TCSEC 오렌지북이 남긴 컴퓨터 보안 평가의 기준

보안 기능을 등급으로 평가하려 했던 오렌지북

TCSEC(Trusted Computer System Evaluation Criteria)은 1983년 미국 국방부가 제정한 컴퓨터 시스템 보안성 평가 기준이다. 오렌지색 표지의 책자로 발간되어 오렌지북(Orange Book)이라는 이름으로도 알려졌다.

이 기준은 시스템이 제공하는 보안 수준을 등급으로 분류하고, 그 수준에 필요한 접근 통제와 보증 조건을 제시했다. 오늘날 직접 적용되지는 않지만, 현대 정보보호 평가 체계가 갖는 평가 방식과 개념의 출발점으로 남아 있다.

군사 시스템의 보안 요구가 평가 체계가 되기까지

1960~70년대 컴퓨터 시스템이 빠르게 발전하면서 보안 문제가 부각됐다. 1972년 앤더슨 보고서(Anderson Report)는 보안 요구사항을 처음으로 정립했고, 이를 바탕으로 미국 국방부(DoD)는 1983년 TCSEC을 공식 발표했다.

1985년에는 국가 컴퓨터 보안 센터(NCSC)가 설립되면서 TCSEC 기반 평가 체계가 강화됐다. 이후 1990년대 후반, 국제 표준인 공통평가기준(CC: Common Criteria)이 이를 대체하게 된다.

접근 통제와 보증 수준으로 나뉜 등급

TCSEC은 보안 수준을 A, B, C, D의 4개 등급으로 구분하고, 이를 다시 세분화해 총 7개 등급으로 평가한다. 낮은 등급에서 사용자 식별과 임의적 접근 제어를 요구하고, 높은 등급으로 갈수록 강제적 접근 제어, 구조적 설계, 형식적 검증을 요구하는 구조다.

D 등급: 최소 보호 수준에 이르지 못한 시스템

D 등급은 평가된 시스템 가운데 상위 등급의 요구사항을 만족하지 못한 경우에 해당한다. 최소한의 보안 요구사항도 충족하지 못하는 가장 낮은 등급이다.

C 등급: 사용 권한에 따른 임의적 접근 제어

C 등급은 임의적 접근 제어(DAC)를 구현하는 단계다.

C1(Discretionary Security Protection)은 사용자를 식별하고 인증해야 하며, 여러 사용자가 같은 데이터에 접근하는 환경에서 보안 분리를 제공해야 한다.

C2(Controlled Access Protection)는 C1의 조건을 포함하면서 접근 제어를 더 세밀하게 다룬다. 로그인, 감사 추적, 자원 격리 기능이 강화되고 객체 재사용 보호 메커니즘도 요구된다.

B 등급: 보안 레이블과 강제적 접근 제어

B 등급부터는 강제적 접근 제어(MAC)가 평가의 중심이 된다.

B1(Labeled Security Protection)은 모든 시스템 객체에 보안 레이블을 부여하고, 비공식적 보안 정책 모델을 요구한다. 이 단계의 기밀성 흐름 통제는 Bell-LaPadula 보안 모델과 연결된다. 이 모델은 군사 기밀 보호를 목적으로 정보가 보안 등급 사이를 수직적으로 이동하는 방식을 통제하며, “No Read Up, No Write Down” 원칙을 적용한다.

B2(Structured Protection)는 Bell-LaPadula 모델 등을 포함한 공식적 보안 정책 모델을 요구한다. 은닉 채널(covert channel)을 분석하고, 시스템 구조를 명확히 모듈화하며, 신뢰 경로(trusted path)를 구현해야 한다.

B3(Security Domains)는 참조 모니터(reference monitor) 개념을 완전하게 구현하는 수준이다. 보안 관리자 역할을 분리하고, 감사 메커니즘을 강화하며, 침입 탐지와 복구 기능을 요구한다.

A 등급: 설계부터 구현까지 검증하는 보호 체계

A1(Verified Design)은 가장 높은 등급이다. B3의 모든 요구사항을 포함하며, 설계 명세부터 구현까지 모든 단계에 형식적 검증 방법을 적용한다. 엄격한 구성 관리와 배포 통제도 이 등급의 조건이다.

등급 판정을 구성하는 평가 범위

TCSEC은 접근 제어 기능만 점검하지 않는다. 보안 정책, 책임성, 보증, 문서화의 범위를 함께 평가해 등급을 결정한다.

