Hardware Security Module 개념

VPC 환경에서 이용 가능합니다.

Hardware Security Module 서비스를 이용하는 전체 시나리오를 학습하기에 앞서 Hardware Security Module 서비스에 대한 중요한 몇 가지 개념을 설명합니다. 설명하려는 주요 개념은 다음과 같습니다.

• 서비스 구성
• 역할 구성

서비스 구성

Hardware Security Module 서비스의 구성 요소는 다음과 같습니다.

• HSM Pool: 지역적으로 떨어진 두 Zone에 구성되며, 외부로부터 접근이 철저하게 차단되어 격리 운영됩니다. HSM 생성 요청 시 HSM Pool은 파티션 형태로 생성되어 할당됩니다. 파티션 사용 종료 시 HSM Pool로 반납된 HSM 객체는 SafeNet의 Secure Wipe-off 절차에 따라 즉시 파기되어 안전하게 초기화됩니다.
• HSM: 사용자 요청 시 사용자 전용으로 할당되는 HSM 리소스로, 각 파티션은 약 500 KB의 용량을 제공하며 256비트 기준 1,600개 정도의 키를 저장할 수 있습니다. HSM 파티션은 각각 단독으로 사용하거나 HA 및 백업 구성으로 서로 연결해 사용할 수 있습니다. 생성 시점부터 HSM 파티션 사용 요금이 부과됩니다.
• 연결: HSM에 접근할 수 있는 유일한 통신 경로입니다. 네이버 클라우드 플랫폼 VPC 상에 SafeNet Luna Client 서버를 생성하고 이 서버 인스턴스를 통해 HSM 파티션에 연결합니다. 연결 생성 시점부터 HSM 연결에 대한 사용 요금이 부과됩니다.
• HSM Client: HSM 생성 및 연결 설정한 이후부터는 파티션 관리자/사용자만이 SafeNet Luna Client를 통해 HSM 파티션에 접근하고 관리할 수 있습니다.

역할 구성

SafeNet Luna Network HSM의 설계 정책에 따라 어플라이언스 관리자와 HSM 파티션 관리자/사용자의 역할은 명확하게 구분되어 있습니다. 역할별 설명은 다음과 같습니다.

어플라이언스 레벨 역할

네이버 클라우드 플랫폼 콘솔에서 Hardware Security Module 서비스 이용을 신청한 후, VPC에 HSM 클라이언트 서버를 구성하고 HSM과 연결을 설정합니다.

• Hardware Security Module 서비스 이용 신청 : 네이버 클라우드 플랫폼 콘솔에서 서비스 이용을 신청합니다.
• HSM 생성: 네이버 클라우드 플랫폼 콘솔에서 HSM을 생성하여 HSM 파티션을 할당받습니다.
• HSM 연결: 네이버 클라우드 플랫폼 콘솔에서 HSM 장비와 HSM 클라이언트 서버 간에 연결을 설정합니다.

파티션 레벨 역할

파티션 관리자는 SafeNet Luna Client를 통해 HSM 파티션에 독립적으로 접근할 수 있는 권한을 가집니다. SafeNet Luna Client는 네이버 클라우드 플랫폼 VPC 상 서버 인스턴스로 구동되는 전용 클라이언트로서, 인증서를 교환하여 HSM 파티션에 연결합니다. SafeNet Luna Client는 다음의 기능을 제공합니다.

• 사용자 관리: 사용자 추가, 사용자 권한 초기화, 사용자 비밀번호 변경
• 파티션 관리: 파티션 초기화
• HA 구성: HA 그룹 생성, HA 그룹 멤버 추가, HA 전용 모드 설정, 복구 횟수 설정, 로그 설정
• 연동 설정: Nginx 웹 서버, OpenSSL, Oracle TDE, On-premise HSM, BIP32, 도커