백서: Passkeys 사용한 비밀번호 + OTP 인증 대체

편집기

후스난 바즈와, 비욘드 아이덴티티
조쉬 시그나, 유비코
Jing Gu, 정체성을 넘어

추상적인

자격 증명 스터핑의 위험을 완화하기 위해 SMS OTP와 같은 두 번째 요소를 구현한 기업을 위해 이 백서에서는 암호 + OTP를 암호 키로 대체하는 방법에 대한 지침을 제공합니다.

관객

이 백서는 MFA(다단계 인증) 로그인 프로세스를 배포하고 유지 관리하는 ISRM 및 IT 직원을 대상으로 합니다.

1. 소개

인력 보안을 목표로 하는 많은 기업이 비밀번호에 대한 추가 인증 요소로 SMS 및 애플리케이션 기반 일회용 비밀번호(OTP)를 배포했습니다. 이 백서는 현재 패스키를 사용한 FIDO 인증으로의 전환을 고려하고 있는 이러한 조직을 대상으로 합니다. 이 백서는 특히 OTP에 초점을 맞추고 있지만, 논의 및 권장 사항은 애플리케이션 기반 OTP 및 푸시 알림을 포함한 피싱 가능한 두 번째 요소를 사용하는 모든 시스템으로 일반화할 수 있습니다.

이 백서에서는 보안, 사용자 경험, 배포 용이성 측면에서 추가 인증 요소인 OTP를 비밀번호 및 Passkey와 비교합니다. 또한 조직의 전반적인 보안 태세를 강화하는 동시에 사용자 경험을 개선하기 위해 OTP에서 Passkeys로 마이그레이션하는 방법에 대한 일반적인 지침을 제공합니다. 이 백서의 지침에서는 계획, 사용 사례 식별 및 문서화, 파일럿 고려 사항, 배포 및 교육 지침을 포함하여 패스키로 이동하기 위한 주요 단계를 다룹니다. 이 문서는 내부 인증, 외부 인증, 타사 및 B2B 인증 전략을 포함한 낮은 보안 보장 사용 사례를 대상으로 합니다. 조직에서 일반적으로 암호의 두 번째 단계로 OTP를 구현한다는 점을 감안할 때 이 문서에서는 OTP에 대한 모든 참조가 암호의 두 번째 단계로 사용되는 것으로 가정해야 합니다.

이 문서에서는 특정 공급업체 기술 또는 구현에 대해서는 다루지 않습니다. 보통 또는 고수준 보안 보장 사용 사례에 대한 지침은 FIDO Alliance에서 발행한 추가 백서 [1]를 참조하세요. 이 문서는 일련의 백서의 일부이므로 독자는 소개 문서 [2]부터 시작하는 것이 좋습니다.

백서 다운로드

2. OTP MFA와 Passkeys: Passkeys 선택해야 하는 이유

Passkeys OTP와 비교할 때 보안, 사용자 경험 및 배포 용이성에 대한 여러 가지 이점을 제공합니다.

2.1 경비

OTP 기반 MFA는 크리덴셜 스터핑 및 재사용의 위험을 완화하기 위해 널리 채택되었습니다. SMS 및 인증자 애플리케이션 기반 OTP는 상대적으로 저렴하고 광범위한 사용자 및 사용 사례에 걸쳐 배포가 용이하기 때문에 가장 일반적으로 배포되는 솔루션입니다. 그러나 이러한 유형의 MFA는 상대적으로 단순하기 때문에 시크릿 생성기와 검증 ID 공급자(IDP) 간에 양방향 통신이 존재하지 않기 때문에 소셜 엔지니어링 및 많은 MFA 우회 툴킷에 취약하며, 이는 OTP가 최종 사용자 또는 IDP의 지식 없이 제3자가 OTP를 가로채서 사용할 수 있음을 의미합니다.

또한 OTP 기반 MFA는 조직이 관리하지 못하거나 보안 태세를 파악할 수 없는 디바이스에 대한 신뢰가 필요합니다. 이는 조직이 자신의 장치의 보안과 피싱 시도를 식별할 수 있는 능력을 유지하기 위해 최종 사용자에게 의존하고 있음을 의미합니다. 사용자 교육은 이러한 공격 중 일부를 해결하는 데 도움이 될 수 있지만, 보안 연결 및 친숙한 URL 확인과 같은 기존 지침은 여전히 항상 경계하는 사용자 기반에 의존합니다.

