요즘 소비자들이 우려하는 두 가지 ‘P’가 있습니다. 바로 성능(Performance)과 개인정보 보호(Privacy)입니다. 전자는 갈수록 모바일 중심으로 변하는 세상, 즉 메모리, 컴퓨팅 성능, 네트워크 등의 리소스가 제한된 플랫폼 환경에서 비롯됩니다. 후자는 보안 침해에 관한 충격적인 뉴스로 인해 소비자의 주요 관심사로 떠오른 문제이며, 이러한 사고가 발생하면 어김없이 그런 통지서(또는 이메일)를 받게 됩니다. 마치 절교 편지와도 같아서, 받는 순간 속이 몹시 불편해집니다.
소비자는 자신이 이용하는 브랜드가 개인정보 보호와 데이터 보안을 위해 최선을 다하고 있다는 확신을 원합니다. 더 빠른 서비스도 원하지만, 더 안전한 서비스도 원합니다.
애초에 대부분의 소비자는 보안 프로토콜과 암호화 기술을 자세히 알지 못합니다. 심지어 대부분의 IT 종사자조차 둘의 차이를 설명하지 못합니다. 하지만 특정 암호 방식이 안전하지 않다는 사실(또는 암호 방식이 보안 HTTP와 어떤 관련이 있는지), CA 신뢰가 어떻게 작동하는지, 중간자 공격이 실제로 어떤 방식으로 이루어지는지까지 이해할 필요는 없습니다. 소비자가 알아야 할 것은 안전한 거래에 그 누구도 끼어들지 못하고, 자신이 입력하는 모든 글자를 아무도 엿보지 못하도록 여러분이 최선을 다하고 있다는 사실뿐입니다.
PFS, 즉 완전 순방향 비밀성을 소개합니다.
물론 PFS는 암호나 알고리즘이 아니라 키를 관리하는 방식입니다. PFS는 세션마다 단 한 번 생성되는 임시(즉, 일회용) 키를 사용합니다. 앱 보안 측면에서 PFS는 Heartbleed가 공개된 이후 중요성이 커졌습니다. 개인 키를 ‘탈취’해 트랜잭션을 복호화할 가능성이 생겼기 때문입니다.
PFS는 파티에 참석하는 사람마다 일회용 암호를 발급하는 것과 매우 비슷합니다. 모두가 같은 암호를 사용하는 대신, 각자 자신만의 비공개 암호를 받으며, 호스트인 당신만이 그 암호가 진짜인지 확인할 수 있습니다. 따라서 Bob이 자신의 암호를 Alice에게 알려 주더라도, 그녀가 같은 암호를 재사용하고 있으므로 초대받지 않았다는 사실을 알 수 있습니다.
구체적인 방식보다 더 중요한 것은 소비자 데이터의 개인정보 보호를 위해 진지하게 노력하고 있다는 확신을 주는 것입니다. 이 주제에 관해 2016년에 Baymard Institute가 실시한 설문조사를 살펴보겠습니다. 결제 도중 구매를 포기한 이유로 응답자의 18%가 “이 사이트에 신용카드 정보를 맡길 수 없었다”고 답했습니다. 같은 설문조사에서는 사이트에 표시된 다양한 ‘인증 마크’에 대한 신뢰도를 조사했는데, 놀랍게도 2016년에 가장 높은 신뢰감을 준 것은 신뢰 인증 마크였으며, SSL 인증 마크가 아니었습니다. 이러한 인증 마크가 반드시 업계 표준이거나 널리 인정받는 것도 아니었습니다. 상당수는 소비자 데이터와 거래의 안전을 보장하기 위해 기업이 기울이는 노력을 상징적으로 보여주는 것에 불과했습니다.
완전 순방향 비밀성(PFS)은 각 세션에 고유한 키를 사용하는 특성 덕분에 거래를 더욱 안전하게 보호하는 기술적 방식입니다. PFS를 도입하고 기술을 통해 거래의 안전성을 높이기 위한 조치를 취했음을 소비자에게 알리면 더 큰 신뢰를 형성하고, 거래 포기가 수익에 미치는 부정적인 영향을 줄일 수 있습니다.
물론 기업 입장에서는 보안을 강화하면 성능이 저하되는 경우가 많다는 점이 우려됩니다. 세션마다 키를 생성하면 인프라와 애플리케이션에 상당한 부담이 될 수 있기 때문입니다. 그 결과 앱 속도가 느려져 소비자에게 불편을 줄 뿐만 아니라 매출 손실로도 이어지는 경우가 많습니다.
이 문제를 해결하려면 적합한 서비스를 통해 PFS를 구현하는 것이 좋습니다. 서버의 업스트림에 위치하며, 소비자 안전을 보장하는 데 필요한 고부하 암호화 연산을 처리하도록 특별히 설계되어 뛰어난 확장성과 성능을 제공하는 서비스여야 합니다. 이러한 특수 목적의 보안 서비스는 연산 속도를 높이고 성능을 개선하는 전용 하드웨어(맞춤형 및 상용 하드웨어 모두)를 활용하도록 설계되어 소비자에게 더욱 안전하고 빠른 경험을 제공합니다.
PFS는 소비자뿐만 아니라 기업 자산까지 보호할 수 있는 효과적인 방법입니다. 개인 정보를 탈취하는 데 드는 비용을 높여 공격자에게 덜 매력적인 표적이 되게 하는 동시에, 최신 기술을 사용해 소비자의 개인 데이터를 안전하게 보호하고 비공개로 유지할 만큼 그 보안을 중요하게 생각한다는 신뢰를 줄 수 있습니다.
개인정보 보호는 중요하지만 성능도 마찬가지입니다. 안전을 위해 속도를 희생할 필요는 없습니다. 구현 시 신중하게 검토하여 아키텍처상 적절한 위치에 적합한 서비스를 선택한다면, 더 높은 보안 표준을 도입하면서도 성능을 유지할 수 있습니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.