동기화 패스키와 기기 종속 패스키: 분실 뒤의 복구 경로를 비교하기
백업 상태와 별도 인증 수단, 제공자 계정 복구의 의존 관계를 나누어 패스키 선택을 계획하는 방법.
발행·오류 제보: infostoa · 편집 기준
이 글의 개별 작성자와 전문 검토자 정보는 제공되지 않습니다.
동기화 패스키와 기기에 묶인 패스키는 복구할 때 의존하는 경로가 다를 수 있다. 자격 증명이 어디에 존재할 수 있는지, 기기를 잃은 뒤 무엇이 남는지, 계정으로 돌아가는 경로를 누가 관리하는지 질문하며 선택하자. 이름만으로 이 세 가지를 모두 알 수는 없다.
개념을 설명하는 삽화이며 실제 제품 화면이나 실험 결과가 아니다.
자격 증명과 기기를 구분하기
FIDO는 동기화 패스키와 한 기기에 묶인 자격 증명을 구분한다. FIDO
이는 휴대전화나 물리적 키를 들고 있는지보다 자격 증명 자체에 관한 질문이다. W3C는 백업 가능 여부와 현재 백업 상태를 구분한다. 백업이 허용된다고 지금 백업이 있다는 뜻은 아니다. 인증자가 클라이언트에 연결되는 방식도 별도의 분류다. W3C WebAuthn
가상의 계정 목록을 만든다면 서비스 이름과 자격 증명 위치, 실제로 확인한 사항을 각각 적자. ‘노트북에 있다’는 관찰은 출발점으로 유용하지만, 다른 곳에서도 사용할 수 있는지까지 설명하지는 않는다. 제공자의 안내나 지원되는 확인 방법으로 알아보기 전에는 백업 칸을 ‘모름’으로 남겨 두자.
제공자 계정의 복구 경로 살피기
FIDO 전문가의 2022년 3월 보고서는 동기화 자격 증명의 가용성과 보안이 제공자 계정, 기존 기기를 모두 잃었을 때 접근을 되찾는 절차에 의존한다고 설명한다. 이는 구조 분석이며 현재 제품의 복구 성공을 약속하는 자료는 아니다. FIDO 보고서
유일한 휴대전화를 잃고 노트북만 남은 가상의 이사를 생각해 보자. 노트북에 이미 쓸 수 있는 자격 증명이 있는지와 제공자 계정에 다시 접근할 수 있는지를 따로 물어야 한다. 두 질문의 답은 다를 수 있다. 설정 화면에 이름이 있다는 이유만으로 확인하지 않은 복구 수단을 작동하는 백업으로 부르지 말자.
이 연습에서는 공식 절차를 찾을 수 있는 위치와 이해한 전제 조건, 아직 확인하지 않은 부분을 적자. 다른 기기에 이미 로그인해 있어야 한다는 가정이 있는지도 기록하자. 이렇게 하면 제품 이름을 나열하는 대신 무엇에 의존하는지 관계를 그릴 수 있다.
다른 로그인과 계정 복구를 나누기
NIST의 정부 지침은 별도의 인증 수단 두 가지를 권장한다. 기존 수단이 작동할 때 새 인증자를 연결하는 것과 통제권을 잃은 뒤 계정을 복구하는 것을 구분한다. 복구에는 코드, 연락 대상, 신원 재확인이 쓰일 수 있고 시간이 걸릴 수도 있다. NIST 이벤트 관리
가상의 목록에서는 이미 등록한 예비 인증자를 ‘고객지원에 연락하기’와 다른 행에 적자. 서비스에 등록된 예비 수단과 나중에 등록할 수 있기를 바라는 계획은 다르다. 같은 제공자를 통해 쓸 수 있는 복제본도 독립적인 수단이라고 단정하기보다, 공통으로 의존하는 조건이 무엇인지 질문하게 해야 한다.
서비스 자체의 복구 절차가 무엇을 요구하는지 확인하자. 서로 관련 없는 제공자의 안내를 조합해 임의의 복구 순서를 만들지 말자. 이 목록은 결정할 일을 드러내기 위한 것이지 모든 서비스가 같은 대안을 허용한다고 주장하기 위한 것은 아니다.
보증 수준의 맥락을 유지하기
NIST의 정부 체계에서 동기화는 요건 충족 시 AAL2를 지원할 수 있지만 AAL3의 비반출 요건과 양립하지 않는다. 이는 인증자 보증 수준이지 소비자 제품 점수가 아니다. 기기에 묶였다는 사실만으로 적합성이 증명되지 않는다. NIST 보증 수준 지침
피싱 저항성은 가짜 인증 서버를 다루는 인증 프로토콜의 특성이며 계정 전체의 면역을 뜻하지 않는다. NIST 인증 지침
직장 계정에서는 정책이 어떤 자격 증명을 허용하고 누가 복구를 담당하는지 묻자. 개인 계정에서는 어떤 경로를 계속 관리할 수 있는지 묻자. 정책의 답과 편의에 대한 선호는 다른 필요를 다루며, 실제 서비스를 확인하는 일을 대신하지 않는다.
분실 계획을 행동으로 바꾸기
Google의 구현 설명에는 출처와 서비스 식별자인 RP ID, 챌린지, 서명을 서버에서 검증하는 작업이 포함된다. 브라우저의 성공 응답만으로 검증이 끝나지는 않는다. Google 구현 안내
가상의 이사 계획은 공식 안내를 어디에 남길지, 등록된 대안을 무엇부터 확인할지, 분실을 어디에 신고할지까지 적어 마무리하자. 분실을 흉내 내려고 유일하게 작동하는 수단을 삭제하지 말자. 모르는 부분과 다시 확인할 시점도 남겨야 한다. 이는 계획 사례이지 운영 보안 점검표나 복구 보장은 아니다.