FIDO2.0으로 설계하는 패스워드리스 인증

비밀번호 대신 인증자가 서명하는 방식

FIDO(Fast IDentity Online)는 온라인 인증을 위한 개방형 표준으로, 암호 없는 인증 생태계를 목표로 한다. FIDO Alliance는 2012년 설립됐으며 Apple, Google, Microsoft 등 주요 기술 기업이 참여하는 글로벌 컨소시엄이다.

FIDO2.0은 기존 FIDO UAF와 FIDO U2F를 확장해 2019년 발표된 FIDO 표준이다. 피싱, 데이터 유출, 재사용 공격처럼 패스워드 기반 인증에서 반복되는 문제를 줄이기 위해 설계됐고, 사용자 기기와 생체 정보를 활용하는 인증 방식을 제공한다.

웹과 인증자를 연결하는 WebAuthn·CTAP

WebAuthn(Web Authentication)은 W3C(World Wide Web Consortium)와 FIDO Alliance가 공동 개발한 웹 표준 API다. 웹 애플리케이션이 FIDO 인증을 통합할 수 있도록 JavaScript API를 제공하며, Chrome, Firefox, Safari, Edge 등 주요 브라우저에서 기본 지원된다. 지문, 얼굴, PIN, 물리적 보안키가 이 API를 통해 인증 수단으로 사용될 수 있다.

CTAP(Client to Authenticator Protocol)은 PC나 스마트폰 같은 클라이언트 장치와 보안키·생체인식 장치 같은 인증자를 연결하는 통신 프로토콜이다. CTAP1은 기존 U2F 프로토콜과 호환되고, CTAP2는 확장된 기능을 제공한다. USB, NFC, Bluetooth 등의 통신 채널을 지원하며 사용자 검증(User Verification)과 존재 검증(Presence Verification) 기능도 포함한다.

등록과 인증에서 공개키가 이동하는 경로

⤢✕

등록 시 인증자는 공개키와 개인키 쌍을 생성한다. 개인키는 인증자 내부에 안전하게 보관되고 외부로 전송되지 않는다. 서비스 제공자(RP, Relying Party)가 저장하는 것은 공개키다.

로그인 과정에서는 서비스 제공자가 임의의 챌린지(challenge)를 사용자에게 보낸다. 인증자는 개인키로 챌린지에 서명하고, 서명된 응답은 서비스 제공자에게 전달된다. 서비스 제공자는 등록된 공개키로 서명을 검증하며, 검증이 성공하면 인증을 완료한다.

피싱 저항성과 사용자 경험이 함께 바뀌는 지점

FIDO2.0은 비대칭 암호화 기술을 기반으로 하며 개인키가 기기를 떠나지 않는다. 도메인별로 키가 생성되기 때문에 피싱 사이트에서는 정상 사이트용 키를 쓸 수 없다. 인증이 특정 도메인에 바인딩되므로 리디렉션 공격을 포함한 중간자 공격(MITM) 방지에도 활용된다. 서버가 유출되더라도 저장된 값이 공개키이므로 피해를 최소화할 수 있다.

사용자는 복잡한 암호를 기억하는 대신 생체인식, PIN 또는 물리적 키로 인증할 수 있다. 지문, 얼굴 인식, 음성, PIN, 보안키 등 사용자 선호에 맞는 수단을 선택할 수 있고, 다양한 기기와 운영체제에서 일관된 인증 경험을 제공한다. 암호 입력보다 빠르게 인증 절차를 마칠 수 있다는 점도 사용자 경험 측면의 변화다.

기존 인증 시스템과 통합할 수 있어 점진적 도입이 가능하며, 서비스 중요도에 따라 인증 강도를 다르게 설정할 수 있다. 동기화 메커니즘을 이용하면 한 번 등록한 인증 정보를 여러 기기에서 사용할 수 있다. 개방형 표준이므로 특정 벤더에 종속되지 않는 구현도 가능하다.

서비스 환경에서 나타난 적용 형태

Microsoft는 Windows Hello를 통한 FIDO2 지원으로 기업 내 패스워드리스 인증을 구현한다. Google은 직원용 보안키 배포로 내부 피싱 공격 제로화를 달성했다. 금융권에서는 높은 보안이 필요한 금융 트랜잭션에 FIDO2를 적용해 보안성을 강화한다.

