를 들어, PCI 규정 준수 의무는 종종 통제할 수 없는 신용 승인을 수행하고 승인 또는 승인 코드만 제공하는 온라인 결제 서비스와 협력함으로써 회피할 수 있습니다. 그러나 중소기업/MSP가 중요하고 민감한 데이터를 수집하고 저장해야 하는 경우, 암호화를 통해 보호해야 합니다. 현재 이는 데이터 손상 및 노출로부터 보호하는 단방향 함수를 생성하는 가장 강력한 알고리즘 방식인 고급 암호화 표준(AES) 암호화를 사용하는 것을 의미합니다.

중소기업/MSP는 중요하고 민감한 데이터가 유출되지 않도록 Microsoft의 BitLocker 또는 Apple의 FileVault를 사용하여 노트북과 태블릿을 암호화해야 합니다. 이를 통해 규제 대상인 중요하거나 민감한 데이터(HIPAA 기록, PCI 또는 CMMC) 유출로 인한 막대한 벌금 대신, 도난 또는 분실된 기기로 인한 재정적 손실이나 비용 발생을 최소화할 수 있습니다.

물리적 키와 마찬가지로 논리적 키 관리도 중요합니다. 복호화 키는 키로 데이터를 복호화하는 장치가 아닌 안전한 곳에 보관해야 합니다. 강력하고 길며 고유한 비밀번호를 사용하여 키 사용을 보호해야 하며, 비밀번호 관리자는 유사한 비밀번호 관리 및 2단계 인증으로 보호됩니다. 암호화 및 키 관리 외에도 기업은 다음과 같은 조치를 통해 보안을 강화할 수 있습니다.

추가 사이버 보안 권장 사항

아래 권장 사항은 귀하와 귀사의 비즈니스가 일상적으로 직면할 수 있는 다양한 위협으로부터 안전하게 보호받을 수 있도록 도와줄 것입니다. 아래 나열된 모든 제안은 CyberHoot의 vCISO 서비스를 통해 얻을 수 있습니다.

정책과 절차를 통해 직원을 관리하세요. 최소한 비밀번호 정책, 허용 가능한 사용 정책, 정보 처리 정책, 그리고 서면 정보 보안 프로그램(WISP)이 필요합니다.
직원들에게 발견 방법과 피하는 방법에 대한 교육을 실시합니다. 피싱 공격CyberHoot과 같은 학습 관리 시스템을 도입하여 직원들에게 자신감, 생산성, 보안을 강화하는 데 필요한 기술을 가르치세요.
직원들에게 피싱 공격을 연습해 보세요. CyberHoot의 피싱 테스트를 통해 기업은 직원들에게 믿을 만한 피싱 공격을 테스트하고, 실패한 직원들에게는 시정 피싱 교육을 실시할 수 있습니다.
다음을 포함한 중요한 사이버 보안 기술을 배포합니다. 이중 인증 모든 중요 계정에 대해 이메일 스팸 필터링을 활성화하고, 백업을 검증하고, DNS 보호를 구축하세요. 안티 바이러스모든 엔드포인트에서 맬웨어 방지 기능을 제공합니다.
재택근무가 보편화된 현대 사회에서는 보안을 검증(패치, 바이러스 백신, DNS 보호 등)하거나 해당 기기의 사용을 전면적으로 금지하여 네트워크에 연결된 개인 기기를 효과적으로 관리해야 합니다.
지난 2년 동안 제3자로부터 위험 평가를 받지 않았다면, 지금 당장 받아야 합니다. 조직 내에 위험 관리 프레임워크를 구축하는 것은 한정된 시간과 비용으로 가장 심각한 위험을 해결하는 데 매우 중요합니다.
치명적인 사고 발생 시 안전을 보장하는 사이버 보험에 가입하세요. 사이버 보험은 자동차, 화재, 홍수, 생명 보험과 마찬가지로 가장 필요한 순간에 든든하게 지원해 드립니다.

이러한 모든 권장 사항은 CyberHoot 제품 또는 CyberHoot의 vCISO 서비스에 포함되어 있습니다. CyberHoot을 통해 직원을 관리, 교육, 평가 및 테스트할 수 있습니다. 지금 바로 CyberHoot.com을 방문하여 서비스에 가입하세요. 최소한 매월 발행되는 사이버 보안 뉴스레터를 구독하여 최신 사이버 보안 정보를 받아보세요.