Kerberos·RADIUS·TACACS+·EAP 비교: 조직 인증의 역할과 경계

1장 개념과 보호 목표#

Kerberos는 신뢰할 수 있는 KDC가 발급한 티켓으로 서비스 접근을 인증하는 체계입니다. RADIUS와 TACACS+는 네트워크 접근이나 장비 관리의 AAA에 사용되고, EAP는 다양한 인증 방법을 운반하는 프레임워크입니다.

2장 원리와 구분#

Kerberos는 TGT를 얻은 뒤 대상 서비스 티켓을 받아 제시하며 시간 동기화와 KDC 보호가 중요합니다. RADIUS의 전통적 방식은 모든 메시지를 전부 암호화하는 구조가 아니므로 전송 보호와 서버 인증을 별도로 검토해야 합니다. TACACS+도 보호되는 영역과 전송 조건을 확인해야 합니다. EAP-TLS는 인증서를 사용하는 EAP 방법입니다.

3장 비교와 판단 기준#

기술	핵심 역할	운영 경계
Kerberos	티켓 기반 서비스 인증	KDC·시간·키탭 보호
RADIUS·TACACS+	네트워크·장비 AAA	전송 보호·공유 비밀·인가
Diameter	AAA 메시지 처리	배치 목적·피어 신뢰
EAP	인증 방법의 프레임워크	구체적 EAP 방법·서버 검증

4장 AAA의 결과를 분리해 읽는다#

인증은 접속자의 확인, 인가는 사용할 자원·명령의 허용, Accounting은 접속·사용 기록에 관련됩니다. 중앙 인증이 성공한 사실과 모든 명령을 허용하는 것은 다릅니다. 네트워크 접속과 장비 관리의 목적에 맞춰 각각의 결과를 확인합니다.

누구인가? → 인증
어느 망·서비스·명령을 쓸 수 있는가? → 인가
언제 무엇을 했는가? → 기록

5장 Kerberos의 KDC와 두 종류의 티켓#

클라이언트는 KDC의 인증 과정을 거쳐 TGT를 얻고, 이를 이용해 대상 서비스의 티켓을 요청합니다. 서비스는 자신을 위한 티켓과 관련 증거를 검증합니다. TGT를 모든 서비스에 그대로 제출하는 만능 권한으로 이해하면 안 됩니다.

신뢰의 중심인 KDC와 서비스의 비밀, 클라이언트 자격증명·시간 동기화가 중요합니다. 시간 조건과 티켓 수명은 재사용·운영 동작과 연결되므로 장애 분석에서도 확인합니다.

6장 키탭은 단순 설정 파일이 아니다#

서비스 인증에 필요한 비밀을 담을 수 있어 소스 저장소·로그·지원 자료로 노출되지 않게 합니다. 파일의 소유자·권한·백업·복사본을 관리하고 서비스 계정 변경·키 갱신·회수와 연결합니다. 같은 키탭을 여러 곳에 복사하면 영향 범위가 커질 수 있습니다.

서비스 이름과 실제 대상이 일치하는지, 잘못된 대상 티켓을 거부하는지 시험합니다. 인증이 되었다고 애플리케이션의 업무 권한을 생략하지 않습니다.

7장 RADIUS가 연결하는 두 구간#

사용자와 접속 장비의 인증 방법, 접속 장비와 RADIUS 서버의 통신을 나누어 봅니다. 실제 EAP 방법·전송 보호·공유 비밀·인가 속성의 신뢰가 중요합니다. 전통적 RADIUS 방식이 모든 메시지를 완전히 암호화한다고 설명해서는 안 됩니다.

flowchart LR
 U["단말·사용자"] --> N["접속 장비"]
 N --> R["RADIUS 서버"]
 R --> P["신원과 접근 정책"]
 P --> V["허용 망·조건·기록"]
 V --> N

8장 TACACS+와 장비 명령 인가#

장비 관리에서는 로그인뿐 아니라 명령·관리 행위의 허용과 기록을 중앙 정책에 연결할 수 있습니다. 프로토콜의 보호 영역과 실제 전송 환경을 확인하고 장비가 지원하는 인가·Accounting 기능을 시험합니다. 이름만으로 현대적인 전송 보호가 완성되었다고 볼 수 없습니다.

장비의 로컬 긴급 계정은 별도 접근·보관·사용 기록을 둡니다. 중앙 서버 장애 때 누구나 로컬 관리자로 접속하는 우회가 남지 않게 합니다.

9장 EAP는 인증 방법의 틀이다#

EAP라는 이름은 구체적인 자격증명과 상대 검증 방식을 모두 말해 주지 않습니다. EAP-TLS 같은 방법과 단말·서버의 인증서 정책을 확인해야 합니다. 클라이언트가 서버 인증서를 검증하지 않으면 가짜 접속점에 자격증명을 내주는 위험을 검토해야 합니다.

인증 성공 뒤 어떤 VLAN·업무 자원·기기 조건을 허용하는지도 정합니다. 링크의 보호와 조직의 내부 인가는 별도 경계입니다.

