국가·공공기관에서 소통·저장되는 자료 중에서 비밀이 아닌 업무자료를 보호하기 위해 도입·활용하는 암호모듈의 안정성과 구현 적합성을 검증하는 제도입니다.

「사이버안보 업무규정」 제9조와 「전자정부법 시행령」 제69조 등에 따라 「암호모듈 시험 및 검증지침」에서 시험·검증에 관한 세부절차를 정의하고 있습니다.

한 개 이상의 검증대상 암호알고리즘이 구현되어야 하며, 소프트웨어, 하드웨어, 펌웨어 또는 이들을 조합한 하이브리드 소프트웨어, 하이브리드 펌웨어 등 다섯가지의 유형으로 구분할 수 있습니다.

암호모듈은 국가·공공기관의 정보의 유출, 위·변조, 훼손 등을 방지하기 위해 기밀성·무결성·인증·부인방지 등의 기능을 제공하는 목적으로 사용될 수 있습니다.

암호모듈은 암호장치, 정보보호시스템, 보안기능이 있는 정보통신기기, 응용 애플리케이션 등에 탑재되어 운용됩니다.

검증필 암호모듈이란 검증기준에 따라 시험기관에서 안정성과 구현 적합성을 시험하고, 검증기관이 시험결과에 대한 타당성과 공정성 심의를 완료하여 검증번호를 부여하고 공지한 암호모듈을 의미합니다.

검증기준은 암호모듈이 충족해야 하는 보안 요구사항 및 시험방법과 제출물 요구사항을 명시한 시험요구사항 등을 말합니다.

검증기준은 국제표준에 기반한 한국산업표준 KS X ISO/IEC 19790:2015(암호모듈 보안요구사항)·KS X ISO/IEC 24759:2015(암호모듈 시험요구사항) 및 검증기관이 제공하는 암호모듈 구현안내서 등을 적용하며, 별도 안내를 통해 공지될 수 있습니다.

KS X ISO/IEC 19790:2015(암호모듈 보안요구사항) 및 KS X ISO/IEC 24759:2015(암호모듈 시험요구사항) 표준문서는 ‘e나라표준인증’에서 열람 가능하며, 원문 파일 다운로드 및 인쇄를 위해서는 ‘한국표준정보망’에서 구매해야 합니다.

그 밖에 암호모듈 구현안내서 등 검증기준에 관한 안내 사항은 암호모듈 검증 공지사항 및 KISA 암호이용활성화 홈페이지에서 확인하실 수 있습니다.

암호모듈 보안수준은 검증기준 만족 여부에 따라 1에서 4까지 분류되며, 가장 높은 단계가 보안수준 4입니다. 보안수준이 높아질수록 시험항목은 증가합니다. 소프트웨어 및 펌웨어 암호모듈의 경우 보안 수준 2까지 받을 수 있으며, 보안수준 3 이상은 하드웨어 형태로만 검증기준을 만족할 수 있습니다.

신청기관은 목표하는 보안수준에 만족하도록 제출물을 준비하여 시험기관에 시험을 신청해야합니다. 다만, 검증기준의 시험항목별 가장 낮은 단계의 보안수준이 암호모듈의 전체 보안수준으로 결정됩니다.

암호모듈 보안수준에 관한 세부 사항은 검증기준 및 ‘암호모듈 구현안내서’를 참조하시기 바랍니다.

암호모듈검증/개요및체계/시험기관에서 확인할 수 있습니다. 국가보안기술연구소·한국인터넷진흥원 및 한국시스템보증·한국정보보안기술원·한국정보통신기술협회 등이 시험기관으로서 암호모듈 시험업무를 수행합니다. 시험기관에 따라 시험 가능한 암호모듈 유형이 있으므로 확인하고 신청해야 합니다.

국가정보원이 검증기관으로서 암호모듈 검증 업무를 수행합니다.

국가정보원 및 한국인터넷진흥원 '암호모듈 검증' 웹 페이지의 안내사항 및 자주 묻는 질문 등을 참조하여 궁금하신 사항을 확인할 수 있습니다.

