의견.png 의견.png

권한

위키원
dudrb0106 (토론 | 기여)님의 2021년 8월 3일 (화) 17:51 판 (→‎유닉스의 권한 권리)
이동: 둘러보기, 검색

권한(權限,right(s))이란 타인을 위하여 일정한 법률효과를 발생시킬 수 있는 지위 또는 자격을 말한다.[1]

개요

권한은 권리(權利,right(s))와 유사하지만, 권리는 자신을 위하여 가지는 법률(法律,law)상의 이익인 점에 대하여 권한은 타인을 위하여 법률효과를 발생시킬 수 있는 일정한 지위 또는 자격(資格,qualification)이라는 것과 다르다. 범위는 당사자의 의사와 법률관계의 명확성과 안정성을 도모하기 위하여 그 범위를 법률로써 정하고 있는 경우가 많다.[1]

법률

전자

수권행위(授權行爲)에 의한 임의대리인의 대리권(민법 제118조), 이사의 대표권의 제한(59조)[1]

후자

법정대리인의 대리권(민법 제24·25조), 상업사용인(商業使用人)의 대리권(상법 제11·16조)[1]

정보 보안 쪽 에서의 권한 개념

  1. 데이터베이스의 보안을 유지하기 위해, 계정이 발급된 사용자가 로그인에 성공했을 경우에만 데이터베이스에 접근이 가능하도록 하는 접근 제어(access control) 기능을 기본으로 제공한다.
  2. 그러므로 모든 사용자는 자신에게 발급된 계정으로 로그인해야 데이터베이스에 접근할 수 있다.[2]
  3. 디스크상의 파일들을 읽고, 쓰고, 지우고, 갱신하며, 수행시키는 것에 대하여 사용자에 따라서 나오는 특권[3]

정보 권한 관리

정보 권한 관리(Information Rights Management , 情報權限管理)는 정보 문서 또는 전자 메일 메시지에 액세스하고 이용할 수 있는 사람을 지정하고, 인증받지 않은 사용자가 이런 디지털 지적 자산을 인쇄, 전달, 복사하는 것을 차단하여, 디지털 지적 자산이 무단으로 이용되지 않도록 관리 해주는 것이다.[4]

등장 배경

무분별한 권한 확대는 사용자가 받지 않은 권한을 부여하게 되므로 이렇게 되면 악의적으로 쓰는 사용자가 많아지고 보안 영역이 취약해지는 결과가 오기 때문이다.

데이터베이스 권한

데이터베이스(database)에서의 권한(authority)은 사용자가 특정 테이블에 접근할 수 있도록 하거나 해당 테이블에 데이터베이스 언어 (SQL)(데이터 정의어(DDL), 데이터 조작어(DML),데이터 제어어(DCL))문을 사용할 수 있도록 제한을 두는 것을 말한다.

관리

데이터베이스 종류에 따라 권한을 좀 더 세부적이거나 기능적으로 생성하기도 하지만 기본적으로 질의문(Query)과 뷰(View)로 관리한다.[5]

질의문

기본적으로 3가지 종류의 질의문을 가지고있다.(DDL,DML,DCL)이 언어들은 위에서 나온 데이터베이스 언어이다.[6]

DDL

DDL(Data Definition Language)은 데이터 구조를 정의하는 질의문으로 주로 처음 생성 할 때 사용한다.(운용 중에는 잘 안 한다.)명령문 종류는(CREATE,DROP,ALTER)[5]

  1. CREATE : 데이터베이스 객체를 생성하는 명령문이다.
  2. DROP : 데이터베이스 객체를 삭제하는 명령문이다.
  3. ALTER : 기존의 데이터베이스 객체를 다시 정의할 때 사용하는 명령문이다.

DML

DML(Data Manipulation Language)데이터베이스의 운영 및 사용과 관련해 가장 많이 사용하는 언어이다. 데이터의 검색과 수정 등을 주로 처리한다.명령문 종류는(SELECT,INSERT,UPDATE,DELETE)[5]

  1. SELECT : 사용자가 테이블이나 뷰의 내용을 읽고 선택할 때 쓰는 명령문이다.
  2. INSERT : 데이터베이스 객체에 데이터를 입력하는 명령문이다.
  3. UPDATE : 기존 데이터베이스 객체에 있는 데이터를 수정하는 명령문이다.
  4. DELETE : 데이터베이스 객체에 있는 데이터를 삭제하는 명령문이다.

