#2022년FIDO기술세미나
<서론 : 증기기관차의 등장으로 말똥 대란을 해결했듯이 패스워드 대란은 어떻게 해결할까 ? >
19세기 말 런던, 뉴욕의 말 이 각각 5만, 10만 마리의 말이 있었고 말은 5~7kg 정도 똥과 오줌을 배출하는데 이것으로 인한 문제와 그 분료가 말라서 생기는 분말로 인한 호흡기 질환 환자가 많았고 그래서 런던 타임즈는 50년 후 런던은 30cm높이의 분뇨가 쌓일것으로 말똥 대란이 발생할 것으로 예측
-> 이것을 해결한 것은 증기기관차 와 자동차의 등장과 그의 상용화이고 자체적으로 해결한 것은 아님
또 이것이 증기기관차가 어느정도 상용화단계에 올랐을 때 적기 조례(red flag 조례)를 발령함
* 적기조례는마부들의 생업을 보장하기 위해서 자동차, 증기기관차의 운행속도를 3에서 5키로로 운행하고 또 거기에 운행할 때는 붂은 색 깃발을 든 사람이 외쳐야 한다라는 것
위와 같은 사실을 가지고 현재 패스워드를 돌아보면
패스워드도 일종의 재난이고 이런 문제를 해결하기 위한 노력이 있었고 그 중 기술적인 의도나 철학이 좋은 SSO가 있었고(결론은 이것은 하나가 탈취되면 다 탈취되는 취약한 구조)
또 관리적으로는 패스워드의 낮은 보안성을 강화하기 위해서 보안담당자는 적기조례와 같은 규제를 해서 패스워드의 보안강도를 높이려고 했고, 그것은 오히려 복잡한 패스워드를 포스잌에 붙여놓고 사용하는 상황을 발생시키는 역효과를 가져왔음
지금까지의 많은 노력으로도 패스워드가 가진 문제점을 해결하지 못하고 있고 이것은 자체 해결이 아닌 새로운 것이 등장해야 가능하다는 것이고 기존의 something I know 인지기반방식에서 something I have 방식으로 변화해서 할 필요성을 느꼈고 이것으로 패스워드의 문제인 동일한 패스워드를 여러곳에서 사용, 유추하기 쉽고, 순차비교를 해서 계정을 탈취하는 사건, 사고 등을 해결할 수 있다고 생각함.
패스워드에 대한 다른 일화로 2006년 RSA 기조연설이 있고 그곳에서 빌게이츠는 10년이 지나면 아이디와 패스워드는 사라지고 안전한 인증수단인 생체인증이 대체할 것으로 예상.
하지만 아직도 패스워드는 사용중이고 ic칩이 마그네틱 드라이브를 완전히 대체하지 못한것처럼 신원인증방식에서도 패스워드가 생체인식과 같은 진보적인 기술 또는 방식을 함께 다루는 하이브리드형태로 발전할 것으로 예상하고 이것으로 패스워드 대란을 해결이 가능할 것으로 판단되고
이와 가장 성공하고 강력한 기술사양으로 파이도 기술이 그 대안으로 부상하고 있음
<파이도의 FCP의 탄생배경, 소개 및 현황>
파이도를 사양이든 서비스든 파이도 기술자체를 서비스 환경에서 적용하기 위해서는 파이도 기술을 잘 이해하고 또 어떻게 서비스에 적용해야 하는지
어떤게 사용하게 되는지 잘 파악하고 이해해야 한다
파이도 서비스 자체가 하나의 디바이스만을 바라보는 것은 아니고 인프라와 접목된 기술이 대부분이기때문에 우리가 다양한 서비스에서 생체인식 같은 것을 사용하면서 (사실 알게 모르게 우리가 사실 조금씩 파이도를 사용하고 있지만 ) 우리가 생각하는 만큼 파이도의 기술 자체에 대한 이해도가 높은 사람이 적고
실제로 파이도 기술 자체를 잘 이해하고 있다고 하더라도 조직에서 운영하는 인프라 시스템에 대한 시스템 보안이든 운영이든 이런 환경에 대한 이해도가 높은 사람이 많지 않은 것이 현실인데, 그래서 2017년부터 이런 문제를 해결하기 위한 노력을 했고 파이도 얼라이언스에서 2018년도부터 FCP라는 자격제도를 설계하기 시작함
그리고 지난 2~3년동안 다양한 이해당사자의 의견도 청취하는 등 준비를 열심히 했고, 올 해 FCP자격제도가 런칭 예정
<FCP의 장점>
이 제도는 파이도에 대한 나의 최소한 실력을 증명하고, 인증분야의 기술자을 채용하는 기업에서는 기술면접이 불필요해서 그만큼 시간과 비용을 절감할 수 있음 그러나 안타까운것은 영어로만 시험을 볼 수 있다.