암호모듈 검증제도 정책 문의사항은 111콜센터, 암호모듈 시험 관련 궁금 사항은 국가보연기술연구소·한국인터넷진흥원 및 한국시스템보증·한국정보보안기술원·한국정보통신기술협회 등에 유선 또는 이메일로 문의 가능합니다. 해당 연락처는 암호모듈검증/개요및체계/시험기관에서 확인할 수 있습니다.

국가사이버보안센터 홈페이지 자료실(지침 · 가이드)에사 확인할 수 있습니다.

한국인터넷진흥원(KISA)에서 정기적으로 교육을 수행하고 있습니다. 교육일정 등은 한국인터넷진흥원에 유선 또는 이메일로 문의 가능합니다.

검증기관은 시험기관에서 신청기관이 시험 신청한 제출물 완성도 및 시험 가능 수준 여부 확인 등을 통해 작성한 암호모듈 시험수행계획서의 적절성과 재검증 모듈에 대한 유형의 판단 적절성 등을 검토합니다.

시험기관은 신청기관에서 제출한 제출물을 검토하여 시험 가능한 수준인지 완성도를 확인합니다. 시험기관은 이 과정에서 제출물의 완성도를 향상시키기 위해 신청기관에게 제출물 보완을 요청할 수 있습니다.

시험기관이 제출물에 대한 이해도 제고를 위해 제출물 설명회를 요구할 수 있습니다.

암호모듈 시험 신청 주체는 법인·단체·개인 등으로 암호모듈 개발 및 유지보수가 가능해야 합니다.

신청 가능합니다.

해외기업도 시험에 필요한 제출물을 준비하여 시험기관에 시험을 신청할 수 있습니다. 다만, 암호모듈 구현 내용에 대한 기술적 소통과 시험진행 중 제출물 보완 요구에 대한 대응 등 원활한 시험수행을 위한 지원이 가능해야 합니다.

신청 가능합니다.

다만, 용역 등의 외부 개발로 추진할 경우 제출물 관리상의 문제로 암호모듈 개발업체에서 직접 시험 신청을 해야합니다.

신청 불가능합니다.

공개된 암호알고리즘 소스코드만으로는 검증기준을 만족할 수 없습니다.

암호모듈 유형에 따른 시험신청 절차를 확인하셔야 합니다.

SW 암호모듈은 5개 시험기관에 직접 접촉하여 신청하시면 됩니다.

하지만, 펌웨어 및 하드웨어 등의 암호모듈은 국가보안기술연구소로 신청하셔야 합니다.

이메일 등으로 시험 신청 문의 후, 제출물(기본 및 상세설계서, 형상관리문서, 시험서(자체 시험결과서) 등)을 준비하여 시험 신청을 하실 수 있습니다. 제출물 제공 방법은 시험기관을 통해 안내 받으실 수 있습니다.

시험 신청, 접수, 계약 단계별로 준비해야 하는 사항은 다음과 같습니다. 다만, 암호모듈 형상 및 시험기관 상황에 따라 일부 달라질 수 있습니다.

- 시험 신청 : 1. 시험신청서 2. 기본 및 상세설계서 3. 형상관리문서 4. 시험서(자체 시험결과서) 5. 암호알고리즘 구현 적합성 및 엔트로피 시험 결과서 6. 암호모듈 7. 기타(담당자 연락처 및 암호모듈 용도) 등

- 시험 접수 : 1. 시험 신청 공문 2. 제출물 등

- 시험 계약 : 1. 제출물 2. 암호모듈 시험환경 3. 시험계약서 등

시험기관에서 시험 접수에 앞서 시험 신청 암호모듈에 대한 이해도 제고를 위해 제출물 설명회를 요구할 수 있으므로 적극 지원해 주실 것을 요청드립니다.

※ 자세한 사항은 한국인터넷진흥원(https://seed.kisa.or.kr/kisa/kcmvp/EgovProcedure.do)에서 확인하실 수 있습니다.

암호모듈, 암호모듈 소스코드, 기본 및 상세설계서, 형상관리문서, 시험서(자체 시험결과서) 등이 있습니다. 시험기관에서 접수 및 시험진행 중 암호모듈의 안전성을 확인하기 위한 추가 제출물을 요구할 수 있습니다.