DCL

DCL(Data Control Language)권한 관리를 위한 질의문으로 써 명령문은(GRANT,DENY,REVOKE)[5]

  1. GRANT : 데이터베이스 객체에 권한을 부여하는 명령문이다.
  2. DENY : 사용자에게 해당 권한을 금지하는 명령문이다.
  3. REVOKE : 이미 부여된 데이터베이스 객체의 권한을 취소하는 명령문이다.
  4. 권한 취소 데이터베이스(database)에서 GRANT 명령어를 통해 다른 사용자에게 권한을 부여한 사용자가 자신이 부여한 권한을 취소할 수도 있다. 다른 사용자에게 부여된 객체의 사용 권한을 취소하기 위해 필요한 SQL 명령어는 REVOKE이다.(예시:REVOKE 권한 ON 객체 FROM 사용자 CASCADE | RESTRICT;)[7]

DDL과 DML은 DCL에 의해 허용(Grant) 또는 거부(Deny)된다.[5]

권한 부여

데이터나 프로그램 등의 특정한 자원 또는 시분할 시스템 등의 시스템 서비스에 접근할 수 있는 권한이 주어지는 것.[8]

분산 권한 부여

여러 관리자에게 권한 부여 기능이 분산되어 있는 것.[9]

권한 부여 행렬

데이터 베이스의 보안을 유지하기 위해 시스템에 유지되는 테이블로서 각 사용자에 대해 이 사용자가 접근할 수 있는 객체와 이 객체에 대해 수행할 수 있는 연산 등을 나타내며 행렬의 각 행은 사용자를 나타내고 내용은 허용되는 연산 권한을 나타낸다.[10]

권한 부여 규정

데이터 베이스에 대한 사용자의 사용 가능 범위를 나타내는 것이며, 각 사용자가 접근할 수 있는 데이터 객체와 이에 대해 수행할 수 있는 연산의 종류를 명시하는 것이다.[11]

데이터베이스 관리자 권한

권한을 가진 자가 다른 사용자에게 연산을 포함하여 특권에 속하는 데이터베이스 관리자(DBA) 권한 자체까지도 허가하는 시스템에서 어떤 유효한 연산도 수행할 수 있도록 허용[12]

권한 부여 검사

사용자가 현재 요구하고 있는 트랜잭션에 대해 그 사용자가 요구할 자격을 검사하는 것.[13]

권한 확대

  1. 권한 확대 (privilege escalation)는 보통 애플리케이션이나 사용자에 대해 보호되는 자원들에 대한 상승된 접근을 얻기 위해서 운영체제나 소프트웨어 애플리케이션에서 버그나 설계 결함, 또는 설정을 익스플로잇하는 행동을 말한다. 이것에 의한 결과는 애플리케이션이 개발자나 시스템 관리자가 의도한 것보다 높은 수준의 권한을 얻어서 비허가 행동을 할 수 있게 된다.
  2. 추상 데이터형의 표현 변수에 대한 접근을 구현된 프로시저에게 허용[14]

수직 권한 확대

  1. 이 유형의 권한 확대는 사용자나 프로세스가 시스템 개발자나 관리자가 의도한 것보다 높은 접근 수준을 가질 때 발생한다, 커널(Kernel) 수준 동작을 수행함으로써 가능해질 수 있다.
  2. 예시 : 어떤 경우에, 높은 권한의 애플리케이션은 인터페이스에 명시된 것과 일치하는 입력이 제공된다고 가정하면, 입력을 확인하지 않는다 이에 공격자는 이 가정을 익스플로잇하여 비인가된 코드를 애플리케이션의 권한으로 실행한다.[14]

수평 권한 확대

  1. 수평 권한 확대는 애플리케이션이 공격자가 애플리케이션이나 사용자에게 보호되고 있는 자원에 접근할 수 있게 허락할 때 발생한다. 이것의 결과는 애플리케이션 개발자나 시스템 관리자가 의도한 것과 같은 역할을 가지지만 다른 보안 문맥을 수행하게 된다. 이것은 효과적으로 제한적인 권한 확대의 형태이다.
  2. 취약점: 웹 애플리케이션의 취약점[14]

접근 권한

접근 권한(access right)이란 특정 이용자, 프로그램, 프로세스 또는 컴퓨터 네트워크 안의 컴퓨터 시스템에만 허용된 접근할 수 있는 권한을 말한다. 즉, 어떤 데이터 또는 프로그램을 참조하고, 그것을 특정 형태로 이용하는 것을 이용자에게 인정한 권한이다. 접근 권한의 내용은 데이터 항목(파일이나 레코드), 특정란의 판독(read), 새로운 항목의 추가(append)나 현 항목의 변경(modify) 등에 의한 기록(write), 항목의 삭제(delete) 등의 조작을 총칭하는 개념이다.[15]