Passkeys 피싱 방지, 재생 방지 로그인을 제공하여 사용자의 인지 부하를 줄이고 조직의 전반적인 보안 태세를 강화합니다. 이는 암호 키가 신뢰 당사자의 도메인으로 범위가 지정된 암호화 챌린지-응답 프로토콜을 구현하기 때문에 달성됩니다. 그런 다음 인증자는 생체 인식 증명 또는 PIN과 같은 보안 동작에 의존하여 사용자 친화적인 경험을 유지하면서 인증자의 자격 증명을 잠금 해제합니다. 암호 키를 사용하면 조직은 암호 없는 시나리오에 대한 강력한 1단계 인증 또는 기존 MFA 워크플로에 대한 강력한 2단계 인증을 가질 수 있습니다.

2.2 사용자 경험

Passkeys 다음과 같은 여러 가지 방법으로 암호 및 OTP에 대한 사용자 경험을 개선합니다.
Passkeys 셀 커버리지가 좋지 않은 경우에도 작동하는 반면 SMS OTP는 모바일 네트워크 연결이 필요합니다. 예를 들어 사용자는 비행기에서 무선으로 액세스할 수 있지만 SMS를 사용할 수는 없습니다. 이 경우 SMS OTP는 전달할 수 없지만 패스키는 인증에 사용할 수 있습니다.
자동 완성 UI 를 사용하면 브라우저, 모바일 장치 및 데스크톱에서 원활하게 통합할 수 있습니다.
최대 4배 빠른 로그인, 코드 배송을 기다릴 필요가 없음 [3]
잘못 입력된 암호 및 코드로부터 보호
Passkeys 생체 인식 증거(얼굴 또는 지문)와 같은 인증을 위한 일반적인 동작을 기반으로 합니다.

2.3 배포의 용이성

대규모 전담 지원 직원이 없는 일부 소기업, 중소기업의 경우 전담 최종 사용자 배포
인증 하드웨어 토큰은 장애물을 만들 수 있습니다. 여기에는 OTP 하드웨어 토큰 또는 FIDO 보안 키가 모두 포함됩니다. 역사적으로 SMS/앱 기반 OTP의 배포가 용이하여 더 유리한 선택이 되었습니다. 구매, 물류 및 구성은 운영 팀과 IT 팀이 끊임없이 벌이는 전투입니다. 인증자 환경을 확장하기 위해 FIDO2 에코시스템을 업데이트하면 이 문제가 완화되고 다양한 디바이스를 암호 저장소로 사용할 수 있습니다.

이 모든 것이 결합되어 다음과 같은 몇 가지 이유로 인해 SMS OTP에 비해 패스키 배포가 훨씬 쉽고 비용이 적게 든다는 것을 의미합니다.
SMS 통합은 필요하지 않습니다. 기업은 이동 통신 사업자 또는 타사 SMS 공급업체와의 인터페이스를 구성하거나 유지 관리할 필요가 없으므로 배포 복잡성이 줄어듭니다.
기업은 SMS OTP와 관련된 거래당 수수료를 지불할 필요가 없으므로 인증을 위한 총 소유 비용을 절감할 수 있습니다.
FIDO 인증은 패스키를 사용합니다. Passkeys 다양한 장치 및 응용 프로그램에서 간단하게 구현할 수 있습니다.
SMS OTP는 표준화되지 않은 통신사별 API 또는 타사 공급업체 API에 의존하므로 공급업체 종속 및 상호 운용성 부족의 위험이 높아집니다.
시간 동기화가 필요하지 않습니다. Passkeys SMS TOTP(Time-Bound OTP)의 시간 동기화 요구 사항을 피합니다. 짧은 시간 내에 코드를 입력할 필요가 없으며 SMS의 전달 가능성 문제로 인해 로그인 실패가 발생하지 않습니다.

