보안 토큰

3. 종류

보안 토큰은 연결 방식, 기능, 형태에 따라 다양한 종류로 나뉜다. 토큰은 여러 인증 방법을 포함하여 매우 단순한 기능에서 매우 복잡한 기능에 이르기까지 다양한 기능을 가진 칩을 포함할 수 있다.

가장 단순한 보안 토큰은 컴퓨터에 연결할 필요가 없다. 토큰은 물리적인 디스플레이를 가지고 있으며, 인증하는 사용자는 표시된 숫자를 입력하여 로그인한다. 다른 토큰은 블루투스와 같은 무선 기술을 사용하여 컴퓨터에 연결된다. 이러한 토큰은 키 시퀀스를 로컬 클라이언트 또는 근처의 액세스 포인트로 전송한다.^[4]

또 다른 형태의 토큰은 음성, SMS 또는 USSD와 같은 아웃오브밴드 채널을 사용하여 통신하는 모바일 장치로, 수년 동안 널리 사용되어 왔다.

또 다른 토큰은 컴퓨터에 연결되며 PIN이 필요할 수 있다. 토큰 유형에 따라 컴퓨터 운영 체제는 토큰에서 키를 읽고 암호화 작업을 수행하거나 토큰의 펌웨어에 이 작업을 수행하도록 요청한다.

일부 컴퓨터 프로그램에서 소프트웨어 소유권을 증명하기 위해 필요한 하드웨어 동글도 관련 응용 프로그램이다. 동글은 입력 장치에 배치되며, 소프트웨어는 해당 I/O 장치에 접근하여 해당 소프트웨어의 사용을 인가한다.

다양한 공급업체에서 상용 솔루션을 제공하며, 각 공급업체는 다양한 보안 기능을 자체적으로(그리고 종종 특허를 받은) 구현한다. 특정 보안 표준을 충족하는 토큰 설계는 연방 보안 표준인 FIPS 140을 준수하는 것으로 미국에서 인증된다.^[5] 어떠한 종류의 인증도 없는 토큰은 종종 정부 또는 산업 보안 표준을 충족하지 않고, 엄격한 테스트를 거치지 않으며, 설계가 제3자 기관에 의해 독립적으로 감사된 토큰 솔루션과 동일한 수준의 암호화 보안을 제공할 수 없기 때문에 의심스럽게 여겨지기도 한다.

많은 연결된 토큰은 스마트 카드 기술을 사용한다. 스마트 카드는 매우 저렴하고(약 10센트) 입증된 보안 메커니즘(현금 카드와 같은 금융 기관에서 사용)을 포함하고 있다. 그러나 스마트 카드의 계산 성능은 극도로 낮은 전력 소비와 초박형 폼 팩터 요구 사항 때문에 종종 제한적이다.

내부에 스마트 카드 칩을 포함하는 스마트 카드 기반 USB 토큰은 USB 토큰과 스마트 카드의 기능을 모두 제공한다. 이는 광범위한 보안 솔루션을 가능하게 하며, 고유한 입력 장치가 필요 없이 기존 스마트 카드의 기능과 보안을 제공한다. 컴퓨터 운영 체제의 관점에서 볼 때 이러한 토큰은 제거할 수 없는 스마트 카드 하나가 있는 USB 연결 스마트 카드 리더이다.^[7]

3. 1. 연결 방식

3. 2. 기능

• 정적 비밀번호 토큰: 물리적으로 숨겨져 소유자에게 보이지 않는 비밀번호를 포함하지만, 인증 시마다 전송된다. 이 유형은 재사용 공격에 취약하다.^[2]

• 동기식 동적 비밀번호 토큰: 암호화 알고리즘에 의해 생성된 다양한 조합을 순환시키는 데 타이머가 사용된다. 토큰과 인증 서버는 동기화된 시계를 가지고 있어야 한다.^[3]

• 비동기식 비밀번호 토큰: 일회용 비밀번호는 일회용 패드 또는 암호화 알고리즘을 사용하여 시계 없이 생성된다.

