54페이지 내용 : 보안항목 보안인증 기준 적용대상 제품 앱/모듈 사용자 인증 AU1-1 처음 제품을 사용할 때 인증정보를 설정하도록 요구하거나, 초기 인증정보를 변경하도록 요 구해야 한다. ? AU1-2 관리서비스 및 중요정보 접근 시 사용자 신원을 검증하기 위해 식별 및 인증이 선행되어야 한다. ? AU1-3 잘못된 인증정보를 통한 반복된 인증 시도를 제한해야 한다. ? AU1-4 제품의 초기 인증정보는 유일한 값으로 설정되어야 한다. ? AU1-5 제품에서 사용되는 사용자 계정 및 권한에 대한 관리 기능을 제공해야 한다. ? AU1-6 모든 사용자 계정에 대해 최소 권한의 원칙을 적용해야 한다. ? AU1-7 관리자 계정에 대해서는 동시 접속을 제한해야 한다. ? AU1-8 길이, 주기, 복잡성을 고려하여 안전한 비밀번호로 설정되도록 해야 한다. ? 인증정보의 안전한 사용 AU2-1 인증정보는 하드코딩되거나 평문으로 저장되지 않아야 한다. ? AU2-2 인증을 위한 비밀번호 입력 시 화면에 노출되지 않도록 마스킹 처리해야 한다. ? AU2-3 인증 실패 시 실패 사유에 대한 피드백 정보를 제공하지 않아야 한다. ? 제품 인증 AU3-1 하드웨어 제품은 각각의 고유 식별정보를 보유해야 한다. ? AU3-2 제품 간 중요정보 전송 시 혹은 제품 제어를 위한 상호연결 수행 시 상호인증이 선행되어야 한다. ? 표 2 ‘인증’ 관련 점검기준 [?필수적용, -적용대상 아님] 보안항목 보안인증 기준 적용대상 제품 앱/모듈 안전한 암호 알고리즘 사용 CR1-1 중요정보 전송 또는 저장 시 안전한 암호 알고리즘을 사용해야 한다. ? 안전한 키 관리 CR2-1 암호키는 안전성이 검증된 방법으로 생성·갱신·분배·사용·저장·파기 되어야 한다. ? 안전한 난수 생성 CR3-1 난수 생성 시 난수성이 검증된 알고리즘을 이용해야 한다. ? 표 3 ‘암호’ 관련 점검기준 [?필수적용, -적용대상 아님] 하다. 유형별 보안인증 기준은 표 2 부터 표 6 에 상세히 기술하였다. 2.4 IoT 보안인증 국내현황 한국인터넷진흥원에서는 국민의 실생활과 밀접한 IoT 제품에 대해서 보안내재화를 촉진하고 안전성을 확보하기 위해 기본적 요건에 대한 기준을 마련하여 IoT 보안인증 서비스를 2017년 12월부터 시행하고 있다. IoT 보안인증 서비스는 산업 발전을 저해하지 않으면서 민간의 자율적 보안성 강화를 유도하기 위 해 자율인증 방식으로 시행 중이다. 또한, 업계의 부 담을 완화하기 위해 현재는 무료로 시행 중에 있다. 2019년 10월까지 국내에서 IoT 보안인증서를 취득 한 제품은 표 7 과 같이 총 19개이며, 등급별로는 10개 제품이 Basic 등급의 인증서를 받았고, 9개의 제품이 Lite 등급 인증서를 취득했다. T T A J o u r n a l v o l 1 8 652