패스키를 사용한 FIDO 인증은 운영 체제(OS) 및 브라우저 공급자에 의해 채택되었습니다. 대부분의 주요 공급업체의 이러한 기존 OS 지원은 대부분의 경우 랩톱, 전화 및 테이블과 같은 엔터프라이즈의 기존 하드웨어를 활용하여 비용이 많이 드는 업데이트 및 교체 없이 패스키로 FIDO를 배포할 수 있음을 의미합니다.

경우에 따라 기업에서는 iPad와 같은 공유 단일 사용자 장치를 사용합니다. 이러한 사용 사례의 경우 장치의 모든 사용자가 자격 증명에 액세스할 수 있으므로 통합 플랫폼 인증자에 저장된 암호 키가 적합하지 않을 수 있습니다. 이러한 경우 조직은 로밍 인증자(하드웨어 보안 키)를 사용하여 공유 장치에서 사용할 암호를 생성하고 저장해야 합니다. 이것은 동일한 사용 편의성과 편의성을 제공합니다. 사용자를 위해 이러한 하드웨어 키를 구매하고 관리하는 데 추가 비용이 발생할 수 있습니다. 대부분의 경우 하드웨어 키를 사용하는 경우 사용자가 계정에 액세스할 수 없게 될 위험을 줄이기 위해 백업으로 사용자에게 두 번째 하드웨어 키를 발급해야 할 수 있습니다.

3. OTP에서 Passkeys로 마이그레이션하기 위한 배포 전략

3.1 배포 모델 식별

성공적인 암호 키 배포를 계획하려면 조직에서는 직원의 암호 키 유용성을 최대화하기 위해 사용자의 요구 사항과 사용자가 해당 역할에서 사용하는 컴퓨팅 장치를 고려해야 합니다. 조직에서는 가능한 한 많은 사용자가 패스키에 액세스할 수 있도록 패스키 배포를 계획할 때 최소한 다음 질문을 고려해야 합니다.

어떤 종류의 컴퓨팅 장치가 사용됩니까?
사용자가 랩톱 또는 데스크톱 컴퓨터에서 작업하고 있습니까? 모바일 장치? 정제?
장치가 단일 사용자 장치입니까 아니면 다중 사용자(예: 공유) 장치입니까?
회사에서 장치를 프로비전하고 있습니까, 아니면 사용자가 회사에서 자신의 개인 장치를 사용하고 있습니까?
USB 포트, Bluetooth 또는 NFC 사용에 제한이 있습니까?
인터넷 액세스에 제한이 있습니까?
사용자가 일반적으로 기기 내 생체 인식의 사용을 제한하는 장갑이나 마스크를 착용하고 있습니까?

이전 질문에 대한 답변에 따라 조직은 몇 가지 유형의 인증자 중 하나를 선택하여 사용자의 암호 키를 저장할 수 있습니다. 패스키의 유연성은 조직이 보안 상태와 UX 요구 사항에 따라 조합할 수 있음을 의미합니다. 이 시리즈의 다른 문서에서는 각 인증 유형에 대해 자세히 설명합니다.

3.2 배포 테스트

배포 모델을 결정하고 애플리케이션이 통합된 FIDO 서버를 배포한 후에는 조직에서 파일럿 그룹을 사용하여 사용자와 함께 등록, 인증 및 복구 프로세스(아래 참조)를 테스트하는 것이 좋습니다. 그런 다음 파일럿의 피드백을 사용하여 프로세스를 개선하고 파일럿 인구가 제기한 문제를 해결한 후 광범위한 패스키 출시에 착수합니다.

3.3 사용자 경험

3.3.1 등록

기업은 이전 FIDO 백서에 명시된 대로 사용자가 패스키와 정확하고 안전하게 연결되도록 신뢰할 수 있는 등록 프로세스를 구현해야 합니다. 등록 환경은 사용자가 암호 키와 처음 상호 작용하는 것이기 때문에 고려해야 합니다. 다음은 등록 환경을 디자인할 때 고려해야 할 몇 가지 요소입니다.

