세계 최대 은행 중 한 곳에서 RSA ID Plus로 암호 없는 환경 구축하기
세계 최대 규모의 은행 중 한 곳이 RSA ID Plus 완전한 ‘비비밀번호(passwordless)’ 미래의 토대를 마련하고, 내부 직원, 계약직 직원 및 주요 고객을 아우르는 비밀번호 기반의 취약점을 제거하기 위함입니다. 해당 은행의 접근 방식, 선택한 인증 수단, 그리고 배포에 필요한 사항들은 전체 사례 연구에 상세히 기록되어 있습니다.
대규모 비밀번호 없는 뱅킹 이니셔티브를 추진할 때 고려해야 할 핵심 질문들, 이러한 도입 사례가 실제로 어떻게 진행되는지를 바탕으로 한 구현 프레임워크, 또는 전체 사례 연구 다운로드.
FIDO2는 피싱에 강하고 비밀번호가 필요 없는 로그인을 가능하게 하는 개방형 표준입니다. 사용자가 FIDO2 기기를 등록하면 고유한 암호학적 키 쌍이 생성되는데, 개인 키는 기기 외부로 절대 유출되지 않으며, 공개 키는 애플리케이션에 등록됩니다. 로그인 시, 기기는 정식 웹사이트와 암호학적으로 연결된 챌린지에 서명합니다. 따라서 사용자가 속아 사기성 페이지와 상호작용하더라도, 해당 페이지에서는 인증 응답을 사용할 수 없습니다.
기기 연동형 패스키(passkey)는 이를 한 단계 더 발전시킨 것으로, 인증 정보는 단일 물리적 기기에 연동되어 있어 내보내거나 복제할 수 없습니다. 내부자 위협과 기기 공유가 실질적인 우려 사항인 은행 업무 환경에서, 이러한 수준의 연동은 현재 이용 가능한 최고 수준의 보안을 보장합니다. RSA의 FIDO 얼라이언스에 대한 오랜 참여 이러한 기준이 어떻게 개발되고 시행되는지에 있어 이를 핵심으로 삼고 있다.
은행의 사용자층은 균일하지 않습니다. 내부 직원, 계약직 직원, 고액 자산가 고객, 원격 근무자 등은 각각 기기 접근 방식, 보안 요구 사항, 불편함에 대한 허용 범위가 모두 다릅니다. 고정된 업무용 컴퓨터를 사용하는 트레이더에게는 효과적이지만, 공유 기기를 사용하는 계약직 직원이나 모바일 기기를 사용하는 고객에게는 효과가 없는 비밀번호 없는 시스템은 완전한 해결책이 아닙니다.
RSA ID Plus 이 문제를 해결하기 위해 모든 종류의 비밀번호 없는 인증 방식을 지원하며, 피싱 방지 MFA 클라우드, 하이브리드 및 온프레미스 환경에 걸쳐 하드웨어 보안 키, 기기에 연동된 모바일 패스키, 하드웨어 토큰 등의 보안 방식을 적용합니다. 하이브리드 페일오버 연결이 끊어지더라도 인증 기능을 계속 이용할 수 있도록 보장하며, 이는 금융 서비스 운영에 있어 필수적인 요건입니다.
대규모 비밀번호 없는 인증 시스템의 도입은 하룻밤 사이에 이루어지지 않습니다. 여러 시스템과 지역에 걸쳐 수만 명의 사용자를 보유한 은행의 경우, 비밀번호 기반 접근 방식에서 피싱 공격에 완전히 저항할 수 있는 인증 방식으로의 전환은 여러 단계로 진행되는 프로그램입니다. 이러한 규모의 도입이 일반적으로 어떻게 진행되는지 살펴보겠습니다.
1단계. 평가 및 계획 수립
은행의 신원 관리 및 보안 팀은 어떤 기술을 도입하기 전에 모든 사용자 집단, 시스템 및 인증 사용 사례를 면밀히 파악합니다. 즉, 어떤 사용자에게는 하드웨어 키가 필요한지, 어떤 사용자에게는 모바일 패스키가 필요한지, 어떤 레거시 시스템에 브리징 솔루션이 필요한지, 그리고 특정 환경에서 특정 인증 방식이 실패할 경우의 복구 계획이 무엇인지 파악하는 것입니다. 이 단계에서 철저한 계획을 수립하면, 배포 도중 드러나는 문제점으로 인해 막대한 비용이 드는 재작업을 해야 하는 상황을 방지할 수 있습니다.
