2016.08.19

암호 재사용부터 결제 보호까지··· 최신 보안 핀테크 사례 3가지

Bruce Harpham | CIO
신생 핀테크 업체들은 오늘날 보안 과제 중 가장 중요한 문제에 도전하고 있다. 최근 주목 받고 있는 신생 핀테크 업체 세 곳이 보안을 기반으로 어떻게 경쟁하고 있는지 살펴보자.


Image Credit: Getty Images Bank

KYC(Know Your Client)
개인의 신원을 밝히는 것이 금융 산업 보안의 핵심이다. 주요 금융 기관에게 계좌를 개설하려면 직접 방문해야 하고 정부가 발행한 신원 서류에 서명하고 나서 수 시간 또는 수 일을 기다려야 한다. 하지만 오늘날 고객은 계좌 개설을 포함해 더 빠른 서비스를 요구한다.

2010년에 설립된 트룰리우(Trulioo)는 신원을 확인하는 새로운 접근방식을 개발해, 이베이, 킥스타터, 스퀘어, 페이팔 등을 고객으로 확보했다. 일반적으로 금융 기관은 몇몇 신원 서류에 의존하지만, 트룰리우는 재산 파일, 유틸리티 데이터, 신용 이력, 경계 사항 목록, 건강보험 등록번호, 직접 마케팅 데이터 등 더 광범위한 데이터 소스를 활용해 신원을 확인한다. 이를 통해 수 초 안에 '검증' 또는 '미검증' 등급을 결정한다.

트룰리우의 CEO 존 존스는 "우리가 확인하는 핵심 정보는 이름, 주소, ID 번호, 생년월일 등 KYC(Know Your Client) 컴플라이언스에 핵심이 되는 속성이지만 휴대폰과 이메일까지 확장할 수 있다. 각 기업 고객의 상황에 맞춰 데이터 소스를 조정한다"고 말했다. 이어 "고객 신원에 대한 높은 수준의 신뢰성 확보가 점점 더 중요해지고 있다. 우리의 다음 목표는 전통적이지 않은 데이터 세트를 더 많이 활용해 고객 결제 기록 등의 신원을 파악하는 것이다"라고 덧붙였다.

긍정적인 의미의 비밀번호 재사용
보안 인증은 언제나 사용자에게 부담스러운 것이다. 그래서 캐나다의 인증 서비스 업체인 시큐어키 테크놀로지(SecureKey Technologies)는 이를 스펙트럼으로 분할하는 방법을 고안했다. 시큐어키의 CIO 안드레 보이센은 "사용자는 매일 또는 매주 사용하는 온라인 뱅킹용 빠른 비밀번호와, 1년에 한 번씩 사용하는 온라인 세금 서비스용 '느린' 비밀번호가 있다"고 말했다. 예를 들어 캐나다 국세청 웹 사이트에는 수백만 명이 접속하지만 대부분은 소득세 납무 기간에 환급금을 확인할 때만 사이트에 접근한다.

이럴 때 시큐어키의 솔루션을 이용하면 사용자는 자신의 은행 사용자 ID로 국세청 웹 사이트에 로그인할 수 있다. 보이센은 "다른 온라인 서비스나 계정과 달리 은행 계좌 ID는 신원 서류 등을 통해 까다롭게 확인된 정보이다. 따라서 이 ID를 통해 온라인 정부 서비스 등을 충분히 이용할 수 있다"고 말했다.

시큐어키는 이런 서비스를 제공하기 정기적으로 정부의 감사를 받고 있다. 시큐어키의 CTO 드미트리 바리노프는 "우리는 1년에 두 번씩 캐나다 정부의 감사를 받아 지속적으로 정부의 승인을 받고 있다. 또한 SAML(Security Assertion Markup Language)과 OIDC(OpenID Connect) 등의 프로토콜을 제품에 적용해 보안을 강화하고 있다”고 말했다.