신원 증명 – 강력하고 남용 방지 프로세스를 보장하기 위해 등록 프로세스를 시작할 때 사용자가 물리적으로 또는 원격으로 신원을 증명하도록 하는 것이 권장됩니다. 여기에는 마지막으로 SMS OTP가 포함될 수 있습니다.
셀프 서비스 등록 – 사용자는 기존 자격 증명을 사용하여 새 암호 키를 부트스트랩합니다.
감독된 등록 – 등록을 위해 IT/기술 지원팀과 협력합니다. 이렇게 하면 원래 자격 증명을 피싱하는 데 취약한 셀프 서비스 모델과 관련된 위험을 줄일 수 있습니다.
사전 프로비전된 자격 증명 – 많은 노력과 높은 보증이 필요하지만 자격 증명을 사용자에게 제공하려면 메커니즘이 필요합니다.
원격 사용자 – 셀프 서비스 또는 사전 프로비전되지만 처음으로 장치의 잠금을 해제하기 위해 사용자에게 PIN을 제공하는 메커니즘이 필요합니다.

3.3.2 로그인

패스키를 사용하여 FIDO 배포를 설계하는 첫 번째 단계는 사용자 기반, 일반적인 작업 패러다임 및 사용 가능한 디바이스(휴대폰, 태블릿, 노트북, 데스크톱)를 이해하는 것입니다. 이 단계는 사용자의 기존 장치와 함께 작동하는 사용자 친화적인 워크플로를 사용하도록 설정하는 것이 성공적인 롤아웃을 개발하는 데 중요하기 때문에 중요합니다.

일반적인 사용자 환경 및 동등한 제안은 다음과 같습니다.

주로 모바일 장치 또는 태블릿에서 작업하는 사용자가 있는 환경 – 기본 제공 잠금 해제 기능을 살펴봅니다.
혼합 장치 환경 또는 다양한 SaaS 도구에 의존하는 환경 – IDP에서 제공하는 SSO를 활용하거나 유연한 로그인 워크플로를 구축합니다.
공유 계정 – 둘 이상의 자격 증명을 로그인과 연결할 수 있도록 FIDO RP를 구성할 수 있습니다. 조사하다
장치 간 하이브리드 인증 또는 로밍 인증자Cross device hybrid authentication or roaming authenticators.

3.3.3 복구

모든 인증 프로세스는 가장 취약한 부분만큼만 강력하기 때문에 공격자가 시스템을 손상시키기 위해 복구 프로세스를 악용하는 경우가 많습니다. 동기화된 암호 키는 암호 공급자에서 복원하여 장치 손실 및 의도하지 않은 초기화를 견딜 수 있는 지속성 있는 자격 증명이며 사용자에 대한 새 자격 증명을 설정하기 위해 계정 복구를 수행할 필요성을 줄입니다. 암호 키를 사용하면 사용자가 자격 증명을 덜 자주 잃을 것으로 예상됩니다. 그러나 암호 키 또는 암호 키에 대한 액세스 권한이 손실되어 계정 복구가 필요한 경우가 있을 수 있습니다.

백업하거나 복구할 수 없는 device-bound passkeys 사용하는 암호 키 구현의 경우 백업 인증자 사용과 같은 백업 인증 방법을 사용하여 계정 복구를 수행하여 새 인증자의 등록을 부트스트랩해야 합니다. 백업 인증 메커니즘을 사용할 수 없는 경우 조직은 복구에 대한 대체 경로를 제공해야 합니다. 조직은 계정 복구 시스템을 설계하고 구현하기 위해 위험 기반 접근 방식을 취해야 합니다. 구체적인 구현 세부 사항은 조직의 요구 사항에 따라 크게 달라집니다. 일반적으로 복구 메커니즘은 사용자가 복구하려는 자격 증명보다 약한 요소에 의존해서는 안 됩니다. 암호 키를 다시 등록해야 하는 경우 조직은 해당 사용자에게 더 이상 등록되지 않은 암호 키를 사용하지 않도록 자동 또는 수동 메커니즘을 설계해야 합니다.

동기화된 암호 키가 사용되는 암호 키 구현의 경우 새 장치에 대한 부트스트래핑/등록 프로세스를 문서화하고 전체 공급자 계정 복구 또는 교체를 위한 위험 회피 프로세스(ID 증명 포함)를 구축해야 합니다. 이러한 치명적인 이벤트는 낮아야 하지만 사용자가 이 프로세스를 거치도록 해야 할 수도 있습니다. 적절한 프로세스를 미리 알면 조직을 조작으로부터 보호하고 작업 이벤트를 중지할 수 있습니다.

