EPON의 보안요구사항과 QoSS의 적용

박재혁*, 김광조*, 유태환**, 한경수**

*국제 정보보호기술연구소, 한국정보통신대학원대학교

**한국전자통신연구원, 네트워크연구소

Security Requirement and QoSS in EPON

Jae-Hyrk Park*,  Kwang-Jo Kim*, Tae-Whan Yoo**, Kyeong-Soo Han**

*IRIS, Information and Communication Univ.(ICU)

**Network Technology Laboratory, ETRI

요 약

최근의 네트웍 백본망은 급속도로 성장하고 있는 반면, 엑세스 네트웍망은 더디게 발전하고 있다. 점점 더 많은 인터넷 트래픽이 요구됨에 따라 엑세스 망에서의 트래픽 수용 능력이 큰 걸림돌이 되고 있다. 값싼 이더넷 장비들과 광 네트웍망이 결합된 EPON(Ethernet Passive Optical Network)이 차세대 엑세스 네트웍의 가장 적합한 솔루션으로 꼽히고 있다. 하지만, EPON에서의 하향 데이터는 브로드캐스트방식으로 전송되기 때문에 많은 보안상의 위협이 발생할 수 있다. 이 논문에서는 EPON에서 발생 가능한 위협을 막기 위한 보안요구사항을 정의하고 QoSS(Quality of Security Service), 즉 사용자가 원하는 보안정도에 따라 보안서비스를 제공하는 서비스 등급화 개념을 EPON에 적용시켜보고자 한다.

1. 서론

First mile이란 서비스 공급자와 서비스를 제공받는 회사나 가정의 가입자간의 네트웍 연결을 의미하는 것으로, 가입자 엑세스 네트웍으로 불린다. 가입자들은 대역폭이 큰 first mile 엑세스 솔루션을 원하는 동시에 현존하는 네트웍과 가격면에서 필적할만한 솔루션을 원한다.

기존의 전화회사들은 DSL(Digital Subscriber Line)기술로 가입자와 공급자간의 인터넷 엑세스망을 구축했었다. DSL은 전화선과 같은 twist pair를 이용하며 가입자 측에 DSL모뎀이, 공급자 측에는 DSLAM(Digital Subscriber Line Access Multiplexer)이 필요하다. DSL에 의해 제공되는 데이터 전송률은 128 Kbps에서 최대 1.5 Mbps를 제공한다. 아날로그 모뎀보다는 빠른 전송속도이지만, 높은 대역폭이 필요한 음성이나 비디오 애플리케이션을 지원하기에는 역부족이다. 또한, 서비스를 지원할 수 있는 거리는 5.5km범위의 거리로 제한된다[1].

DSL 보다 가격면 에서도 저렴하며 초당 기가비트의 전송률을 지원하는 광 네트웍이 차세대 인터넷 망으로 등장하였다. 광 네트웍은 통합된 음성, 데이터 와 비디오 서비스를 가입자에게 20 km범위내에 공급할 수 있다. Passive Optical Network(PON)은 가입자 엑세스 네트웍망의 문제를 해결할 만한 기술이다. PON은 중간에 OLT와 ONU를 있는 수동소자를 이용하여 광 트랜 시버의 수를 최소화한다. 또한 목적지까지의 신호 경유지에 어떠한 능동적요소를 이용하지 않는 point-to-multipoint(PtMP) 광 네트웍이다. PON에서 이용되는 유일한 요소들은 광 섬유, 슬라이스와 스플리터와 같은 수동 광 컴포넌트들이다. 차세대 엑세스망에 적합한 기술이지만, EPON은 하향데이터의 전송 시 브로드캐스팅 방식을 이용하기 때문에 많은 위협과 취약점이 존재 할 수 있다. 이 논문에서, EPON의 보안 위협과 취약성을 분석하며, EPON의 보안요구사항을 정의하고  QoSS의 개념을 적용한 EPON시스템을 소개한다[1][2][3].

