FIDO2란?

FIDO2 암호 없는 인증은 일반적으로 암호 키를 계정 인증의 첫 번째 및 기본 요소로 사용하여 작동합니다. 즉, 사용자가 FIDO2 지원 온라인 서비스에 등록하는 경우 인증을 수행하도록 등록된 클라이언트 디바이스는 해당 웹앱 또는 웹 사이트에 대해서만 작동하는 키 쌍을 생성합니다.

공개 키는 암호화되고 서비스와 공유되지만 프라이빗 키는 사용자 디바이스에서 안전하게 유지됩니다. 그런 다음 사용자가 서비스에 로그인하려고 할 때마다 서비스는 클라이언트에 고유한 챌린지를 제시합니다. 클라이언트는 암호 키 디바이스를 활성화하여 프라이빗 키로 요청에 서명하고 반환합니다. 이렇게 하면 프로세스가 피싱으로부터 암호화 방식으로 보호됩니다.

FIDO2 인증자 유형

디바이스에서 고유한 FIDO2 암호 키 집합을 생성하려면 먼저 액세스를 요청하는 사용자가 권한이 없는 사용자 또는 맬웨어 유형이 아니라는 것을 확인해야 합니다. PIN, 생체 인식 또는 기타 사용자 제스처를 허용할 수 있는 디바이스인 인증자를 사용하여 이 작업을 수행합니다.

FIDO 인증자에는 두 가지 유형이 있습니다.

로밍(또는 플랫폼 간) 인증자

이러한 인증자는 사용자 클라이언트 디바이스와 별개인 휴대용 하드웨어 디바이스입니다. 로밍 인증자에는 USB 프로토콜이나 NFC(근거리 무선 통신) 및 Bluetooth 무선 기술을 통해 클라이언트 장치와 연결되는 보안 키, 스마트폰, 태블릿, 착용식 컴퓨터 및 기타 디바이스가 포함됩니다. 사용자는 FIDO 키를 연결하고 단추를 누르거나 스마트폰에서 지문과 같은 생체 인식 기능을 제공하는 등 다양한 방법으로 ID를 확인합니다. 로밍 인증자는 사용자가 언제 어디서나 여러 컴퓨터에서 인증할 수 있도록 허용하기 때문에 플랫폼 간 인증자라고도 합니다.

플랫폼(또는 바인딩된) 인증자

이러한 인증자는 데스크톱, 노트북, 태블릿, 스마트폰 등 사용자의 클라이언트 디바이스에 포함됩니다. 암호 키를 보호하기 위한 생체 인식 기능 및 하드웨어 칩으로 구성된 플랫폼 인증자는 사용자가 클라이언트 디바이스를 사용하여 FIDO 지원 서비스에 로그인한 다음, 일반적으로 생체 인식 또는 PIN을 사용하여 동일한 디바이스를 통해 인증해야 합니다.

생체 인식 데이터를 사용하는 플랫폼 인증자의 예로는 Microsoft Windows Hello, Apple Touch ID 및 Face ID, Android 지문 등이 있습니다.

FIDO2 지원 서비스에 등록하고 로그인하는 방법:

FIDO2 인증에서 제공하는 향상된 보안을 활용하려면 다음 기본 단계를 수행합니다.

FIDO2 지원 서비스에 등록하는 방법:

• 1단계: 서비스에 등록할 때 지원되는 FIDO 인증자 메서드를 선택하라는 메시지가 표시됩니다.
  
  
• 2단계: PIN 입력, 지문 판독기 터치 또는 FIDO2 보안 키 삽입 등 인증자가 지원하는 간단한 제스처로 FIDO 인증자를 활성화합니다.
  
  
• 3단계: 인증자가 활성화되면 디바이스는 디바이스, 계정 및 서비스에 고유한 프라이빗 및 공개 키 한 쌍을 생성합니다.
  
  
• 4단계: 로컬 디바이스는 프라이빗 키와 인증 방법과 관련된 모든 기밀 정보(예: 생체 인식 데이터)를 안전하게 저장합니다. 공개 키는 암호화되고 임의로 생성된 자격 증명 ID와 함께 서비스에 등록되고 인증자 서버에 저장됩니다.

FIDO2 지원 서비스에 로그인하는 방법:

• 1단계: 서비스는 사용자의 존재를 확인하기 위해 암호화 챌린지를 실행합니다.
  
  
• 2단계: 메시지가 표시되면 계정 등록 중에 사용한 것과 동일한 인증자 제스처를 수행합니다. 제스처를 사용하여 존재를 확인한 후 디바이스는 디바이스에 로컬로 저장된 프라이빗 키를 사용하여 챌린지에 서명합니다.
  
  
• 3단계: 디바이스는 서명된 챌린지를 서비스에 다시 보내 안전하게 등록된 공개 키로 확인합니다.
  
  
• 4단계: 완료되면 로그인됩니다.