계정 복구에 대한 추가 고려 사항은 FIDO Alliance의 FIDO 신뢰 당사자를 위한 권장 계정 복구 관행을 참조하세요. [5]

3.4 관리자 고려 사항:

구현 및 채택 메트릭의 모니터링은 배포의 성공을 보장하고 패스키를 사용한 FIDO 인증의 보안 이점을 실현하는 데 매우 중요합니다. 다음은 엔터프라이즈 암호 키 마이그레이션의 성공을 나타내는 메트릭 및 프로세스에 대한 권장 사항입니다.

3.4.1 사용률에 대한 모니터링 및 가시성

관리자는 그룹 또는 기타 세분화 구조를 사용하여 사용자 및 응용 프로그램의 하위 집합을 암호 키로 원활하게 전환할 수 있도록 하는 것이 좋습니다. 파일럿 모집단은 신중하게 구성되어야 하며 조직의 다양한 최종 사용자 유형 및 수준으로 구성되어야 합니다. 마이그레이션 전후에 아래 항목의 사용 현황을 모니터링하면 프로그램의 효과에 대한 중요한 통찰력을 얻고 중요한 조정을 안내할 수 있습니다.

장치 등록:Device enrollment:
- 사용자가 첫 번째 디바이스를 등록하는 데 얼마나 걸렸나요?
보안 이벤트:
- 온보딩 시 장치는 어디에 있었나요?
- 올바른 사용자가 온보딩되었는지 확인하기 위해 어떤 ID 증명 접근 방식이 사용되었나요?
- 관리자, IT 지원 또는 동료 승인 워크플로를 사용한 경우 증명을 제공한 사람은 누구인가요?
- 이전에 존재하지 않았던 시간 또는 장치 위치 이상이 있습니까?
사용자 인증:
- 사용자가 성공적으로 인증할 수 있었습니까?
- 일일 인증 패턴에서 문제를 제안하거나 마찰을 추가할 수 있는 관찰 가능한 변경 사항이 있습니까?
- 요일과 시간에 대한 분석이 문제를 시사합니까?
키 관리:
- 키가 예상대로 사용되고 있으며 알려진 장치에서만 사용되고 있습니까? 일부 인증자는 인증자의 ID에 대한 주요 출처 및 보증을 제공하는 디바이스 증명을 지원합니다. 암호 키의 원본이 구현에 중요한 보안 컨트롤인 경우 선택한 인증자 솔루션이 이러한 종류의 증명을 지원하는지 확인해야 합니다.
- 개인 계정과 연결된 키는 몇 개입니까? 일반적인 지침은 사용자 계정과 연결된 암호 키의 수가 사용자가 활용하는 장치의 수에 근접할 것으로 예상하는 것입니다. 예를 들어 사용자가 Android 휴대폰 및 Windows 랩톱을 사용하는 경우 사용자 계정과 연결된 2-3개의 암호 키, 각 플랫폼 인증자에 저장된 암호 및 보안 키의 백업 하나가 표시될 수 있습니다. 이 시나리오에서 계정에 5-6개의 암호 키가 등록되어 있으면 조사하고 잠재적으로 과도한 키를 제거해야 합니다. 과도에 대한 조직의 정의는 조직마다 다를 수 있으며 해당 환경의 관찰을 기반으로 정의해야 합니다. 또한 배포에 따라 암호 키 인증을 사용하도록 설정한 응용 프로그램의 수를 고려합니다. SSO 통합에 대한 자격 증명으로 패스키를 배포한 경우 사용자는 디바이스당 하나의 패스키만 가질 수 있습니다. 응용 프로그램별로 암호를 배포한 경우 응용 프로그램별로 장치당 하나의 암호 키가 있을 수 있습니다. 조직에서는 각 사용자와 연결된 키 수를 모니터링하고 이 데이터를 암호 키 관리를 알리기 위한 컨텍스트로 사용하는 것이 좋습니다.
누구의 키가 관리/서비스/브레이크 글라스 계정과 연결되어 있나요? 관리 액세스를 일반 사용자 액세스와 분리하는 가장 좋은 방법인 마찬가지로 관리 계정에 대해 별도의 암호 집합을 생성하는 것도 권장됩니다. 공유되는 경우 순환, 모니터링 및 좋은 정리 방법을 포함해야 합니다.
패스키는 어떻게 제거되나요? 직원이 퇴사하거나 다른 역할로 이동하는 경우 해당 계정을 비활성화 또는 삭제하거나 액세스 권한을 평가 및 심사해야 합니다. 법적 요구 사항으로 인해 합당하지 않은 상황에서는 비활성화 프로세스의 일부로 무단 계정 액세스를 방지하기 위해 암호 키를 즉시 제거해야 합니다. 마찬가지로 사용자가 장치 분실 또는 도난을 보고하는 경우 해당 장치와 연결된 모든 암호 키도 제거해야 합니다.
호환성 보증:
- 애플리케이션과 엔드포인트 플랫폼의 조합이 인증 이벤트에서 비정상적인 변경 또는 감소를 보입니까?
- 암호 키 인증을 위한 모든 호출 방법이 업그레이드 후를 포함하여 계속 작동합니까?

