E D R , A S I H C RSS

삼성 Knox

last modified: 2015-04-03 18:18:08 by Contributors

Knox.jpeg
[JPEG image (5.09 KB)]


Contents

1. 개요
2. 출시 배경
3. 상세
3.1. 구조
3.1.1. Knox 워런티
3.1.2. Knox 적용
3.1.2.1. 설치
3.1.2.2. 기본 기능
3.1.2.2.1. 연락처
3.1.2.2.2. 이메일
3.1.2.2.3. S노트
3.1.2.2.4. 캘린더
3.1.2.3. 구동 화면
3.1.2.4. 애플리케이션 설치(삼성 Knox apps)
3.1.2.5. USB 데이터 모드
3.2. Knox 2.0
4. 관련 영상
5. 기타



1. 개요

삼성전자에서 출시한 보안 소프트웨어. 시큐리티를 강조한 모바일 플랫폼으로, 현재 구글 안드로이드 4.3 젤리빈 이상의 운영체제에 최적화되어 탑재되었다.[1] 현재 기업과 관공서는 유료로 판매되며 일반 사용자에게는 무료로 제공되고 있다. 하지만 스마트폰에 그렇고 그런 것을 넣고 다니지 않는 이상 아무도 안 쓰겠지

삼성 녹스라는 이름은 포트 녹스라는 이름에 착안하여 만들어졌다고 한다.

경쟁 기술로는 이쪽 업계의 터줏대감인 블랙베리의 BIS/밸런스와 삼성처럼 논란이 되지 않아서 아무도 모르는 LG전자Gate정도가 있다.

2. 출시 배경

스마트 기기가 대중화된 이후, 직장에서 일괄적으로 지급하던 업무용 단말기를 회사 서버에 물려서 사용하는 형태에서 점차적으로 이른바 BYOD[2]라고 하는 개인적으로 구매한 단말기를 회사에서도 사용하는 형태가 일반화[3]되면서 보안 문제가 불거지기 시작했다. 때문에 일반 기업과 관공서 업무처리에 대한 보안을 강화하기 위해서 기획되어진 것으로 보인다.

이러한 배경에서 2013년 5월, 결과적으로는 까다롭기로 유명한 미 국방부의 조건[4]을 통과했으니 1차적인 성과는 거둔 셈이 되었으며, 2014년 2월 26일에는 삼성전자는 국 국가 정보보증 협회[5]로부터 스마트폰 분야에서 최초로 모바일 단말 CC(Common Criteria) 보안 인증인 MDFPP(Mobile Device Fundamentals Protection Profile)를 획득했다고 한다.

이후 미국 연방 수사국과 미국의 각 군에 제품 공급을 추진하고 있고, 2013년 10월에는 영국 통신 당국의 보안 인증 역시 통과했다. 하지만 백악관바마형님께서 블랙베리 덕후라 안될거야 아마

일반 사용자들은 루팅 등이 어려워져서 선호하지 않으나, 그래봐야 보안을 더욱 중시하는 높으신 분들은 매우 좋아하는 현실.[6]

3. 상세

사실 Knox 기술은 두 가지로 이루어져 있다. 하나는 Knox Notification Manager, 하나는 Knox Container. Knox Notification Manager는 SELinux(SE Android)와 물려 동작한다. 시스템에 허가되지 않은 접근이 발견 될 경우, 즉시 차단하고 사용자에게 경고를 보낸다. 또한 SELinux 상태가 Permissive나 Disabled[7]로 변경 될 경우, 안드로이드 SE가 해제되었습니다.라고 아주 친절하게 재부팅하여 보안 정보를 복원할 것을 요구한다. 다만 사실상 Knox는 아래 내용인 Knox Container를 지칭한다. 아래에서는 Knox Container에 대해 다룬다.

3.1. 구조

간단히 설명하면, 하나의 기기에 일반적으로 사용하는 개인 사용자 공간에 가상적으로 구현한 강화된 보안 공간을 설치하여 하나의 기기로 개인용과 업무용으로 구분해 사용한다. 여기까지는 간단한 사생활 잠금 기능과 유사하나, Knox는 보안 공간을 암호화해 완전히 잠그는 패기를 보여줬다는 점이 특징이다.

즉, 보안 공간인 Knox 컨테이너와 일반 사용자 공간은 단순한 방법으로 데이터 송수신을 할 수 없다. 뿐만 아니라 이 상태에서는 USB 케이블 역시 단순한 충전기능으로만 사용할 수 있다. 이로 인해 해킹이나 바이러스 등의 노출에서 차단이 가능해진다고 한다.

