[전자상거래] PGP - PKI 기반 공개키 인증

PKI의 간단한 요약

PGP의 PKI기반 공개키 인증을 이해하려면 PKI의 기본적인 이해가 필요하다.

PKI를 단순 요약하자면 인증서를 발급해주는 CA의 모든 구성원들이 CA를 전적으로 100% 신뢰하는 것이다. 

PKI 간단한 요약

 

그렇다면 PGP에서는 어떤 방식으로 공개키 인증을 할까?

 

공개키를 왜 인증해주어야 하는가?

공개키는 모든 사람에게 공개될수 있는 특성을 갖기 때문에 위조,가장 공격이 가능하기 때문에 인증을 해주어야함.

 

PKI와 PGP에서의 공개키 인증 방법의 차이??

PKI는 인증기관을 신뢰하는 것이고, PGP는 나 자신을 신뢰함. 

---

PGP의 공개키 인증

CA의 모든 구성원들이 CA를 전적으로 신뢰한다는 가정을 기반으로하는 PKI와 다르게, PGP에서는 나 자신을 신뢰한다는 가정을 기반으로 공개키 인증을 한다.

 

- 나 자신을 100% 신뢰하고, 나 자신을 중심으로 신뢰 네트워크를 만들어가는 수평적 인증 구조임

- 아래 그림은 A는 B를 신뢰, B는 C와 D를 신뢰, B와 D는 상호신뢰관계에 있는 것을 보여준 것.

 

 

Q1 : A가 C의 공개키를 갖고 있다하면 A는 C의 공개키를 신뢰할까?

A1 : A는 B를신뢰하고, B는 C를신뢰하기때문에  A는 C를 모름에도 불구하고 C의 공개키를 신뢰하여 인증한다.

Q2. A가 C를 신뢰 (수평적 인증 구조)

 

 

Q2 : D는 C를 신뢰할 수 있나? D는 C를 모름.

A2 : D는 B를 신뢰하고 B는 C를 신뢰하기 때문에 D도 C를 신뢰하여 인증 가능.

 

 

Q3 : C는 D를 신뢰할 수 있나? C는 D를 모름.

A3 : C는 B를 신뢰하지 않기 때문에, B가 신뢰하는 D를 신뢰하지 않음.

 

 

Q4 : A가 B의 공개키를 갖고있다 생각을 해보자. A는 B의 공개키를 신뢰할까?

A4 : A는 B를 신뢰하기 때문에 B의 공개키를 신뢰하여 인증한다.

 

 

Q5 : B가 A,C,D의 공개키를 갖고있다하면 어떤 공개키를 신뢰할까?

A5 : B는 C,D를 신뢰하지만 A를 신뢰하지 않으므로 C,D의 공개키만 신뢰하여 인증한다.

 

 

이렇게 각자의 입장에서 공개키를 인증하는 수평적 인증 매커니즘을 갖고 있다.

---

PGP의 공개키 인증 요소

PGP에서 공개키는 세 가지 요소로 인증하게 됨. (A가 B의 공개키를 가지고 있다고 가정)

 

1. Key Legitimacy

- A의 사용자 B의 공개키에 대한 신뢰도를 의미

- Owner Trust와  Signature Trust 값에 의해 자동으로 계산되어 결정됨

- unknown은 0% 신뢰한다는것이고, key ownership not trusted는 33%, marginal trust는 66%, complete trust는 100%

  신뢰한다는 의미

 

 

2. Owner Trust

- A에게 B의 공개키를 건네 준 중개자에 대한 A의 신뢰도를 의미.

- A가 직접 입력 (pubring.pgp)

- undefined는 0%, not trusted to sign은 25%, usually trusted to sign은 50%, always trusted to sig은 75%, this key is

  present in secret key ring은 100% 신뢰한다는의미

 

 

3. Signature Trust

- B의 공개키를 서명한 서명자들에 대한 A의 신뢰도를 의미.

- 서명을 붙인 사용자의 Owner Trust 값을 복사.

- undefined는 0%, not trusted to sign은 25%, usually trusted to sign은 50%, always trusted to sig은 75%, this key is

  present in secret key ring은 100% 신뢰한다는의미