[Success Story] 레이어드 시큐리티, '쉽고 간편하게 구현'

- 미국 코너스톤 커뮤니티 뱅크 AOS 구축 사례

- AOS 시큐어 브라우저/안티키로거 도입, 컴플라이언스 완벽 대비•고객 편의성 극대화

 

현재 미국 금융 업계의 화두는 단연 ‘레이어드 시큐리티(Layered Security)’이다. 미국 연방금융기관 평가 위원회가 강조한 레이어드 시큐리티의 핵심은, 인터넷 뱅킹 시 하나의 인증 수단에 의존해서는 안 되고 계층화된 보안 시스템을 구현해야 한다는 것이다. 특히 엔드포인트단인 인터넷 뱅킹 이용자들의 보안까지 금융기관이 책임져야 할 몫으로 규정하고 있다. 이에 북미 지역 금융기관들의 보안 대책 마련이 시급해졌다.   미국 테네시주에 위치한 코너스톤 커뮤니티 뱅크(Cornerstone Community Bank, www.cscbank.com, 이하 코너스톤 뱅크)는 2011년 12월, 안랩의 ‘AOS 시큐어 브라우저/안티키로거’를 도입, 이 같은 문제에서 벗어났다. 컴플라이언스 이슈를 대비함은 물론, 사용자 편의성까지 챙긴 코너스톤 뱅크의 발 빠른 대처법을 들여다보자.

 

모든 인증 수단은 본질적으로 보안 위협에 노출될 가능성이 있다. 따라서, 한 가지 인증 수단만으로는 안전한 인터넷 뱅킹 거래를 구현하는 데 한계가 있다. 이를 보완하기 위해서는 거래 과정의 각 단계별로 가장 적합한 인증 수단을 사용해야 한다.

 

이러한 취지로 2011년 6월 29일, 미국 연방예금보험공사(Federal Deposit Insurance Corporation, 이하 FDIC)와 미국 연방금융기관 평가 위원회(Federal Financial Institutions Examination Council, 이하 FFIEC)는 ‘인터넷 뱅킹 환경에서의 인증 강화 개정안(FIL-50-2011)’을 발표했다.

 

이 개정안은 지난 2005년에 공포한 ‘인터넷 뱅킹 환경에서의 인증’ 가이드라인에 대해 고객 인증, 레이어드 시큐리티 등에 관한 요건을 강화한 것이다. 2005년의 가이드라인은 고객 인증을 위한 효과적인 인증 방법 사용, 제품 및 서비스에 따르는 위험 및 민감한 고객 정보 보호를 위한 적절한 기술 도입 등이 주요 내용이었다.

 

2011년에 발표된 개정안은 2005년 가이드라인의 위험 관리 프레임 워크를 강화하고, 나날이 복잡다단해지는 온라인상의 보안 위협에 대응하기 위해 온라인 금융 거래의 시작부터 종료까지 모든 단계에 각 단계별로 가장 적합한 보안 솔루션을 적용한다는 이른바 ‘레이어드 시큐리티’ 개념을 골자로 하고 있다. 또한 이에 대해 금융기관의 책임 범위 확대와 FFIEC의 감독 강화를 규정하고 있다. 이 규정을 준수하지 않는 금융기관에는 영업 정지 처분이 내려질 수도 있다.

 

 

* 레이어드 시큐리티(Layered Security)란…

 

레이어드 시큐리티는 점점 고도화되는 온라인상의 보안 위협에 대응하기 위해 온라인 거래(Online Transaction) 프로세스의 각 단계(layer)마다 서로 다른 보안 솔루션을 구축하는 것으로, 심층적인 방어를 의미한다. 각 솔루션의 상호보완을 통해 전체적인 인터넷 기반 서비스 보안을 강화하기 위한 레이어드 시큐리티는 민감한 고객 정보를 보호하며 신원 도용, 계좌 탈취 등으로 인한 금전 손실을 방지한다. 국내에서는 ‘단계별 보안’ 또는 ‘계층화된 보안’이라는 용어로 알려져 있다.

[참고 : 미국 ‘인터넷 뱅킹 환경에서의 인증 강화 개정안(FIL-50-2011, Supplement to Authentication in an Internet Banking Environment)’]

 

 

온라인 거래, ‘매 단계 빈틈없이 방어하라’

금융 거래 과정은 ‘거래의 시작(엔드포인트)’과 ‘전송(transmission)’, ‘백오피스(back-office)’ 등 세 가지 주요 영역으로 구분된다.