• 챌린지-응답 토큰: 공개 키 암호화를 사용하여, 해당 키를 공개하지 않고 개인 키 소유를 증명한다. 인증 서버는 챌린지(일반적으로 임의의 숫자 또는 일부 임의의 부분이 있는 데이터)를 공개 키로 암호화하고, 장치는 해독된 챌린지를 제공하여 일치하는 개인 키 사본을 소유하고 있음을 증명한다.

• CRYPTOCard: 버튼이 눌릴 때마다 새로운 일회용 패스워드를 생성한다.
• ID CONTROL: 휴대 전화나 PDA, 블랙베리 등의 기기를 HandyID가 부속된 OTP 기반 사용자 식별 토큰으로 만들어 사용자 식별을 제공한다.
• VeriSign: 사용자 식별을 OATH 표준으로 통일하고 있다.
• Deepnet Security: Deepnet Unified Authentication Platform 제품이다.
• SafeNet (구 Aladdin Knowledge Systems) eToken NG-OTP: 하이브리드 USB와 일회용 패스워드 토큰이다.

• Booleansoft: USB 입력 장치나 CD-ROM 드라이브 같은 입력 장치에 삽입되었을 때 인증 서버와 동기화된다. (미국 특허 기술)
• 飛天(페이톈) 재팬 OTP: c200은 60초마다 원타임 패스워드를 생성하는 OATH 준수 원타임 패스워드 토큰이다. 간호(GungHo)의 라그나로크 온라인에도 채용되었다.
• RSA 시큐리티 SecurID: 일정 주기로 변화하는 숫자를 채용하고 있다. (첫머리 이미지의 재팬 넷 뱅크(현 PayPay 은행) 토큰)
• Vasco's DigiPass: 사용자가 암호를 입력할 수 있는 작은 키보드를 가지고 있으며, 36초마다 새로운 원타임 패스워드를 생성한다. (미국 특허 기술)
• KerPass UST: 휴대 전화 상에서 시간 동기화 OATH 원타임 패스워드를 제공하며, 30초마다 새로운 패스워드가 생성된다.
• Mega AS Consulting Ltd CAT: 휴대 전화, PDA, Pocket PC 등의 휴대 장치에서 동작하는 암호로 보호되는 소프트웨어 토큰이다.
• SecuTech UniOTP 500: 캐나다 SecuTech사 개발, OATH 준수 시각 동기식 원타임 패스워드 (60초마다 새 패스워드 생성, iOS용 소프트웨어 버전 존재)

3. 3. 형태

• 컴퓨터와 물리적/논리적 연결 없이, 내장 화면의 인증 데이터를 사용자가 직접 입력한다.
• 주로 온라인 2단계 인증에 사용된다 (비밀번호와 함께).^[6]
• 예시:

  

• 컴퓨터에 물리적으로 연결하여 자동으로 인증 정보를 전송한다.
• 스마트 카드 리더나 USB 포트 같은 별도 입력 장치가 필요하다.
• FIDO2 토큰은 개방형 표준으로, 주요 웹사이트와 소셜 미디어에서 지원되어 인기를 얻고 있다.

• 물리적 연결 없이 컴퓨터와 논리적으로 연결된다.
• 키리스 엔트리 시스템, 모빌 스피드패스 등 전자 결제에 널리 쓰인다.
• RFID 태그는 해킹 및 복제 위험이 있어 보안 우려가 제기된다.^[8]
• USB 토큰보다 배터리 수명이 짧다.

• 블루투스 로우 에너지 프로토콜로 무선 통신한다.
• 낮은 품질의 인증에는 내장 블루투스 신원 데이터 전송이 사용된다.
• 정교한 인증에는 양방향 연결을 통한 트랜잭션 데이터 교환이 사용된다.
• USB 토큰과 결합하여 유/무선 연결 모두 지원 가능하다.
• USB 포트에 삽입하여 작동할 수 있다.

• 블루투스 토큰과 결합하여 다양한 모드로 작동 가능하다.
• NFC 인증은 약 0.30m 이내 거리에서 작동한다.