3.1.1. Knox 워런티

헤비 유저의 경우 그냥 맘편히 깨고 쓰는게 멘탈 건강에 이롭다.

삼성전자에서는 Knox가 기본 탑재되는 기기와 대규모 업그레이드를 통해 Knox 지원이 가능해지는 기기의 내부에 Knox의 보안을 위해 Knox warranty라는 것을 부여한다.

012.jpg
[JPG image (11.51 KB)]


기본적으로 Knox 워런티는 다운로드 모드 상태에서 확인했을 때, KNOX WARRANTY VOID: 0 / KNOX WARRANTY VOID: 0x0 / BIT WARRANTY: 0 상태지만 루팅이나 다운그레이드 등 제품을 임의로 조작하게 되면 Knox 워런티가 0x1/1로 변하게 되며 Knox를 이용할 수 없게 된다. 이는 과거 삼성전자의 '루팅 카운터'와는 달리 제거할 수도 없다. 루팅 카운트는 eMMC 내부에 특정 파티션에 기록되는 것이라 삭제가 가능하지만, Knox 워런티의 경우에는 eFUSE[8] 라는 하드웨어 레벨의 영역에서 관장하기 때문에 기본적으로 원상복구가 불가능하다.[9] Knox 워런티는 사실상 플래그로서, eFUSE 회로가 정상적으로 연결된 상태에선 0(정상), eFUSE 회로가 Re-Programming 되어 연결이 끊어진 경우 1(변조)로 표기된다. 이 부분이 헤비 사용자, 특히 커스텀 롬을 이용하는 유저들의 경우 어쩔수 없이 KNOX 워런티를 포기해야 한다.

단, 그냥 워런티가 아니라 "Knox" 워런티라고 굳이 따로 이름이 붙어 있다는 점에 주목. 이 말은 즉 Knox 워런티가 깨졌다고 해서 모든 A/S가 막히는 게 아니라 Knox와 관련된 수리만 막힌다는 소리로, Knox와 무관한 타 무상 A/S 서비스 가능 사유가 있다면 여전히 무상 A/S를 받을 수 있으며, 이는 삼성 모바일샵의 공식 입장으로 인증된 사항이다.

KNOX WARRANTY VOID bit가 0x1로 바뀌면, 더 이상 Knox Container를 구동할 수 없게 된다.
즉, 펌웨어 변조등으로 인하여 기기가 변조되어 기기 자체를 신뢰할 수 없는 상황이 오면 Knox Container내의 자료에는 일절 접근할 수 없도록 하여 내부의 데이터를 보호하는 것이다. 모 항목에도 나와있지만 중요한 정보를 사용하지 못한다는 뜻이다.

3.1.2. Knox 적용

3.1.2.1. 설치

knox2.png
[PNG image (327.3 KB)]


Knox 애플리케이션이 존재하는 삼성전자스마트폰태블릿 컴퓨터에서 단순히 일반 사용자 공간에서 Knox 애플리케이션을 처음으로 접속하게되면 Knox 컨테이너 설치유무를 묻고, 시작하게 된다.

3.1.2.2. 기본 기능

제품의 기본적인 기능들은 역시 Knox 컨테이너 내부에 별도로 관리하며 Knox 컨테이너 내부에서 등록 및 생성된 데이터는 일반 사용자 공간에서는 확인할 수 없다. 단, 사용자의 편의를 위해 Knox 컨테이너 내부에서 일반 사용자 공간의 데이터를 열람하는 것은 가능하다.

3.1.2.2.1. 연락처
녹스에서는 녹스에 등록된 연락처 뿐만 아니라 개인홈에 등록된 연락처도 볼 수 있다.  이와 반대로 개인홈에서도 녹스에 등록된 연락처를 볼 수 있다.  단, 이를 위하여는 녹스의 설정에서 "KNOX 연락처 표시" 항목에 체크를 해 주어야 하며, 이 경우에도 개인홈에서는 녹스의 연락처를 볼 수만 있을 뿐 삭제나 편집은 녹스 모드에서만 가능하다. [10]

3.1.2.2.2. 이메일
익스체인지 계정 자체가 녹스 안에 등록되어 있으므로, 원래의 개인홈에 있는 이메일 앱에서는 아무 것도 안나온다.  다만, 개인홈에서도 이메일 알림은 뜨며 "녹스에서 확인하세요"라고 나오고, 그것을 누르면 녹스 비밀번호를 입력하는 화면이 나온다.  즉 새로운 이메일이 온 사실은 개인홈에서도 알 수 있다.