결제 보호
국경을 넘어 제공되는 결제 서비스는 비용과 시간이 많이 든다. 은행 대부분이 즉시 결제를 위한 인프라를 갖추지 않았기 때문이다. 2012년에 설립된 리플(Ripple)이 주목하는 부분도 바로 여기다. 업체는 즉각적이며 확실하고 저렴한 국제 결제를 제공할 방법을 찾고 있다. 현재 리플의 고객사는 독일의 FB AG(Fidor Bank AG)과 결제 서비스 업체인 어스포트(Earthport) 등이 있다.

리플의 수석 암호화 전문가 데이비드 슈바르츠는 "오늘날 결제 시스템에 대한 공격은 시스템 침투와 위조 결제에 집중돼 있다. 우리는 각 결제에 대해 암호화된 근거를 제공한다. 이를 통해 사용자는 결제 상태를 추적할 수 있고 외부 공격자가 악용하기가 훨씬 어렵게 된다"고 말했다.

리플의 기업 커뮤니케이션 디렉터 데이비드 패터슨에 따르면, 리플은 결제 과정에서 최대 3개의 공개키를 사용한다. 우선, 계좌의 소유권을 입증하는 마스터 공개키가 있고, 둘째, 정상 거래를 승인하는일반 공개키, 마지막으로 해당 계좌만 읽을 수 있는 메시지를 거래에 첨부하는 데 사용하는 메시지 키이다. 패터슨은 "일반적인 거래는 정상 키 또는 마스터 키로 승인해야 한다. 디지털 서명은 ECDSA SECp256K1 또는 Ed25519와 슈노르 서명을 사용할 수 있다"고 말했다.

현재 리플은 정보 수집 과정을 개선해 보안 관리 부담을 줄이는 방법을 찾고 있다. 패터슨은 "서드파티 감사를 통해 우리가 기록하는 정보의 양을 줄이라는 권고를 받았다. 데이터가 너무 많으면 보존할 수 있는 이력의 양이 줄어들어 데이터 분석 성능이 떨어질 수 있으므로 대안을 찾고 있다"라고 말했다. editor@itworld.co.kr



2016.08.19

암호 재사용부터 결제 보호까지··· 최신 보안 핀테크 사례 3가지

Bruce Harpham | CIO
신생 핀테크 업체들은 오늘날 보안 과제 중 가장 중요한 문제에 도전하고 있다. 최근 주목 받고 있는 신생 핀테크 업체 세 곳이 보안을 기반으로 어떻게 경쟁하고 있는지 살펴보자.


Image Credit: Getty Images Bank

KYC(Know Your Client)
개인의 신원을 밝히는 것이 금융 산업 보안의 핵심이다. 주요 금융 기관에게 계좌를 개설하려면 직접 방문해야 하고 정부가 발행한 신원 서류에 서명하고 나서 수 시간 또는 수 일을 기다려야 한다. 하지만 오늘날 고객은 계좌 개설을 포함해 더 빠른 서비스를 요구한다.

2010년에 설립된 트룰리우(Trulioo)는 신원을 확인하는 새로운 접근방식을 개발해, 이베이, 킥스타터, 스퀘어, 페이팔 등을 고객으로 확보했다. 일반적으로 금융 기관은 몇몇 신원 서류에 의존하지만, 트룰리우는 재산 파일, 유틸리티 데이터, 신용 이력, 경계 사항 목록, 건강보험 등록번호, 직접 마케팅 데이터 등 더 광범위한 데이터 소스를 활용해 신원을 확인한다. 이를 통해 수 초 안에 '검증' 또는 '미검증' 등급을 결정한다.

트룰리우의 CEO 존 존스는 "우리가 확인하는 핵심 정보는 이름, 주소, ID 번호, 생년월일 등 KYC(Know Your Client) 컴플라이언스에 핵심이 되는 속성이지만 휴대폰과 이메일까지 확장할 수 있다. 각 기업 고객의 상황에 맞춰 데이터 소스를 조정한다"고 말했다. 이어 "고객 신원에 대한 높은 수준의 신뢰성 확보가 점점 더 중요해지고 있다. 우리의 다음 목표는 전통적이지 않은 데이터 세트를 더 많이 활용해 고객 결제 기록 등의 신원을 파악하는 것이다"라고 덧붙였다.

