애플로 로그인
1. 개요
애플로 로그인은 애플이 제공하는 계정 기반 로그인 서비스이다. 2019년 9월, 애플은 타사 로그인 서비스를 사용하는 앱 개발자에게 '애플로 로그인' 구현을 의무화했으며, 예외적으로 특정 앱은 제외했다. 애플은 '애플로 로그인' 버튼을 다른 로그인 서비스보다 눈에 띄게 배치하도록 권고한다. 초기에는 OpenID Connect 표준을 완전히 준수하지 않아 보안 취약점이 있었으나, 2019년 10월 업데이트를 통해 OpenID Connect 인증 표준을 준수하도록 개선되었다. 애플은 iOS 앱뿐만 아니라 안드로이드 및 웹에서도 '애플로 로그인'을 구현할 수 있도록 자바스크립트 라이브러리를 제공한다.
| 이름 | Sign in with Apple (애플로 로그인) |
|---|---|
| 종류 | 단일 로그인 제공자 |
| 출시일 | 2019년 9월 19일 |
| 플랫폼 | iOS Android 웹 (JavaScript) |
| 상태 | 활성 |
| 웹사이트 | Sign in with Apple 개발자 페이지 |
2. 소프트웨어 개발에서의 사용성
2019년 9월 12일, 애플은 App Store 심사 지침을 업데이트하여, 타사 로그인 서비스를 사용하는 앱 개발자에게 '애플로 로그인' 구현을 의무화했다. 단, 트위터 앱처럼 특정 서비스의 클라이언트 역할만 하는 앱, 시민 식별 시스템 기반 로그인 서비스를 사용하는 앱, 회사 자체 로그인 서비스와 독점적으로 작동하는 앱은 예외로 두었다. 애플의 인간 인터페이스 지침은 '애플로 로그인' 버튼을 다른 로그인 서비스보다 눈에 띄게 배치하도록 권고한다.
OpenID 재단은 애플의 서비스가 OpenID Connect 사양을 완전히 준수하지 않는다는 서한을 보냈는데, 코드 교환 증명 키(PKCE)가 없어 사용자가 재생 공격이나 코드 인젝션 취약점에 노출될 수 있다는 점을 지적했다. 2019년 10월, 애플은 서비스를 OpenID Connect에 준수하도록 업데이트했다.
애플은 iOS 앱뿐만 아니라 안드로이드 및 웹에서도 '애플로 로그인'을 구현할 수 있도록 자바스크립트 라이브러리를 제공한다.
2.1. 애플의 정책 변화와 개발자 의무
2019년 9월 12일, 애플은 App Store 심사 지침을 업데이트하여, 타사 로그인 서비스를 사용하는 앱 개발자에게 '애플로 로그인' 구현을 의무화했다. 단, 트위터 앱처럼 특정 서비스의 클라이언트 역할만 하는 앱, 시민 식별 시스템 기반 로그인 서비스를 사용하는 앱, 회사 자체 로그인 서비스와 독점적으로 작동하는 앱은 예외로 두었다. 애플의 인간 인터페이스 지침은 '애플로 로그인' 버튼을 다른 로그인 서비스보다 눈에 띄게 배치하도록 권고한다.
OpenID 재단은 애플의 서비스가 OpenID Connect 사양을 완전히 준수하지 않는다는 서한을 보냈는데, 코드 교환 증명 키(PKCE)가 없어 사용자가 재생 공격이나 코드 인젝션 취약점에 노출될 수 있다는 점을 지적했다. 2019년 10월, 애플은 서비스를 OpenID Connect에 준수하도록 업데이트했다.
2.2. iOS 앱 외부에서의 사용
애플은 iOS 앱뿐만 아니라 안드로이드 및 웹에서도 '애플로 로그인'을 구현할 수 있도록 자바스크립트 라이브러리를 제공한다.
3. OpenID와의 호환성 문제 및 해결
2019년 10월, 애플은 '애플로 로그인'을 OpenID Connect 인증 표준에 준수하도록 업데이트했다. 이전에는 "코드 교환을 위한 증명 키"(PKCE)를 지원하지 않아 사용자가 재생 공격 및 코드 인젝션 취약점에 노출될 수 있었다.
OpenID 재단은 애플로 로그인이 OpenID Connect 사양을 완전히 준수하지 않는다며 애플에 서한을 발송했다. 재단은 코드 교환 증명 키(PKCE)가 없어 사용자가 재생 공격이나 코드 인젝션 취약점에 노출될 수 있다고 지적했다. 2019년 10월, 애플은 서비스를 OpenID Connect 인증 표준을 준수하도록 업데이트하여 이 문제를 해결했다.
3.1. OpenID 재단의 우려 표명
OpenID 재단은 애플로 로그인이 OpenID Connect 사양을 완전히 준수하지 않는다며 애플에 서한을 발송했다. 재단은 코드 교환 증명 키(PKCE)가 없어 사용자가 재생 공격이나 코드 인젝션 취약점에 노출될 수 있다고 지적했다. 2019년 10월, 애플은 서비스를 OpenID Connect 인증 표준을 준수하도록 업데이트하여 이 문제를 해결했다.