논문의 순서는 다음과 같다. 2장에서는 EPON시스템에 대한 소개와 발생 가능한 위협을 알아본다. 3장에서는 보안요구사항을 정의하고 4장에서는 QoSS 관점에서 EPON을 적용해본다. 마지막으로 5장에서 결론을 맺는다.

2. 이더넷 PON 엑세스 네트웍

2.1 이더넷PON

FSAN(Full Service Access Network ) recommendation(ITU G.983)은 계층2 프로토콜에서 ATM을 이용하는 PON기반의 엑세스 네트웍을 정의한다. 이러한 APON은 LAN, MAN그리고 고속 네트웍에 적합한 기술이 되어왔다. 하지만, 현재 고속의 기가비트 이더넷이 폭넓게 사용 되고 있고 10기가비트 이더넷 상품들이 현재 상용화되어있다. 또한 이더넷은  관리하기 용이하고 시장성 있어 이더넷이 광 엑세스 네트웍과 결합된 EPON(Ethernet)이 나오게 된 것이다. 현재 EPON에 대한 표준화 작업이  IEEE 802.3ah Ethernet in the First Mile(EFM) Task Force에서 이루어지고 있다.

[그림 ] EPON의 네트웍 구조

2.2 이더넷PON 전송 방법

EPON은 이더넷 프레임안에 모든 데이터를 담아 전송하는 광 엑세스 네트웍이다. 그림1은 가입자의 네트웍 구조에 적합한 전형적인 트리기반의 EPON 토폴로지이다.  OLT(Optical Line Termination)는 지역적인 데이터 교환에 이용되며 각각의 OLT는 EPON을 매트로 이더넷이나 IP/SONET 백본망에 연결시켜준다. ONU(Optical Network Unit)는 curb(FTTC 솔루션)나 가입자 부분(FTTH, FTTB솔루션)에 위치하며 음성,데이터, 비디오 서비스를 제공한다. PON의 모든 전송들은 OLT와 ONU들 사이에서 이루어진다. 트리 토폴로지로써, 하향으로 전송(OLT로부터 ONU로)은 일대다 네트웍이며, 반면에 상향으로 전송(ONU로부터 OLT로)은 다대일 네트웍이다. 하향트래픽은 모든 ONU에 브로드캐스드되어 전송된다. 각각의 ONU필터는 ONU의 유일한 주소를 통해 자신의 패킷을 필터링한다. 상향트래픽은 time slot에 따라 할당된 시간에 자신의 트래픽을 OLT에 보낸다. ONU와 OLT모두 IEEE 802.3 이더넷 프레임 포맷을 따른다[1][5].

2.3 이더넷PON의 위협

EPON의 하향트래픽의 브로드캐스팅방식은 기존의 일대일 광 링크로 연결된 광 네트웍과 비교해서 기밀성에 많은 손실을 입는다. 이런 기밀성손실은 암호화를 통해 해결될 수 있다. PON 구조를 충분히 이해하고 발견될 수 있는 위협을 인식하고 위협을 제거하기위한 보안 메커니즘을 적용하는 것은  중요하다. 만약 애플리케이션 계층에서 모든 서비스들이 암호화된다면 하위 계층 암호화는 고려할 필요가 없을 것이다. 하지만, PON의 사용에 있어 많은 서비스들이 애플리케이션 계층 보안을 보장하지는 못한다. 그러므로, OSI 프로토콜 스택의 하위 계층에서의 최소한의 보안메커니즘은 필요하다. 하위계층에서의 보안 메커니즘의 적용은 상위계층에서 적용보다  성능과 시간면에서 효율적이다.

3. 보안 위협 분석 및 보안요구사항

3.1 위협

하향 트래픽에서, OLT는 모든 ONU들에게 정보를 브로드캐스트 하기 때문에 모든 ONU들은 언제든지 도청이 가능하다. 이러한 브로드캐스트방식에 의한 기밀성의 손실이 EPON시스템의 가장 큰 보안 위협이다. 결국 하향 트래픽에 포함되는 OAM정보, 사용자 데이터, 사용자 MAC주소, MPCP메시지등의 모든 내용이 노출된다. 하향 트래픽의 브로드캐스팅방식에 의해 발생되는 주요 위협은 다음과 같다[4][5].