샘플을 제공해 드릴 수 없습니다.

제출물은 암호모듈 개발업체 고유 자산으로 샘플을 제공해 드릴 수는 없는 점 양해바랍니다. 2022.9월 배포한 '암호모듈 제출물 작성 안내서'를 참고하여 검증기준에서 요구하고 있는 요구사항에 대해 상세한 설명이 포함되도록 제출물을 작성하셔야 합니다.

또한, 한국인터넷진흥원(KISA)에서 매년 영세중소업체를 선정하여 암호모듈 시험 준비를 위한 컨설팅 지원사업을 진행하고 있으니 시험기관에 문의하셔서 안내 받으시기 바랍니다.

제출물 준비사항 및 시험신청 등에 관한 양식은 KISA 암호이용활성화(seed.kisa.or.kr)의 '암호모듈 검증' 웹페이지에서 확인할 수 있습니다.

신청기관은 제출물에 대한 정당한 법적 권한을 가지고 있어야 하며, 신청기관이 제공한 제출물이 타인의 지적재산권을 침해하여 분쟁이 발생한 경우 이에 대한 모든 책임을 져야 합니다. 따라서, 암호모듈 시험·검증 진행 및 검증필 암호모듈 관리를 위해 단일 대표기관만을 인정합니다.

시험기관에 유선 또는 이메일로 문의 가능합니다. 다만, 신청기관에서 직접 문의하셔야 답변이 가능합니다.

시험기관에 따라 다릅니다. 공공시험기관인 국가보안기술연구소 및 한국인터넷진흥원에서는 무료로 진행하나 민간시험기관의 경우 시험 비용이 수반됩니다.

시험에 필요한 제반시설 등의 제공에 필요한 일체 비용에 대해서는 신청기관이 부담하셔야 합니다.

암호모듈 유형, 보안수준, 암호모듈의 복잡도, 제출물의 완성도에 따라 소요기간이 유동적입니다. 시험기관의 제출물 보완 요청에 즉시 대응할 수 있도록 당부드립니다.

5년입니다.

단, 기존 검증필 암호모듈과 연동하여 개발한 암호모듈의 경우, 기존 암호모듈의 유효기간으로 결정됩니다.

재검증을 신청합니다.

기존 제출물 외에 암호모듈 변경 내역, 변경 내역이 암호모듈에 미치는 영향을 분석한 영향분석서를 추가로 제출해야 합니다. 재검증 유형에 따라 검증효력 유효기간이 연장 또는 유지될 수 있으니 「암호모듈 시험 및 검증지침」을 참조하시기 바랍니다.

검증효력 유지를 위한 재검증을 신청합니다. 다만, 검증효력이 만료되기 6개월 이전에 신청해야 합니다.

검증효력 유지를 위한 재검증을 신청하지 않은 경우 해당 암호모듈은 검증효력이 만료된 것이므로 암호모듈 신규 시험을 신청해야 합니다. 또한, 검증효력 유지를 위한 재검증 진행 중 검증효력 유효기간이 만료된 경우에는 기존 검증필 암호모듈은 효력 만료되며, 재검증 완료 시 재검증이 완료된 암호모듈이 검증필 암호모듈 목록에 등재됩니다. 자세한 사항은 「암호모듈 시험 및 검증지침」을 참조하시기 바랍니다.

불가능합니다.

보안업데이트 등 기술지원이 종료된 운영체제에서 동작하는 암호모듈은 보안성의 문제로 검증필 암호모듈로 등재될 수 없습니다. 모바일 운영체제의 경우 최초 배포일 이후 5년이 지난 운영체제는 기술지원이 종료된 것으로 간주합니다.

신청기관은 암호모듈 시험신청 시점에 해당되는 운영체제의 기술지원 여부를 확인할 수 있는 공식적인 근거자료를 제출해야 합니다.