접속 권한

접속 권한(access privileges)이란 어느 사이트 또는 컴퓨터의 접근(접속)에 대한 권한을 나타내는 용어이다.[16]

권한 부여 그래프

권한 부여 그래프(authorization graph)는 한 사용자로부터 다른 사용자에게로 권한이 양도되는 것을 나타내는 그래프. 사용자를 노드(node)로 나타내며, 한 사용자 Ui가 다른 사용자 Uj에게 권한을 주었을 때Ui에서Uj로 연결선을 긋는걸 나타내는 것이다.[17]

권한 수준

권한 수준(privilege level)은 프로세서에서 현재 돌아가고 있는 프로그램의 자원(메모리 영역, I/O 포트, 특별한 명령어 등)에 대한 접근을 제어하는 것 이며. 4가지 권한 수준이 존재하는 가운데 가장 높은 권한인 0부터 가장 낮은 권한인 3까지 있다. 현대 운영 체제는 커널을 위해 레벨 0을 사용하고 애플리케이션 프로그램을 위해 레벨 3을 사용한다. 레벨 n에서 사용할 수 있는 어느 자원도 레벨 n 이상부터 레벨 0까지에서도 사용할 수 있으며 그래서 권한 수준들을 보호 링이라고 한다. 낮은 권한의 프로세스가 높은 권한의 프로세스에 접근하려고 할 때 일반 보호 장애(GPF : General Protection Fault)가 OS에 의해 발생한다.[18]

응용 프로그램의 권한 관리

응용 프로그램의 경우 응용 프로그램 내의 권한도 중요하지만, 응용 프로그램 자체의 실행 권한이 더 중요하다.

  1. 모든 응용 프로그램은 운영체제에 존재하는 어떤 한 계정에 의해 실행되는데, 응용 프로그램은 자신을 실행한 계정의 권한을 물려받게 되므로 응용 프로그램이 보안상에 문제가 있는 취약한 프로그램일 때 해당 프로그램을 실행한 계정의 권한이 악용되는 문제가 발생 할 수가 있다. 응용 프로그램에 보안상 취약점이 있을 경우 공격자는 이 취약점을 통해 해당 프로세스의 권한을 얻을 수 있기 때문이다.
  2. 예시 : 아파치와 같은 웹 서버의 서비스가 root 권한으로 실행되는 경우, 혹은 웹 취약점에 의해 공격자가 root의 권한을 획득하는 경우가 대표 예시이다. 따라서 윈도우의 IIS에서는 그 실행 프로세스 권한을 별도로 만들어 사용하도록 하며, 유닉스에서는 nobody와 같이 제한된 계정 권한을 사용하도록 하고 있다.[19]

거래 권한 생성 언어

거래 권한 생성 언어(Transaction Authority Markup Language, 去來權限生成言語)는 확장성 생성 언어(XML) 웹 서비스상에서 온라인 거래의 협력과 처리를 가능하게 하는 산업체 개방 표준. 비즈니스 레벨의 거래에 사용되는 메시지 형식과 거래 모델을 정의하며 다중 거래 참여가 가능하고, 웹 상에서 프로세스를 공유함으로써 상호 운용성을 발휘하여 새로운 영역의 비즈니스 접속을 가능하게 권한을 주도록 하는 언어이다.[20]

권한 관리 기반 구조

권한 관리 기반 구조(privilege management infrastructure , 權限管理基盤構造)는 기업 및 기관 단위에서 사용자들에게 특정 시스템 및 애플리케이션에 접근할 수 있는 권한을 차등 부여해 주는 권한 관리 체계를 뜻하며, 공개 키 기반 구조(PKI)의 사용자 신원 확인 중심의 보안 체계를 보완해 주고 인증 소유자의 특정 권한을 체계적으로 정립해 줌으로써 각 조직에서의 전산 시스템 확장에 따른 시스템 통합 요구에 효과적으로 PKI를 적용시킬 수 있도록 한다.[21]

권한 설정

권한 설정(provisioning , 權限設定)은 이용자에게 계정, 계정 접근 권한, 계정 관련 권한, 계정 관리에 필요한 제반 자원을 제공하는 서비스 설정 과정이며 이용자 측면에서 볼 때 하나의 서비스 형태로서, 통신 사업자가 이용자 회선을 적절한 네트워크에 연결하기 위해 프로그램에 의해 자동 설정하는 것과, 이용자가 웹 기반 인터페이스나 다른 클라이언트 인터페이스로부터 자기가 원하는 서비스를 설정하는 것들이 있다.[22]

최소 권한

사용자 또는 프로세서는 특정 임무를 수행하는 데 필요한 최소한의 제한적인 권한만을 할당받아야 하고, 이들 권한은 특정 임무를 수행하는 동안에만 할당되어야 한다는 정보 보호 원칙. 이러한 최소 권한 법칙은 시스템 공격이나 사고에 의한 시스템의 위협으로부터 피해를 감소 할 수 있도록 하는 조치이다. [23]

운영체제의 권한 관리

윈도우의 권한 관리

NTFS에서 그룹 또는 개별 사용자에 대해 설정할 수 있는 권한은 6가지다.