◇ 데이터 패킷과 OAM정보의 도청.

모든 사용자가 다른 사용자의 데이터 내용을 볼 수 있다. 즉, 데이터가 암호화되지 않으면 기밀성에 손실을 입게 된다. 하향 트래픽은 반드시 데이터의 암호화가 필요하다. 또한 네트웍내에 발생되는 OAM정보는 암호화되어야 한다. 네트웍 사용자가 OAM정보를 통해 다른 사용자의 라우팅 정보나 트래픽의 특성을 유추할 수 있다.

◇ 트래픽 분석

상위레벨 프로토콜의 암호메커니즘으로는 트래픽 분석 공격을 막을 수 없다. 도청을 통해 얻은 정보의 트래픽 분석을 통해 다른 ONU의 특성을 유추할 수 있다.

하향 트래픽의 기밀성을 유지하기 위해서 암호화가 필요한 반면 상향 트래픽은 도청에 대한 위협보다는 인증 메커니즘이 필요한 위장공격과 서비스거부공격이 초점이 된다.

◇  위장공격

ONU측은 도청을 통해 얻은 주소를 이용하여 위장공격을 수행할 수 있다. OLT는 만약 어떤 사용자가 다른 사용자 인척 행동한다면 감지할 방법이 없다. 결국, 이러한 위장공격은 심각한 위협이 된다.

◇ 서비스 거부공격

공격자가 자신의 할당된 시간에 또 다른 가입자의 주소를 이용하여 정보를 보내서 원하지 않는 정보를 네트웍에 발생시켜 서비스 거부공격이 발생할 수 있다.

EPON에서 발생할 수 있는 주요 위협들을 정리하면 다음과 같다.

위협	내용
도청	하향트래픽의 중요데이터 도청가능
도청	같은 PON상의 ONU의 MAC주소 도청
도청	같은 PON상의 ONU의 OAM정보 도청
도청	같은 PON상의 ONU의 LLID도청
도청	같은 PON상의 MPCP메시지 도청
트래픽 분석	MAC주소의 트래픽 분석을 통한 다른 ONU신분 노출
트래픽 분석	LLID분석을 통한 다른 ONU의 신분 노출
트래픽 분석	MPCP트래픽 분석을 통한 각 ONU의 상향트래픽 특성유추
트래픽 분석	OAM트래픽 분석을 통한 EPON시스템 환경변경 가능
위장공격	다른 ONU의 MAC주소를 얻어 위장공격과 리소스 접근가능
위장공격	다른 ONU의 LLID를 얻어 위장공격과 리소스 접근가능
위장공격	등록이나 GATE메시지로부터 얻은 정보를 이용하여 또 다른 ONU로 위장공격
DoS공격	유효, 무효한 메시지를 네트웍에 흘려보내 OAM정보나 네트웍 리소스의 가용성 손실
DoS공격	ONU는 상향트래픽에 광신호를 보내어 PON방해가능
조합공격	상기의 위협들의 조합 예상 가능

3.2 보안요구사항

위의 위협들을 막기 위해서 다양한 보안서비스가 이용될 수 있다. 현재 데이터를 보낼 때 브로드 캐스팅 방식을 사용하는 무선랜이나 블루투스에서 사용되는 보안서비스를 참고하여 다음과 같은 보안서비스를 제공할 수 있다.

◇기밀성 : 전송되는 정보의 비밀유지

◇메시지 인증 : 받은 메시지로부터 각각의 개체를 인증

◇인증(Entity) : 각ONU의 신분을 확인

◇접근 제어 : 각ONU의 네트웍 리소스 접근을 제한

◇개체 보호(identity protection) : 트래픽 분석에 의한 기밀데이터 추론 불가능

◇데이터 무결성 : 수신자는 받은 메시지의 수정이 없음을 확인

◇서비스 거부공격 방지 : 적법한 사용자의 리소스 사용을 막는 행위를 방지

◇부인방지 : 송, 수신자는 보내거나 받은 메시지에 대한 부인 불가

EPON의 위협을 방지하기 위한 몇 가지 보호방안을 고려할 수 있다. 밑에 표에서 보듯이 도청이나 트래픽 분석은 암호화를 통해 방지할 수 있고, 위장공격이나 서비스거부공격은 메시지인증을 통해 방지할 수 있다.