암호모듈의 형상이 변경되어 신청하는 재검증은 사안 발생시 재검증 신청이 가능합니다. 검증효력 유지를 위한 재검증의 경우에는 검증효력이 만료되기 6개월 이전에 신청해야 합니다. 단, 제출물의 VE(벤더 요구사항)가 30% 이상 변경된 경우와 유효기간이 6개월 미만으로 남아있는 경우는 신규 시험을 신청해야 합니다. 자세한 사항은 검증 공지사항의 '재검증 가이드라인'을 참조하시기 바랍니다.

취약점 보완 재검증을 신청합니다.

취약점 보완 재검증은 시험기관의 요청으로 이루어 질 수 있습니다. 또한, 신청기관은 암호모듈의 취약점을 도입기관에 즉시 고지해야 하며 취약점을 보완할 수 있는 긴급패치를 개발하여 시험·검증기관 승인 후 도입기관에 배포해야 합니다.

재검증은 암호모듈 신규 시험 절차와 동일하게 진행됩니다.

재검증 사유는 크게 보안기능 변경 재검증, 비보안기능 변경 재검증, 검증효력 유효기간 만료 재검증, 취약점 보완 재검증으로 구분할 수 있으며 신청기관에서 재검증을 신청하였으나, 시험기관과 검증기관의 검토 결과 형상의 변경이 일정 범위를 벗어나는 등의 사유 발생 시 신규 시험으로 처리될 수 있습니다. 자세한 사항은 「암호모듈 시험 및 검증지침」을 참조하시기 바랍니다.

비보안기능 변경 재검증을 신청합니다.

업체명을 변경하는 경우 공식문서 등 근거자료를 제출해야 하며 암호모듈명 및 버전을 변경하는 경우 명칭 및 버전 출력 관련 암호모듈 소스코드를 수정해야 합니다.

암호알고리즘의 테스트 벡터 등을 이용하여 관련 표준에 따라 정확하게 구현되었는지 검증하는 시험입니다. 암호알고리즘 종류별로 시험 방법이 상이할 수 있으며 자세한 사항은 검증 공지사항의 '암호모듈 구현안내서(GVI part 2)' 및 관련 암호알고리즘 표준 문서를 참조하시기 바랍니다.

암호모듈 개발업체가 예비검토 신청 전에 암호알고리즘 구현정확성 및 엔트로피를 자가 점검할 수 있는 온라인 서비스로 2023년 정식 서비스 개시를 목표로 개발하고 있습니다.

검증대상 암호알고리즘이란 암호모듈 검증 과정에서 암호알고리즘 구현 적합성 등 안전성을 확인하도록 검증기관의 장이 지정하는 암호알고리즘을 말합니다.

암호모듈에 구현되어 있으나 검증대상 암호알고리즘이 아닌 암호알고리즘을 비검증대상 암호알고리즘으로 분류합니다.

검증대상 동작모드는 암호모듈 시험 및 검증의 범위에 포함되는 모드입니다. 암호모듈은 검증대상 동작모드에서의 정상 동작 및 안전성이 보장됩니다. 

비검증대상 동작모드는 시험 및 검증의 범위에 포함되지 않기 때문에 시험기관 및 검증기관은 비검증대상 동작모드의 정상 동작 및 안전성에 대해 보증하지 않습니다.

국가 · 공공기관에서 검증필 암호모듈을 필수로 요구하는 정보보호시스템 혹은 암호가 주기능인 제품을 도입하고자 할 경우에는 검증필 암호모듈이 탑재된 제품을 도입해야 합니다. 상세 도입기준은 보안적합성 검증 홈페이지에서 확인하실 수 있습니다.
업무자료의 중요 여부에 따른 도입기준은 비밀이 아닌 업무자료를 보호하기 위해 검증필 암호모듈을 사용할 수 있으며, 대외비의 저장·소통 등 전자적 처리 시에는 검증필 암호모듈을 필수로 적용해야 하며, 비공개 업무자료의 전자적 처리 시에는 기관에서 자율 선택이 가능합니다.

또한, 국가·공공기관에서 자체 규정·방침에 따라 검증필 암호모듈을 탑재를 요구하는 경우가 있으니 해당 기관을 통해 안내 받으시기 바랍니다.

암호모듈의 도입 목적, 운영환경에 따라 다양할 수 있지만, 최소한 다음의 사항을 확인해야 합니다.

