GSA(General Services Administration)의 login.gov 는 미국 공공 및 연방 공무원이 연방 기관과 온라인으로 상호 작용하고 거래할 수 있도록 Single Sign-On을 제공합니다. 사용자는 하나의 계정으로 연방 정부의 구인 게시판, USAJOBS, Global Entry와 같은 국토안보부의 신뢰할 수 있는 여행자 프로그램과 같은 서비스에 액세스할 수 있습니다. login.gov 는 사용자가 연방 정부 서비스에 보다 쉽게 액세스할 수 있도록 하는 것 외에도 소프트웨어 개발, 보안 운영 및 고객 지원을 처리합니다. 이를 통해 기관은 핵심 임무에 집중하는 동시에 비용을 절감하고 보안을 강화할 수 있습니다. 또한 login.gov 팀은 여러 서비스가 아닌 하나의 서비스를 보호하는 데 집중하고 보안 및 계정 관리를 위한 모범 사례를 채택할 수 있습니다.
과제:
보안, 편의성 및 비용의 균형
미국 정부가 연방 공무원과 일반 대중 모두를 위해 전자 정부 서비스를 지속적으로 현대화함에 따라 이러한 서비스를 안전하고 사용자 친화적이며 효율적이며 비용 효율적인 방식으로 제공해야 하는 과제가 있습니다. 피싱 공격이 증가함에 따라 정부는 “피싱 방지” 다단계 인증(MFA) 기술을 지원해야 했습니다.
FIDO로 가는 길:
GSA의 login.gov 평가 프로세스
GSA는 보안, 비용 및 규정 준수라는 세 가지 주요 우선 순위로 login.gov 인증을 위한 몇 가지 옵션을 평가했습니다.
개요
도전 과제
피싱 공격이 증가함에 따라
정부에 꼭 필요한 일이었다
“피싱 방지” 다단계 지원을 위해
인증(MFA) 기술
또한 사용자 친화적이고 효율적이며
비용 효율적입니다.
솔루션
몇 가지 옵션을 평가한 후
login.gov 에 대한 인증의 경우
정부는 지원하기로 결정했다.
FIDO를 사용한 FIDO2
보안 키 및 내장 FIDO
Windows Hello와 같은 인증자
생체 인식. 비교를 통해
다른 옵션, 그들은 FIDO를 찾았습니다.
보안, 유용성,
비용 및 규정 준수.
결과
GSA는 다음과 같은 인증을 출시했습니다.
2018년 9월의 FIDO2. 이니셜 포함
약 2,000명에 해당하는 입양,
또는 신규 사용자의 0.2%가 GSA가 만들었습니다.
사용자가 등록하기 위한 요구 사항
두 번째 MFA 옵션. 그 결과,
새로운 FIDO2 보안의 수
키는 월 17,000개로 증가했습니다.
2019 년 6 월 말에는
27,000개의 FIDO2 키가 등록되어 있고
채택률이 약
전체 신규 사용자의 3%를 나타냄
초기 롤아웃에서 크게 증가했습니다.
보안
검토된 MFA GSA의 옵션 중 하나는 SMS 일회용 암호(SMS OTP)였습니다.
그 결과, SMS OTP가 사용자에게 인기 있는 MFA 옵션이라는 사실을 알게 되었습니다. SMS OTP는 편리하지만 사용자에게 피할 수 있는 보안 위험을 초래합니다. 여기에는 사용자의 문자 메시지를 모니터링할 수 있는 휴대폰에 실수로 다운로드된 맬웨어가 포함됩니다. 또한 GSA는 특히 사용자의 생년월일과 사회 보장 번호를 포함하여 은행 정보와 개인 식별 정보를 제어하는 계정을 대상으로 하는 피싱과 관련된 많은 문제를 경험했습니다. login.gov GSA는 피싱을 방지할 수 있는 SMS OTP에 대한 안전한 대안을 제공하고자 FIDO2 인증 표준을 평가하기 시작했습니다.
FIDO2는 사용자가 기기 내 생체 인식 및 FIDO 보안 키와 같은 일반적인 기기를 활용하여 피싱 방지 암호화 보안으로 온라인 서비스에 인증할 수 있도록 하는 강력한 인증 표준 세트입니다. FIDO2 사양은 월드와이드웹 컨소시엄(W3C)의 웹 인증(WebAuthn) 사양과 FIDO 얼라이언스의 해당 클라이언트-인증자 프로토콜(CTAP)입니다.
GSA는 FIDO Alliance의 FIDO2 표준을 검토한 후 FIDO2의 피싱 방지 기능이 보안 문제를 해결하는 데 가장 적합한 접근 방식이라는 것을 발견했습니다.
FIDO 표준 내부
FIDO2 사양을 포함한 FIDO 프로토콜은 공유 암호 대신 표준 공개 키 암호화 기술을 사용하여 피싱 및 채널 공격으로부터 더 강력한 인증 및 보호를 제공합니다.