• Google Authenticator 같은 모바일 앱을 대체하거나 백업으로 사용된다.^[13]

• 키체인형: 작고 가벼워 키체인에 부착 가능하다.
• 카드형: PIN 코드 입력용 키패드나 일회용 비밀번호 표시 화면이 있다.
• USB 메모리형: 소형 USB 형태이다.
• 모바일 토큰: 휴대 전화를 보안 토큰으로 활용한다.
• 노트북용: 얇은 Type II PC 카드가 주로 쓰인다.
• 스마트 카드형: 저렴하지만 내구성이 약하다.
• USB형: 저렴하고 별도 장비가 필요 없다.
• 스마트 카드 및 USB 겸용: 스마트 카드와 USB 통신을 모두 지원하며, 다양한 보안 환경에 대응한다.

4. 기술 방식

보안 토큰은 다양한 기술 방식을 통해 인증 정보를 생성하고 관리한다.

4. 1. 시간 동기화 방식

4. 2. 챌린지-응답 방식

4. 3. 이벤트 기반 방식

4. 4. 해시 체인 방식

5. 취약점 및 대응

보안 토큰은 분실, 도난, 해킹 등 다양한 취약점에 노출될 수 있다.

중간자 공격은 공격자가 사용자와 서버 사이에서 정보를 가로채는 방식으로, 보안 토큰도 이에 취약하다. 2006년 씨티은행 고객들은 하드웨어 토큰을 사용했음에도 피싱 공격을 당했다.^[14][15]

2012년에는 비밀 키 추출 방법이 개발되어 코드 유출 위험성이 제기되었다.^{[16][17][18][19]}

5. 1. 분실 및 도난

5. 2. 중간자 공격

5. 3. 코드 유출

6. 한국의 보안 토큰

공인인증서 폐지 이후 한국에서는 다양한 민간 인증서가 등장하면서 보안 토큰 기술이 더욱 중요해지고 있다. PASS, 카카오페이 인증, 네이버 인증 등 모바일 기반 인증 서비스가 확산되고 있으며, 금융, 공공, 기업 등 다양한 분야에서 여러 형태의 보안 토큰이 활용되고 있다.

6. 1. 공인인증서 폐지

6. 2. 민간 인증서 확산

6. 3. 보안 토큰 관련 기업

7. 디지털 서명

보안 토큰은 디지털 서명 생성에 필요한 개인 키를 안전하게 보관하고 관리하는 데 사용될 수 있다. 디지털 서명은 서명 권한이 있는 사람만 아는 개인 키로 만들어져야 한다.^[1] 토큰은 개인 키를 안전하게 생성하고 저장하여 안전한 디지털 서명을 지원하며, 사용자 신원 증명에도 사용되어 사용자 인증에도 쓰인다.

토큰이 사용자를 식별하려면 모든 토큰에 고유한 일련 번호가 있어야 한다.

7. 1. 개인 키 보호

7. 2. 부인 방지

7. 3. 법적 효력

8. 싱글 사인온 (SSO)

기업용 싱글 사인온과 같은 일부 싱글 사인온(SSO) 솔루션은 토큰을 사용하여 시작 인증이나 비밀번호 자동 채우기 기능을 구현한다. 일반적으로 대부분의 토큰은 암호의 암호화 해시를 저장하여 토큰이 손상된 경우에도 암호를 보호한다.^[12]

8. 1. 사용자 편의성

8. 2. 보안 강화

9. 활용 분야

보안 토큰은 매우 단순한 기능부터 복잡한 기능까지 다양한 기능을 가진 칩을 포함할 수 있으며, 여러 인증 방법을 포괄한다.

가장 단순한 형태의 보안 토큰은 컴퓨터 연결 없이 물리적 디스플레이를 통해 인증하는 방식이다. 사용자는 표시된 숫자를 입력하여 로그인한다. 다른 토큰은 블루투스와 같은 무선 기술을 사용하여 키 시퀀스를 전송한다.^[4] 모바일 장치를 이용해 아웃오브밴드 채널(음성, SMS, USSD)로 통신하는 방식도 널리 쓰인다.

