PBAC-ZTA: A Trust-Adaptive Polynomial-Based Access Control Framework for Continuous Authorization in Zero-Trust Cloud Environments

디지털 시대에 클라우드 컴퓨팅은 기업의 재무 기록부터 개인 사진에 이르기까지 모든 것을 호스팅하며 현대 생활의 보이지 않는 토대가 되었습니다. 수십 년 동안 보안은 네트워크 주변에 높은 벽을 쌓고 그 안에 있는 사람들을 신뢰한다는 단순한 아이디어에 의존해 왔습니다. 하지만 업무가 클라우드로 이동하고 직원들이 커피숍이나 홈 오피스에서 시스템에 접속하기 시작하면서 그 벽은 무용지물이 되었습니다. 해커들은 도난당한 비밀번호를 통해 침입할 수 있었고, 일단 내부로 들어오면 자유롭게 이동할 수 있었습니다. 이러한 실패는 제로 트러스트(Zero Trust)라고 불리는 새로운 철학으로 이어졌습니다. 핵심 아이디어는 단순하지만 까다롭습니다. 아무도 믿지 말고, 심지어 이미 시스템 내부에 있는 사람조차 믿지 말라는 것입니다. 대신, 모든 개별 액세스 요청은 사용자가 누구인지뿐만 아니라, 그들의 기기, 위치, 그리고 행동을 실시간으로 확인하며 지속적으로 검증해야 합니다.

보안 전문가들의 과제는 이 지속적인 검증을 전체 시스템을 느리게 만들지 않으면서 어떻게 빠르고 안전하게 만드느냐 하는 것입니다. 전통적인 방식은 종종 디지털 토큰이나 정적인 규칙에 의존하는데, 이는 사용자의 위험 수준이 변할 때 업데이트 속도가 느릴 수 있습니다. 마하트마 간디 미션 대학교(Mahatma Gandhi Mission University) 연구진의 새로운 연구는 다른 접근 방식을 제안합니다. 그들은 수학을 사용하여 데이터 액세스 권한을 사용자의 현재 신뢰 수준과 직접 연결하는 프레임워크를 개발했습니다. 단순히 규칙 목록을 확인하는 대신, 이 시스템은 모든 액세스 요청에 대해 고유한 수학적 키를 생성합니다. 만약 사용자의 행동이 변하거나 신뢰 점수가 떨어지면, 키는 즉시 무효화되어 피해가 발생하기 전에 액세스를 차단합니다.

연구진은 이 창작물을 PBAC-ZTA라고 부르며, 이는 신원, 맥락, 행동을 하나의 안전한 의사 결정 과정으로 결합한 시스템입니다. 이 아이디어가 실제 세계에서 작동하는지 테스트하기 위해, 그들은 500명의 클라우드 사용자로 구성된 데이터셋을 사용하여 시뮬레이션 환경을 구축했습니다. 이 사용자들에게는 관리자나 감사자와 같은 다양한 역할을 부여했으며, 로그인 시간, 사용한 기기, 최근 로그인 실패 여부와 같은 요소에 따라 서로 다른 신뢰 수준을 할당했습니다. 연구팀은 시스템이 이러한 수학적 키를 얼마나 빠르게 생성하는지, 액세스를 허용하기 위해 키를 얼마나 정확하게 재구성하는지, 그리고 사용자가 더 이상 신뢰받지 못할 때 얼마나 잘 액세스를 취소하는지 확인하기 위해 수천 번의 실험을 수행했습니다.

결과는 이 시스템이 매우 빠르고 정밀하다는 것을 보여주었습니다. 테스트에서 이 프레임워크는 100분의 1 밀리초 미만 만에 사용자를 위한 새로운 액세스 키를 생성할 수 있었습니다. 여러 증거를 결합하여 사용자의 신원을 검증해야 할 때, 시스템은 테스트된 모든 시나리오에서 완벽한 정확도로 성공했습니다. 아마도 가장 중요한 점은 시스템이 적응력을 갖추었다는 것입니다. 연구진이 사용자의 신뢰 점수 하락(예: 낯선 장소에서 로그인하거나 특이한 시간에 로그인하는 경우)을 시뮬레이션했을 때, 시스템은 액세스를 허용하기 위해 더 많은 증거를 자동으로 요구했습니다. 시스템은 데이터를 다시 암호화하거나 전체 보안 프로세스를 재시작하지 않고도 이를 수행했는데, 이는 기존 시스템의 흔한 병목 현상이었습니다.