보호대상	취약성	위협	보호방안
데이터 프레임	하향broadcast	도청, 트래픽 분석	Payload 암호화
OAM 메시지	하향broadcast	도청, 트래픽 분석	Payload 암호화
MAC 주소	하향broadcast	도청, 트래픽 분석, 위장공격	Preamble제외한 암호화
MPCP 메시지	하향broadcast	도청, 트래픽 분석	Preamble제외한 암호화
LLID 정보	하향broadcast	도청, 트래픽분석, 위장공격	Preamble포함한 암호화
ONU identity	하향broadcast	위장공격	메시지 인증
OLT 가용성	유효한 LLID를 사용하는 OLT	서비스거부공격	메시지 인증
접근 제한 있는 데이터와 리소스	노출된 ONU identity 정보	위장공격, 권한 없는 리소스사용	메시지 인증
네트웍 서비스	Auto discovery	-신축아파트에 설치되어있는 optical fiber -이사시 남겨놓은 fiber	메시지 인증

4. QoSS를 이용한 보안서비스

4.1 시스템의 보안서비스 제공방안

1)데이터 보안등급

OLT측의 전송데이터는 같은 PON의 모든 ONU에게 브로드캐스트 되므로 송신 측에서 암호화된 데이터가 아니라면 모든 정보가 노출된다. 일반적인 네트워크 통신에서 기밀정보는 암호화되어 전송된다. 이러한 정보는 노출되지 않는다. 예를 들어, 금융정보(계좌번호, 카드번호), 회사내부 시스템 접근(VPN), 기밀문서(파일암호화), ID 및 Password(SSH 또는 애플리케이션 계층의 암호화), 보안 E-mail과 같은 정보들이 암호화되는 기밀정보가 될 것이다. 하지만, 암호화되지 않은 정보 중 노출시 privacy침해 및 악영향을 줄 수 있는 정보가 있을 수 있다. 예를 들어, 기차승차시각, 온라인 구매명세와 같은 예약정보, Web에서 개인정보보기를 통해 볼 수 있는 개인 신상정보, 병력사항과 같은 개인의 민감한 정보 등이 암호화되지 않고 모든 ONU에게 전달될 수 있다. 결국 암호화되지 않지만 노출시 privacy침해 및 악영향을 줄 수 있는 정보의 보호가 필요하다.

2)암호화 대상정보

payload부분만을 암호화 하면 중요데이터를 보호할 수 있지만, MAC주소와 MPCP메시지 또는 OAM정보의 도청 위협을 막을 수 없다.  Preamble을 제외한 모든 부분의 암호화를 통해 하향 트래픽의 전송시 발생 가능성이 큰 위협들을 제거할 수 있을 뿐만 아니라, 트래픽 분석 위협에 대한 보호방안이 없는 상위계층의 프로토콜을 단점을 보안할 수 있다. LLID는 Preamble에 포함되므로 Preamble을 제외한 모든 부분의 암호화를 통해서도 LLID의 노출로 인한 위험은 감수해야 한다.

3)암호화 여부 및 보안서비스

하향 트래픽이 브로드캐스트 방식으로 전송되므로 도청과 트래픽 분석의 위협이 발생한다. 하향 트래픽의 암호화를 통해 위의 위협을 제거함으로서 기밀성을 유지할 수 있다. 상향 트래픽의 발생 가능한 위협은 위장공격, 서비스 거부공격, 불법적 자원사용인데 상향 트래픽에 대한 인증을 통해 위협을 제거할 수 있다. 결국 하향 트래픽에서는 기밀성 서비스를 제공하기위해 암호화가 필요하고, 상향 트래픽은 인증서비스를 제공하기위해 인증메커니즘을 이용하여 발생가능성이 높은 위협을 암호화와 인증을 통해 해결가능하다.

