FIDO 인증의 구조와 패스워드리스 보안 원리

비밀번호를 서버에 두지 않는 인증 방식

FIDO(Fast Identity Online)는 사용자 기기의 인증 장치를 활용해 간편하면서도 안전한 인증을 제공하는 개방형 표준이다. 지문이나 얼굴 같은 생체인증을 포함한 여러 인증 수단을 지원하며, 패스워드 기반 방식이 가진 한계를 줄이는 데 초점이 있다.

사용자는 비밀번호 대신 생체정보로 인증할 수 있고, 서비스 제공자는 보안 수준을 유지하면서 인증 경험을 개선할 수 있다. 이 표준이 겨냥하는 가치는 간편성, 보안성, 프라이버시다.

패스워드 인증이 남긴 문제와 FIDO의 접근

패스워드는 여러 서비스에서 재사용되기 쉽고 유출 및 피싱 공격에 노출된다. 서비스마다 다른 패스워드 규칙을 관리해야 하는 부담도 커진다. 인증정보를 중앙 저장소에 모으는 구조는 대규모 개인정보 유출 사고의 위험과 서비스 제공자의 보안 부담을 함께 키운다.

FIDO는 인증정보를 한곳에 집중하는 대신, 공개키 암호화를 사용한 탈중앙화된 인증 모델을 택한다. 생체 템플릿은 로컬 기기에만 저장되고 서버로 전달되지 않는다. 서버에는 사용자의 공개키만 등록되며, 개인키는 사용자 기기에 남는다.

FIDO 표준이 확장된 흐름

FIDO 1.0은 2014년에 UAF(Universal Authentication Framework)와 U2F(Universal 2nd Factor)를 포함했다. 이후 2018년 FIDO 2.0 / WebAuthn은 W3C와 FIDO Alliance의 협력으로 표준화됐고, 웹브라우저에서 네이티브 지원을 제공한다.

UAF는 비밀번호를 완전히 대체하는 인증 방식이다. 사용자가 생체정보로 인증하면 기기에 보관된 개인키가 서명을 만들고, 서버는 공개키로 그 서명을 확인한다.

U2F는 기존 패스워드 인증에 FIDO 인증을 더하는 2단계 인증 방식이다. 먼저 패스워드 인증을 수행한 뒤, 별도의 Authenticator 기기로 추가 인증을 진행한다.

인증기, 클라이언트, 서버가 맡는 역할

FIDO Authenticator는 스마트폰이나 보안키처럼 사용자의 인증을 수행하는 장치다. 개인키를 생성해 안전하게 보관하고, 인증 요청에 필요한 서명을 만든다.

FIDO Client는 사용자 기기에 있는 소프트웨어 모듈로 Authenticator와 서버 사이의 통신을 중계한다. 웹브라우저나 앱에 내장될 수 있다.

FIDO Server는 서비스 제공자 측의 인증 처리 시스템이다. 사용자 공개키를 관리하고 인증 요청을 전달하며, 수신한 서명을 검증한다.

등록과 인증은 다음 순서로 이어진다.

⤢✕

공개키와 도메인 바인딩이 만드는 방어선

FIDO는 비대칭 키 암호화를 사용한다. 개인키는 사용자 기기에 안전하게 저장하고, 공개키는 서버에 등록한다. 서버가 랜덤 챌린지를 만들면 클라이언트는 개인키로 서명하고, 서버는 공개키를 사용해 그 서명을 검증하는 챌린지-응답 방식이다.

피싱 방어에는 도메인 바인딩이 사용된다. 서비스 도메인마다 특화된 키쌍을 만들기 때문에 피싱 사이트는 정상 사이트의 키를 활용할 수 없다. 인증 과정에서는 생체인식이나 PIN 입력처럼 사용자의 명시적 행동도 필요해 백그라운드에서의 무단 인증을 막는다.

프라이버시 측면에서는 생체 템플릿이 기기를 벗어나지 않고 서버도 생체정보에 접근할 수 없다. 서비스별로 별도 키쌍을 사용하므로 서비스 간 사용자 추적을 방지할 수 있다.

인증 경계에서의 활용

금융 서비스에서는 은행 모바일 앱 로그인에 지문 인식을 사용하거나, 결제 승인에 생체인증을 적용할 수 있다. 이 경우 보안카드와 OTP를 대체하고 카드 정보 입력 없이 결제를 인증하는 방식으로 활용된다.

기업 환경에서는 내부 시스템의 접근 통제, VPN과 클라우드 서비스의 접근 관리에 적용할 수 있다. 제로 트러스트 아키텍처에서는 지속적인 인증 및 검증을 지원하고, 물리적 보안키와 생체인증을 함께 사용할 수 있다.

전자정부 서비스에서는 공인인증서를 대체해 민원 처리를 간소화하는 용도로 사용할 수 있다. 의료 정보 시스템에서는 환자 정보 접근 통제와 의료진 인증 간소화에 적용할 수 있다.

운영 환경에 맞춰 점검할 항목

도입 전에는 여러 기기와 플랫폼을 지원할 수 있는지, 레거시 시스템과 어떻게 통합할지를 검토해야 한다. FIDO 인증이 실패하거나 기기를 분실·고장 냈을 때 사용할 폴백 메커니즘과 대체 인증 방안도 필요하다.

등록 절차는 사용자가 이해하기 쉬워야 하며, 필요한 사용자 교육과 가이드가 뒤따라야 한다. 장애인 사용자를 위한 대체 인증 수단과 다양한 생체인식 선택지도 고려 대상이다.

개인정보 관련 법규인 GDPR, CCPA 등의 데이터 보호 규정과 금융·의료 분야의 산업별 규제 요구사항 역시 함께 확인해야 한다.

패스워드리스 생태계가 향하는 곳

FIDO는 더 많은 서비스와 플랫폼으로 확산되며 패스워드리스 인증 경험의 일관성을 높이는 방향으로 발전할 전망이다. 클라우드 기반 FIDO는 기기 간 인증 정보 동기화와 여러 기기에서의 일관된 인증 경험을 목표로 한다.

분산 신원 증명(DID)과 결합하면 자기주권 신원 관리를 지원하고 블록체인 기반 신원 증명과 연계할 수 있다. 스마트홈과 스마트시티 같은 IoT 환경에서는 제한된 리소스 환경에 맞춘 FIDO 구현도 활용 영역이 된다.

FIDO의 탈중앙화된 인증 모델은 대규모 개인정보 유출 위험을 줄이고 피싱 공격에 대한 방어력을 높인다. 공개키 암호화와 생체인증을 결합한 이 구조는 사용자 인증의 방식을 바꾸는 기술로서 중요성이 커질 전망이다.