백악관의 Login.gov 의무화에 아이덴티티 브로커 전략이 필요한 이유

Steve Wallace연방 부문 필드 CTO | F5

백악관 관리예산실(OMB)은 최근 미국 연방정부 지도부에 중요한 지침을 전달하여 모든 대국민 연방정부 웹사이트에서 Login.gov를 기본 인증 옵션으로 지정했습니다.

이 정책 지침은 엄격한 이행 기한을 제시하며, 각 기관에 60일 이내에 인증이 필요한 포털의 목록을 작성하고, 240일 이내에 종합적인 디지털 신원 위험 평가를 실시하며, 2년 이내에 전면적인 운영 도입을 완료하도록 지시합니다.

OMB의 지침은 디지털 신원 통합을 기관의 먼 미래 목표에서 구체적인 규정 준수 의무로 전환함으로써, 책임자들이 대국민 접점을 보호하는 동시에 레거시 아키텍처를 현대화하도록 요구합니다.

운영상의 난관

이 지침은 기관들이 시민 인증을 위한 기본 ID 공급자(IdP)로 Login.gov 사용을 장려하는 동시에, 특정 임무 요건에 대해서는 승인된 상용 자격 증명 서비스 공급자(CSP)를 계속 지원하도록 요구합니다.

기관의 CIO, CISO 및 엔터프라이즈 아키텍트에게 이는 엄격한 기한을 준수하는 동시에 복잡한 인프라 전반에 최신 OpenID Connect(OIDC) 및 SAML ID 공급자를 통합해야 하는 이중 과제를 안겨줍니다.

대부분의 연방 디지털 인프라는 OIDC와 직접 통합되도록 설계되지 않았습니다. 수천 개의 미션 크리티컬 애플리케이션은 대규모 코드 리팩터링 없이는 최신 IdP의 어설션을 자체적으로 해석할 수 없는 레거시 인증 메커니즘(예: Kerberos, HTTP 헤더 삽입, 독점 세션 토큰)에 의존합니다.

동시에 시민 트래픽을 공용 인증 워크플로에 집중시키면 인증 핸드셰이크가 시작되기도 전에 기관의 등록 엔드포인트를 노리는 크리덴셜 스터핑, 계정 탈취, 합성 신원 사기와 같은 AI 기반 및 자동화 공격의 주요 표적이 될 수 있습니다.

규정 준수 로드맵

OMB 지침은 향후 2년에 걸쳐 달성해야 할 네 가지 핵심 이행 단계를 제시합니다:

• 60일 이내(웹사이트 및 API 파악): 각 기관은 사용자 인증이 필요한 모든 대외 공개 웹사이트, 웹 애플리케이션 및 API의 검증된 목록을 OMB에 제출해야 합니다.
• 240일 이내(디지털 신원 위험 평가): 기관은 모든 대국민 접점에서 인증 복원력, 신원 확인 절차 및 사기 취약성을 평가해야 합니다.
• 1년 이내(다중 제공업체 병행 운영): 기관은 미국 연방총무청의 Login.gov 모범 사례를 도입하고, Login.gov를 기본 옵션으로 설정하며, 특수 사용자 집단을 위해 승인된 상용 CSP(예: ID.me 또는 CLEAR)와의 병행 운영을 유지해야 합니다.
• 2년 이내(전면 운영 배포): 기관은 적용 대상인 모든 대국민 연방 시스템에 Login.gov가 전면 배포되도록 해야 합니다.

F5와 함께 이러한 전환에 대응하기

F5는 ID 브로커리지 및 엣지 보안 아키텍처를 F5 Application Delivery and Security Platform (ADSP)에 직접 통합하여 규정 준수를 간소화합니다. 기관이 애플리케이션 아키텍처를 수동으로 재설계하도록 요구하는 대신, F5는 데이터 경로에서 직접 중앙 집중식 정책 시행 지점이자 프로토콜 브리지 역할을 수행하여 기관이 다음을 달성할 수 있도록 지원합니다:

1. 자동 검색 및 공격 표면 매핑(60일 이정표): F5 API security 및 F5 Distributed Cloud Web App Scanning 은 하이브리드 및 멀티클라우드 환경 전반에서 외부에 공개된 웹 애플리케이션, 엔드포인트 및 섀도 API를 자동으로 검색하고 목록화할 수 있습니다. 여기에 F5 Insight for ADSP의 텔레메트리를 결합하면 기관은 기본 코드를 수정하지 않고도 인증이 필요한 공격 표면에 대한 포괄적이고 감사 가능한 인벤토리를 생성할 수 있습니다.
2. 사전 인증 사기 및 봇 관리(240일 이정표): F5 Distributed Cloud Bot Defense는 애플리케이션 엣지에서 행동 기반 AI 텔레메트리를 적용하여 트래픽이 Login.gov 또는 기관 서버에 도달하기 전에 자동화된 크리덴셜 스터핑, 무차별 대입 공격 및 허위 등록 시도를 차단합니다. F5 WAAP는 트래픽을 지속적으로 모니터링하고 API 인증 흐름을 검사하여 기관의 위험 평가에 활용할 수 있는 정량화 가능한 텔레메트리를 제공합니다.
3. ID 브로커링 및 다중 IdP 페더레이션(1년 이정표): F5 BIG-IP Zero Trust Access는 지능형 ID 페더레이션 게이트웨이 역할을 합니다. 이 솔루션은 기본적으로 신규 사용자를 Login.gov로 안내하는 한편, 특정한 높은 보증 수준의 워크플로나 레거시 워크플로는 승인된 상용 CSP로 라우팅하여 서로 다른 업스트림 공급자 전반에 통합된 권한 부여 정책을 적용합니다.
4. 재설계 없는 레거시 프로토콜 브리징(2년 이정표): BIG-IP Zero Trust Access는 인그레스 프록시에서 Login.gov OIDC 및 SAML 어설션을 종단하고, 이를 레거시 백엔드에 필요한 Kerberos(KCD), HTTP 헤더 또는 RADIUS 세션으로 변환합니다. 높은 수준의 보증이 필요한 국방 및 정보 기관을 위해 F5 VELOS 및 F5 rSeries 섀시는 주권형 및 에어갭 배포 환경에 필요한 FIPS 140-2/3 및 DoDIN APL 인증 성능을 제공합니다.

일정에 적합한 도구

OMB 지침은 한 가지를 분명히 합니다. 디지털 ID 통합은 즉시 추진해야 할 운영상의 최우선 과제입니다. 인증 엔드포인트를 목록화하고, 엣지 봇 보호를 자동화하며, ID 인식형 프로토콜 브리징을 구현하는 등 조기에 대비하는 기관은 규정 준수 기한이 도래하기 훨씬 전부터 이러한 전환을 원활하게 진행할 수 있습니다.

이러한 솔루션을 비롯한 다양한 F5 공공 부문 솔루션이 연방 기관의 변화하는 규정 준수 요건 충족과 인프라 현대화 가속화를 어떻게 지원하는지 알아보세요.

작성자 소개

Steve Wallace연방 부문 필드 CTO | F5

Steve Wallace의 다른 블로그 게시물