프로토콜은 또한 처음부터 사용자 개인 정보를 보호하도록 설계되었습니다. 프로토콜은 서로 다른 온라인 서비스에서 서비스 전반에 걸쳐 사용자를 공동 작업하고 추적하는 데 사용할 수 있는 정보를 제공하지 않으며, 생체 인식은 사용될 때 사용자의 장치를 떠나지 않습니다.
이 모든 것은 로그인 시 손가락 스와이프, PIN 입력, 마이크에 대고 말하기, 2단계 장치 삽입 또는 버튼 누르기와 같은 간단한 작업을 통해 사용자 친화적이고 안전한 사용자 경험과 균형을 이룹니다.
비용 절감
GSA는 보안 문제 외에도 SMS OTP를 관리하는 데 상당한 비용이 든다는 사실을 알게 되었습니다. 대안이 없다면 점점 더 많은 사용자가 login.gov 에 온보딩됨에 따라 이러한 비용은 계속 증가할 것입니다.
FIDO2를 통해 GSA는 “자체 FIDO 보안 키 가져오기” 접근 방식을 활용하여 비용 효율성을 높일 수 있습니다. 연방 정부는 인증자를 판매하거나 프로비저닝하지 않지만 이전에 프로비저닝된 인증자를 사용할 수 있도록 합니다.
컴플라이언스
NIST의 디지털 ID 지침 – 인증 및 수명 주기 관리(Special Publication 800-63B)는 네트워크에 대한 사용자 인증과 관련하여 연방 기관이 준수해야 하는 지침입니다. 2017년 지침에서는 SMS OTP를 “제한된” 인증 기술로 재분류했습니다. 즉, 에이전시는 사용자에게 제한되지 않는 대체 인증자를 하나 이상 제공해야 합니다. 또한 제한된 인증자(SMS OTP)의 보안 위험 및 대안의 가용성에 대한 의미 있는 정보를 사용자에게 제공해야 합니다. FIDO 표준은 고수준 보안 보장 강력한 인증에 대한 NIST 지침을 충족하는 안전한 대안을 제공합니다.
FIDO2 개발
개발 전에 GSA는 developers.google.com 에서 FIDO2 WebAuthn을 사용하여 강력한 인증을 활성화하는 데 Google 개발자 리소스를 활용했습니다. 서버 측 처리를 지원하기 위해 GSA는 GitHub에서 WebAuthn-ruby gem을 활용했습니다. 이는 백엔드 처리를 포함한 개발에 큰 도움이 되고 가속화되었습니다. 또한 GSA는 발생한 모든 문제에 대한 추가 설명을 위해 W3C 참조 자료를 사용했습니다.
login.gov 에 대한 GSA의 모든 코드는 오픈 소스에 있으며 GitHub의 repo 18F/identity-idp에 있습니다. 표준 기반 인증 기술이기 때문에 FIDO2에 대한 지원을 구현하는 것이 매우 빨랐습니다. 3명의 개발자로 구성된 소규모 팀이 개발을 하고 프로덕션으로 전환하는 데 단 2주가 걸렸습니다.
FIDO2를 사용한 배포 및 사용자 환경
GSA는 2018년 9월에 FIDO2를 사용한 인증을 출시했습니다. login.gov 는 FIDO 보안 키 및 Windows Hello 생체 인식과 같은 기본 제공 FIDO 인증자를 사용하여 FIDO2를 지원합니다. 사용자의 경우 사용자 온보딩 중에 이를 모두 ‘보안 키’라고 합니다. login.gov 에서 FIDO2를 설정하는 프로세스는 다음과 같이 작동합니다.
- 사용자가 login.gov 계정을 만들 때 이메일 주소를 입력하고 암호를 만듭니다. Login.gov 먼저 새 사용자가 이메일 주소를 확인할 수 있도록 자동 생성된 이메일을 보냅니다.
- 그런 다음 SMS OTP, FIDO2 보안 키 및 백업 코드를 포함한 옵션 메뉴에서 MFA를 선택하고 설정하라는 지시를 받습니다.
- FIDO2를 설정하려면 사용자가 “보안 키” 옵션을 선택합니다.
- 사용자는 보안 키의 닉네임을 만들 수 있습니다.
- 하드웨어 보안 키를 컴퓨터에 삽입하고 터치하거나, 기기에 지원되는 기본 제공 인증자가 있는 경우 카메라를 들여다보거나 생체 인식 센서를 터치하여 사용하라는 메시지가 표시됩니다(두 가지 예).
- 사용자에게 “성공 화면”이 표시되고 login.gov 계정에 액세스할 수 있습니다.
많은 사용자가 로그인할 때 “장치 기억” 옵션을 활용합니다. 예를 들어 사용자가 랩톱을 사용 중이고 “디바이스 저장”을 선택하면 30일 동안 해당 랩톱에서 MFA가 다시 필요하지 않습니다.