  1. 모든 권한 : 디렉터리에 대한 접근 권한과 소유권을 변경이 가능하고, 하위에 있는 디렉터리와 파일을 삭제 가능하다.
  2. 수정 : 디렉터리를 삭제할 수 있고 읽기 및 실행과 쓰기 권한이 주어진 것과 같은 효과를 준다.
  3. 읽기 및 실행 : 읽기를 수행할 수 있고 디렉터리나 파일을 옮길 수 있다.
  4. 디렉터리 내용 보기 : 디렉터리 내의 파일과 디렉터리의 이름을 조회 할 수 있다.
  5. 읽기 : 디렉터리의 내용을 읽기만 가능하다.
  6. 쓰기 : 해당 디렉터리에 하위 디렉터리, 파일을 생성할 수 있고 소유권과 접근 권한의 설정 내용을 확인할 수 있다.

규칙

  1. 접근 권한은 누적된다.
  2. 파일에 대한 접근 권한이 디렉터리에 대한 접근 권한보다 우선적으로 한다.
  3. '허용'보다 '거부'를 먼저 우선한다.[24]

유닉스의 권한 권리

  1. 유닉스에서는 파일, 디렉터리의 소유자, 그룹, 사용자에 대한 권한으로 구분해서 부여할 수 있다. 그리고 읽기(r: read), 쓰기(w: write), 실행(x: execute)과 같은 세 가지 권한을 부여한다.
  2. 권한은 숫자로 표기가 가능하다.
  3. 다음의 그림과 같이 네 부분으로 세분화할 수 있다.
파일:Ka27 46 i3
유닉스식 에시

종류

  1. a.- 표시는 일반 파일, d 표시는 디렉터리, l 표시는 링크(Link)
  2. b.파일 및 디렉터리 소유자의 권한을 나타낸다.
  3. c.파일 및 디렉터리 그룹의 권한을 나타낸다.
  4. d.해당 파일 및 디렉터리의 소유자도 그룹도 아닌 제3의 사용자에 대한 권한을 나타낸다.

각주

  1. ↑ 1.0 1.1 1.2 1.3 〈권한〉, 《네이버 지식백과》
  2. ↑ 〈권한 관리의 개념〉, 《네이버 지식백과》
  3. ↑ 〈Privilege〉, 《네이버 지식백과》
  4. ↑ 〈정보 권한 관리〉, 《네이버 지식백과》
  5. ↑ 5.0 5.1 5.2 5.3 5.4 〈데이터베이스의 권한 관리〉, 《네이버 지식백과》
  6. ↑ 〈데이터베이스 언어 SQL 요약〉, 《네이버 지식백과》
  7. ↑ 〈권한의 취소〉, 《네이버 지식백과》
  8. ↑ 〈권한 부여〉, 《네이버 지식백과》
  9. ↑ 〈분산 권한 부여〉, 《네이버 지식백과》
  10. ↑ 〈권한 부여 행렬〉, 《네이버 지식백과》
  11. ↑ 〈권한 부여 규정〉, 《네이버 지식백과》
  12. ↑ 〈DBA 권한〉, 《네이버 지식백과》
  13. ↑ 〈권한 부여 검사〉, 《네이버 지식백과》
  14. ↑ 14.0 14.1 14.2 〈권한 확대〉, 《위키백과》
  15. ↑ 〈접근 권한〉, 《네이버 지식백과》
  16. ↑ 〈접속 권한〉, 《네이버 지식백과》
  17. ↑ 〈권한 부여 그래프〉, 《네이버 지식백과》
  18. ↑ 〈권한 수준〉, 《위키백과》
  19. ↑ 〈응용 프로그램의 권한 관리〉, 《네이버 지식백과》
  20. ↑ 〈거래 권한 생성 언어〉, 《네이버 지식백과》
  21. ↑ 〈권한 관리 기반 구조〉, 《네이버 지식백과》
  22. ↑ 〈권한 설정〉, 《네이버 지식백과》
  23. ↑ 〈최소 권한〉, 《네이버 지식백과》
  24. ↑ 〈운영체제의 권한 관리〉, 《네이버 지식백과》

참고자료

같이 보기

  의견.png 의견.png 이 권한 문서는 보안에 관한 글로서 내용 추가가 필요합니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 문서 내용을 추가해 주세요.  

