홈블로그용어집전자 인증

전자 인증

17TRACK

전자 인증이란 무엇인가요?

전자 인증은 전자적 수단을 통해 사용자, 조직, 장치 또는 디지털 메시지가 주장하는 신원이나 출처와 연결되어 있는지 확인하는 과정입니다. 전자상거래와 물류에서는 누가 판매자 계정에 접근하고 있는지, 배송 지시를 제출하는 주체가 누구인지, 비즈니스 시스템에 연결하는 주체가 누구인지, 또는 전자 거래를 승인하는 주체가 누구인지 확인하는 데 도움이 됩니다. 인증은 신원이나 출처에 관한 증거를 제공하지만, 그 자체로 주문이 정당한지, 상품이 설명과 일치하는지, 배송이 완료되었는지를 입증하지는 않습니다.

전자 인증

이 용어는 정보 보안과 전자상거래 법률에서 서로 관련되지만 구별되는 의미를 가집니다. 디지털 신원 시스템에서 인증은 일반적으로 신청자가 계정과 연결된 인증자를 통제하고 있는지 확인하는 것을 의미합니다. 전자 문서 업무 흐름에서는 기록의 출처나 진정성을 확인하는 보다 광범위한 의미로 사용될 수 있으며, 때로는 전자 서명이나 암호화 방법을 사용합니다. 따라서 정확한 의미는 무엇을 인증하는지와 어떤 기술적 또는 법적 체계가 적용되는지에 따라 달라집니다.

전자상거래와 물류에서의 역할

전자 인증은 사람과 시스템이 지시를 교환하고, 정보에 접근하거나, 작업을 승인하는 지점에서 작동합니다. 인증은 상품 자체의 물리적 이동보다는 주문을 둘러싼 신뢰 관계를 뒷받침합니다. 동일한 거래에서 판매자, 창고 운영자, 운송업체, 통관 중개인 및 고객은 각각 서로 다른 인증 시스템과 상호작용할 수 있습니다.

예를 들어 창고 직원은 재고 애플리케이션에 접근하기 전에 인증할 수 있습니다. 판매자의 소프트웨어는 애플리케이션 프로그래밍 인터페이스 또는 API를 통해 배송 라벨을 요청할 때 인증할 수 있습니다. 사업자 대표는 거래 문서를 승인할 때 전자 서명을 사용할 수 있습니다. 이러한 활동은 모두 전자 인증 업무 흐름의 일부가 될 수 있지만, 각각 서로 다른 증거와 통제 수단을 사용합니다.

비즈니스 맥락인증될 수 있는 대상인증으로 입증되지 않는 사항
판매자 계정 접근계정에 연결된 인증자의 통제권계정을 통해 수행된 모든 작업이 상업적으로 정당하다는 사실
창고 애플리케이션 접근시스템에 연결하는 직원 계정 또는 장치재고 수량이나 피킹 결과가 정확하다는 사실
배송 API 연결승인된 자격 증명을 제시하는 애플리케이션 또는 조직배송 정보가 실제 소포와 일치한다는 사실
전자 무역 문서사용된 방식에 따른 주장된 출처 또는 서명 신원문서의 모든 진술이 사실이라는 점
고객 배송 상호작용업무 흐름에 필요한 계정, 장치 또는 코드의 통제권배송, 소유권 또는 책임을 판단하는 데 필요한 모든 사실

이는 예시적인 적용 사례일 뿐, 보편적으로 적용되는 요구사항의 목록은 아닙니다. 적절한 방법은 무단 접근의 결과, 관련 당사자 및 적용 가능한 계약상 또는 규제상 요구사항에 따라 달라집니다.

