토큰 바인딩은 FIDO 규격에 포함되어 있는 Internet Engineering Task Force(IETF)에서 제공하는 주요 규격 중 하나 입니다. 토큰 바인딩의 주 목적은 토큰을 호스트에 암호화해서 묶어주는 역할을 함으로서 서버가 올바른 브라우저와 통신하고 있는지를 보장해주는 규격입니다. 이러한 규격을 활용해서 쿠키의 도난을 방지하거나 세션 하이재킹등을 방지할 수 있습니다.

• 세션 하이재킹이란? 

시스템에 접근할 적법한 사용자 아이디와 패스워드를 모를 경우 공격 대상이 이미 시스템에 접속되어 세션이 연결되어 있는 상태를 가로채기 하는 공격으로 아이디와 패스워드를 몰라도 시스템에 접근하여 자원이나 데이터를 사용할 수 있는 공격이다.

FIDO 규격에서 토큰 바인딩이 중요한 이유는 토큰 바인딩을 통해서 인증 요청 서버의 정보들(프로토콜, 서버 도메인 정보, 포트 번호 등)을 암호화 할 수 있다는 점입니다. 이러한 정보들을 암호화한 후 요청과 함께 전송하기 때문에 피싱 공격에서 안전합니다.

예를 들어서 악의적인 목적을 가진 제 3자가 DNS 서버를 하이재킹해서 네이버로 향하는 모든 요청을 자신에게로 돌린다고 할 때, 토큰 바인딩 기술을 사용하면 이러한 중간자 공격을 감지해 위험에 대비할 수 있습니다. 

- 중간자 공격: 네트워크 통신을 조작하여 통신 내용을 도청하거나 조작하는 공격 기법

토큰 바인딩 그 자체로서도 차세대 인증 기법으로 인정받고 있습니다. 최근 OpenID Connect Enhanced Authentication Profile(OIDCEAP) 에서는 FIDO와 함께 차세대 인증 기법으로 주목 받고 있습니다. 

#보안인증 #토큰바인딩 #차세대인증 #하이재킹 #중간자공격 #걱정없는 #FIDO #이데아텍