신뢰 컴퓨팅 기반(TCB), 무엇을 신뢰 경계 안에 넣을까

신뢰 컴퓨팅 기반(TCB)은 시스템 안에서 보안 정책을 집행하는 보호 메커니즘의 전체를 가리킵니다. NIST가 수록한 정의는 하드웨어·펌웨어·소프트웨어를 포함할 수 있으며, 경계는 제품 이름이나 한 실행 파일이 아니라 정책 집행에 실제로 필요한 구성요소와 그 의존 관계로 분석해야 합니다.

구성요소를 TCB에 넣었다고 해서 그 요소가 자동으로 안전하다는 뜻은 아닙니다. 정책 집행 경로와 관리·업데이트·부팅 등 의존 경로를 찾아 범위를 설명하고, 검증·보호 근거가 없는 부분은 불확실성으로 남겨야 합니다.

TCB는 정책 집행을 맡는 보호 메커니즘의 집합입니다

신뢰 컴퓨팅 기반(Trusted Computing Base, TCB)은 시스템의 보안 정책을 집행하는 보호 메커니즘 전체를 가리키는 개념입니다. NISTIR 7298 Rev. 1과 NIST CSRC 용어 자료는 하드웨어·펌웨어·소프트웨어를 포함한 보호 메커니즘의 총체라는 정의를 제시합니다. ‘신뢰’라는 단어가 붙었다고 구성요소가 취약점이 없거나 외부 검증을 받았다는 뜻은 아닙니다. 시스템이 정책을 지킬 수 있다고 판단할 때 의존하는 범위라는 의미에 가깝습니다.

접근통제 요청을 예로 들면 사용자 인증, 정책 판단, 권한 설정 저장, 검사 결과를 실제 파일 작업에 적용하는 과정이 서로 이어질 수 있습니다. 정책 판단 코드만 안전하게 만들고 관리 인터페이스가 권한 규칙을 바꿀 수 있다면 그 관리 경로도 신뢰 분석에 포함될 수 있습니다. 반대로 화면 렌더링처럼 정책 집행에 관여하지 않는 구성요소를 자동으로 TCB에 넣을 필요는 없습니다. 다만 구성요소 간 호출·데이터·업데이트 관계를 확인하기 전에는 경계를 단정하기 어렵습니다.

가상의 문서 서비스에서 경계를 그려 봅니다

이 표는 최종 TCB 목록이 아닙니다. 예를 들어 미리보기 화면이 캐시에 저장된 문서를 권한 검사 없이 제공한다면, 단순한 표시 기능처럼 보이던 경로가 정책 집행 경계와 관련될 수 있습니다. 업데이트 검증기가 정책 모듈을 바꿀 수 있다면, 정상 부팅 이후의 접근통제만 보고 시스템이 신뢰할 수 있다고 결론 내릴 수도 없습니다. 기능 이름보다 실제 권한·데이터 흐름을 따라가야 합니다.

정책에서 시작해 의존성을 역추적하세요

1. 어떤 보안 정책을 집행해야 하는지 한 문장으로 씁니다.
2. 요청이 들어와 정책 판단이 내려지고 실제 동작이 수행되는 경로를 그립니다.
3. 정책·판정·집행 결과를 변경하거나 우회할 수 있는 구성요소를 추가합니다.
4. 권한 관리, 시작·복구, 업데이트, 키와 설정 저장처럼 경계 밖에서 영향을 주는 경로를 확인합니다.
5. 포함·제외 이유와 아직 확인하지 못한 의존성을 문서에 남깁니다.

흔한 실수는 ‘운영체제 전체가 TCB’ 또는 ‘보안 모듈 하나만 TCB’처럼 경계를 미리 정하는 것입니다. 실제 범위는 시스템 구조와 정책에 따라 달라집니다. 또한 TCB에 포함됐다는 사실은 해당 구성요소의 검증이 완료됐다는 증거가 아니며, TCB 밖 요소가 보안에 영향을 줄 수 없다는 뜻도 아닙니다. NIST의 접근통제 자료가 지적하듯 정책 명세·모델·구현 사이에는 차이가 날 수 있으므로 경계 설정과 검증 근거를 별도로 평가해야 합니다.

경계 분석은 의존성 그림에 구체적인 질문을 붙일수록 유용합니다. 누가 정책을 작성하고 배포하는지, 부팅 시 어떤 코드를 신뢰해 검사하는지, 관리자 계정이 정책 파일을 바꿀 수 있는지, 업데이트 검증 키를 어디서 보호하는지 묻습니다. 구성요소를 TCB 안에 넣었다면 그 요소가 정책을 집행하는 이유와 보호 근거를 함께 설명해야 합니다. 밖에 뒀다면 그 요소가 정책 판단이나 보호 자원에 영향을 주지 않는다고 판단한 경로를 기록해야 합니다. 아직 문서·시험·설정으로 확인하지 못했다면 ‘경계 밖이라 안전하다’고 추론하지 말고 미확인 의존성으로 표시합니다.

경계 변화도 이 분석에 영향을 줍니다. 새 정책 엔진을 도입하거나 관리자 권한을 변경하면 기존에 그린 요청 경로와 의존성이 그대로인지 다시 살펴야 합니다. 정책을 집행하는 모듈은 같더라도 새 업데이트 서비스가 그 모듈을 교체하거나 설정을 내려보낼 수 있다면 신뢰 전제가 달라집니다. 이를 확인할 때는 기능 목록만 비교하지 말고 누가 새 코드를 배포하는지, 기존 검증이 새 구성에도 적용되는지, 장애 시 복구 경로가 정책을 우회하는지 질문합니다. 이 절차는 평가 인증이나 형식 검증 완료를 뜻하지 않으며, TCB 가정이 바뀌었는지 찾는 기본적인 추적 방법입니다.

회상 문제

교육용 문제입니다. 문서 접근을 결정하는 모듈은 보호되어 있지만, 관리자 웹 화면에서는 서명을 확인하지 않고 정책 파일을 덮어쓸 수 있습니다. 이 경로가 정책 집행에 미치는 영향과 어떤 보호 조치를 확인해야 합니까?

관리자 웹 화면과 정책 파일 변경 경로를 살펴야 합니다. 이 경로가 향후 정책 판단을 바꾸거나 보호 모듈을 우회할 수 있으므로, 관리자 인증·인가, 변경 승인, 무결성 보호, 감사 기록, 업데이트 절차를 확인해야 합니다. 웹 화면을 자동으로 TCB에 포함한다고 결론 내리는 대신 정책 집행에 미치는 영향과 의존 관계를 근거로 경계를 정합니다.

시스템 보안 모델과 신뢰 경계의 개념을 더 복습하려면 정보보호론 덱 안내를 확인할 수 있습니다. 구성도와 문항은 새로 만든 교육용 예시이며 공식 기출문제나 유료 카드 인용이 아닙니다.