Skip to main content

1. Authentication

인증: 정보가 알려진 신뢰할 수 있는 출처에서 생성되었고, 출처에서 인증 검증 지점까지의 전송 과정에서 정보가 변경되지 않았음을 증명하는 것
ENAuthentication of information74 exists where the device and the system in which it operates are able to prove that information originated at a known and trusted source, and that the information has not been altered in transit between the original source and the point at which authenticity is verified.
KR정보의 인증(Authentication of information)은 장치와 그 장치가 작동하는 시스템이 해당 정보가 알려진 신뢰할 수 있는 출처에서 생성되었음을 증명할 수 있고, 원래 출처에서 인증이 검증되는 지점까지의 전송 과정에서 정보가 변경되지 않았음을 입증할 수 있을 때 존재합니다.
ENIt is important to note that while authenticity implies that data is accurate and has been safeguarded from unauthorized user modification (i.e., integrity), integrity alone does not provide assurance that the data is real and came from a trusted source. Therefore, for the purposes of this guidance, authentication is discussed as a larger security objective over integrity.
KR중요한 점은, 진위(authenticity)는 데이터가 정확하며 무단 사용자에 의한 수정으로부터 보호되었음을 의미하는 무결성(integrity)을 포함하지만, 무결성만으로는 데이터가 실제이며 신뢰할 수 있는 출처에서 왔다는 것을 보장하지는 않는다는 것입니다. 따라서 본 지침에서는 인증을 무결성보다 더 포괄적인 보안 목표로 다룹니다.
의료기기 시스템이 평가하고 보장해야 하는 진위(authenticity)
의료기기 시스템이 평가하고 보장해야 하는 진위
  • Information at rest (stored);
  • 저장된 정보(Information at rest)
  • Information in transit (transmitted);
  • 전송 중인 정보(Information in transit)
  • Entity authentication of communication endpoints, whether those endpoints consist of software or hardware;
  • 통신 엔드포인트의 엔티티 인증(소프트웨어 또는 하드웨어 구성 여부와 관계없이)
  • Software binaries;
  • 소프트웨어 바이너리
  • Integrity of the execution state of currently running software; and
  • 현재 실행 중인 소프트웨어의 실행 상태 무결성
  • Any other appropriate parts of the medical device system where a manufacturer’s threat model and/or risk analyses reveal the need for it.
  • 제조사의 위협 모델 또는 위험 분석을 통해 필요성이 드러난 의료기기 시스템의 기타 적절한 부분
인증 방식에 일반적으로 적용되는 특성
인증 방식에 일반적으로 적용되는 특성
  • Implicit authentication schemes, based solely on non-cryptographic interfaces, handshakes, and/or protocols, are inherently weak because, once they are reverse engineered, an unauthorized user can easily emulate the correct behavior and appear to be authorized.
  • 암호화되지 않은 인터페이스, 핸드셰이크 및/또는 프로토콜에만 기반한 암시적 인증 방식은 본질적으로 취약합니다. 이는 일단 역설계되면 비인가 사용자가 올바른 동작을 쉽게 모방하여 승인된 사용자처럼 보일 수 있기 때문입니다.
  • Cryptographic authentication protocols are generally superior, but they need careful design choices and implementation practices to achieve their full strength.
  • 암호 기반 인증 프로토콜은 일반적으로 더 우수하지만, 그 강점을 충분히 발휘하려면 신중한 설계 선택과 구현 방식이 필요합니다.
인증되지 않은 동작이 위해를 초래할 수 있는 장치는 모먼터리 스위치와 같은 물리적 동작을 구현하여 명령 또는 세션을 승인해야 함.
ENIn addition, these schemes are still limited by the confidentiality of the cryptographic keys needed to interact with the scheme, and by the integrity of the devices that hold or otherwise leverage those keys.
KR또한 이러한 인증 체계는 해당 인증 체계와 상호작용하는 데 필요한 암호화 키의 기밀성과, 해당 키를 보유하거나 사용하는 장치의 무결성에 의해 여전히 제한을 받습니다.
ENTherefore, for device operations where non-authenticated behavior could lead to harm, devices should implement additional, non-routine signals of intent based on physical actions, such as a momentary switch, to authorize the command/session.
KR따라서 인증되지 않은 동작이 위해를 초래할 수 있는 장치 작동의 경우, 장치는 모먼터리 스위치와 같은 물리적 동작을 기반으로 한 비정형적인 의도 신호를 추가로 구현하여 명령 또는 세션을 승인해야 합니다.