3.1.2.2.3. S노트
개인홈의 S노트와 녹스의 S노트는 완전히 분리되어 있다.

3.1.2.2.4. 캘린더
캘린더의 경우, 녹스에서는 개인홈의 일정을 띄울 수 있지만, 반대로 녹스의 일정을 개인홈에서 표시되게 하는 것은 불가능하다.  단, 녹스의 개별 일정에 알림이 설정되어 있는 경우, 그 알림은 개인홈의 잠금화면에서도 뜬다.

3.1.2.3. 구동 화면

knox3.png
[PNG image (226.73 KB)]


그냥 별다른 것은 없다. 삼성 터치위즈 6.0을 기반으로 한다.[11] 일반 사용자 공간과 차이점이라면 일반 사용자 공간으로 넘어가는 애플리케이션과 Knox 내부에서 사용이 가능한 애플리케이션을 다운로드 받을수 있는 '삼성 Knox Apps'가 별도로 존재한다.
KNOX를 사용중에 스크린샷을 시도하면 DRM 이미지라면서 캡쳐기능을 상실 시킨다. 캡쳐하려면 기기의 화면을 다른 카메라로 촬영하던지 해야 한다. 흠좀무

3.1.2.4. 애플리케이션 설치(삼성 Knox apps)

구글 안드로이드의 경우 구글 플레이, 각 통신회사들이 운영하는 앱스토어와 제조사가 운영하는 직영 앱스토어 등으로 애플리케이션을 구매 및 다운로드받아 설치할 수 있지만, Knox 컨테이너 내부에서는 이들을 전혀 사용할 수 없다. 오로지 녹스에 특화된, 비지니스용 애플리케이션을 취급하는 삼성전자삼성 Knox Apps라는 Knox 전용 앱스토어를 이용해야 한다.

samsungknoxapps.jpeg
[JPEG image (12.13 KB)]

이는 보안성이 의심되는 난잡한 애플리케이션을 걸려내기 위해 애플앱스토어처럼 삼성전자가 직접 Knox에 최적화된 애플리케이션을 선별할 계획인 것으로 보인다.

현재까지 약 80여개의 애플리케이션이 등록되어 거래가 이루어지는 것으로 보인다.

이후, Knox 2.0를 런칭하면서 전용 클라우드 기반 앱스토어인 'Knox 마켓 플레이스'를 론칭했다. 이로인해 Knox 내부에서 사용할 수 있는 애플리케이션이 대폭 증가하게 되었다고 한다. 결제 시스템 역시 외부와 분리되어 있어서 Knox 내부에서 사용할 것들만 별도로 결제를 해주면 된다고 한다.

또한 Knox apps의 경우에는 구글 플레이가 올라오지 않는 중국 내수용 갤럭시 스마트폰이라도 삼성전자가 직접 경영한다. 원래 외국 기업이 중국 내에서 앱 스토어를 경영하기 위해서는 현지 파트너와 협력해 중국 정부로부터 라이센스 허가를 받아 중국 내 현지 파트너와 협력해서 경영해야 하는데[12],[13]녹스 관련된 경우에는 순수 비지니스용 관련 앱들만을 엄격한 심사를 거쳐서 판매하는 구조이고, 게임을 비롯한 여러 보안 문제로 의심되는 앱들이 절대로 올라오지 않고 비지니스 업무에 사용하는 앱들만을 판매하는 구조라서 중국 정부의 방침대로 운영 주체가 중국 내 파트너로 변경되는 경우, 보안 문제와 직접적인 연관이 있기 때문에 이러한 이유를 들어서 녹스 앱스의 경우는 예외적으로 중국 정부의 모바일 전자정부업무에 사용하기 위한 단말기 공급을 조건으로, 중국 정부의 예외적인 승인하에 삼성전자 중국지사가 직접 경영한다.

3.1.2.5. USB 데이터 모드

Knox 컨테이너에서 일반 사용자 모드로 데이터 송수신이 정상적인 방법으로 불가능하며 USB 케이블 역시 단순한 충전 기능만 사용할 수 있다. 때문에 클라우드 서비스를 거치는 약간 불편한 방법으로 데이터를 송수신해야 한다.