전자 인증의 작동 방식

1. 계정 또는 신뢰 관계 설정

인증 이벤트가 의미를 가지려면 시스템이 신청자를 식별할 수 있는 근거가 필요합니다. 여기에는 계정 생성, 신원 증거 확인, 조직 등록 또는 소프트웨어 애플리케이션에 자격 증명 발급 등이 포함될 수 있습니다. 신원 확인과 인증은 별개의 활동입니다. 신원 확인은 신청자가 누구인지 평가하는 반면, 인증은 이후 해당 신원이나 계정과 연결된 인증자의 통제권을 확인합니다.

모든 상업용 계정이 검증된 법적 신원과 연결되는 것은 아닙니다. 시스템은 동일한 계정 보유자가 다시 접속했다는 사실만 확인할 수도 있습니다. 기업이 단순히 계정 접근의 연속성이 아니라 개인의 신원이나 회사를 대표할 권한에 관한 증거를 필요로 할 때 이 차이가 중요합니다.

2. 인증자 연결

인증자는 계정 또는 신원과 연결됩니다. 예로는 비밀번호, 암호화 키 또는 인증 응답을 생성하는 데 사용되는 장치가 있습니다. 공격자가 다른 사람의 계정에 자신의 인증자를 등록할 수 있다면 강력한 인증 메커니즘도 보호 효과가 제한되므로, 등록 및 연결 과정이 중요합니다.

3. 증거 제시 및 확인

접근 또는 승인이 요청되면 신청자는 선택된 인증 프로토콜을 통해 증거를 제공합니다. 검증자는 해당 증거를 확인합니다. 방법에 따라 비밀번호에서 파생된 값을 확인하거나, 일회성 응답을 검증하거나, 챌린지에 대한 암호화 서명을 검증할 수 있습니다. 잘 설계된 챌린지-응답 프로토콜은 비밀 키 자체를 전송하지 않고도 해당 키를 통제하고 있음을 입증할 수 있습니다.

4. 권한 부여 규칙 적용

인증이 성공하면 권한에 대한 별도의 결정이 이어집니다. 창고 직원은 피킹 작업을 조회할 수 있지만 지급 정보를 변경할 수는 없도록 허용될 수 있습니다. 배송 연동 시스템은 라벨을 생성할 수 있지만 사용자를 관리할 수는 없도록 설정될 수 있습니다. 인증은 관련 계정 또는 주체를 식별하고, 권한 부여는 해당 주체가 수행할 수 있는 작업을 결정합니다.

5. 세션 및 변경 사항 관리

인증 후 시스템은 모든 작업마다 새로 로그인하도록 요구하는 대신 세션을 유지할 수 있습니다. 세션 보호, 자격 증명 폐기, 계정 복구 및 인증자 교체는 전체 과정에서 여전히 중요한 요소입니다. 환불 목적지 변경과 같은 민감한 작업은 세션이 이미 활성화되어 있더라도 재인증을 요구할 수 있습니다.

인증 요소와 메커니즘

사람 사용자의 경우 인증 요소는 일반적으로 본인이 알고 있는 것, 소유한 것 또는 본인 자체로 설명됩니다. 이러한 범주는 사용되는 증거를 설명할 뿐, 완전한 구현의 보안 수준을 자동으로 결정하지는 않습니다. 시스템 간 연결에는 공유 비밀, 암호화 키 및 인증서와 같은 메커니즘이 사용되지만, 이를 사람의 로그인 업무 흐름과 동일하게 취급해서는 안 됩니다.

요소 또는 메커니즘예시중요한 한계
지식 요소비밀번호 또는 PIN비밀 정보는 추측되거나 공개되거나 피싱을 통해 탈취될 수 있습니다.
소유 요소보안 키 또는 등록된 인증자 장치보호 수준은 프로토콜, 장치 보안 및 복구 절차에 따라 달라집니다.
생체 특성인증자를 활성화하는 데 사용되는 지문 또는 얼굴 인식생체 정보 대조는 확률적이며 적절한 보호 조치가 필요합니다.
기계 자격 증명API 비밀 키, 개인 키 또는 클라이언트 인증서탈취된 자격 증명을 사용하면 다른 시스템이 승인된 애플리케이션을 사칭할 수 있습니다.