 

이 중에서 거래의 시작점인 엔드포인트, 즉 인터넷 뱅킹 이용자들의 PC단에서 발생하는 보안 문제에 대해서는 금융기관들이 특별한 주의를 기울이지 않았던 게 사실이다. 2005년 가이드라인에 따라 대부분의 금융기관들은 단순한 디바이스 인증만을 수행했다. 이 방식은 고객의 로그온 ID와 비밀번호가 일치하는지 확인하기 위해 고객의 PC에 로드된 쿠키를 사용하게 된다. 해커들은 이 점을 이용, 정상 고객인 것처럼 가장해서 고객들의 쿠키에 있는 거래 정보를 빼내갔다. 이를 방지하기 위해 2011년 개정안에서는 엔드포인트단의 인증 수단을 강화하고 이를 금융기관의 의무로 포함했다.

이에 북미 지역 금융기관들은 자사의 보안 시스템을 점검하고 각 거래 과정의 인증 수단을 강화하는 보안책을 마련하기 위해 서둘러야 했다. 개정안 발표 후 채 6개월도 지나지 않은 시점인 2012년 1월까지 인터넷 뱅킹 보안 강화를 위한 로드맵을 제출해야 했기 때문이다.

 

 

인터넷 뱅킹의 시작점, 엔드포인트단 보안이 ‘관건’

2011년 개정안(FIL-50-2011) 발표 직후, 코너스톤 뱅크는 자사 보안 체계에 대해 재평가를 실시했다. 그 결과, 전반적으로 코너스톤 뱅크의 보안 체계는 최신 기술이 적합하게 적용된 관리 시스템을 보유하고 있어 신뢰할 만한 수준이라고 평가했다. 그러나 문제는 자동 결제 시스템(Automated Clearing House, ACH)과 원거리 지불 결제(Remote Deposit Capture, RDC) 등 엔드포인트단에서의 고객 인증 및 트랜잭션 보안이었다.

 

코너스톤 뱅크의 정보보호책임자인 킴벌리 애덤스(Kimberly Adams) 부사장은 “특히 엔드포인트 접속과 관련된 위협 요소를 제어하는 것이 가장 큰 숙제였다”고 회상했다.

 

애덤스 부사장은 “당시 우리 은행의 인증 기반 솔루션은 기술적인 면에서 FIL-50-2011의 요건을 준수하기에 충분했지만, 변화무쌍한 보안 위협 트렌드를 고려하면 인터넷 뱅킹이 시작되는 엔드포인트단에서의 위협 요소까지 감당하기는 어려울 것으로 판단했다”고 말했다.

 

하지만 은행이 고객의 디바이스를 통제하고 이를 관리하는 것은 결코 쉬운 일이 아니다. 애덤스 부사장은 정보기술을 총괄하고 있는 랜디 도버(Randy Dover) 부사장과 함께 논의한 끝에 엔드포인트 보안 솔루션은 세 가지 조건을 충족해야만 한다는 결론을 얻었다.

 

첫째, 엔드포인트단에서의 인증 및 은행 웹 사이트 접속과 관련된 현재 및 향후의 잠재적인 보안 위협을 해결할 수 있어야 한다.
둘째, 기본적으로 코너스톤 뱅크의 IT 인프라에 적합해야 하며 필요한 부분을 지원할 수 있어야 한다.

셋째, 고객들이 사용하기 쉬운 솔루션이어야 한다.

 

코너스톤 뱅크는 여러 보안 업체와 솔루션을 살펴보았다. 마침 세이프넷과 안랩은 파트너십을 맺고, 레이어드 시큐리티라는 관점에서 세이프넷의 e토큰(eToken)에 안랩의 AOS 시큐어 브라우저/안티키로거를 결합하는 프로젝트를 진행 중이었다.

 

 

전방위 인터넷 뱅킹 보안 솔루션 ‘탄생’

2009년 말, 세이프넷은 자사 인증 기반 장치 e토큰의 사용자 인증 정보를 보호하고 스크린 캡처 등 PC단에서 발생하는 위협을 효과적으로 막을 수 있는 방법을 고민했다. 그러던 중 허위 SSL 공격, 메모리 공격, HTML 인젝션 공격 등에 대한 방어 기능이 뛰어난 안랩의 AOS(AhnLab Online Security) 시큐어 브라우저(Secure Browser)/안티키로거(Anti-Keylogger)와의 결합을 추진하게 되었다.

 

AOS 시큐어 브라우저는 인터넷 뱅킹 등 온라인 거래의 보안을 위한 전용 브라우저로, 안티 메모리 해킹, 안티 디버깅/리버싱, 웹 페이지 변조 방지 등의 기능을 제공한다. AOS 안티키로거는 사용자가 입력하는 키보드 입력 정보를 가로채어 개인의 중요 정보를 유출하는 키로거로부터 PC를 보호하는 기술로, 키보드를 통한 정보 유출을 원천 방어한다.

 

2010년 2월부터 e토큰에 AOS 시큐어 브라우저/안티키로거 SDK를 이식하는 작업이 시작되었고, 같은 해 9월 두 제품이 결합한 ‘시큐어 포터블 브라우저 솔루션(Secure Portable Browser Solution)’의 정식 버전이 출시되었다. 인터넷 뱅킹 세션뿐만 아니라 엔드포인트단까지 인터넷 뱅킹 전 구간의 보안을 구현할 수 있는 솔루션이 탄생한 것이다.