소비자 서비스에서는 Google 계정이 FIDO2 기반 보안키와 안드로이드 기기를 통한 로그인을 지원한다. Microsoft 계정은 Windows Hello와 보안키 등을 이용한 패스워드 없는 로그인을 제공한다. Dropbox, Twitter, Facebook 등은 FIDO2 인증 옵션으로 계정 보안을 강화하고 있으며, 국내 금융앱에서도 공인인증서 대체 수단으로 FIDO 인증 도입이 확대되고 있다.

한국에서는 은행, 증권사, 보험사가 모바일뱅킹 로그인과 거래 승인에 FIDO 인증을 도입하고 있다. 정부24와 건강보험공단 등 공공 서비스에서는 도입 검토와 시범 적용이 이뤄지고 있으며, SKT, KT, LG U+ 등 주요 통신사 앱도 FIDO 기반 생체인증을 도입했다.

인증 전환 전에 설계할 운영 조건

대상 브라우저가 WebAuthn을 지원하는지 먼저 확인해야 한다. FIDO 인증을 사용할 수 없는 환경을 위한 폴백(Fallback) 인증도 필요하다. 키 분실이나 기기 교체 시 계정을 복구할 수 있는 메커니즘, 여러 인증 수단을 등록·사용할 수 있는 환경 역시 함께 설계해야 한다.

인증자는 FIDO Alliance 인증을 받은 제품을 선택하는 것이 권장된다. 서비스 중요도에 맞춰 인증 수준을 정하고, 중요 트랜잭션에는 생체인증을 필수로 하는 방식도 고려할 수 있다. 사용자 행동 패턴과 위치 같은 컨텍스트 정보를 활용하는 위험 기반 인증(Risk-based Authentication), 인증자의 신뢰성을 확인하는 애테스테이션(Attestation) 검증도 보안 레이어에 포함할 수 있다.

처음 사용하는 사람을 위한 안내와 인증 실패 시의 명확한 오류 메시지, 대안 제시가 필요하다. 기존 인증 방식과 병행하면서 적응 시간을 제공하고, 장애가 있는 사용자도 이용할 수 있도록 다양한 인증 옵션을 마련해야 한다.

남아 있는 비용과 복구 문제

레거시 시스템에 FIDO2를 연결하려면 상당한 개발 비용이 발생할 수 있다. 물리적 보안키 같은 하드웨어 인증자는 구매와 배포 비용도 수반한다. 사용자 교육과 적응 기간이 필요하며, 인증자를 분실하거나 손상했을 때 계정을 복구할 방법을 마련해야 한다. 생체인식을 쓰는 경우에는 생체정보 프라이버시를 보호하는 메커니즘도 요구된다.

패스워드리스 인증은 더 많은 서비스로 확대될 것으로 예상된다. FIDO Alliance의 표준 개발과 개선은 보안 강화를 뒷받침하고, FIDO 기술은 IoT 기기의 보안 인증으로도 적용이 확대될 전망이다. 더 정확하고 안전한 생체인식 기술과의 결합은 인증 정확도 향상으로 이어질 수 있으며, 강력한 인증을 요구하는 규제 환경 변화도 FIDO 도입을 가속화할 것으로 예상된다.

제한된 범위에서 시작해 확장하는 전환

현재 인증 시스템의 취약점을 파악하고 사용자 요구사항과 사용 패턴을 분석한 뒤, FIDO2 적용 범위와 타임라인을 설정한다. 이후 제한된 사용자 그룹에 시범 적용해 피드백을 수집하고 기술적 통합 이슈를 해결할 수 있다.

전면 적용 단계에서는 단계적 롤아웃 계획, 사용자 교육과 지원 체계, 모니터링 및 성능 측정 시스템을 마련한다. 운영 데이터 분석을 통해 지속적으로 개선하고, 추가 서비스와 기능으로 FIDO2를 확장하면서 최신 FIDO 표준과 기술을 적용한다.