한국 CA 테크놀로지스는 지난 5월 3일 서울 삼성동 소재 자사 사무실에서 ‘CA 테크놀로지스 미디어 데이’ 를 열고, 자사의 사용자 인증 강화를 위한 솔루션을 소개했다. 이 자리에서 CA는 강한 인증과 비용 효율, 사용자 편의성 부분에서의 고객에 요구에 부응할 수 있는 자사의 솔루션들에 대해 자세히 소개했다.

인증은 모든 시스템에서 가장 앞단에 있는 부분이고, 많은 보안 사고가 이 ‘인증’단에서 일어나고 있다. 이는 정확하고 안전한 인증을 제공한다면 보안 사고를 많이 줄일 수 있게 된다는 것이다. 그리고 인증 방식에 있어 이제 ID와 패스워드를 사용하는 인증 방식은 분명한 한계를 보여 주고 있으며, OTP를 사용하는 부분에 있어서도 몇 가지 문제점이 지적된 바 있다.

CA가 이 자리에서 소개한 Webfort와 Riskfort는 강력한 인증 방법을 제공하면서도 사용자의 편의성을 확보할 수 있도록 하는 것이 특징이다. Webfort는 소프트웨어 기반 인증 강화 솔루션으로써, OTP 토큰을 소프트웨어로 구현하여 경제성과 편의성을 제공한다. 또한 Riskfort는 사용자의 접근 패턴을 분석해 각종 불법 접근에 대한 인지와 차단 기능을 제공한다.

▲ 무조건 인증을 강화하기만 할 수도 없다.

이번 미디어 데이는 한국 CA의 양희정 이사가 진행했다. 그는 먼저 현재의 ID와 패스워드를 사용하는 형태의 인증이 분명한 한계를 보이고 있으며, 인증 관련 보안 사고도 계속 늘어나고 있다고 지적했다. 또한 인증은 모든 시스템과 접근 제어의 시작점이며, 정확한 인증을 통해 각종 권한들이 정확히 제어 가능할 경우 대부분의 보안 사고는 막을 수 있다고 밝혔다.

인증을 적용해야 할 범위는 계속 넓어지고 있다. 이제 기업의 IT 인프라는 기업 내부에서만 사용하는 게 아니라 외부에서도 접근이 가능해야 하며, 아예 인프라의 구성까지도 클라우드와 접목되면서 내, 외부의 경계를 넘나들고 있다. 이런 분산화되고 클라우드화된 복잡한 환경에서는 컴플라이언스, 보안정책 및 프로세스의 준수가 더 어려워진다.

보안이 중요해지면서 강한 인증의 필요성 또한 높아지고 있다. 하지만 기업들이 섣불리 인증 시스템의 강화에 나서지 못하는 몇 가지 이유가 있다. 대표적인 것이 비용 문제와 사용자 편의성 문제다. 인증을 위해 확인하는 것이 많아질수록 사용자들은 불편을 느끼고, 생산성은 낮아지기 마련이다. 이에 강한 보안 강화와 함께 비용 및 사용자 편의성 저하를 최소화할 수 있는 방법을 찾을 필요가 있다고 강조했다.

CA는 2010년 Arcot 인수를 통해 이 부분의 솔루션을 강화한 바 있다. 이 부분에 사용할 수 있는 CA Arcot 솔루션은 Webfort와 Riskfort가 있으며, 위험기반 강한 인증 서비스를 통해 보안 강화는 물론 비용 및 사용자 편의성 문제까지 해결할 수 있다. Webfort는 소프트웨어 기반 인증 강화 솔루션이며, Riskfort는 불법 접근에 대한 인지와 차단을 담당한다.

▲ Webfort는 편의성을 유지하면서 인증 강화를 위한 방법을 제시한다.

Webfort 는 사용자들이 익숙한 방법을 사용하여 편의성을 유지하면서 강화된 보안성을 제공한다. 사이트마인더(SiteMinder) WAM 시스템과 자연스럽게 통합되는 다중 요소 인증 솔루션을 제공하며, 사용자 ID, 패스워드의 분실, 도용으로 인한 문제가 발생하지 않도록 투명한 인증 계층을 추가하면서 사이트마인더 WAM의 액세스 제어 기능을 강화했다.

비용적인 측면에서, Webfort는 소프트웨어 기반의 OTP 기술을 사용하고 있어 하드웨어 기반의 OTP에 비해 경쟁력이 높다. 또한 2요소 인증을 통해 별도로 OTP 인증 등을 추가 요구하지 않고, ArcotID와 결합해 전자 서명 형태로 동작하므로, 기존과 마찬가지로 ID와 패스워드를 통해 사용하면서도 강력한 보안성을 제공하고, 분실로 인한 위험을 미연에 방지할 수 있다고 소개했다.

