▲ FIDO Alliance Liaison Statement to ISO/IEC JTC 1/SC 17. October 2023 [출처 = ISO]2023년 11월30일 ISO/IEC 공동기술위원회 산하 분과위원회 SC 17은 'FIDO Alliance Liaison Statement to ISO/IEC JTC 1/SC 17. October 2023' 문서를 배포했다.ISO/IEC JTC 1/SC 17 카드 및 개인 식별을 위한 보안장치(Cards and security devices for personal identification)는 국제표준화기구(ISO와 국제전기기술위원회(IEC)의 공동 기술 위원회(JTC) ISO/IEC JTC 1의 표준화 분과위원회다.ISO/IEC JTC 1/SC 17의 국제사무국은 영국에 위치한 영국표준협회(BSI)이며 신분증 및 개인 식별 분야 표준을 개발하고 촉진하는 역할을 담당하고 있다.배포된 문서인 'FIDO Alliance Liaison Statement to ISO/IEC JTC 1/SC 17. October 2023'는 ISO/IEC JTC 1/SC 17 워킹그룹 4와 10(WG 4 & 10)을 위한 FIDO 얼라이언스(FIDO Alliance) 연락 문서가 포함됐다.베포된 문서는 FIDO 얼라이언스의 최근 작업 항목 및 프로그램 업데이트 관련된 내용으로 구성됐다. 또한 FIDO 얼라이언스와 관련해 △기술 문서 △인증 프로그램 2024 컨퍼런스 인증 등 3가지 범주를 포함하고 있다.첫째, △클라이언트-인증자(Client to Authenticator, CTAP) 2.2 RD(2023.03. 발행) △FIDO 온보드 장치(FIDO Device Onboard, )FDO) v1.1 제안된 표준(2022.04. 발행) △FDO(FIDO Device Onboard) 어플리케이션 노트 등 기술문서에 관한 것이다.둘째, △FIDO 사용자 인증 프로그램(FIDO User Authent

▲ 디지털 ID 산업의 발전 전략 [출처=iNIS]미국 보안 기술기업 퀘랄트(Queralt)에 따르면 2023년 11월21일 'FIDO 인증 프레임워크를 통한 디지털 아이디 유효성 및 검증 연결(Bridging digital identity validation and verification with the FIDO(Fast Identity Online) authentication framework)' 명칭의 미국 특허(US 11824995)가 등록됐다.본 등록 특허(US 11824995)는 모출원 등록 특허(US 11431509)를 기초로 2022년 8월24일 계속 출원(US17/894802)되어 미국 특허청에 의해 심사를 받았다.모출원 등록 특허(US 11431509)는 2016년 9월13일 가출원(US 62/393893)된 후 2020년 12월15일 출원(US 17/122631)되어 2022년 8월30일 등록됐다.패밀리 특허로 유럽 특허(EP 3665856)가 심사 중이고 캐나다 특허(CA 3074709), 한국 특허(KR 10-2564842), 일본 특허(JP 7083892), 미국 특허(US 10771451, US 10887113, US 11431509)가 등록됐다.본 등록 특허(US 11824995)는 FIDO 인증 시스템과 사용자 검증 시스템을 통합하기 위한 시스템과 방법에 관한 특허다.본 등록 특허의 일 실시예에 따르면 모바일 장치를 통해 매우 민감한 정보에 액세스할 수 있는 모바일 앱으로서 단일 구성으로 제공된다.사용자 및 모바일 장치에 관한 정보에 기초하여 네트워크 연결을 통해 서버와 모바일 장치의 P2P 인증을 위한 시스템이 제공된다.모바일 장치는 네트워크 연결을 통해 서버에 인증 요청을 전송한다. 서버는 인증 요청과 관련된 데이터를FIDO 인증 시스템으로 전송한다.모바일 장치는 FIDO 인증 시스템으로부터 인증 통신을 수신한다