보안 정책(Security Policy)에서는 시스템이 구현하는 보안 규칙과 관행을 검토한다. 여기에는 임의적 접근 제어와 강제적 접근 제어 정책이 포함된다.

책임성(Accountability)은 사용자 식별과 인증, 감사 추적(audit trail), 안전한 통신을 다룬다. 누가 어떤 행위를 했는지 추적할 수 있는가가 핵심이다.

보증(Assurance)은 시스템 아키텍처와 시스템 무결성, 보안 테스트, 설계 명세 및 검증을 포괄한다. 기능이 존재한다는 사실을 넘어 그 기능을 신뢰할 근거를 요구하는 영역이다.

문서화(Documentation)에는 보안 기능 사용 설명서, 테스트 문서, 설계 문서, 설계 사양이 포함된다.

TCSEC가 모든 환경을 포괄하지 못한 이유

TCSEC은 보안 평가를 체계화했다는 점에서 의미가 크지만, 군사 환경에 맞춰 설계된 기준이기도 했다. 상업 환경보다 군사 환경에 초점을 두었고, 기밀성에 비해 무결성과 가용성을 충분히 평가하지 못했다.

평가 대상이 전체 시스템보다는 개별 제품에 집중됐다는 한계도 있다. 네트워크 환경의 보안은 충분히 고려되지 못했다. 새로운 기술과 위협에 대응하기에는 등급 체계가 경직돼 있었으며, 단계적 평가 구조는 유연성을 제한했다.

평가 과정이 길고 비용이 많이 든다는 점도 문제였다. 기술 발전 속도를 따라가지 못하는 경우가 발생했다.

공통평가기준으로 확장된 보안 평가

TCSEC의 제약을 보완하기 위해 국제 표준인 공통평가기준(Common Criteria)이 개발됐다.

⤢✕

CC는 ISO/IEC 15408로 표준화됐으며, 여러 국가에서 평가 결과를 상호 인정할 수 있도록 했다. 평가 범위도 제품(TOE: Target of Evaluation)뿐 아니라 프로세스로 확장했고, 네트워크 환경의 보안 요소를 고려한다.

보호 프로파일(PP: Protection Profile), 보안 목표명세서(ST: Security Target), 평가보증등급(EAL: Evaluation Assurance Level)을 도입해 평가 구조의 유연성을 높였다. 기밀성만이 아니라 무결성과 가용성도 균형 있게 평가하며, 다양한 환경과 요구사항을 반영할 수 있다.

평가 체계가 적용된 시스템

TCSEC 체계에서는 IBM의 RACF(Resource Access Control Facility)가 B1 등급을 획득했다. 이는 메인프레임 환경의 접근 제어 시스템이다.

Digital Equipment Corporation의 VMS는 C2 등급을 획득했으며, 운영체제 수준의 보안 기능을 구현했다. Honeywell의 SCOMP(Secure Communications Processor)는 A1 등급을 획득한 최초의 시스템으로, 군사용 시스템에서 높은 수준의 보안을 제공했다.

현대의 CC는 스마트카드와 보안 모듈에 적용되며, 이들은 EAL4+ 이상의 등급으로 평가되고 금융 보안 환경에서 널리 사용된다. 민감한 정보를 다루는 정부 기관 시스템에는 CC 인증이 요구되며, 국가 간 보안 제품의 상호 인정에도 활용된다. 최근에는 IoT 장치 보안성 평가에도 CC 기준이 적용되고, 경량화된 평가 방법론이 개발 중이다.

현재 보안 설계에 남은 TCSEC의 관점

TCSEC이 남긴 계층적 보안 등급 개념은 CC의 EAL 등급 체계에 개념적 기초를 제공했다. 높은 보증 수준의 시스템 개발에 형식적 방법론을 적용하려는 관점도 현대 고보증 소프트웨어 개발에 영향을 주고 있다.

참조 모니터 개념은 현대 보안 커널 설계의 기초가 됐고, 마이크로커널 아키텍처와 가상화 기술에도 영향을 미쳤다. Bell-LaPadula와 Biba 같은 보안 모델의 활용을 확산시킨 점 역시 정형화된 보안 정책 설계의 기반으로 볼 수 있다.

TCSEC은 CC로 대체됐지만, 보안 정책 모델, 참조 모니터, 보증이라는 문제의식은 현대 보안 평가와 인증 체계에서도 계속 사용된다.