3.2. Knox 2.0

기존 Knox에서 사용자 편의성을 높이고 보안 기능을 강화하여 2014년 2월에 발표되었다. 안드로이드 4.4 킷캣을 베이스로 사용하기 때문에 4.3 젤리빈 이하 운영체제에서는 작동하지 않는다. 최초 지원 기기는 갤럭시 S5라고 한다. [14]

기존 Knox와 차이점으로는,

  • 지문인식과 연동하여 기존의 PIN 번호 인증과 같이 사용하게 하여 이중 인증을 지원한다.

  • 클라우드 서비스가 강화되었다. 클라우드라는 특성상, 어디에 있든 쉽게 자료 열람이 가능하지만 보안에 취약할 수가 있다는 단점이 존재했는데, EMM(Enterprise Mobility Management) 기능을 이용해 클라우드 환경에서 업무를 처리해도 인증 권한 등을 이용해 보안을 강화했다고 한다.

  • 공인 인증서, 보안카드 등 사용자 인증정보 및 각종 암호화 키 정보를 하드웨어 칩셋 내부에 구현된 트러스트 존을 통해 관리할 수 있게 되었다고 한다. 이는 애플애플 A7 AP 내부에 Touch ID 정보를 저장하는 기능과 유사하다.[15]

  • Knox 외부의 애플리케이션을 내부에서 사용하려면 변환 작업을 해주어야 했지만, 별도의 변환 없이 동기화할 수 있다고 한다.

  • 기기의 소프트웨어 정보와 커널 정보를 모니터링하는 기능이 추가되었다.

4. 관련 영상

5. 기타

  • 보안 취약점이 존재한다는 말이 있었으나,삼성전자는 부인 후 반박하는 것으로 대응하고 있다. 이후, 최초로 보안 결함 문제를 제기한 이스라엘의 벤구리온 대학 사이버 보안 연구팀과 공동으로 테스트를 진행하여 '이상없다'는 결론을 내렸다고 한다.[16]

  • 한국 내에서는 국방부[17]국가정보원 등 주요 관공서 등을 대상으로 운영하기 위해 준비하는 중이라고 하며, 모바일 전자정부 솔루션 채택도 검토중이라고 한다. 그리고 음모론자들은 정부가 공무원들에게 강매하기 위한 수단이 아니냐며 의구심을 보내고 있다[18]

  • 삼성전자 내부에서는 기업 및 관공서 시장 확대 이전에, 전 세계의 삼성전자 자사 임직원 중 갤럭시 S4갤럭시 J, 갤럭시 노트 3를 사용하는 임직원을 대상으로 레퍼런스로 삼아 우선 시범 사용 계획이 있다고 한다.[19] 자사를 레퍼런스로 삼은것은 삼성전자 전체 직원이 녹스의 안정성, 편리성 등 검증에 참여할 수 있다고 한다.[20] 이후 가능하다면 삼성 그룹의 전 계열사로도 이를 확대할 계획이라고 한다.

  • 2014년 구글 I/O의 발표에서 안드로이드 자체에 녹스가 통합이 된다고 밝혔다.#이렇게 되면 삼성 녹스 앱스가 구글 녹스 스토어로 바뀌는거 아닌가..?? 삼성은 이로 인해 블랙베리가 장악한 엔터프라이즈 시장에서 안드로이드의 매력을 높일 수 있을 것으로 기대한다고 한다. 하지만 그 외 다른 핵심 보안 기능은 안드로이드폰 제조 경쟁사들과 공유되지 않을 거라고 한다.

  • 삼성전자와 애플이 손을 잡았다. 아이폰아이패드에도 녹스가 탑재 될 것이라고 한다. 삼성전자 관계자의 말에 따르면 "기업 고객이 기업에서 사용 중인 단말기를 관리하려면 보안 플랫폼에 모바일 기기 관리(MDM)솔루션을 적용해야 한다"며 "'삼성 녹스'에 다양한 글로벌 파트너사의 MDM을 적용할 수 있고, 삼성의 MDM인 '녹스 EMM'도 안드로이드, iOS 기기에 적용 가능하다"고 한다.[21]

  • 애플에 이어 블랙베리도 손을 잡았다. 블랙베리의 보안 기술인 엔터프라이즈 기술도 녹스에 적용할 것이라고 하며, 이를 탑재한 스마트폰과 태블릿 컴퓨터도 선보일 것이라고 한다.