ArcotID는 비밀키 보호를 위해 ‘Cryptographic camouflage’ 기술을 사용한다. 이 기술의 특징은 복호화 과정에서 키의 정확성에 대해 결정하여 주지 않는다는 것이다. 기존의 보안 솔루션들은 복호화 과정에서 키의 정확성 여부를 판단할 수 있었고, 키 컨테이너를 획득할 수 있다면 패스워드 크랙 툴로 적합한 비밀키를 획득할 수 있었다.

하지만 ‘Cryptographic camouflage’ 기술은 복호화 과정에서 키의 정확성에 대해 결정하지 않고, 정확한 키의 확인은 인증서버에 인증 절차를 통해 확인한다. 또한 올바른 키로 인증 절차가 진행되지 않을 경우 불법 시도에 대한 카운터를 증가시키고, 이 카운터가 어느 정도 이상 수치가 될 경우 해당 계정을 비활성화한다.

소프트웨어 기반의 ArcotOTP는 모바일 디바이스를 OTP 생성기로 사용하며, 하드웨어 기반 솔루션에 비해 낮은 비용 부담이라는 장점을 가지고 있다. 또한 하나의 토큰으로 다중 계정을 지원할 수 있으며, 보안성을 위해 공개키 기반의 시드 알고리즘을 별도로 서버에 저장하지 않고 사용자 단말기에만 개별적으로 저장하는 특징을 가지고 있어 시드 알고리즘이 가지는 위험 부담을 최소화했다.

▲ Riskfort는 위험 분석을 통해 의심되는 접근 시도를 감지한다.

Riskfort는 실시간 위험평가 엔진으로, 모든 접근과 인증 트랜잭션에 대해 위험을 평가하여 점수를 부여하고, 이런 분석 결과를 기반으로 해 불법적인 접근을 판단, 차단 등의 조치를 취할 수 있도록 한다. 이 솔루션은 Java API나 웹 서비스를 통해 손쉬운 통합이 가능하며, 다양한 환경과 연동해 사용할 수 있다.

이 솔루션은 시스템에 접근을 시도할 때 사용자의 ID와 함께 디바이스의 정보, IP를 기반으로 한 대략적인 위치 정보 등을 함께 분석한다. 그리고 이들 중 급격한 변화가 생길 경우 위험 요소로 감지하고 동적으로 강한 인증 수단을 요구한다. 이를 통해 ID와 패스워드가 유출되는 경우라도 디바이스나 IP 대역이 급격히 변할 경우 추가적인 인증 수단을 요구해 보안 위험을 낮춘다.

Riskfort는 ‘룰’과 ‘모델’ 이 조합되어 동작하는 특징을 가진다. ‘룰’은 일정한 규칙을 적용하는 형태로, 과거 데이터의 분석 없이 바로 적용 가능하다. 이 규칙은 IP대역이나 지역, 접속 장비 등 다양한 기준으로 정의할 수 있다. ‘모델’은 과거 데이터를 분석하고 이를 점수화하여 적용되며, 자가학습을 통한 최적화가 가능하고, 외부 영향에 따라 지속적으로 조정될 필요가 있다.

▲ SaaS 형태의 인증 서비스 ‘A-OK’

또한 CA는 이런 일련의 서비스들을 클라우드 환경의 SaaS 형태로도 제공하고 있다고 소개했다. ‘A-OK’ 서비스는 리스크 기반 인증 및 2요소 인증을 SaaS 형태로 제공하고 있으며, 이를 사용하면 기업은 인증 시스템을 설치 및 관리할 필요 없이 서비스 구매에 들어가는 비용 부담만으로 바로 적용이 가능하다는 장점을 가진다.

이 서비스는 크게 세 가지 산업군을 위한 솔루션이 준비되어 있다. ‘e-커머스’ 를 위한 솔루션에는 CNP(Card Not Present) e-커머스 거래와 사기 방지를 위한 기능으로 구성되어 있으며, ‘엔터프라이즈’를 위한 솔루션에서는 웹 포털 인증 및 VPN 연동, 위험기반 인증 등이 제공된다. 또한 ‘e-문서 보안’ 부분에서는 전자서명 등의 기능을 제공한다. 이 부분에 덧붙여 구글 앱스 등과 결합하여 사용된 사례가 있으며, 국내에서도 비슷한 유형으로 적용될 준비가 되고 있다고 소개되었다.