비 FIDO2 보안 키 지원
테스트 중에 개발 팀은 몇 가지 하드웨어 보안 키가 실패하는 것을 발견했습니다. 그들은 대부분의 실패가 FIDO2를 준수하지 않았기 때문이라는 것을 발견했습니다. 비 FIDO2 보안 키에 대한 지원을 추가하는 것을 고려한 후 단순히 WebAuthn을 구현하는 것보다 상당한 시간과 노력이 필요하기 때문에 지원하지 않기로 결정했습니다. GSA는 나중에 비 FIDO2 키에 대한 지원을 다시 검토할 계획입니다. FIDO2 인증 인증자 목록은 FIDO Alliance 웹사이트에서 확인할 수 있습니다.
FIDO 사용자 채택: 상승세
처음에 사용자는 매월 약 2,000개의 새로운 FIDO2 키를 등록했으며, 이는 신규 사용자의 약 0.2%에 해당합니다. GSA는 인증 통계를 분석한 결과, 더 많은 사용자가 MFA를 위해 모바일/SMS OTP 옵션을 더 자주 선택한다는 사실을 발견했습니다. 2019년 5월, GSA는 FIDO2에 대한 인식과 채택을 높이기 위해 신규 사용자에게 두 번째 MFA 옵션을 등록하도록 요구하기 시작했습니다. 이 변경으로 인해 새 FIDO2 인증자 수가 매월 17,000개로 증가했습니다. 이 숫자는 6월 한 달 동안에만 27,000명으로 증가했으며 채택률은 전체 신규 사용자의 약 3%로 증가하여 초기 출시에 비해 크게 증가했습니다. GSA는 기존 사용자에 대해 동일한 요구 사항을 고려하고 있지만 사용자 경험을 방해하지 않는 선에서 이를 고려하고 있습니다.
2019년 6월 현재 login.gov 매달 약 100만 명의 신규 사용자를 온보딩하고 있으며, 에이전시가 계속해서 추가 서비스를 추가함에 따라 이 수치는 증가할 것으로 예상됩니다. GSA는 사용자가 별도의 FIDO 보안 키를 획득할 필요가 없기 때문에 채택률을 높이기 위해 내장 인증자를 사용하는 것에 대한 기대치가 높습니다.
채택 증가를 위한 향후 개선 사항
login.gov 직면한 과제 중 하나는 사용자 교육입니다. 특히 사용자에게 FIDO2에 등록할 수 있는 옵션이 있음을 알리고 FIDO가 무엇이며 설정 방법에 대해 교육합니다. FIDO2 보안 키가 없거나 기본 제공 인증자가 없기 때문에 FIDO를 설정할 수 없는 사용자 집합을 혼동하지 않고 이 작업을 수행하는 것은 어려울 수 있습니다.
GSA가 작업하고 있는 또 다른 영역은 온보딩 프로세스와 모든 FIDO 인증자에 대한 “보안 키”라는 용어의 사용입니다. 2019년 9월 현재 보안 키 언어를 사용하는 대신 기기 이름을 설정하라는 메시지를 표시하는 것에 대한 사용자 연구가 진행 중입니다. 예비 조사 결과에 따르면 물리적 보안 키가 있는 사용자에 대한 보안 키 옵션을 유지한 다음 기본 제공 인증자가 있는 사용자를 위한 추가 옵션(예: “Android 휴대폰 사용” 또는 “Windows Hello 디바이스 사용” 등)을 추가하는 것이 채택에 도움이 될 것입니다. 이렇게 하면 사용자가 옵션을 명확하게 설정하여 설정할 가능성이 높아집니다.
고려 중인 또 다른 개선 사항은 “MFA Checkup”이라는 기능입니다. 이는 사용자가 스마트폰을 변경하고 백업 코드를 분실할 때 발생하는 실제 문제를 해결하기 위한 것입니다. Login.gov 사용자에게 사용 가능한 메서드를 알리는 화면을 표시하거나 사용자에게 메서드를 바꿀 수 있는 옵션을 제공합니다.
궁극적으로 GSA는 사용자 커뮤니케이션을 간소화하고 사용자 인증 옵션을 보다 명확하게 하는 것이 사용자 채택을 늘리고 GSA와 최종 사용자 모두가 FIDO 인증이 제공하는 완전한 보안, 유용성 및 비용 절감 이점을 실현할 수 있도록 지원하는 이러한 조치를 보고 있습니다. 전자 정부 서비스에 로그인하기 위해 FIDO 인증을 제공하는 최초의 정부 중 하나인 GSA는 다른 정부가 따라야 할 모델이 되기 위해 노력하고 있습니다.
미국 총무청(General Services Administration)의 FIDO2 롤아웃 on login.gov PDF는 여기에서 확인할 수 있습니다.