컴퓨터에 연결하는 토큰은 PIN을 요구할 수 있으며, 토큰 유형에 따라 컴퓨터 운영 체제가 키를 읽거나 토큰 펌웨어에 암호화 작업을 요청한다. 일부 컴퓨터 프로그램에서는 소프트웨어 소유권 증명을 위해 하드웨어 동글을 사용하기도 한다. 동글은 입력 장치에 배치되어 소프트웨어 사용을 인가한다.

연결 토큰은 인증하는 컴퓨터에 물리적으로 연결되어야 하며, 연결 시 자동으로 인증 정보를 전송한다. 스마트 카드와 USB 토큰(보안 키)이 대표적이며, 각각 스마트 카드 리더와 USB 포트가 필요하다. FIDO 얼라이언스에서 지원하는 FIDO2 토큰은 주요 웹사이트와 소셜 미디어에서 지원되어 소비자들에게 인기를 얻고 있다.

구형 PC 카드 토큰은 주로 노트북용으로 제작되었으며, Type II PC 카드가 선호된다.

아이폰, 아이패드, 안드로이드 장치와 같은 모바일 장치에서는 오디오 잭 포트를 연결 방법으로 사용하기도 한다. Square는 iOS 및 Android 장치용 신용 카드 리더로 잘 알려져 있다.

암호화 점화 키와 같이 특수 목적 인터페이스를 사용하는 경우도 있다. 토큰은 사진 신분증으로도 사용될 수 있으며, 휴대 전화와 PDA도 보안 토큰 역할을 할 수 있다.

9. 1. 금융

9. 2. 공공

9. 3. 기업

9. 4. 기타

참조

_[1] 논문 Security and Trust in Open Source Security Tokens https://tches.iacr.o[...] 2021-07-09
_[2] 웹사이트 Time drift: a major downside of TOTP hardware tokens https://token2.mediu[...] 2020-11-21
_[3] 웹사이트 Time Drift in TOTP Hardware Tokens Explained and Solved - Protectimus Solutions https://www.protecti[...] 2020-11-21
_[4] 웹사이트 2.3.3: Authentication Methods - Security Tokens https://eng.libretex[...] 2023-05-08
_[5] 보고서 Security requirements for cryptographic modules https://nvlpubs.nist[...] National Institute of Standards and Technology 2019-04
_[6] 웹사이트 Two-factor authentication http://www.insight.c[...] Siemens Insight Consulting 2009-01-14
_[7] 문서 Specification for Integrated Circuit(s) Cards Interface Devices http://www.usb.org/d[...]
_[8] 웹사이트 Does Your Car Key Pose a Security Risk? http://www.pcworld.c[...] PC World 2009-01-14
_[9] 웹사이트 Verfahren zum Steuern der Freigabe einer Einrichtung oder eines Dienstes, als Master ausgebildete Sendeempfangseinrichtung sowie System mit derartiger Einrichtung http://depatisnet.dp[...] 2018-04-16
_[10] 웹사이트 "cgToken {{!}} certgate" https://www.certgate[...]
_[11] 웹사이트 Biometric U2F OTP Token - HYPR https://www.hypr.com[...] 2018-04-16
_[12] 웹사이트 2.3.3: Authentication Methods - Security Tokens https://eng.libretex[...] 2024-11-21
_[13] 문서 Programmable hardware tokens '' Token2 miniOTP'' https://www.token2.c[...]
_[14] 뉴스 Phishers rip into two-factor authentication https://www.theregis[...] 2018-09-25
_[15] 뉴스 Citibank Phish Spoofs 2-Factor Authentication http://voices.washin[...] 2018-09-25
_[16] 뉴스 Computer Scientists Break Security Token Key in Record Time http://bits.blogs.ny[...] 2012-06-25
_[17] 뉴스 Team Prosecco dismantles security tokens http://phys.org/news[...] 2014-03-29
_[18] 웹사이트 Prosecco :: Publications http://prosecco.gfor[...] 2014-03-29
_[19] 웹사이트 Accepted Papers CRYPTO 2012 https://www.iacr.org[...] 2014-03-29