가장 유의미한 발견 중 하나는 이 시스템이 액세스 취소를 처리하는 방식이었습니다. 많은 전통적인 설정에서 사용자의 권한을 제거하는 것은 느리고 복잡하며, 종종 보안 키의 전면적인 개편을 요구하기도 합니다. 이 새로운 프레임워크에서 연구진은 '에포크(epoch)'라고 불리는 새로운 시간 기반 주기로 이동함으로써 사용자의 액세스를 거의 즉각적으로 무효화할 수 있다는 것을 발견했습니다. 일단 이 주기가 바뀌면 기존의 키는 쓸모없게 되며, 권한이 취소된 사용자는 더 이상 시스템에 접속할 수 없습니다. 이 전환에 걸린 시간은 밀리초의 파편 단위로 측정되었으며, 이는 시스템이 사후 처리가 아닌 위협이 발생하는 즉시 반응할 수 있음을 시사합니다.

연구는 또한 서로 다른 유형의 정보가 시스템의 보안에 어떤 영향을 미치는지 조사했습니다. 연구진은 신원 세부 정보, 환경적 맥락, 행동 패턴을 혼합하여 사용하는 것이 신원만을 사용하는 것보다 훨씬 강력한 방어를 구축한다는 것을 발견했습니다. 그들은 사용자가 통상적으로 얼마나 오래 로그인 상태를 유지하는지 또는 비밀번호 입력에 몇 번 실패했는지와 같은 행동 데이터가 공격자가 올바른 액세스 키를 추측하기 어렵게 만드는 복잡성을 더한다는 것을 발견했습니다. 이러한 패턴을 분석함으로써, 시스템은 높은 민감도로 의심스러운 활동을 감지하고 잠재적인 내부 위협을 매우 낮은 오보율로 식별할 수 있었습니다.

결과가 유망하기는 하지만, 연구진은 이러한 결과가 통제된 시뮬레이션에서 나온 것임을 주의 깊게 언급합니다. 테스트는 합성 데이터셋을 사용하여 단독 컴퓨터에서 실행되었으며, 이는 네트워크 트래픽으로 인한 지연이나 전 세계의 수천 개 서버를 관리하는 복잡성을 고려하지 않았음을 의미합니다. 시스템은 고립된 상태에서는 매우 우수한 성능을 보였으나, 저자들은 실제 세계에 배포할 경우 거대한 분산 클라우드 네트워크의 압력 속에서도 잘 버틸 수 있는지 확인하기 위한 추가 테스트가 필요함을 인정했습니다. 또한 수학적 재구성은 항상 정확했지만, 이상 징후를 감지하는 시스템의 능력은 수신되는 데이터의 품질에 달려 있다고 언급했습니다.

이 연구는 제로 트러스트를 실용적으로 만드는 데 있어 중요한 진전을 나타냅니다. 신뢰 규칙을 데이터를 보호하는 수학적 키에 직접 내장함으로써, 이 시스템은 정책과 집행 사이의 간극을 제거합니다. 별도의 보안 팀이 사용자의 입장을 확인하는 대신, 수학 자체가 결정합니다. 사용자가 신뢰받으면 키가 작동하고, 그렇지 않으면 실패합니다. 이러한 접근 방식은 속도나 유연성을 희생하지 않으면서 클라우드 환경을 안전하게 유지하는 방법을 제공합니다. 연구진은 이 방법이 위협이 끊임없이 진화하고 안전한 경계라는 개념이 더 이상 존재하지 않는 시대에 민감한 데이터를 보호하는 표준이 될 수 있다고 제안합니다.

결론적으로, 이 연구는 수학적으로 엄격하면서도 동적으로 반응하는 보안 시스템을 구축하는 것이 가능하다는 것을 입증합니다. 프레임워크는 지속적인 검증의 필요성과 현대 클라우드 애플리케이션에 필요한 속도를 성공적으로 결합했습니다. 이것이 모든 보안 문제를 해결하는 마법 같은 해결책은 아닐지라도, 차세대 클라우드 보호를 위한 견고한 토대를 제공합니다. 조직이 운영을 클라우드로 계속 이전함에 따라, 이러한 시스템은 신뢰를 결코 가정하지 않고 실시간으로 항상 검증하는 데 필수적일 것입니다.