Architecture-Derived CBOMs for Cryptographic Migration: A Security-Aware Architecture Tradeoff Method

1. 문제 정의 (Problem)

현재 소프트웨어 시스템은 알고리즘 폐기, 규제 변화, 그리고 양자 컴퓨팅 대비 (Post-Quantum Cryptography, PQC) 필요성으로 인해 지속적인 암호화 이주 (Migration) 를 요구받고 있습니다. 그러나 기존 접근 방식에는 다음과 같은 한계가 존재합니다.

• 문맥 부재의 CBOM: 기존의 암호화 물품 목록 (Cryptographic Bill of Materials, CBOM) 은 주로 도구 기반이나 정적 분석을 통해 생성됩니다. 이는 단순히 사용된 알고리즘, 라이브러리, 키 파라미터를 나열하는 '인벤토리 (Inventory)'에 그칩니다.
• 아키텍처적 투명성 부족: 이러한 목록들은 암호화가 왜 사용되었는지, 어떤 위협을 완화하기 위한 것인지, 그리고 어떤 아키텍처적 의사결정이 암호화 변경을 제약하는지에 대한 **설계 의도 (Rationale) 와 보안 문맥 (Context)**을 제공하지 못합니다.
• 이주 계획의 어려움: 보안 영향도, 실행 가능성, 리스크 평가 없이 암호화 메커니즘을 교체하는 것은 시스템의 보안 속성을 훼손하거나 의도하지 않은 보안 후퇴 (Regression) 를 초래할 수 있어, 체계적인 이주 계획을 어렵게 만듭니다.

2. 방법론: SATAM (Security-Aware Architecture Tradeoff Analysis Method)

이 논문은 위 문제를 해결하기 위해 SATAM이라는 새로운 방법론을 제안합니다. SATAM 은 시나리오 기반 아키텍처 평가 (ATAM) 를 보안에 특화되도록 적응시킨 것으로, 암호화 의사결정을 명시적이고 추적 가능하게 만들어 아키텍처 기반의 CBOM 을 도출합니다.

핵심 구성 요소 및 통합 기술

SATAM 은 다음과 같은 기존 방법론들을 통합하여 작동합니다:

1. ATAM (Architecture Tradeoff Analysis Method): 아키텍처 평가의 기본 골격으로 사용되며, 품질 속성 시나리오를 기반으로 리스크와 트레이드오프를 분석합니다.
2. arc42: 아키텍처 설명의 표준 템플릿으로, 보안이 읽을 수 있는 아키텍처 (신뢰 경계, 암호화 종료 지점 등) 를 제공합니다.
3. STRIDE: 아키텍처 요소와 데이터 흐름에 적용하여 구체적인 보안 위협을 식별합니다.
4. Security QAS (Quality Attribute Scenarios): 식별된 위협을 시스템이 충족해야 하는 측정 가능한 보안 요구사항 시나리오로 변환합니다.
5. ADR (Architecture Decision Records): 암호화 선택 (알고리즘, 프로토콜, 키 관리 등) 에 대한 의사결정, 근거, 결과를 문서화합니다.
6. CARAF (Crypto Agility Risk Assessment Framework): 암호화 이주 리스크 (특히 양자 컴퓨팅 대비 능력) 를 정성적/정량적으로 평가하는 프레임워크입니다.

SATAM 프로세스 흐름

1. 준비 및 킥오프: 보안 이해관계자 식별, 보안 책임 정의, arc42 기반 아키텍처 문서 준비.
2. 아키텍처 분석: arc42 아키텍처를 보안 관점에서 분석하고, STRIDE 를 적용하여 위협을 식별합니다.
3. 시나리오 및 의사결정 도출:
   • 위협을 Security QAS로 변환합니다.
   • QAS 를 해결하기 위한 암호화 접근 방식을 ADR로 문서화합니다.
4. 리스크 평가 및 CBOM 생성:
   • ADR 기반의 결정에 CARAF를 적용하여 이주 리스크 (시간, 비용, 양자 내성 등) 를 평가합니다.
   • 최종적으로 아키텍처 분석 결과 (ADR, QAS, CARAF 평가) 를 CycloneDX 호환 확장을 통해 주석 처리된 CBOM 항목에 통합합니다.

3. 주요 기여 (Key Contributions)

1. SATAM 방법론 제안: 암호화 의사결정과 그 보안 근거를 명시적으로 포착하는 보안 인식 아키텍처 평가 방법론을 제시했습니다.
2. 추적성 모델 (Traceability Model): 아키텍처 요소, 보안 위협, 설계 의사결정 (ADR), 그리고 암호화 자산 (CBOM 항목) 간의 명시적인 추적 관계를 정의했습니다.
3. 문맥 민감형 CBOM 도출 방법: 단순 인벤토리가 아닌, 보안 의도, 아키텍처적 근거, 그리고 이주 관련 메타데이터 (리스크 평가 등) 가 포함된 CBOM 을 생성하는 방법을 제시했습니다.
4. CARAF 통합: 아키텍처 기반 산출물이 암호화 리스크 평가 (특히 양자 대비) 에 구조화된 입력을 제공할 수 있음을 입증했습니다.

4. 결과 및 검증 (Results & Evaluation)

• 개념적 증명 (Proof-of-Concept): 중규모의 복잡한 시스템 (API 게이트웨이, 백엔드 서비스, DB, 외부 ID 제공자 포함) 을 예시로 SATAM 을 적용했습니다.
• 흐름 입증: arc42 아키텍처 → STRIDE 위협 → Security QAS → ADR → CARAF 평가 → 주석 처리된 CBOM으로 이어지는 데이터 흐름이 성공적으로 구현됨을 보였습니다.
• 구체적 사례: 서비스와 DB 간의 데이터 흐름에서 '무결성 및 기밀성' 위협을 식별하고, 이를 TLS 1.3 강제 및 인증서 유효성 검사로 해결하는 ADR 을 생성했으며, 이를 바탕으로 이주 비용과 양자 내성 리스크를 평가하는 CARAF 레코드를 생성했습니다.
• 효과: 기존 도구 기반 CBOM 에는 없었던 "왜 (Why)"와 "어떤 리스크가 있는가 (Risk)"에 대한 정보를 포함함으로써, 암호화 이주 계획 수립에 필요한 정보의 가용성을 크게 향상시켰습니다.

5. 의의 및 중요성 (Significance)

• 보안 투명성 및 의사결정 지원: 암호화 이주가 단순한 기술 교체가 아닌, 아키텍처적 제약과 보안 목표에 기반한 전략적 결정임을 강조합니다.
• 장기적 암호화 민첩성 (Crypto Agility): 시스템이 미래의 위협 (양자 컴퓨팅 등) 에 대응하고 암호화 알고리즘을 유연하게 변경할 수 있는 능력을 평가하고 개선하는 데 필수적인 기반을 제공합니다.
• 표준화 및 호환성: CycloneDX 와 같은 표준 형식을 확장하여 아키텍처 기반의 풍부한 메타데이터를 기계가 읽을 수 있는 형식으로 제공함으로써, 자동화된 보안 관리 및 규정 준수 도구와의 연동 가능성을 높였습니다.

결론적으로, 이 논문은 암호화 이주 계획을 위한 핵심 도구로서, 단순한 자산 목록을 넘어 아키텍처적 설계 의도와 보안 리스크가 통합된 지능형 CBOM을 생성하는 체계적인 방법론 (SATAM) 을 제안함으로써, 복잡한 시스템의 장기적인 보안 무결성을 보장하는 데 기여합니다.