인증 체계 구현을 위한 추가 권고사항
인증 체계 구현을 위한 추가 권고사항
  • Use cryptographically strong75 authentication, where the authentication functionality resides on the device, to authenticate personnel, messages, commands updates, and as applicable, all other communication pathways. Hardware-based security solutions should be considered and employed when possible;
  • 장치 내에 인증 기능이 내장된 강력한 암호 기반 인증을 사용하여, 인력, 메시지, 명령 업데이트 및 필요한 경우 모든 통신 경로를 인증해야 합니다. 가능하다면 하드웨어 기반 보안 솔루션을 고려하고 적용해야 합니다.
  • Authenticate external connections at a frequency commensurate with the associated risks. For example, if a device connects to an offsite server, then the device and the server should mutually authenticate each session and limit the duration of the session, even if the connection is initiated over one or more existing trusted channels;
  • 관련 위험 수준에 따라 외부 연결을 적절한 빈도로 인증해야 합니다. 예를 들어, 장치가 외부 서버에 연결되는 경우, 장치와 서버는 각 세션마다 상호 인증을 수행하고 세션의 지속 시간을 제한해야 합니다. 이는 기존의 신뢰된 채널을 통해 연결이 시작되더라도 마찬가지입니다.
  • Use appropriate user authentication (e.g., multi-factor authentication to permit privileged device access to system administrators, service technicians, or maintenance personnel, among others, as needed);
  • 시스템 관리자, 서비스 기술자, 유지보수 인력 등에게 권한 있는 장치 접근을 허용할 때는 적절한 사용자 인증 방식(예: 다중 인증)을 사용해야 합니다.
  • Require authentication, and authorization in certain instances, before permitting software or firmware updates, including those updates affecting the operating system, applications, and anti-malware functionality;
  • 운영체제, 애플리케이션, 악성코드 방지 기능 등에 영향을 미치는 소프트웨어 또는 펌웨어 업데이트를 허용하기 전에 인증 및 경우에 따라 권한 부여가 필요합니다.
  • Strengthen password protections. Do not use passwords that are hardcoded, default, easily guessed, or easily compromised (e.g., passwords that are the same for each device; unchangeable; can persist as default; difficult to change; and/or vulnerable to public disclosure);
  • 비밀번호 보호를 강화해야 합니다. 하드코딩된 비밀번호, 기본값 비밀번호, 쉽게 추측되거나 쉽게 침해될 수 있는 비밀번호(예: 모든 장치에 동일한 비밀번호, 변경 불가능한 비밀번호, 기본값으로 유지되는 비밀번호, 변경이 어려운 비밀번호, 공개 노출에 취약한 비밀번호 등)는 사용하지 않아야 합니다.
  • Implement anti-replay measures in critical communications such as potentially harmful commands. This can be accomplished with the use of several methods including the use of cryptographic nonces (an arbitrary number used only once in a cryptographic communication);
  • 잠재적으로 위험한 명령과 같은 중요 통신에는 재전송 방지(anti-replay) 조치를 구현해야 합니다. 이는 암호화 논스(nonce: 암호 통신에서 한 번만 사용하는 임의 숫자) 등의 여러 방법을 통해 달성할 수 있습니다.
  • Provide mechanisms for verifying the authenticity of information originating from the device, such as telemetry. This is especially important for data that, if spoofed or otherwise modified, could result in patient harm, such as the link between a clinician programmer or monitoring device and an implanted device like a pacemaker, defibrillator, or neurostimulator; or the link between a continuous glucose monitor system and an automated insulin pump;
  • 장치에서 생성된 정보(예: 텔레메트리)의 진위를 검증할 수 있는 메커니즘을 제공해야 합니다. 이는 특히 데이터가 위조되거나 변경될 경우 환자에게 위해를 초래할 수 있는 경우에 중요합니다. 예: 임상 프로그래머 또는 모니터링 장치와 심박조율기, 제세동기, 신경자극기 같은 이식형 장치 간의 연결, 또는 연속 혈당 모니터링 시스템과 자동 인슐린 펌프 간의 연결.
  • Do not rely on cyclic redundancy checks (CRCs) as security controls. CRCs do not provide integrity or authentication protections in a security environment. While CRCs are an error detecting code and provide integrity protection against environmental factors (e.g., noise or EMC), they do not provide protections against an intentional or malicious actor; and
  • 순환 중복 검사(CRC)를 보안 통제로 의존해서는 안 됩니다. CRC는 보안 환경에서 무결성이나 인증 보호 기능을 제공하지 않습니다. CRC는 오류 감지 코드로서 환경적 요인(예: 잡음 또는 전자기 간섭)에 대한 무결성 보호는 제공하지만, 의도적이거나 악의적인 행위자에 대한 보호는 제공하지 않습니다.
  • Consider how the device and/or system should respond in event of authentication failure(s).
  • 인증 실패 시 장치 및/또는 시스템이 어떻게 대응해야 하는지 고려해야 합니다.