통신 보안 (Communications Security, COMSEC)

통신 보안(Communications Security, COMSEC)은 허가받지 않은 사람이 통신에서 정보를 얻거나 통신을 위조·변조하지 못하게 하는 보호 조치의 총칭입니다. 주로 군과 정부 통신에서 쓰는 용어로, 암호 보안·전송 보안·방사 보안(방출 보안)·물리 보안의 네 요소로 구성됩니다.

자세히 알아보기

• 암호 보안(cryptosecurity): 검증된 암호 알고리즘과 장비를 올바르게 사용해 내용을 해독할 수 없게 합니다. 알고리즘의 강도만이 아니라 키를 생성·배포·교체·폐기하는 키 관리가 핵심이며, 키 자료(keying material)는 COMSEC에서 가장 엄격하게 통제되는 대상입니다.
• 전송 보안(TRANSEC): 통신 내용과 별개로, 통신이 존재한다는 사실이나 통신량·통신 상대 같은 정보를 상대가 알아내지 못하게 합니다. 주파수 도약, 확산 스펙트럼, 저전력 송신, 일정한 더미 트래픽 송출 등으로 탐지·방해·트래픽 분석·전송 위조를 어렵게 합니다.
• 방사 보안(EMSEC): 컴퓨터, 모니터, 암호 장비가 작동하면서 의도치 않게 내는 전자기파, 전력 변동, 소리 등으로 정보가 유출되지 않게 합니다. 방출 보안이라고도 하며, 미국 정부의 관련 기준을 흔히 TEMPEST라고 부르고 차폐와 설치 거리 기준 등을 다룹니다.
• 물리 보안: 암호 장비, 키, 관련 문서를 허가된 사람만 다루도록 보관·출입·인계 절차를 관리합니다. 장비를 도난당하거나 키가 복사되면 암호 보안 전체가 무력해지기 때문입니다.

COMSEC 자료(COMSEC material)란 키, 암호 장비, 모듈, 관련 문서, 펌웨어·소프트웨어처럼 통신을 보호하거나 인증하는 데 쓰이는 모든 요소를 말합니다. 미국에서는 NSA가 승인한 암호 장비나 부품을 통제 암호 품목(CCI)으로 지정해 관리합니다. COMSEC은 정보 보안(INFOSEC)의 한 분야로, 네트워크·컴퓨터 보안과 함께 더 넓은 정보 보증 체계를 이룹니다.

핵심 원칙은 알고리즘만으로는 충분하지 않다는 것입니다. 키가 유출되거나, 장비가 도난당하거나, 전자파로 평문이 새면 강한 암호도 소용이 없습니다.

블록체인·암호화폐에서는

거래소와 수탁 기관의 보안 설계도 같은 네 겹 구조로 볼 수 있습니다. 강한 서명 알고리즘(암호 보안), 노드·API 통신 보호(전송 보안), 하드웨어 지갑과 HSM의 부채널 공격 대책(방사 보안), 콜드월렛 보관소 출입 통제(물리 보안)가 모두 갖춰져야 개인 키가 안전합니다.

방사 보안은 오늘날 암호학에서 말하는 부채널 공격(전력 분석, 전자기 분석, 타이밍 분석)과 같은 문제의식입니다. 물리 보안과 키 관리는 개인 키를 오프라인 장치에 보관하고, 키를 다루는 장치와 사람을 제한하고, 서명 장치에서 키가 새지 않도록 하는 관행으로 이어집니다.

COMSEC 자료의 관리

COMSEC 체계에서는 키와 장비를 단순한 물품이 아니라 계정 단위로 추적되는 통제 자료로 다룹니다. 키 자료에는 일련번호를 붙여, 누가 언제 키를 받았는지, 언제 장비에 주입하고 언제 폐기했는지를 기록하고, 정기적으로 재고를 점검합니다. 키는 정해진 주기로 교체합니다. 키를 전자적으로 생성·배포·감사하는 시스템(미국의 EKMS와 그 후속 체계)이 이를 지원합니다. 분실이나 무단 접근이 의심되면 '보안 사고'로 보고하고, 해당 키로 보호한 통신을 노출된 것으로 간주해 키를 교체합니다. 이런 절차는 기술적 보호가 사람의 실수나 내부자에 의해 무너지는 것을 막기 위한 것입니다.

왜 네 요소가 모두 필요한가

• 암호가 강해도 키를 담은 장비를 잃어버리면 물리 보안이 무너집니다.
• 내용을 풀 수 없더라도 누가 언제 누구와 얼마나 통신했는지만으로 작전을 추정할 수 있는데, 이를 막는 것이 전송 보안입니다.
• 화면이나 케이블에서 새는 전자파로 평문이 재구성될 수 있다는 점은 1980년대 이후 공개 연구로도 확인되었고, 방사 보안이 이를 다룹니다.

네 요소 가운데 하나라도 약하면 전체 보호 수준이 그 약한 고리로 결정됩니다. 민간 정보 보호에서도 같은 생각이 쓰입니다. 데이터 암호화(암호 보안), 트래픽 패턴 보호(전송 보안), 부채널 대책(방사 보안), 데이터센터 출입 통제(물리 보안)는 오늘날 클라우드 보안 인증 요건에도 그대로 들어 있습니다.

쉽게 말하면

편지 내용을 암호로 쓰는 것뿐 아니라, 편지를 보낸다는 사실을 숨기고, 펜 소리가 새지 않게 하고, 암호표를 금고에 넣어 두는 것까지 모두 챙기는 일입니다.