FCP 는 FCP 커뮤니티를 만들어서 여기서 주도할 예정이고 피어슨 뷰에서 100% 온라인으로 진행할 예정.
시험 문항은 파이도 기술의 규격이나 프로토콜을 묻는 것부터 복잡한 것은 주어진 사례에서 어떤것을 실제 구현하는 것도 포함
지난 2월 한국 워킹그룹 내부세미나에서 좀 발표를 했었고 지난 5월에 개최된 파이도 뭔헨 총회에서도 담당자가 발표했듯이
사람들이 궁금해 하는 것은 만국 공통같은데 많은 사람이 시험문제 어떻게 낼 것이냐 ? 를 물어본다. 기쁜것은 조속한 시일내에 FCP 커뮤니티가 설립될 것이고 거기서 교육프로그램도 런칭하고 예시도 게시할 예정
또 다른 질문은 시험비용은 얼마냐? 인데 파이도 얼라이언스 회원사 소속 직원인 경우(멤버)는 550 불 , 그 외는 750불 이고 그리고 유효기간은 최초자격증의 유효기간은 3년 , 효력갱신하기 위해서는 만료전 125달러의 갱신비용를 내야 함
단, CISSP 와 같이 보수교육이나 검정교육은 불필요
ISC 스쿼어나 아마존의 ID 프로와 같은 것뿐만 아니라 마찬가지고 FCP도 향후에는 이쪽분야에서 자리를 잡을 것으로 예상함
1. CTAP 2.1 사양이 나와서 이것에 대한 시험인증프로그램이 마련됨
2. MDS(Meta data service)3를 활용하는 CTAP 2.0을 지원하는 장치에 대한 적합성 검증도구가 개발 중이고 그외 세부적인 것은 파이도얼라이언스의 인증 홈페이지의 규격서를 참고
* MDS2와 MDS3의 가장 큰 차이점은 파이도인증장치를 활용하는 기관(인라인 파티)이 MDS에 접근할 때 access control을 하느냐 하지 않느냐이고
3. 인증장치 보안인증과 관련해서는 인증장치 운영환경변화를 적용하고 추정위한 글로벌 플랫폼이나 Common Criteria 같은 Companion 프로그램(상호인정제도, 이런것을 통해서 파이도 인증장치에 대한 보안성평가를 면제나 완화해주는 제도)을 추가적으로 개발하고 개선
4. 생체인식분야에서는 성능실험을 줄이거나 완화하고 위조탐지보안성평가 에 좀 보완점을 두는 방법으로 시험비용을 좀 경감할 수 있게 하는 절차를 발굴 중이고 그외 정책적인 변경사항은 관련 챕터에서 설명 예정
[FDO]
FDO는 규격서 1.1이 제정되었고 그와 관련해서 적합성 검증도구 개발 중
그리고 보안성 평가에 대해서는 개인정보보호분과에서 관련된 요구사항을 좀 발현하고 있는 중입니다.
[생체인식]
그리고 신원인증분야에서 보안 분석, 안면인식분야에서 정책적 기술적 요구사항을 마련 중
* Authentication과 identification를 왜 구분하는지 의구심을 갖는 사람이 있을수 있는데 크게 보면 신원인증이라는 것이 Authentication과 identification ,Verfication 으로 구분될 수 있다고 생각하는데 개인의 신원정보하고 인증정보, 인증결과를 함께 사용해야 하는 특정 서비스들 예를 들면 금융같은 곳은 앞서 언급한 3가지 모두 함께 진행되어야 하는 특징이 있음
반면, 전자티켓을 활용해서 콘서트에 입장하는 것은 신원을 확인해서 인증만 할 것이지 반듯이 소유자를 매칭할 이유가 없으므로 이런 다양한 환경에서 파이도 기술이 적용하려면 진보하고 세분화되어 마켓의 니즈에 따라 파이도 기술이 진보할 필요가 있음
5월말을 기준으로 MDS3에 등재된 장치의 숫자고 [Total Metadatas : 104(FIDO2 : 52, U2F : 35, UAF : 17), Unique vendors : 107] 그리고 10월부터는 MDS2의 서비스가 중단될 예정이니 인증장치를 개발하거나 파이도인증장치를 결합해서 서비스를 기획하는 분들은 이점을 참고
~~~~~~ 구체적으로 살펴보면
[FDO]
관심가지는 사람들이 많은 데 아직 시험인증제도는 런칭되지 않았지만 그 현안을 설명 예정
FDO가 Iot기기뿐만 아니라 다양한 기기에서 파이도 기술을 활용해서 편리하면서도 안전한 상호인증을 맺을 수 있음
자세한 것은 "FDO: FIDO 디바이스 온보드 프로토콜 안내" 참고