긍정적인 의미의 비밀번호 재사용
보안 인증은 언제나 사용자에게 부담스러운 것이다. 그래서 캐나다의 인증 서비스 업체인 시큐어키 테크놀로지(SecureKey Technologies)는 이를 스펙트럼으로 분할하는 방법을 고안했다. 시큐어키의 CIO 안드레 보이센은 "사용자는 매일 또는 매주 사용하는 온라인 뱅킹용 빠른 비밀번호와, 1년에 한 번씩 사용하는 온라인 세금 서비스용 '느린' 비밀번호가 있다"고 말했다. 예를 들어 캐나다 국세청 웹 사이트에는 수백만 명이 접속하지만 대부분은 소득세 납무 기간에 환급금을 확인할 때만 사이트에 접근한다.

이럴 때 시큐어키의 솔루션을 이용하면 사용자는 자신의 은행 사용자 ID로 국세청 웹 사이트에 로그인할 수 있다. 보이센은 "다른 온라인 서비스나 계정과 달리 은행 계좌 ID는 신원 서류 등을 통해 까다롭게 확인된 정보이다. 따라서 이 ID를 통해 온라인 정부 서비스 등을 충분히 이용할 수 있다"고 말했다.

시큐어키는 이런 서비스를 제공하기 정기적으로 정부의 감사를 받고 있다. 시큐어키의 CTO 드미트리 바리노프는 "우리는 1년에 두 번씩 캐나다 정부의 감사를 받아 지속적으로 정부의 승인을 받고 있다. 또한 SAML(Security Assertion Markup Language)과 OIDC(OpenID Connect) 등의 프로토콜을 제품에 적용해 보안을 강화하고 있다”고 말했다.


결제 보호
국경을 넘어 제공되는 결제 서비스는 비용과 시간이 많이 든다. 은행 대부분이 즉시 결제를 위한 인프라를 갖추지 않았기 때문이다. 2012년에 설립된 리플(Ripple)이 주목하는 부분도 바로 여기다. 업체는 즉각적이며 확실하고 저렴한 국제 결제를 제공할 방법을 찾고 있다. 현재 리플의 고객사는 독일의 FB AG(Fidor Bank AG)과 결제 서비스 업체인 어스포트(Earthport) 등이 있다.

리플의 수석 암호화 전문가 데이비드 슈바르츠는 "오늘날 결제 시스템에 대한 공격은 시스템 침투와 위조 결제에 집중돼 있다. 우리는 각 결제에 대해 암호화된 근거를 제공한다. 이를 통해 사용자는 결제 상태를 추적할 수 있고 외부 공격자가 악용하기가 훨씬 어렵게 된다"고 말했다.

리플의 기업 커뮤니케이션 디렉터 데이비드 패터슨에 따르면, 리플은 결제 과정에서 최대 3개의 공개키를 사용한다. 우선, 계좌의 소유권을 입증하는 마스터 공개키가 있고, 둘째, 정상 거래를 승인하는일반 공개키, 마지막으로 해당 계좌만 읽을 수 있는 메시지를 거래에 첨부하는 데 사용하는 메시지 키이다. 패터슨은 "일반적인 거래는 정상 키 또는 마스터 키로 승인해야 한다. 디지털 서명은 ECDSA SECp256K1 또는 Ed25519와 슈노르 서명을 사용할 수 있다"고 말했다.

현재 리플은 정보 수집 과정을 개선해 보안 관리 부담을 줄이는 방법을 찾고 있다. 패터슨은 "서드파티 감사를 통해 우리가 기록하는 정보의 양을 줄이라는 권고를 받았다. 데이터가 너무 많으면 보존할 수 있는 이력의 양이 줄어들어 데이터 분석 성능이 떨어질 수 있으므로 대안을 찾고 있다"라고 말했다. editor@itworld.co.kr

X