2단계. 시범 도입
특정 사용자 집단(일반적으로 단일 사업부 또는 여러 부서를 아우르는 시범 운영 그룹)이 통제된 환경에서 새로운 인증 장치를 도입합니다. 목표는 단순한 기술적 검증뿐만 아니라 워크플로우 검증에 있습니다. 즉, 이러한 사용자들이 실제로 업무를 수행하는 방식에 맞춰 인증 경험이 원활하게 작동하는지 확인하는 것입니다. 프로비저닝, 헬프데스크 절차, 사용자 소통과 관련된 문제들은 대규모로 확대하기 전에 시범 운영 단계에서 해결하는 것이 훨씬 비용이 적게 듭니다.
3단계. 단계적 전면 도입
도입은 부서별 또는 역할별로 단계적으로 진행되며, 우선순위는 위험도가 가장 높은 사용자 집단(특권 액세스 계정 보유자, 트레이딩 플로어 직원, 규정 준수 시스템 사용자)에게 주어집니다. 각 단계에서는 이전 단계에서 얻은 교훈을 반영합니다. 사례 연구에 등장하는 은행의 경우, RSA 프로페셔널 서비스가 이 단계 전반에 걸쳐 현장 지원을 제공하여 배포 과정이 모든 단계에서 계획대로 진행될 수 있도록 보장했습니다.
대부분의 은행은 위험도가 가장 높은 사용자 집단(특권 사용자, 트레이딩 플로어 직원, 규정 준수 시스템 사용자 등)부터 시작하여 단계적으로 전환을 진행한 뒤, 더 넓은 범위의 직원으로 확대하고, 최종적으로는 고객까지 확대합니다. 이 전환 과정에서 모든 곳에서 한꺼번에 MFA를 교체할 필요는 없습니다: RSA ID Plus MFA와 비밀번호 없는 인증 방식을 동시에 지원하므로, 은행은 전환 과정에서 접근에 차질을 빚지 않고 자체 일정에 따라 진행할 수 있습니다.
기기 연동형 패스키(passkey)는 인증 정보를 특정 물리적 기기에 바인딩하므로, 공격자가 사용자의 계정 인증 정보에 접근하더라도 이를 내보내거나 공유하거나 다른 기기에서 사용할 수 없습니다. 이는 금융 서비스 자격 증명 도용이 주요 공격 경로인 환경에서는, 이러한 바인딩을 통해 기존 MFA 방식이 방치해 온 위험 요소를 제거할 수 있습니다.
RSA ID Plus 워크스테이션에 고정된 사용자를 위한 하드웨어 보안 키부터 스마트폰을 주로 사용하는 사용자를 위한 기기 기반 모바일 패스키에 이르기까지 다양한 비비밀번호 인증 방식을 지원하므로, 각 사용자 그룹은 자신의 실제 업무 방식에 맞는 인증 방법을 선택할 수 있습니다. 이는 특히 은행 업계에서 중요한데, 트레이더, 지점 직원, 계약직 직원, 고객 등 각기 다른 인증 환경을 가진 모든 사용자에게 단일한 방법으로 일관되게 대응할 수 없기 때문입니다.
수만 명의 사용자와 여러 지역에 걸쳐 운영되는 은행의 경우, 단계적으로 계획할 때 완전한 비밀번호 없는 시스템 도입은 일반적으로 18~24개월이 소요되는 프로젝트입니다. 이 일정은 기존 신원 관리 인프라의 복잡성, 서로 다른 사용자 집단의 수, 그리고 레거시 시스템 통합이 얼마나 필요한지에 따라 크게 달라집니다. 이 사례 연구에서는 해당 은행이 따르고 있는 접근 방식과 일정을 상세히 설명합니다.
FIDO2는 공개 키 암호화를 사용하여 인증을 특정 등록된 기기와 애플리케이션에 연동합니다. 즉, 인증 응답을 사기 사이트에서 재사용할 수 없으므로, 피싱 공격이 단순히 어려워지는 것을 넘어 기술적으로 무력화됩니다. 고액 거래와 민감한 고객 데이터를 취급하는 은행들은 이러한 수준의 암호화 보안을 필요로 합니다. 공유 비밀번호에 기반한 기존의 MFA 방식은 그 비밀번호가 아무리 복잡하더라도 이러한 보안을 제공할 수 없습니다.
RSA는 다양한 은행 이용자층에 적합한 세 가지 피싱 방지 인증 수단을 제공합니다. 바로 iShield Key 2 시리즈 하드웨어 키(FIDO2 + FIPS 140-3 인증, 최고 수준의 보안이 요구되는 환경용), RSA Authenticator 앱의 기기 전용 패스키(모바일 우선 사용자용), 그리고 DS100 하드웨어 토큰 (FIDO2 비밀번호 없는 인증 방식과 대체 인증이 필요한 환경을 위한 OTP를 모두 지원합니다).
이 사례 연구에서는 해당 은행이 어떤 인증 방식을 선택했는지, 그리고 그 이유를 자세히 설명하고 있습니다.
포함