CTAP (Client-to-Authenticator-Protocol)란? 인증기와 기기 통신 표준

CTAP (Client-to-Authenticator-Protocol)란 무엇인가요?#

CTAP(Client-to-Authenticator-Protocol)는 사용자의 기기(노트북이나 브라우저 등)와 인증기(하드웨어 보안 키나 스마트폰 등) 간의 통신을 간소화하고 보안을 유지하기 위해 설계된 표준화된 메커니즘입니다. 이 프로토콜은 특히 FIDO2 및 WebAuthn 표준의 맥락에서 사용자 인증 과정에 포함된 여러 구성 요소가 효과적으로 상호 작용할 수 있도록 하는 다리 역할을 합니다.

주요 내용#

CTAP는 FIDO2에서 클라이언트와 인증기 간의 원활한 통신을 보장하는 기본 프로토콜입니다.
CTAP는 Universal 2nd Factor(U2F) 인증에서 발전하여, 비밀번호 없이 더 안전한 사용자 인증의 길을 열었습니다.
CTAP는 resident 키와 non-resident 키를 모두 지원하여 사용자 식별 및 인증의 유연성을 더욱 향상시킵니다.

CTAP의 발전과 중요성#

한때 온라인 보안의 최고 표준으로 여겨졌던 전통적인 사용자 이름-비밀번호 시스템은 시간이 지나면서 취약점을 드러냈습니다. 사용자들이 기억하기 쉽고(따라서 해독하기도 쉬운) 비밀번호를 선택하거나 여러 플랫폼에서 동일한 비밀번호를 재사용함에 따라, 더 강력하고 안전한 방법이 필수적이 되었습니다. 이러한 시급한 필요성을 인식한 FIDO 얼라이언스는 월드와이드웹 컨소시엄(W3C)과 협력하여 더 강력한 시스템인 FIDO2와 WebAuthn의 개발을 주도했습니다. 그리고 이러한 발전의 중심에는 CTAP가 있습니다. ‍

CTAP의 역할 이해하기#

WebAuthn 보완: WebAuthn이 사용자 시스템과 신원 확인이 필요한 웹사이트 간의 연결에 중점을 두는 반면, CTAP는 인증기(USB 스틱이나 모바일 기기 등)와 사용자의 주 기기 간의 통신을 규제합니다.
보안 강화: CTAP 프로토콜은 지문과 같은 민감한 데이터가 기기를 절대 벗어나지 않도록 보장하여 추가적인 보안 계층을 제공합니다. 이는 데이터 유출 및 피싱 공격과 관련된 위험을 최소화합니다. ‍

CTAP 버전#

CTAP1 (U2F): 현재 CTAP의 전신인 U2F는 주로 2단계 인증을 목표로 했습니다. 사용자 식별을 위해 서버 측 조회가 필요했기 때문에 그 범위가 다소 제한적이었습니다.
CTAP2: 더 발전된 버전인 CTAP2는 resident key라는 개념을 도입하여 비밀번호 없는, 심지어 "사용자 이름 없는" 인증을 촉진합니다. 이러한 변화는 더 사용자 중심적인 인증 경험으로 나아가는 중요한 단계가 되었습니다.
CTAP2.1: CTAP2의 기반 위에 구축된 CTAP2.1은 전체 기기 재설정 없이 개별 키를 업데이트할 수 있는 개선된 resident key 관리와 조직의 통제력을 강화하는 엔터프라이즈 증명(attestation)과 같은 향상된 기능을 도입합니다.

CTAP를 이용한 인증 절차#

CTAP를 통한 통신은 구조화된 패턴을 따릅니다. 먼저, 클라이언트 소프트웨어(브라우저 등)가 인증기에 연결하여 정보를 요청합니다. 수신된 데이터를 기반으로 적절한 명령을 인증기에 보내고, 인증기는 이에 대한 응답이나 오류 메시지를 다시 보냅니다. 이 반복적인 과정은 인증 중 안전성과 효율성을 모두 보장합니다.

CTAP (Client-to-Authenticator-Protocol) 관련 자주 묻는 질문#

FIDO2 프레임워크에서 CTAP는 WebAuthn과 어떻게 다른가요?#

둘 다 FIDO2의 중요한 구성 요소이지만, WebAuthn은 사용자 시스템과 신원 확인이 필요한 웹사이트 간의 연결에 중점을 둡니다. 반면 CTAP는 보안 키나 스마트폰과 같은 인증기와 사용자의 주 기기 간의 연결을 규제합니다.

CTAP가 패스키와 같은 최신 인증 방법에 왜 중요한가요?#

CTAP는 기기와 인증기가 효과적으로 통신하도록 보장하여 패스키와 같은 비밀번호 없는 방법을 효율적으로 만듭니다. 이 통신을 표준화함으로써 CTAP는 다양한 플랫폼과 기기에서 일관성과 보안을 보장합니다.

CTAP에는 다른 버전이 있나요?#

네, 주로 2단계 인증을 목표로 하는 CTAP1이 있습니다. CTAP2는 resident key를 도입하여 비밀번호 없는 인증을 촉진했습니다. 더 최신 버전인 CTAP2.1은 개선된 resident key 관리 및 엔터프라이즈 증명(attestation)과 같은 향상된 기능을 제공합니다.

CTAP는 피싱 공격에 대한 보안을 어떻게 강화하나요?#

CTAP는 지문과 같은 민감한 인증 데이터가 사용자의 기기를 절대 벗어나지 않도록 보장합니다. 사용자가 비밀번호를 제공할 필요가 없으므로, 종종 이러한 자격 증명을 훔치는 피싱 공격이 효과가 없게 됩니다.

Corbado 소개

Corbado는 대규모로 consumer authentication을 운영하는 CIAM 팀을 위한 Passkey Intelligence Platform입니다. IDP 로그와 일반 analytics 도구가 보여주지 못하는 것을 볼 수 있게 해드립니다: 어떤 디바이스, OS 버전, 브라우저, credential manager가 passkey를 지원하는지, 왜 등록이 로그인으로 이어지지 않는지, WebAuthn 플로우가 어디서 실패하는지, OS나 브라우저 업데이트가 언제 조용히 로그인을 망가뜨리는지 — Okta, Auth0, Ping, Cognito 또는 자체 IDP를 교체하지 않고도 전부 파악할 수 있습니다. 두 가지 제품: Corbado Observe는 passkey 및 다른 모든 로그인 방식에 대한 observability를 더합니다. Corbado Connect는 analytics가 내장된 managed passkey를 제공합니다 (기존 IDP와 함께). VicRoads는 Corbado로 500만+ 사용자에게 passkey를 운영하고 있습니다 (passkey 활성화율 +80%). Passkey 전문가와 상담하기 →