FDO 인증체계는 지원하는 프로토콜에 대한 기능인증을 마치고 그 이후에 FDO 디바이스에 대한 보안성 평가, FDO 프로토콜에 대한 적합성인증의 단계로 진행 예정
FDO 1.1에 대한 적합성 검증도구가 개발이 완료 되었고 곧 런칭될 예정이고 빠른 시일내 상호 운영성 시험행사를 통해서 FDO 인증을 획득할 수 있도록 추진할 예정
6월 상호운영성 시험이 끝났기 때문에 빠르면 실리콘벨리에서 9월에 개최될 상호운영성 시험행사에서 하거나 만약 늦어진다고 하더라도 12월에 아시아에서 개최될 상호운영성 행사를 통해서 FDO 인증디바이스 1.1이 인증이 될 것으로 예상
한번이라도 상호운영성 행사에 참석한 사람은 아시겠지만 보안기능 레벨 1을 목표로 하신다면 보안기능에 대해서 밴드가 제출한 설계서와 파이도얼라이언스 표준서식의 질문서인 밴더 퀘스션어리를 바탕으로 해서 파이도 인증사무국의 인증담당자가 개발자와 인터뷰를 통해서 보안 레벨에 대한 상호 검토를 하고 인증을 획득할 수 있도록 하고 있음
IoT 보안도 마찬가지의 절차로 진행 예정이고 다만 개인정보원칙같은 중요한 요구사항들을 좀 확정하는 그런 단계이기에 관련된 절차나 서식은 배포전
FDO 인증에 대해 정리를 하면 프로그램은 개인정보원칙을 포함한 요구사항과 적합성 시험검증도구의 검증(개발은 완료)같은 것들이 완료가 되면 런칭될 수 있는 최종단계에 있다고 함. 만약 9월까지 기다리기 어렵다면 파이도 사무국의 인증담당자를 초청한 온디맨드 프로그램 활용 가능
CTAP2.1프로그램이 런칭하고 U2F자체에 대한 퇴역에 관해서 설명
CTAP2.1프로그램이 런칭하면서 FIDO2 와 U2F의 인증장치를 하나의 디바이스에서 구현하는 사례가 있다고 합니다. 그리고 U2F를 통해서 FIDO2의 인증을 수행하는게 대부분 구글 크롬 API를 많이 사용하는데 구글의 U2F 자바스크립트 API에서는 더 이상 이 방식 지원 하지 않아 더이상 상호운영성 평가 진행이 불가능하고 u2f 프로토콜 전용으로 구현된 장치에 대해서는 한정적으로 적합성 검증과 상호운영성 검증이 가능함
또 시험을 통해서 인증을 획득하는 장치의 수에도 변화가 보임. u2f 인증장치가 5월 말 기준으로 총 158개인데 작년에 등록된 장치는 5개 정도 밖에 안되고 시험비용도 일부 변화가 있어서 u2f인증장치를 개발하고 있는 회사는 참고바람
[Biometric Certification ]
생체인식 컴포런트이고 그의 주요한 업데이트에 대해 살펴보기로 함
코로나 상황에서 생체인증 제공자 테스트 크루를 모집을 해서 성능시험도 하고 보안시험도 하는게 정말 가장 큰 어려움이었다.
성능시험은 어쩔수 없다고 해도 위조탐지시험은 최소한의 테스트가 필요하고 그 number of enrollment를 25명에서 15명으로 줄였고 올초부터 적용됨
그래서 보다 정교한 위조생체의 수(level B에 해당)를 6개에서 8개로 증가시킴. 위조탐지 레벨을 level 1, 2로 구분을 하고 IAPAR(위조수락률, Impostor Attack Presentation Accept Rate )라고 하는데 이것을 2개로 등록을 해서 운영하고 level 1은 15%, level 2는 7%미만으로인 경우 수락인정
슬라이드에는 없지만 FAR(타인수락률), FRR(본인수락율) 을 테스트하기 위해서는 245명 정도가 필요한데
국내의 경우 생체정보 제공 비용이 인당 적으면 5만원 많으면 15만원 정도되고 그래서 고비용의 시험으로 이어질 수 밖에는 없어 이런 성능실험을 시나리오평가를 수행하지 않거나 적은 인원으로 수행하고 대신 위조탐지나 보안성 시험에 대해서 포커스를 맞추는 그런 완화된 시험프로그램을 개발하는 것을 문의하고 있고 이것이 워킹그룹 내부에서도 갑론을박이 많고 확정적인 추진방안이 나오지 않음. 그래서 완화된 시험은 v3.0에 반영될 것 같고 최종적인 구상이 나오기전까지 업계의 의견이 반영될 수 있으니 다양한 의견을 주시면 감사하겠다.
[다가오는 상호운영성 시험의 일정]
9월 캘리포니아 12월에는 아시아에서 개최할 예정이고 우리나라에서 개최하려고 노력 중임