다중 요소 인증은 서로 다른 인증 요소를 결합합니다. 두 개의 비밀번호는 서로 다른 두 요소를 구성하지 않습니다. 마찬가지로 여러 화면으로 구성된 업무 흐름도 반드시 다중 요소 인증인 것은 아닙니다. 중요한 것은 사용자가 몇 단계의 화면을 보는지가 아니라, 프로세스가 독립적인 형태의 증거를 요구하는지 여부입니다.

피싱 저항성은 또 다른 별개의 특성입니다. 여러 요소를 사용하는 방식이라도 공격자가 인증 증거를 중계하거나 탈취할 수 있습니다. NIST의 디지털 신원 지침은 모든 다중 요소 방식을 서로 대체 가능한 것으로 취급하지 않고, 특성과 보증 요구사항에 따라 인증 방법을 구분합니다.

관련 용어와 중요한 구분

용어의미전자 인증과의 관계
식별계정 이름과 같은 식별자 제시어떤 신원을 주장하는지 밝히지만, 그 주장을 증명하지는 않습니다.
신원 확인신청자의 신원을 확립하기 위한 증거 평가이후 인증자가 연결될 신원을 확립할 수 있습니다.
권한 부여허용된 작업과 접근 결정인증된 신원 또는 기타 정책 입력을 사용하여 접근 결정을 내립니다.
전자 서명기록에 서명하는 것과 관련하여 사용되는 전자 데이터서명자를 식별하고 승인을 나타낼 수 있지만, 법적 정의와 요구사항은 다양합니다.
디지털 서명개인 키와 이에 대응하는 공개 키를 사용하는 암호화 메커니즘출처 인증과 서명된 데이터의 변경 탐지를 지원할 수 있습니다.
암호화기밀성을 보호하기 위해 정보를 변환하는 것그 자체로 통신 당사자의 신원을 확립하지는 않습니다.
제품 인증물리적 품목이 정품인지 확인하는 것계정 접근이나 메시지 출처가 아니라 상품 자체와 관련됩니다.

전자 서명과 전자 인증 이벤트는 함께 발생할 수 있지만, 목적은 서로 다릅니다. 서명은 특정 문서나 거래에 대한 승인을 표시할 수 있습니다. 계정에 로그인하는 것은 해당 계정의 인증 규칙에 따른 접근을 확립합니다. 로그인만으로 사용자가 특정 문서를 승인했다는 사실이 반드시 입증되는 것은 아닙니다.

디지털 서명 역시 신뢰 체계 안에서 해석해야 합니다. 암호화 검증에 성공하면 서명이 특정 키 및 서명된 데이터와 일치한다는 사실을 보여줍니다. 해당 키를 특정 개인, 조직 또는 기관과 연결하려면 신뢰할 수 있는 인증서와 적절한 등록 절차 등 추가 증거가 필요합니다.

국경 간 문서와 법적 중요성

국경 간 상거래에서 전자 인증은 구매 승인, 배송 지시, 통관 제출 및 기타 전자 기록을 지원할 수 있습니다. 그러나 기술적 검증과 법적 인정은 별개의 문제입니다. 문서가 기술적 서명 확인을 통과하더라도 해당 거래에 적용되는 모든 요건을 충족하지 못할 수 있습니다.

UNCITRAL 전자상거래 모델법은 전자 기록과 종이 기반 요건의 기능적 동등성을 다룹니다. UNCITRAL 전자서명 모델법은 전자 서명과 그 신뢰성에 관한 체계를 제공합니다. 이는 입법 개발을 지원하기 위한 모델법이며, 모든 국제 거래에 자동으로 구속되는 규칙은 아닙니다.

