개발자를 위한 웹 인증(WebAuthn) 기반 무비밀번호 온보딩 가이드 (KO)

WebAuthn 기본 원리WebAuthn은 비밀번호 없는 인증을 위한 W3C 표준으로, 공개 키 암호화를 활용하여 향상된 보안과 간소화된 사용자 경험을 제공하며, 기존 비밀번호 방식을 뛰어넘습니다.

주요 구현 단계개발자는 WebAuthn을 성공적으로 배포하기 위해 자격 증명 등록, 공개 키의 안전한 저장, 그리고 챌린지 생성 및 응답 검증을 포함한 강력한 인증 흐름을 관리해야 합니다.

보안 모범 사례WebAuthn을 구현하려면 적절한 챌린지 생성, 신뢰 당사자 ID 관리, 그리고 일반적인 공격 벡터를 방지하기 위한 증명 및 주장 데이터 처리와 같은 보안 고려 사항이 필요합니다.

Didit이 WebAuthn 온보딩을 강화하는 방법Didit은 WebAuthn을 보완하여 초기 신원 확인(ID 확인, 라이브니스) 및 지속적인 규정 준수(AML 심사)를 처리할 수 있는 모듈형 AI 네이티브 신원 플랫폼을 제공합니다. 무료 핵심 KYC와 설정 비용 없이 전체 온보딩 과정을 간소화합니다.

WebAuthn 이해: 비밀번호 없는 인증의 미래

WebAuthn(웹 인증 API)은 웹에서 비밀번호 없는 인증을 가능하게 하는 W3C 표준입니다. 이는 FIDO2 프로젝트의 초석이며, 비밀번호를 공개 키 암호화로 대체하여 온라인 인증을 더욱 안전하고 사용자 친화적으로 만들기 위해 고안되었습니다. 사용자는 복잡한 비밀번호를 기억하는 대신 생체 인식 요소(지문 또는 얼굴 인식), 하드웨어 보안 키(YubiKey 등), 또는 플랫폼 인증 장치(Touch ID 또는 Windows Hello와 같은 장치에 내장된)를 사용하여 인증합니다.

개발자에게 WebAuthn을 구현하는 것은 비밀번호 데이터베이스와 관련된 취약점에서 벗어나 사용자의 개인 키가 장치를 떠나지 않는 시스템으로 이동하는 것을 의미합니다. 이는 피싱, 자격 증명 스터핑, 서버 측 데이터 유출의 위험을 크게 줄입니다. 핵심 개념은 신뢰 당사자(귀하의 웹 서비스), 사용자 에이전트(브라우저), 그리고 인증 장치(키 쌍을 처리하는 장치 또는 소프트웨어)를 포함합니다.

이점은 분명합니다: 향상된 보안, 개선된 사용자 경험, 그리고 비밀번호 재설정과 관련된 지원 비용 절감. 그러나 구현에는 암호화 원리에 대한 확실한 이해와 클라이언트 및 서버 측 모두에서 WebAuthn API를 신중하게 다루는 것이 필요합니다.

자격 증명 등록: WebAuthn으로 사용자 온보딩

비밀번호 없는 여정의 첫 번째 단계는 사용자 인증 장치를 등록하는 것입니다. 이 과정은 귀하의 서비스에 대한 사용자의 신원을 설정하고 새 공개 키 자격 증명을 사용자 계정에 바인딩합니다. 다음은 관련된 단계에 대한 개요입니다:

1. 서버가 등록 시작: 서버는 고유한 암호화 챌린지를 생성하고 사용자 정보(ID, 이름) 및 신뢰 당사자(RP) 세부 정보(RP ID, 이름)와 함께 클라이언트에 보냅니다.
2. 클라이언트가 자격 증명 생성: 클라이언트 측 JavaScript(navigator.credentials.create() 사용)는 사용자에게 인증 장치와 상호 작용하도록 프롬프트를 표시합니다(예: 보안 키 터치, 지문 스캔). 그런 다음 인증 장치는 새 공개/개인 키 쌍을 생성합니다. 개인 키는 인증 장치에 남아 있으며, 공개 키는 증명서 및 기타 메타데이터와 함께 클라이언트로 다시 전송됩니다.
3. 클라이언트가 서버에 응답 전송: 클라이언트는 CredentialCreationOptions를 수신하고 이를 서버로 다시 보냅니다.
4. 서버가 자격 증명 확인: 서버는 수신된 자격 증명을 엄격하게 확인해야 합니다. 여기에는 챌린지, RP ID, 원본 및 증명 서명 확인이 포함됩니다. 유효성 검사가 완료되면 공개 키 및 관련 메타데이터(자격 증명 ID 등)가 사용자 계정에 연결되어 안전하게 저장됩니다. 개인 키는 인증 장치를 떠나서는 안 되므로 공개 키를 저장하는 것이 중요합니다.

원활한 온보딩 프로세스, 특히 신규 사용자의 경우 WebAuthn 등록과 강력한 초기 신원 확인을 결합하는 것이 가장 중요합니다. Didit의 ID 확인은 OCR, MRZ 및 바코드 스캐닝을 활용하여 사용자의 신분증을 신속하게 확인할 수 있으며, 수동 및 능동 라이브니스 검사는 사용자가 현재 존재하며 실제 사람임을 확인하여 딥페이크 및 프레젠테이션 공격을 방지합니다. 이는 WebAuthn 자격 증명이 등장하기도 전에 강력한 신뢰 기반을 구축합니다.

사용자 인증: 비밀번호 없는 로그인 흐름

사용자가 WebAuthn 자격 증명을 등록하면 이후 로그인이 매우 쉬워집니다. 인증 흐름은 등록보다 간단하지만 보안에 똑같이 중요합니다:

1. 서버가 인증 시작: 사용자가 로그인하려고 할 때, 서버는 새롭고 고유한 암호화 챌린지를 생성하고 특정 사용자(알려진 경우) 또는 등록된 모든 자격 증명에 대한 인증을 요청합니다.
2. 클라이언트가 주장 요청: 클라이언트 측 JavaScript(navigator.credentials.get() 사용)는 인증 장치로부터 주장을 요청합니다. 여러 자격 증명이 등록된 경우 브라우저가 사용자에게 사용할 자격 증명을 선택하도록 프롬프트를 표시할 수 있습니다.
3. 인증 장치가 챌린지 서명: 인증 장치는 저장된 개인 키를 사용하여 챌린지에 서명하여 주장을 생성합니다. 사용자 상호 작용(생체 인식, PIN 등)은 이 서명 작업을 승인합니다.
4. 클라이언트가 서버에 주장 전송: 클라이언트는 서명된 주장을 서버로 다시 보냅니다.
5. 서버가 주장 확인: 서버는 주장을 확인해야 합니다. 여기에는 저장된 공개 키를 사용하여 서명 확인, 챌린지, RP ID 및 원본 유효성 검사가 포함됩니다. 성공적인 확인은 사용자가 계정과 연결된 개인 키를 소유하고 있음을 입증했음을 의미하며 인증이 완료됩니다.

재생 공격을 방지하기 위해 적절한 챌린지 생성 및 확인을 구현하는 것이 중요합니다. 각 챌린지는 고유하고 충분히 무작위적이어야 합니다. Didit의 모듈형 신원 플랫폼은 이러한 인증 흐름과 원활하게 통합되어 연락처 세부 정보를 확인하기 위한 전화 및 이메일 확인 또는 지속적인 규정 준수를 위한 AML 심사 및 모니터링과 같은 추가 보안 계층을 제공하여 비밀번호 없는 로그인 후에도 사용자 위험 프로필이 지속적으로 평가되도록 합니다.