10장 PAP·CHAP·Diameter를 같은 목록에서 읽을 때#

PAP와 CHAP는 자격증명 검증의 방식에, Diameter는 AAA 메시지 처리를 위한 프로토콜에 관련됩니다. 이름이 나란히 나와도 동일한 계층의 대안이라고만 비교하면 안 됩니다. 실제 배치 목적·전송 보호·상호 인증과 현재 지원 조건을 확인합니다.

오래된 방식은 외부 보호 채널과 제품 설정의 영향을 함께 봅니다. 신규 선택을 단순히 구현이 쉽다는 이유로 결정하지 않습니다.

11장 장애와 권한 회수의 시험#

상황	확인할 동작
인증 서버 중단	제한된 장애 정책과 기록
퇴사·계정 회수	새 접속과 기존 세션의 처리
시간 오차	티켓·인증서 검증과 경보
만료 인증서	거부와 정상 갱신 경로
잘못된 서버	단말의 서버 인증 검증

중앙 인증을 도입한 상태보다 인증·인가·기록·복구가 같은 정책으로 작동하는 상태가 중요합니다. 사람·장비·서비스의 신원 수명주기를 실제 설정과 연결해야 합니다.

12장 적용 사례와 운영 방법#

기업 Wi-Fi에서 EAP를 사용해도 클라이언트가 인증 서버 인증서를 검증하지 않으면 가짜 접속점 위험이 남습니다. PAP는 자격증명 전송을 외부 보호 채널에 의존하며 CHAP도 현대적인 상호 인증과 전송 암호화를 대신하지 못합니다. Diameter는 AAA용 프로토콜로 RADIUS와 배치 환경·기능을 구분합니다.

13장 Kerberos 티켓 흐름#

sequenceDiagram
 participant C as 클라이언트
 participant K as KDC
 participant S as 서비스
 C->>K: AS 요청
 K-->>C: TGT와 클라이언트용 응답
 C->>K: TGT로 서비스 티켓 요청
 K-->>C: 서비스 티켓
 C->>S: 티켓과 authenticator
 S-->>C: 검증 결과·상호 인증 응답

14장 AAA의 세 가지 결과를 따로 기록한다#

AAA는 Authentication, Authorization, Accounting입니다. 인증 성공과 장비 명령의 허용 여부, 실제 수행 기록은 서로 다른 결과입니다. 네트워크 장비 로그인에 중앙 인증을 적용했다면 명령별 인가와 관리 기록이 어느 시스템에 남는지도 확인해야 합니다. 인증 서버가 멈췄을 때 로컬 계정으로 우회하는 정책도 보호 범위에 포함합니다.

Kerberos는 서비스가 티켓을 검증하는 구조이므로 서비스 계정과 키탭이 중요합니다. 키탭은 단순 설정 파일이 아니라 서비스의 비밀을 포함할 수 있습니다. KDC·시간 동기화·티켓 수명·계정 회수를 연결하고 관리자나 서비스의 비밀이 노출되었을 때 영향을 조사합니다.

15장 기업 무선망의 신뢰 경로를 확인한다#

EAP-TLS를 사용하는 경우 단말은 인증 서버의 인증서와 허용 이름을 검증하고, 서버는 단말 인증서의 발급·회수 정책을 적용합니다. 인증이 성공해도 어느 VLAN과 업무 자원으로 연결되는지는 별도 인가입니다. RADIUS는 접근 장비와 서버 사이의 보호 방식과 공유 비밀을, TACACS+는 장비 관리의 인가·기록 정책을 함께 확인합니다.

운영 시험은 만료 인증서, 시간 오차, 인증 서버 장애, 퇴사 계정, 장비의 우회 로그인 조건을 포함합니다. 프로토콜 이름이 동일해도 전송 보호와 인증 방법이 다르면 실제 위험은 달라집니다.

16장 적용 전 확인할 사항#

인증 서버와 공유 비밀·키탭을 보호한다
시간·인증서 만료·서버 장애에 대비한다
실제 EAP 방법과 서버 인증서 검증 설정을 확인한다

17장 자주 묻는 질문#

EAP를 켜면 통신이 자동으로 암호화되나요?#

EAP는 인증 프레임워크입니다. 실제 인증 방법과 링크·전송 보호 방식을 함께 확인해야 하며 이름만으로 보호 수준을 판단할 수 없습니다.

Kerberos 티켓이 있으면 모든 서비스에 접근할 수 있나요?#

대상 서비스와 연결된 티켓 검증 및 업무 인가가 필요합니다. 티켓 기반 인증을 조직의 모든 권한을 대신하는 만능 허가로 보면 안 됩니다.

RADIUS와 TACACS+를 이름만으로 안전성 순위에 놓을 수 있나요?#

배치 목적과 보호하는 메시지 영역, 전송·인증·운영 조건을 비교해야 합니다. 실제 장비의 지원과 정책을 확인해야 적절한 판단이 가능합니다.