----
  • [1] 이후, 갤럭시 S II 등 구형 기기로 확대 지원할 계획이 있다고 한다. 아니, 권장 운영체제가 4.3에서 4.4로 넘어가고 있는데 4.1 젤리빈에서 무슨 수... 가 문제가 아니라, 갤럭시 S II 등의 구형 기기도 지원 계획이 있다는 것은... 4.3 업그레이드를 해 준다는 걸...까?
  • [2] Bring Your Own Device
  • [3] 이 트렌드를 못 따라가서 블랙베리가 망했다.
  • [4] FIPS 140-2 인증
  • [5] NIAP는 미국 국가안보국 산하 인증기관으로 보안 인증 테스트 등을 담당한다.
  • [6] 물론 기업에서 녹스를 보안솔루션으로 결정하면 삼성 단말기 외엔 못 쓴다는 점에서 이게 어디가 BYOD냐고 하면 할 말은 없어지지만.
  • [7] 기본적으로 Enforcing 상태다.
  • [8] eFUSE는 IBM사에서 개발된 실시간 재프로그래밍 칩이다. 즉 워런티 플래그가 0x1이나 1이 되었다는건 이 eFUSE 회로가 작동하여 스스로 재프로그래밍 하여 플래그 값을 1로 바꾸었다는 의미.
  • [9] 그러나 간혹 이런 사례가 발견되고 있어 Knox가 정말로 eFUSE와 관련되는지는 유저 레벨에서의 확인이 필요하다.
  • [10] 참고로 특정 녹스연락처를 개인홈에서 숨기는 것은 가능하다.
  • [11] 이 때문에 삼성 터치위즈 5.0 기반으로 4.3 젤리빈 업그레이드가 된 구형 기종에 Knox 기능을 보면 일반 사용자 공간은 그대로이나 Knox는 삼성 터치위즈 6.0 기반으로 만들어진 기형적인 모습을 볼 수가 있다.(…)
  • [12] 라이센스 취득의 경우 중국인/중국 기업이 100% 지분을 가진 경우에만 허가하는 구조이다. 다만 외국 기업이라도 중국 기업/중국인과의 합병 기업에게도 라이센스를 인정해 주고 있다.(소프트뱅크의 완도우지아도 지분을 인수한 경우에 해당되기 때문에 합병 기업에 속한다.)
  • [13] 삼성 갤럭시 앱스의 중국판은 삼성전자 중국지사가 일부 관여하기는 하지만 직접 운영하는 것이 아니고 삼성전자의 중국 내 파트너인 시나(Sina.com)가 운영 주체가 되어, 외국 자본을 통해 라이센스 문제를 해결하고 있다.
  • [14] 개인 사용자의 경우 기본적으로 비활성화 되어 있으며, 구글 Play 스토어에서 My Knox라는 프로그램을 추가로 다운받으면 사용 가능하다.
  • [15] 다만, 이쪽은 Touch ID에 국한되어 데이터를 저장한다.
  • [16] 벤구리온 대학 연구팀에서 제기한 문제는 단말기에 내장된 데이터가 암호화 처리되지 않았을 경우에만 해당되는 것이라며 벤구리온대학 연구팀과 함께 다시 실험한 결과, 암호화가 실행된 녹스 단말기 내 데이터 유출은 불가능했다고 한다.
  • [17] 국정원 심사가 완료되고, 채택이 된다면은 국방부 관계자도 이를 검토할 의향이 있다는 입장이다.
  • [18] 이쪽의 경우 iOS 소스 공개(…) 요청 거부로 인한 아이폰 사용 금지가 얽혀 있다.
  • [19] 이는 삼성전자의 브랜드 인지도와 IT 시장 영향력을 고려할 때 자사 첫 적용은 다른 기업이 참고할수 있는 좋은 사례가 된다고 한다.
  • [20] 이 역시 보안 유지에 민감하기로 유명한 삼성전자가 보안 수준을 높히는 긍정적인 효과도 기대할 수 있다.
  • [21] 여기에서 약간의 오해가 있는 데, iOS 장치에 들어가게 되는 것은 갤럭시 시리즈에서 볼 수 있는 SE for Android 기반의 Knox가 아니라, 삼성의 MDM인 Knox EMM이다. 애시당초 iOS 장치에는 SE for Android를 사용할 수 없으며, iOS 장치의 보안 구조에는 secure boot나 H/W기반 full encrypted storage등과 같은 장치가 이미 포함되어 있어서 굳이 Knox를 적용할 필요가 없다. 단, Knox Container와 같은 완전히 격리된 형태의 저장소는 아직 iOS에서 지원되지 않는다.

Valid XHTML 1.0! Valid CSS! powered by MoniWiki
last modified 2015-04-03 18:18:08
Processing time 0.0729 sec