보안 고려 사항 및 모범 사례

WebAuthn은 뛰어난 보안을 제공하지만, 그 이점을 극대화하고 잠재적인 취약점을 완화하기 위해 구현 시 모범 사례를 준수해야 합니다:

• 고유한 챌린지: 각 등록 및 인증 요청에 대해 항상 암호학적으로 안전하고 고유한 챌린지를 생성하십시오. 서버에 일시적으로 저장하고 사용 후 또는 만료 후 무효화하십시오.
• 신뢰 당사자 ID: RP ID를 올바르게 구성하십시오. 웹사이트의 도메인이어야 합니다(예: example.com). 이는 악의적인 하위 도메인에서 자격 증명이 사용되는 것을 방지합니다.
• 원본 확인: 서버에서 항상 WebAuthn 응답의 원본이 예상 원본과 일치하는지 확인하십시오.
• 증명 대 주장: 차이점을 이해하십시오. 증명은 등록 중에 인증 장치의 진위를 증명합니다. 주장은 인증 중에 사용자 존재 여부와 개인 키 소유를 증명합니다. 대부분의 응용 프로그램의 경우 초기 등록 후 강력한 증명이 엄격하게 필요하지 않을 수 있지만, 강력한 주장 확인은 항상 필요합니다.
• 사용자 확인: 인증 중에 사용자 확인(예: PIN, 생체 인식)을 장려하거나 강제하십시오. 이는 사용자가 존재하며 물리적 인증 장치에 접근할 수 있는 악의적인 행위자가 아님을 보장합니다.
• 자격 증명 관리: 사용자에게 등록된 인증 장치를 관리할 수 있는 인터페이스를 제공하십시오(새로운 것을 추가하고, 오래된 것을 해지).
• 대체 옵션: WebAuthn은 강력하지만, 인증 장치를 분실하거나 문제가 발생하는 사용자를 위해 항상 안전한 대체 인증 방법을 마련하십시오.

Didit이 안전한 온보딩을 간소화하는 데 어떻게 도움이 되는가

Didit은 AI 네이티브, 개발자 우선 신원 플랫폼으로서 특히 중요한 온보딩 단계에서 WebAuthn 구현을 보완하고 강화할 수 있는 독특한 위치에 있습니다. WebAuthn이 로그인을 보호하는 동안 Didit은 로그인하는 사람이 실제로 본인이 주장하는 사람이며 규정 준수 요구 사항을 충족하는지 확인합니다.

당사의 모듈형 아키텍처를 통해 강력한 신원 확인 검사를 WebAuthn 온보딩 흐름에 원활하게 통합할 수 있습니다. 사용자가 가입하는 상황을 상상해 보십시오. 기본 정보를 제공한 후 Didit은 OCR, MRZ 또는 바코드를 사용하여 정부 발행 신분증을 인증하는 포괄적인 ID 확인을 수행할 수 있습니다. 이어서 수동 및 능동 라이브니스 검사를 통해 사용자가 실제 사람이며 딥페이크나 사기꾼이 아님을 확인합니다. 더 높은 보증이 필요한 응용 프로그램의 경우 ePassport 또는 eID와 함께 NFC 확인을 사용할 수 있습니다.

또한 Didit의 AML 심사 및 모니터링은 신규 사용자가 규제 표준을 준수하도록 보장하여 처음부터 금융 범죄를 방지합니다. 당사의 주소 증명 솔루션은 거주지 세부 정보를 확인하고, 전화 및 이메일 확인은 추가 계정 보안 계층을 추가합니다. 이러한 모든 검사는 코드 없는 비즈니스 콘솔을 통해 오케스트레이션될 수 있으므로 WebAuthn 등록 전후에 트리거되는 정교한 워크플로를 설계할 수 있습니다.

Didit의 장점은 분명합니다. 무료 핵심 KYC를 통해 선불 비용 없이 신원 확인을 시작할 수 있습니다. 당사의 AI 네이티브 접근 방식은 높은 정확도와 사기 감지를 보장하며, 모듈형 설계는 설정 비용 없이 필요한 만큼만 지불하도록 합니다. Didit을 통합함으로써 비밀번호 없는 인증과 포괄적인 신원 확인의 장점을 활용하여 진정으로 안전하고 규정을 준수하며 사용자 친화적인 온보딩 경험을 구축할 수 있습니다.

시작할 준비가 되셨습니까?

Didit이 작동하는 것을 볼 준비가 되셨습니까? 오늘 무료 데모를 받으십시오.

Didit의 무료 티어로 무료로 신원 확인을 시작하십시오.