워터마크와 핑커프린팅

DRM(Digital Right Management)의 대표적인 기술적 대책으로 워터마크와 핑커프린팅이 있다. 

(국내에서 DRM이라 하면 문서 암호화 솔루션을 의미하는 경우가 많으나 여기선 보안 개론에서 이야기하는 DRM에 관한 것이다. 의미 그대로 디지털 저작권을 관리하는 것을 말한다.)

워터마킹

업무적인 예로, 문서를 출력하면 하단에 누가 출력했는지 찍히는 것이다.

실생황에서의 예로는, 웹사이트에 이미지를 올리면 자동으로 웹사이트의 로고나, 당신의 아이디가 찍히게 되는 것이다.

의도가 무엇일까?

크게 2가지로 볼 수 있다.

1. 자산의 출처/소유자를 식별한다.

2. 자산을 유출한 사람을 식별한다.

문서나 사진이나 영상에 주인의 이름이나 로고를 박아 둠으로써 이건 내 것이다! 라고 못박아 두는 것이다. 그리고 아이디를 찍어 둠으로써 이 자산을 출력/스크린샷/녹화/녹음 한 것은 이 사람이다! 라고 책임 추척을 위해 기록 하는 것이다.

그리고 우리가 흔히 알지 못하는 하나의 추가적인 기능이 있다.

3. 자산의 무결성을 검증한다.

문서를 출력 했는데 뒷 배경에 반투명한 로고가 찍힌다. 이건 출처를 나타내기 위한 것도 있지만, 그 문서에 있는 글자를 지우고 바꾸려고 할 때 로고가 뭉개지면서 변경이 되었다는 것을 탐지하기 위한 용도로도 쓸 수 있다. 출력물 뿐만 아니라 사진이나 그림, 디지털 문서에 복잡한 문양들을 배경으로 깔아둠으로써 조작 여부를 탐지할 수 있다. 또는 디지털 문서에 눈으로는 보이지 않는 암호 같은 데이터를 포함시켜 두고, 문서의 내용이 조금이라도 바뀌면 그 데이터가 깨지도록 만들어서 남몰래 위변조를 검출하도록 할 수도 있다.

1, 2, 3번을 구현하기 위한 워터마크기술을 굳이 2가지 분류로 나누자면

A. 강성 워터마킹 기법

B. 연성 워터마킹 기법

이라고 한다. 강성 워터마킹은 보통 은닉하지 않고 겉으로 드러나는 경우가 많으며, 워터 마크 자체를 지우기 힘들게 강하게 새겨 둔다. 주로 1, 2번과 같이 도난 방지나 책임 추적을 위해 사용하기 좋다. 반대로 연성 워터마킹은 은닉하여 표시해 두는 경우가 많으며 주로 3번과 같이 무결성을 위해 사용하기 좋다. 물론 출처를 몰래 숨겨두고 무결성 방지를 위해 강성 워터마킹을 사용하는 메커니즘도 얼마든지 있으므로 정확한 분류는 아니다.

그리고 굳이 C를 꼽자면 

C. 핑커프린트 워터마킹 기법

이 있다. 크게 보자면 핑거프린팅 또한 워터마킹의 일종이지만, 분류를 위해 둘을 구분하여 보는 경우가 많다. 이 포스팅 처럼.

(참고로 아래서 설명하는 핑거 프린팅은 위 워터마크 설명에서 나왔던 내용에 다 포함되는 내용이다. 이 모든 것이 워터마킹이고 그 중에서 요런 특성을 가진걸 핑거 프린팅이라 하는 구나. 라고 이해하자)

핑거 프린팅

워터마킹이 '보통' 문서나 사람을 가리지 않고 똑같은 마킹을 하는 것이라면

핑거 프린팅은 문서나 사람에 따라 다른 마킹을 하는 것이 차이이다. ('지문 찍기' 이름으로도 그 의도를 알 수 있다.)

앞서 예를 들었던 1번 또한 핑거프린팅 기법이라고 할 수 있다. 이렇게 주로 '추적'이 필요한 경우 핑거프린팅을 한다.

(핑거 프린팅 기술을 다른 말로 traitor tracing이라고 하기도 한다.) 

이 문서가 어디에서 나왔는가? 어떤 경로를 통해서 나왔는가? 누가 유출했는가? 등이다. 핑거프린팅은 1번의 예처럼 겉으로 드러나는 경우도 있지만 주로 은닉해서 많이 사용했을 때 진가를 발휘한다.

지문이 눈에 훤히 드러나는 거라면 누가 지문을 남기고 다니겠는가? 잘 드러나지 않기 때문에 범죄자가 흘리고 다니고 경찰이 찾아서 채취하는 것일 것이다.

누가 언제 만들었는지, 언제 꺼냈는지 등에 따라 핑거프린팅을 다르게 만들어 은닉 함으로써 나중에 유출이 있었을때 그 경로를 추적 할 수 있는 것이다.

탐지 및 제거/변조

워터마크와 핑거프린팅. 어느 것이 없애버리기 좋은가?

관점에 따라 다를 것이다. 강성 워터마킹 처럼 찐하게 빡세게 박아 놓은 워터마킹이 지우기 힘들다고 할 수 있다. 그러나 핑거프린팅처럼 은닉돼 있는 것이 지우기 힘들다고 할 수도 있다. 일반적이고, 보안기사 등의 시험에 많이 나오는 관점에서 보자면 워터마크가 더 지우기 힘들다. 

어떤 관점에 접근 한 것인가?

워터마크와 핑거 프린팅이 몰래 숨겨져 있다고 가정하자. 

워터마크는 출처를 표시하기 위해서 디지털 데이터 사이사이에 몰래 은닉되어 있다. 데이터가 다르더라도 워터마크는 동일하다.

핑거 프린팅은 책임 추적성을 위해 숨겨져 있는데, 워타마크와 반대로 데이터가 같더라도 사용자에 따라 다르다.

동일한 데이터를 여러개 비교해 봐도 워터마크는 당최 어디 있는지 찾기가 힘들다. 다른 데이터를 비교해도 그 데이터들의 공통점을 다 워터마크라도 단정 할 수는 없다.

핑거 프린팅은 동일한 데이터를 몇개만 비교해 보면 동일한 데이터 사이에서 숨겨진 차이가 드러난다. 그리고 그 정보를 변조 해 버리면 핑거 프린팅 본연의 기능을 잃어버리게 된다. 시험에 나오는 표현대로 하자면, 핑거 프린팅 기술은 공모공격(Collusion attack)에 약하다!