용어와 정의
영문 또는 원어: SPDM
영문 정식명칭: Security Protocol and Data Model
한글명: 보안 프로토콜 및 데이터 모델
컴퓨팅 시스템의 장치와 구성 요소 사이에서 인증, 측정 정보와 보안 세션에 필요한 메시지 교환을 정의하는 규격입니다.
정확한 의미와 동작 원리
장치가 어떤 기능을 지원하는지 협상하고 인증서나 측정 정보를 교환할 수 있도록 메시지와 처리 순서를 정의합니다. 장치가 제시한 정보를 누가 어떤 기준으로 신뢰할지는 이 규격을 사용하는 시스템의 신뢰 구성과 연결됩니다.
보안 세션을 위한 기능이 포함돼 있어도 모든 저장 데이터나 응용 프로그램 통신이 자동으로 암호화된다는 뜻은 아닙니다. 보호하는 교환과 장치 연결의 범위를 구분해야 합니다.
쉽게 이해하기
부품이 자신을 소개하고 확인 자료를 제출하며 정해진 방식으로 통신하는 절차에 비유할 수 있습니다. 자료가 왔다는 사실과 그 부품을 실제 서비스에 허용할지는 다른 판단입니다.
종류와 버전 및 관련 방식의 차이
장치 인증과 측정 정보
인증서 기반의 확인과 펌웨어 등을 설명하는 측정 정보의 교환은 서로 관련되지만 다른 확인 항목입니다. 측정값은 비교 기준과 함께 해석합니다.
규격 판과 구현의 차이
1.4.0은 양자내성 암호 지원을 확장한 판입니다. 다만 이 판은 여러 암호 알고리즘을 동시에 결합하는 하이브리드 방식을 지원한다고 규정하지 않습니다. 지원 판, 선택 기능과 구현의 수정 상태를 개별적으로 확인해야 합니다.
적용 대상과 조건
서버와 저장장치 및 가속기 같은 시스템 구성 요소의 신뢰 확인에서 관련됩니다. 실제 장치가 사용하는 전송 바인딩과 관리 기능을 함께 확인해야 합니다.
검토에 사용한 규격은 2025년 5월 15일 공개된 1.4.0입니다. 이를 검토일의 모든 제품에 적용되는 최신 구현이나 취약점 수정 완료 상태라고 단정하지 않습니다.
오해하기 쉬운 점
인증에 성공했다는 사실만으로 장치의 모든 동작이 안전하거나 측정 상태가 정책에 맞는다고 보지 않습니다.
규격 준수 주장, 제공 기능과 실제 제품 보안 검증은 별도의 증거가 필요합니다.
자주 묻는 질문
이 규격이 있으면 장치의 데이터를 전부 암호화하나요?
장치 사이에서 정의된 메시지와 보안 세션을 다루는 규격입니다. 실제 데이터 경로와 저장 데이터의 보호 범위는 별도 기능 및 구성을 확인해야 합니다.
측정값을 받으면 신뢰할 수 있는 장치인가요?
측정값의 출처와 최신성 및 비교 기준을 확인하고 정책에 따라 평가해야 합니다. 값의 수신만으로 신뢰 판정이 끝나지 않습니다.