- 검증필 암호모듈 목록 등재 여부 및 검증효력 유효성 여부

- 검증필 암호모듈의 명칭 및 형상데이터(파일명, 해시값) 일치 여부

- 적용대상 시스템에서 필요한 암호알고리즘 지원 여부

- 지원하는 운영체제

- 암호모듈 유형 및 보안수준

- 암호모듈의 안전한 사용을 위해 요구되는 보안정책문서 확인 .

검증필 암호모듈 목록에서 해당 암호모듈의 개발업체, 명칭 및 검증효력 유효기간 등을 확인할 수 있습니다. 도입하려는 암호모듈이 검증필 암호모듈 목록에 등재되었는지 확인하고 적용대상 시스템 운용체제(OS)에 해당하는 형상데이터(해시값)가 일치하는 지 여부를 확인해야 합니다.

적용대상 시스템의 보안위협을 정의하고 목표하는 수준에 적합한 암호모듈을 도입하여 운용하시는 것을 권고합니다. 국가·공공기관에서 행정전자서명 등 일부 적용대상 시스템에 대해 암호모듈 보안수준을 명시하는 하는 경우가 있으니 해당 규정·방침 등을 참조하시기 바랍니다.

암호 모듈검증 개요의 암호모듈 도입기준과 보안적합성 검증제도를 참고하시길 바랍니다.
국가 · 공공기관 도입기준을 만족하는 검증필 암호모듈을 필수로 탑재한 제품(DB암호화, 통합인증(SSO), 문서암호화 (DRM 등), 가상사설망, S/W기반 보안USB, 호스트 자료유출 방지 제품 등 정보보호시스템 유형, 암호가 주 기능인 제품) 은 보안적합성 검증 '안전성 검증필 제품목록'에서 확인하시길 바랍니다.

그 밖에 국가 · 공공기관에서 별도 규정이나 지침에 따라 검증필 함호모듈 탑재를 요구하는 경우는 해당기관과 협의하여 진행하시길 바랍니다.

도입시점 기준으로 검증효력이 유효한 암호모듈을 도입해야 합니다. 또한, 검증필 암호모듈을 필수로 요구하는 제품에 대해서도 검증효력이 유효한지 확인해야 합니다.

국가·공공기관은 운용중인 암호모듈의 검증효력이 만료되거나 개발업체의 사정으로 더 이상의 유지보수 또는 기술지원이 불가능할 경우, 해당 기관의 책임 하에 암호모듈의 안전성을 확인하고 운용해야 합니다.

암호모듈 개발업체가 검증효력이 만료되기 이전에 암호모듈의 형상을 수정·보완하여 재검증을 신청하는 경우 검증필 암호 모듈 목록이 갱신되므로 업데이트된 암호모듈로 교체 운용하는 것을 권고합니다.

다만, API 등 형상변경 여부를 확인하신 후 안전성을 점검한 후 운용하시길 바랍니다.·.

군 도입 검증필 암호모듈은 국군방첩사령부(국번없이 1337)에 문의하시기 바랍니다.

탑재된 암호모듈을 교체하고자 할 경우, 사전인증(보안기능 확인서 또는 CC인증) 절차에 규정된 변경 절차대로 수행하시면 됩니다.

이를 위해 사전인증제더 절차에 규정된 관련자료를 시험·평가기관에 제출하시면 됩니다.

2021.11월 이후 재검증을 거친 암호모듈의 경우 검증필 암호모듈 목록으로 등재된 보안정책서에 암호모듈 API의

변경사항이 포함되어 있습니다.

양자내성암호 등 양자컴퓨터 위협에 대응할 수 있는 안전한 암호알고리즘 도입 준비와 함께 현재 승인된 검증대상 암호알고리즘(공개키 암호, 전자서명, 키 설정)의 키 길이를 상향을 추진하고 있습니다.

한국현 양자내성암호(KpqC) 선정, 범국가 양자내성암호 전환 마스터플랜 발표 등 산학연 협력연구를 통해 다가오는 양자컴퓨터 시대를 대비한 암호기술의 전환을 준비하고 있습니다.