북한 김일성종합대학 연구진이 데이터베이스(DB) 보안과 관련된 연구 내용을 러시아 학술지에 발표한 것으로 확인됐다. 북한과 러시아의 IT 및 사이버보안 협력이 진행되고 있는 것으로 추정된다.

대북 소식통에 따르면 최성란 김일성종합대학 정보과학부 부교수가 러시아 학술지 ‘정보기술: 문제와 해결책(Информационные технологии Проблемы и решения)’에 ‘관계형 자료기지관리 체계에서 행표식 보안 방책에 의한 강제접근 조종 실현의 한 가지 방법’이라는 연구 내용을 투고했다. 김일성종합대학은 이같은 내용을 대학 홈페이지를 통해 소개했다.

대학은 접근조종이 정보체계의 각종 자원들에 대한 여러 목적의 접근에 대해 그 접근이 합법적인가를 검증하고 합법적인 접근만을 허용하도록 조종하는 기술이라고 설명했다. 접근조종은 그것을 누가 책임지는가에 따라 자유접근조종(DAC)과 강제접근조종(MAC)으로 나눈다고 한다.

일반적으로 MySQL, PostgreSQL과 같은 원천공개형(오픈소스) 관계형 자료기지(DB) 관리체계들에서는 SQL92표준에 따르는 GRANT와 REVOKE 명령문에 의한 DAC를 실현한 것에 기초해 역할들을 정의하고 RBAC를 적용하고 있다는 것이다. DAC와 RBAC는 접근조종행렬모형에 기초하고 있기 때문에 잠복통로를 통한 정보의 누출을 막을 수 없는 결함이 있다고 대학은 지적했다. 

PostgreSQL에서는 SELinux와 결합된 sepgsql모듈을 이용해 MAC를 지원하고 있다고 한다.

또 오라클(Oracle)에서는 VPD(Virtual Private Database)에서의 행준위보안, OLS(Oracle Label Security) 등을 이용해 MAC를 실현함으로써 정보흐름을 엄격히 통제할 수 있는데 이것들은 모두 PL/SQL함수를 이용하며 다른 체계들에 이식하기 힘들다고 한다.

북한 연구진은 일반적인 관계형 DB 관리체계들에서 SELinux나 PL/SQL함수의 도움이 없이 SQL명령문들을 추가해 MAC를 실현할 수 있는 행표식보안방책을 개발했다는 것이다.

연구진은 자신들이 제안한 방법과 기존의 MySQL, PostgreSQL, 오라클에서의 접근조종방법과 비교한 결과 오라클에서의 보안과 비슷하지만 정보접근의 유연성 측면에서 우월한 점이 있다는 것을 밝혔다고 주장했다.

대학은 행표식보안방책을 이용한 관계형 DB 관리체계에서의 접근조종은 사용자 중심의 자유접근조종방식이 가지고 있는 기밀자료 누출 현상을 극복하고 정확한 정보흐름을 제공할 수 있는 보안관리자 중심의 강제접근조종방식이며 관계형 DB의 SQL명령문을 이용해 보안기구사용의 편리성을 실현한 우월한 보안체계라고 설명했다.

북한 연구진이 언급한 MySQL, PostgreSQL, 오라클 등은 국내외에서 널리 쓰이는 데이터베이스관리시스템(DBMS)이다. 북한도 이들 DBMS를 사용하고 있는 것으로 추정된다. 또 연구 내용으로 볼 때 북한에서도 DB 보안 강화를 추진하고 있는 것으로 보인다.

북한 연구진이 러시아 학술지에 자신들의 보안 기술 연구 내용을 투고, 개재한 것으로 볼 때 북한과 러시아가 IT, 사이버보안 분야에서 협력을 추진하고 있는 것으로 보인다.

* 독자님들의 뉴스레터 신청(<-여기를 눌러 주세요)이 NK경제에 큰 힘이 됩니다. 많은 신청 부탁드립니다.