개발 : 프로그래밍, 소프트웨어, 데이터, 솔루션, 보안 □■⊕, 하드웨어, 컴퓨터, 사무자동화, 인터넷, 모바일, 사물인터넷, 게임, 메타버스, 디자인
보안 CVE • CWE • 관리자권한 • 관리적 보안 • 권한 • 권한관리 • 금융 분산원장기술 보안규범 • 기밀 • 기밀성 • 기술적 보안 • 누설 • 누출 • 누출금지정보 • 니모닉 • 데이터베이스 암호화 • 디지털 워터마킹 • 레인보우 테이블 • 루트킷 • 무결성 • 물리적 보안 • 백신 프로그램 • 버그 바운티 • 보안 • 봇 • 봇넷 • 블랙리스팅 • 블랙박스 • 블록체인 보안 • 비밀 • 비회원 권한 • 사고 • 사용자권한 • 사회공학 • 생체인증 • 시큐어코딩 • 신뢰실행환경 • 암호 • 암호키 • 예방 • 유출 • 이중인증(2FA) • 인증 • 일회용 비밀번호(OTP) • 잠금장치(시건장치) • 접근 • 접근권한 • 접근제어 • 접근차단 • 정보보호관리체계 • 침입방지시스템 • 침입탐지시스템 • 컴퓨터 바이러스 • 킬 스위치 • 통합위협관리(UTM) • 패치 • 페이로드 • 핀(PIN) • 해킹사고 • 화이트박스 • 회원권한 • 효율성
취약점 공격 51% 공격 • OWASP • 그라인딩 공격 • 네트워크 공격 • 누킹 • 디도스 • 디엔에스 스푸핑(DNS스푸핑) • 랜섬웨어 • 레베톤 • 레이스 공격 • 롱레인지 공격 • 리플레이 공격 • 리플레이 프로텍션 • 멀웨어(악성코드) • 모의해킹 • 무차별 대입 공격 • 미라이 봇넷 • 백도어 • 버그 • 버퍼 오버플로 • 벡터76 공격 • 부채널 공격 • 블랙해커 • 블록보류 공격 • 블록체인 해킹 • 사이트 간 스크립팅(XSS) • 사이트 간 요청 위조(CSRF) • 사전공격 • 셸쇼크 • 스누핑 • 스니퍼 • 스니핑 • 스미싱 • 스파이웨어 • 스푸핑 • 시빌공격 • 아이피 스푸핑(IP스푸핑) • 암호화폐 거래소 해킹 • 암호화폐 해킹 • 애드웨어 • 에스큐엘 인젝션(SQL인젝션) • 에이알피 스푸핑(ARP스푸핑) • 원격파일삽입 • 웜 • 웹셸 • 이클립스 공격 • 인젝션 • 제로데이 공격 • 중간자 공격 • 지능형 지속 공격(APT) • 취약점 • 침해사고 • 크래킹 • 크립토락커 • 크립토재킹 • 키로깅 • 트로이목마 • 패스워드 크래킹 • 페니스펜드 • 포맷스트링 공격 • 피니 공격 • 피싱 • 해커 • 해커원 • 해킹 • 혹스 • 화이트해커
개인정보보호 가명 • 개인정보 • 개인정보보호 • 개인정보보호법 • 성명 • 실명 • 유럽연합 일반개인정보보호법(GDPR) • 익명
양자보안 광자분리공격(PNS) • 복제 불가능성 원리 • 양자보안 • 측정 후 붕괴
보안 솔루션 V1 • V3 • ZAP • 내PC지키미 • 노턴안티바이러스 • 디아모 • 랩스플러스 • 레드마인 • 레드캐슬 • 맥아피 • 버그질라 • 빅룩 • 빅룩와스 • 빅룩퓨저 • 샤크라 • 소나큐브 • 스패로우 • 스팸스나이퍼 • 시큐브토스 • 시큐어디비 • 아베스트 • 야스카 • 엔스토커 • 엔프로텍트 • 와플즈 • 웹필터 • 제큐어디비 • 제큐어웹 • 지라 • 카스퍼스키 • 파인드벅스 • 피엠디(PMD)
위키 : 자동차, 교통, 지역, 지도, 산업, 기업, 단체, 업무, 생활, 쇼핑, 블록체인, 암호화폐, 인공지능, 개발, 인물, 행사, 일반
원본 주소 "http://wiki1.kr/index.php?title=권한&oldid=486064"