▲ 디지털 ID 산업의 발전 전략 [출처=iNIS]디지털 ID(Digital Identity) 분야에서 상호운용(interoperable)이 가능하고 안전한 서비스 보장을 위한 표준에 대한 수요가 증가하고 있다. 다양한 표준 조직 및 산업 기관이 활동하는 이유다.디지털 ID 표준을 개발하는 곳은 유럽표준화기구(European Standardisation Organistions), 국제표준화기구(International Standardisation Organisations), 상업 포럼 및 컨소시엄, 국가기관 등 다양하다.산업단체와 포럼은 공식적으로 표준화 조직으로 간주되지 않지만 디지털 ID 영역을 포함한 특정 영역에서는 사실상의 표준을 제공하고 있다.몇몇의 경우 이들 단체들이 추가 비준을 위해 자신들이 생산한 사양을 ISO/IEC, ITU 통신 표준화 부문(ITU-T), ETSI 등 표준 기관에 제출할 수 있다.이러한 산업단체 및 포럼에는 △인증기관브라우저 포럼(Certification Authority Browser Forum,  CA/Browser Forum) △클라우드 서명 컨소시엄(Cloud Signature Consortium, CSC) △국제자금세탁방지기구(Financial Action Task Force, FATF) △신속온라인인증(Fast Identity Online, FIDO) △국제인터넷표준화기구(Internet Engineering Task Force, IETF) △구조화 정보 표준 개발기구(오아시스)(Organization for the Advancement of Structured Information Standards, OASIS) △오픈ID(OpenID) △SOG-IS(Senior Officials Group-Information Systems Security) △W3C(World Wide Web Consortium) 등이다.신속 온라인 인증(Fast Identity Online

미국 생체인식 테스트 랩(Biometrics test lab)인 아이베타(iBeta)에 따르면 생체인식 프레젠테이션 공격 감지(PAD) 테스트와 관련해 ISO 30107 표준과 FIDO(Fast Identity Online) 표준의 효율성을 비교하는 보고서를 공개했다.2개 인증 모두 생체 인식 보안 표준을 준수하는 것으로 국제적으로 인정된다. ISO 30107을 획득하기 위한 테스트는 한 레벨에서만 성능 테스트를 요구하고, FIDO는 두 레벨 모두에서 테스트를 요구한다는 점에서 차이가 난다.ISO 적합성 테스트는 '라이브니스 전용(liveness-only)'과 '전체 시스템(full-system)'의 2가지 모드를 포함한다. 2가지 모드 모두 시스템의 보안 보호 장치에 침투하도록 설계된 마스크와 같은 PAI(presentation attack instruments)을 생성해야 한다.라이브니스 전용 테스트는 생체 인식 시스템이 살아있는 인간과 공격을 구별하는 능력을 평가한다. 전체 시스템도 개개인을 구별하는 생체 시스템의 능력을 테스트한다.반면에 FIDO 얼라이언스(Alliance) 의 생체 인식 구성요소 인증에서는 PAD 테스트 단계와 성능 테스트 단계가 포함된다.첫 번째 단계에서는 생체 인식 시스템이 실험실 환경에서 테스트되는 것을 확인한다. 두 번째 단계에서는 실제 조건을 반영하는 인구 집단에서 대량 테스트가 실행된다.이와 같은 차이점을 바탕으로 아이베타는 은행이나 기타 금융 기관에 기술을 판매하려는 회사는 어떤 유형의 테스트가 필요한지를 알려주고 있다.▲ 아이베타(iBeta)의 홍보자료(출처 : 홈페이지)

국제생체인증표준협회(Fast IDentity Online, 이하 'FIDO')에 따르면 사물인터넷(IoT) 장치에 암호가 없는 보안기능을 제공하기를 원한다고 밝혔다. 현재 많은 스마트 제품에는 기본 암호가 제공되지만 보안이 취약하여 사이버 공격에 취약해질 수 있기 때문이다. 소비자는 누구든지 토스터나 냉장고가 해킹당하는 것에 대해 걱정하고 싶지 않다.FIDO는 ID검증 및 바인딩 작업그룹(Identity Verification and Binding Working Group)의 첫 번째 그룹과 사물인터넷 기술실무그룹 (IoT Technical Working Group)의 두 번째 그룹으로 나뉜다.첫 번째 그룹은 원격 ID 확인을 위한 기준을 정의하고 제조업체를 위한 인증 프로그램을 개발하고 있다. 두 번째 그룹은 사물인터넷 장치에 대한 포괄적인 인증표준(암호가 없는) 기술을 연구하고 있다.이러한 FIDO의 노력은 2035년까지 1조대의 장치가 배치될 시장에서 사람들의 안전과 개인정보를 보장하는 데 도움이 될 것으로 기대된다.참고로 2012년 설립된 FIDO는 암호에 대한 의존도를 줄이는 것을 목적으로 하고 있다. FIDO에는 삼성전자, 블랙베리, 크루셜텍, 구글, 레노보, 마스터카드, 마이크로소프트, 페이팔, LG전자, BC카드 등 전세계 250여개 회사가 가입돼 있다.▲ 국제생체인증표준협회(FIDO)의 홍보자료(출처 : 홈페이지)