 

 

기존 인프라에 쉽게 연동, ‘안전하고 간편한 서비스 환경 구현’

코너스톤 뱅크는 엔드포인트단의 인터넷 뱅킹 단말기로부터 웹 세션을 분리함으로써 엔드포인트단을 노리는 악성코드 또한 차단할 수 있을 것이라고 판단했다.

 

코너스톤 뱅크는 시큐어 브라우저 기술을 검토한 끝에 두 가지 솔루션을 놓고 고민했다. 하나는 시큐어 브라우저 서버를 도입하는 아웃오브밴드 인증(Out-of-Band authentication) 방식이었다. 다른 하나는 USB 키(Key)를 통한 시큐어 브라우저/안티키로깅 및 인증/접근 통제 솔루션으로, 안랩과 세이프넷의 시큐어 포터블 브라우저 솔루션이었다.

 

두 가지 솔루션을 꼼꼼히 비교 분석한 결과, 사용자 편의성과 솔루션 구현 및 유지의 편의성 측면에서 시큐어 포터블 브라우저 솔루션이 우세하다고 판단했다. 전화 등 유선 확인이 동반되어야 하는 아웃오브밴드 인증 방식처럼 새로운 서버를 도입하거나 소프트웨어 관리 또는 고객 전화번호 보호에 대해 걱정할 필요가 없다는 점도 장점이었다.

 

또한 PoC(Proof of Concept)를 통해 시큐어 포터블 브라우저 솔루션과 코너스톤 뱅크의 인터넷 뱅킹 시스템의 뛰어난 호환성이 입증됐다. 코너스톤 뱅크는 기존 시스템을 전혀 변경하지 않은 상태에서 시큐어 포터블 브라우저 솔루션을 연결하고 로그인, 계좌이체, 잔고 확인 등 전반적인 은행 업무가 정상적으로 구동되는지를 확인했다. 또한 파이어폭스를 비롯한 다양한 브라우저를 통해서도 기존과 다름없이 정상적으로 인터넷 뱅킹 서비스를 이용할 수 있는지도 점검했다.

 

 

쉽고 편리한 사용은 기본, 고도화된 위협 대응은 필수

인터넷 뱅킹 서비스는 다수의 고객이 이용하는 만큼 사용자들이 손쉽게 사용할 수 있어야 한다.

 

USB 형태로 제공되는 시큐어 포터블 브라우저 솔루션을 PC에 연결하면 AOS 시큐어 브라우저가 자동 실행되어 인터넷 뱅킹이 시작되는 순간부터 브라우저 인터페이스를 방지하고 악성코드 및 해킹의 위협으로부터 사용자를 보호한다. AOS 안티키로거는 e토큰 인증 창에 적용되어 e토큰 사용자의 인증 정보 유출을 방지한다.

 

그러나 복잡한 보안 관련 메커니즘은 뒷단에서 수행될 뿐, 로그인 화면은 기존과 동일하여 고객은 전혀 불편함을 느끼지 않는다. 또한 USB를 PC에서 분리하면 그 즉시 화면에서 세션이 사라진다. USB 형태의 디바이스만 있을 뿐 별도의 설치가 필요하지 않기 때문에 사용이 매우 편리하다.

 

또한 AOS 시큐어 브라우저와 안티키로거는 ‘인터넷 뱅킹 환경에서의 인증 강화’ 가이드라인에서도 강조하고 있는 맨인더브라우저(Man-in-the Browser) 및 맨인더미들(MIM, Man-in-the Middle) 공격을 방지해 고객과 은행 사이에서 온라인 세션 탈취를 원천봉쇄한다.

 

이로써 코너스톤 뱅크는 고도화된 위협으로부터 안전한 인터넷 뱅킹 환경을 구현하게 되었다.

 

애덤스 부사장은 “레이어드 시큐리티라고 해서 복잡한 솔루션을 도입할 필요는 없다”고 전제하면서 “별도의 전용 장치 없이 USB 키를 이용함으로써, 최소한의 리소스로 최대한의 효과를 낼 수 있는 시큐어 포터블 브라우저 솔루션은 인터넷 뱅킹 엔드포인트 보안을 위한 최선의 선택”이라고 만족감을 표시했다.

* 코너스톤 커뮤니티 뱅크(Cornerstone Community Bank)
코너스톤 뱅크는 4억 2천 6백만 달러 자산의 단일 은행 지주 회사로, 미국 테네시주에 위치하고 있다. 1996년 설립된 코너스톤 뱅크는 지역 사회에서 가장 오래된 은행으로, 지역 은행 중 가장 큰 규모를 자랑한다. 5개 지사와 1개의 담보 대출 은행을 보유하고 있으며 기업 및 개인 고객에게 맞춤형 종합 금융 솔루션을 제공하고 있다.@