피싱 방지 로그인
Iru는 **패스키(WebAuthn/FIDO2)**와 기기 바인딩 자격 증명을 중심으로 구축되었습니다. 피싱하거나, 재사용하거나, 유출될 비밀번호가 없습니다.실제 출처에 바인딩
패스키는 암호학적으로 Iru의 정확한 출처로 범위가 지정됩니다. Iru용으로 발급된 자격 증명은
유사한 피싱 도메인에서 유효한 서명을 생성하지 않습니다.
서버 측 비밀 없음
Iru는 공개 키, 인증기의 출처(AAGUID) 및 서명 카운터만 저장합니다. 개인 키는 사용자
기기를 벗어나지 않으므로 서버에 훔칠 것이 없습니다.
출처가 확인된 실제 패스키
로그인에는 검색 가능한(상주) 자격 증명이 필요하며 등록 시 인증기 증명을 캡처하므로, Iru는
사용 중인 인증기의 종류를 알 수 있습니다.
하드웨어 바인딩 기기 키
Iru Access 앱은 기기의 보안 하드웨어(Apple의 Secure Enclave, Windows의 TPM)에
키를 보관하고 모든 요청에서 자격 증명별 서명으로 소유를 증명합니다.
Secure Enclave / TPM 키 보관은 기기에 있는 Iru Access 앱의 속성이며, 서버는 각 호출에서
기기 바인딩 공개 키 서명을 검증합니다.
기기가 정품인지 증명
누가 로그인하는지 증명하는 것 외에도 Iru는 무엇을 사용하는지 확인할 수 있습니다. Apple DeviceCheck는 요청이 변조되지 않은 정품 Apple 기기에서 온 것인지 검증하며, 이 검사는 fail-closed 방식입니다. 이를 우회하려면 의도적인 구성이 필요합니다. Windows에서는 Iru Access가 보고하는 TPM 신호가 Device Trust 상태 결정에 사용됩니다. Device Trust를 참조하세요.모든 요청은 서명되고 재전송이 방지됩니다
Iru Access 앱과 통합에서 오는 요청은 단순히 bearer 토큰으로 인증되지 않습니다. 요청은 서명되며, 캡처된 요청을 재사용할 수 없도록 바인딩됩니다.
Iru Access 앱은 추가로 통신하는 서비스의 TLS 인증서를 고정(에이전트 측 제어)하므로 가로채는
프록시를 신뢰하지 않습니다.
안전한 키 교체를 통한 검증 가능한 SSO 신뢰
Iru가 ID 공급자 역할을 할 때 앱에 보내는 명세는 서명되므로 각 앱은 해당 명세가 실제로 Iru에서 왔으며 변경되지 않았음을 확인할 수 있습니다.서명된(선택적으로 암호화된) SSO
서명된(선택적으로 암호화된) SSO
SAML 응답과 어설션은 XML Signature로 서명되며, 어설션은 서비스 공급자에 대해 추가로
암호화될 수 있습니다. OIDC ID 토큰은 JWS로 서명됩니다. Iru는 최신 알고리즘(SHA-256
이상의 RSA/ECDSA, AES-GCM 콘텐츠 암호화 및 RSA-OAEP 키 래핑)을 지원하며, 각 서비스의
요구 사항에 맞게 통합별로 선택할 수 있습니다.
무중단 키 교체
무중단 키 교체
서명 키는 24시간 중첩과 함께 30일 일정으로 교체됩니다. 새 키가 이어받는 동안 이전
키는 진행 중인 토큰을 계속 검증하다가 삭제되지 않고 만료됩니다. 키 유형에는 ECDSA
P-256/384/521 및 RSA-2048이 포함됩니다. 이를 통해 앱 중단 없이 단일 키의 영향 범위를
제한합니다.
암호화 및 세션
- 전송 중: 모든 트래픽은 TLS로 보호되며, 세션 쿠키는
Secure,HttpOnly,SameSite입니다. - 저장 시: 민감한 필드는 관리형 비밀 저장소에서 런타임에 제공되는 키를 사용하여 AES-256-GCM으로 암호화됩니다.
- 세션: 로그인 세션은 슬라이딩 비활성 기간이 있는 단기 세션입니다. 장기 흐름은 일회용 코드
챌린지(PKCE
S256) 및 재전송 감지와 함께 교체되는 새로 고침 토큰을 사용합니다. 세션은 전역, 사용자별 또는 인증기별로 취소할 수 있으므로 분실된 기기나 손상된 계정을 즉시 차단할 수 있습니다. 자격 증명 및 세션을 참조하세요.
다음 단계
플랫폼 아키텍처
이를 뒷받침하는 서비스, 리전 및 인프라입니다.
멀티 테넌트 격리
각 테넌트의 데이터가 분리되고 감사 가능하게 유지되는 방식입니다.
인증기
사용자가 매일 사용하는 패스키와 Iru Access 앱입니다.
SAML 및 OIDC 앱
특정 앱이 수신하는 서명 및 암호화를 구성합니다.