다음 단계: 지금 시작하기

Enterprise 조직은 가능한 경우 FIDO 인증으로 마이그레이션하는 것을 고려해야 합니다.
FIDO 표준을 사용합니다.
신뢰 당사자가 지원하는 사항과 자체 엔터프라이즈 보안 요구 사항에 대해 생각해 보십시오.
Passkeys 기존 OTP 메커니즘보다 훨씬 안전합니다.
Passkeys 비밀번호보다 훨씬 안전합니다. 암호를 지원하는 웹 사이트 및 응용 프로그램에서 암호 아이콘을 찾습니다.

패스키에 대한 자세한 내용은 FIDO Alliance 패스키 리소스 페이지 [6] 및 FIDO Alliance 기술 자료 [7]를 확인하세요.

5. 감사의 말

저자는 귀중한 피드백과 의견에 대해 다음 사람들(알파벳 순서)에게 감사를 표합니다.

Dean H. Saxe, Amazon Web Services, FIDO Enterprise Working Group 공동 Chair
존 폰타나(John Fontana), 유비코(Yubico), FIDO Enterprise 배포 워킹 그룹 공동 Chair
FIDO Enterprise 워킹 그룹 구성원
더크 발판츠(Google Balfanz), Google
제롬 베콰르트, 액시아드
비토리오 베르토치(Vittorio Bertocci), Okta
그렉 브라운, 액시아드
팀 카팔리(Tim Cappalli), Microsoft
Matthew Estes, Amazon Web Services
Rew 이슬람, Dashlane
제프 크래머(Jeff Kraemer), 액시아드
카렌 라슨, 액시아드
숀 밀러, RSA
톰 셰필드(Tom Sheffield), 타겟 코퍼레이션(Target Corporation)
요하네스 스톡만(Johannes Stockmann), Okta
셰인 위든(Shane Weeden), IBM
몬티 와이즈먼, 『정체성을 넘어서』
Khaled Zaky, Amazon Web Services

6. 용어 해설

이러한 용어의 정의는 FIDO Technical Glossary 를 참조하십시오.

7. 참고문헌

[1] FIDO Alliance Enterprise 백서 – https://fidoalliance.org/fido-in-the-enterprise/
[2] FIDO Alliance Enterprise 소개 백서 –
https://media.fidoalliance.org/wp-content/uploads/2023/06/June-26-FIDO-EDWG-Spring-2023_Paper-1_Introduction-FINAL.docx.pdf
[3] YubiKeys의 총 경제적 효과에 대한 Forrester 보고서 –
https://resources.yubico.com/53ZDUYE6/at/6r45gck4rfvbrspjxwrmcsr/Forrester_Report_Total_Economic_Impact_of_Yubico_YubiKeys.pdf?format=pdf
[4] 고(High Assurance) Enterprise FIDO 인증 –
Enterprise-FINAL5.docx-1.pdf
[5] FIDO 신뢰 당사자를 위한 권장 계정 복구 방법 –
https://media.fidoalliance.org/wp-content/uploads/2019/02/FIDO_Account_Recovery_Best_Practices-1.pdf
[6] Passkeys (Passkey 인증) – https://fidoalliance.org/passkeys/
[7] FIDO Alliance 기술 자료 – https://fidoalliance.org/knowledge-base/