특정 무역 문서와 관련해서는 수령 기관이 전자 형식을 인정하는지, 서명자에게 행위 권한이 있는지, 어떤 서명 요건이 적용되는지, 기록을 요구되는 방식으로 보관하고 재현할 수 있는지 등을 확인해야 합니다. 인증은 세관 심사를 대체하거나 관세 분류를 확정하거나 송장의 정확성을 인증하지 않습니다.

실무적 평가와 증거의 범위

인증 업무 흐름을 평가하려면 비밀번호나 인증 코드가 존재하는지만 확인하는 것 이상이 필요합니다. 다음 질문은 해당 프로세스가 실제로 어떤 증거를 제공하는지 정의하는 데 도움이 됩니다.

  • 누가 또는 무엇이 인증되고 있는가? 사람, 계정, 조직, 애플리케이션, 장치 및 문서 출처를 구분해야 합니다.
  • 주장된 신원은 어떻게 확립되었는가? 이메일로 등록된 계정과 신원 확인을 거친 사업자 대표는 서로 다른 증거를 제공합니다.
  • 어떤 작업이 적용 대상인가? 추적 페이지에 대한 접근을 배송 주소나 결제 목적지를 변경할 승인과 혼동해서는 안 됩니다.
  • 메커니즘은 무엇을 방어하는가? 로그인 단계 수에만 의존하지 말고 피싱, 재생 공격, 자격 증명 탈취 및 무단 등록을 고려해야 합니다.
  • 자격 증명은 어떻게 복구하거나 교체하는가? 취약한 복구 경로는 일상적인 인증을 더 강력하게 설정했더라도 그 효과를 약화할 수 있습니다.
  • 접근을 취소할 수 있는가? 퇴사한 직원과 중단된 연동 시스템이 불필요한 접근 권한을 유지해서는 안 됩니다.
  • 어떤 증거가 보존되는가? 기록은 인증, 권한 부여, 문서 승인 및 이후의 비즈니스 작업을 구분해야 합니다.

인증 로그는 조사에 도움이 될 수 있지만, 특정 작업을 특정 사람이 수행했다는 사실을 자동으로 입증하지는 않습니다. 공유 계정, 침해된 장치, 탈취된 세션 및 위임된 접근은 귀속을 복잡하게 만들 수 있습니다. 마찬가지로 고객이 배송 코드를 입력하는 것은 해당 배송 업무 흐름에서 정의된 증거를 제공할 뿐, 수령인의 법적 신원이나 상품 상태에 대한 무제한적인 보증을 제공하지는 않습니다.

Q&A

전자상거래에서 전자 인증은 무엇을 의미하나요?

주장된 신원이나 출처와 관련된 전자 증거를 확인하는 것을 의미합니다. 예를 들어 판매자 로그인을 확인하거나 애플리케이션의 자격 증명을 검증하는 것이 이에 해당합니다. 전자 인증은 통제된 접근을 지원하지만, 기초가 되는 구매나 배송을 독립적으로 검증하지는 않습니다.

전자 인증은 전자 서명과 같은 것인가요?

아닙니다. 인증은 주장된 신원이나 출처를 확인합니다. 전자 서명은 기록에 서명하는 것과 관련되며 승인을 나타낼 수 있습니다. 하나의 거래에서 두 가지를 모두 사용할 수 있지만, 하나가 자동으로 다른 하나를 입증하지는 않습니다.

인증은 배송이 완료되었다는 사실을 입증하나요?

아닙니다. 배송 상호작용에 관련된 계정, 장치 또는 사람에 관한 증거를 제공할 수는 있습니다. 배송 자체를 입증하려면 해당 배송과 적용되는 배송 절차에 관련된 증거가 필요합니다.

전자 인증을 사용하면 무역 문서가 모든 곳에서 법적으로 유효해지나요?

아닙니다. 법적 인정 여부는 적용 법률, 문서 요건, 수령 기관 및 거래 상황에 따라 달라집니다. 기술적 인증만으로는 이러한 문제를 해결할 수 없습니다.

출처