4.2 QoSS관점에서 적용 가능한 보안서비스 등급화

인터넷과 인트라넷의 급성장은 분산 환경에서 리소스를 서로 공유하는 사용자의 수를 증가시켰다. 즉, 분산시스템의 리소스를 공유하는 각각의 사용자들의 요구에 맞는 서비스를 제공할 필요성 또한 증가하게 되었다. 최근에, QoS의 개념이 보안서비스 등급화를 위해 이용되고 있다. 고객을 위한 인터넷 서비스가 네트웍의 리소스 뿐만 아니라 보안서비스로 확장되고 있다. 각각의 사용자의 요구에 맞게 보안서비스를 등급화 하는 Quality of Security Service가 EPON시스템의 보안서비스를 위해 적용될 수 있다[7]. 하향 트래픽과 상향 트래픽의 위협을 제거하기 위해서 암호화와 인증이 최우선적으로 필요하다. 아래와 같이 요구되는 사용자의 보안수준을 4등급으로 나누어 하향 트래픽과 상향 트래픽에 주로 발생하는 위협을 고려하여 보안서비스를 분류해보았다. 가장 높은 보안수준을 원하는 사용자를 위해 상, 하향 트래픽에서 인증과 암호화를 제공할 수 있고, Low레벨의 사용자를 위해 하향 트래픽을 암호화하되 payload만을 암호화하여 데이터의 기밀성을 유지하거나 전체를 암호화하여 MAC주소, MPCP메시지, OAM정보의 도청과 트래픽 분석 위협을 제거하는 서비스를 제공할 수 있다.

요구되는 사용자 보안수준	하향트래픽	상향트래픽
Very Low	-	-
Low	(1)Payload만 암호화 (2)Preamble을 제외한 암호화	-
Medium	(1)Payload만 암호화 (2)Preamble을 제외한 암호화	인증 기술 이용
High	(1)Preamble을 제외한 암호화 (2)인증 기술 이용	(1)Preamble을 제외한 암호화 (2)인증 기술 이용

5. Conclusion

저렴한 이더넷 장비들과 광 네트웍망이 결합된 EPON이 차세대 엑세스 네트웍의 적합한 솔루션으로 꼽히고 있는 지금,  EPON시스템의 특성상 발생할 수 있는 보안상의 위협을 고려하고 위협을 제거하기 위한 보안서비스를 분류하는 것은 큰 의미가 있다. EPON의 브로드캐스팅방식의 특성을 고려하여 보안요구사항을 정의하여 보았다. 마지막으로 사용자가 원하는 보안정도에 따라 보안서비스를 제공하는 서비스 등급화 개념을 EPON시스템에 적용시켜보았다.

[참고문헌]

[1] Glen Kramer, Gerry Pesavento, "Ethernet Passive Optical Network(EPON) : Building a Next-Generation Optical Access Network", pp66-73, IEEE Communication Magazine, Feb.2002.

[2] Glen Kramer, Biswanath Mukherjee, Gerry Pesavento, "IPACT: A Dynamic Protocol for an Ethernet PON(EPON):, pp.74-80, IEEE Communication Magazine, Feb.2002.

[3] Howard Frazier, Gerry Pesavento, "Ethernet Takes on the First Mile", pp.17-21 IT-Pro, Jul.2001.

[4] S.Velentzas, H.Cruickshank, Z.Sun, G.Pavlou, "Security Mechanisms For ATM PONS", IFIP ATM 1998

[5] Special Security Session Presentation Materials, IEEE 802.3 ah Ethernet in the First Mile Task Force, Sep.2002.

[6] Stephen Thomas, David Wagner, "Insecurity in ATM-based passive optical networks", IEEE international Conference on Communications(ICC 2002), Optical Networking Symposium, 2002

[7] Cynthia Irvine, Timoty Levin, "Quality of Security Service", pp22-25, DARPA/ITO Quorum PI Meeting, New Orleans, LA May.2001