검색결과
-
[기획-디지털 ID 표준] ⑮산업단체와 포럼 - 오픈ID(OpenID)디지털 ID(Digital Identity) 분야에서 상호운용(interoperable)이 가능하고 안전한 서비스 보장을 위한 표준에 대한 수요가 증가하고 있다. 다양한 표준 조직 및 산업 기관이 활동하는 이유다.디지털 ID 표준을 개발하는 곳은 유럽표준화기구(European Standardisation Organistions), 국제표준화기구(International Standardisation Organisations), 상업 포럼 및 컨소시엄, 국가기관 등 다양하다.산업단체와 포럼은 공식적으로 표준화 조직으로 간주되지 않지만 디지털 ID 영역을 포함한 특정 영역에서는 사실상의 표준을 제공하고 있다.몇몇의 경우 이들 단체들이 추가 비준을 위해 자신들이 생산한 사양을 ISO/IEC, ITU 통신 표준화 부문(ITU-T), ETSI 등 표준 기관에 제출할 수 있다.이러한 산업단체 및 포럼에는 △인증기관브라우저 포럼(Certification Authority Browser Forum, CA/Browser Forum) △클라우드 서명 컨소시엄(Cloud Signature Consortium, CSC) △국제자금세탁방지기구(Financial Action Task Force, FATF) △신속온라인인증(Fast Identity Online, FIDO) △국제인터넷표준화기구(Internet Engineering Task Force, IETF) △구조화 정보 표준 개발기구(오아시스)(Organization for the Advancement of Structured Information Standards, OASIS) △오픈ID(OpenID) △SOG-IS(Senior Officials Group-Information Systems Security) △W3C(World Wide Web Consortium) 등이다.오픈ID(OpenID)는 개인 및 기업의 비영리 국제 표준화 조직으로 OpenID(개방형 표준 및 분산 인증 프로토콜)를 활성화, 홍보, 보호하기 위해 노력하고 있다.오픈ID 코넥트 코어(OpenID Connect Core)는 핵심 OpenID 기능을 정의하고 있다. OpenID 기능은 OAuth 2.0 기반에 구축된 인증과 최종 사용자에 대한 정보를 전달하기 위한 클레임의 사용이다. 추가적인 기술 사양 문서는 검증 가능한 자격 증명 및 검증 가능한 프리젠테이션의 발급을 확장하기 위해 작성됐다. 또한 OpenID Connect 사용에 대한 보안 및 개인 정보 보호 고려 사항에 대해 설명하고 있다.아래는 오픈ID가 발행한 'OpenID Connect Core 1.0 incorporating errata set 1' 목차 내용이다.■ 목차(Table of Contents)1. Introduction1.1. Requirements Notation and Conventions1.2. Terminology1.3. Overview2. ID Token3. Authentication3.1. Authentication using the Authorization Code Flow3.1.1. Authorization Code Flow Steps3.1.2. Authorization Endpoint3.1.2.1. Authentication Request3.1.2.2. Authentication Request Validation3.1.2.3. Authorization Server Authenticates End-User3.1.2.4. Authorization Server Obtains End-User Consent/Authorization3.1.2.5. Successful Authentication Response3.1.2.6. Authentication Error Response3.1.2.7. Authentication Response Validation3.1.3. Token Endpoint3.1.3.1. Token Request3.1.3.2. Token Request Validation3.1.3.3. Successful Token Response3.1.3.4. Token Error Response3.1.3.5. Token Response Validation3.1.3.6. ID Token3.1.3.7. ID Token Validation3.1.3.8. Access Token Validation3.2. Authentication using the Implicit Flow3.2.1. Implicit Flow Steps3.2.2. Authorization Endpoint3.2.2.1. Authentication Request3.2.2.2. Authentication Request Validation3.2.2.3. Authorization Server Authenticates End-User3.2.2.4. Authorization Server Obtains End-User Consent/Authorization3.2.2.5. Successful Authentication Response3.2.2.6. Authentication Error Response3.2.2.7. Redirect URI Fragment Handling3.2.2.8. Authentication Response Validation3.2.2.9. Access Token Validation3.2.2.10. ID Token3.2.2.11. ID Token Validation3.3. Authentication using the Hybrid Flow3.3.1. Hybrid Flow Steps3.3.2. Authorization Endpoint3.3.2.1. Authentication Request3.3.2.2. Authentication Request Validation3.3.2.3. Authorization Server Authenticates End-User3.3.2.4. Authorization Server Obtains End-User Consent/Authorization3.3.2.5. Successful Authentication Response3.3.2.6. Authentication Error Response3.3.2.7. Redirect URI Fragment Handling3.3.2.8. Authentication Response Validation3.3.2.9. Access Token Validation3.3.2.10. Authorization Code Validation3.3.2.11. ID Token3.3.2.12. ID Token Validation3.3.3. Token Endpoint3.3.3.1. Token Request3.3.3.2. Token Request Validation3.3.3.3. Successful Token Response3.3.3.4. Token Error Response3.3.3.5. Token Response Validation3.3.3.6. ID Token3.3.3.7. ID Token Validation3.3.3.8. Access Token3.3.3.9. Access Token Validation4. Initiating Login from a Third Party5. Claims5.1. Standard Claims5.1.1. Address Claim5.1.2. Additional Claims5.2. Claims Languages and Scripts5.3. UserInfo Endpoint5.3.1. UserInfo Request5.3.2. Successful UserInfo Response5.3.3. UserInfo Error Response5.3.4. UserInfo Response Validation5.4. Requesting Claims using Scope Values5.5. Requesting Claims using the "claims" Request Parameter5.5.1. Individual Claims Requests5.5.1.1. Requesting the "acr" Claim5.5.2. Languages and Scripts for Individual Claims5.6. Claim Types5.6.1. Normal Claims5.6.2. Aggregated and Distributed Claims5.6.2.1. Example of Aggregated Claims5.6.2.2. Example of Distributed Claims5.7. Claim Stability and Uniqueness6. Passing Request Parameters as JWTs6.1. Passing a Request Object by Value6.1.1. Request using the "request" Request Parameter6.2. Passing a Request Object by Reference6.2.1. URL Referencing the Request Object6.2.2. Request using the "request_uri" Request Parameter6.2.3. Authorization Server Fetches Request Object6.2.4. "request_uri" Rationale6.3. Validating JWT-Based Requests6.3.1. Encrypted Request Object6.3.2. Signed Request Object6.3.3. Request Parameter Assembly and Validation7. Self-Issued OpenID Provider7.1. Self-Issued OpenID Provider Discovery7.2. Self-Issued OpenID Provider Registration7.2.1. Providing Information with the "registration" Request Parameter7.3. Self-Issued OpenID Provider Request7.4. Self-Issued OpenID Provider Response7.5. Self-Issued ID Token Validation8. Subject Identifier Types8.1. Pairwise Identifier Algorithm9. Client Authentication10. Signatures and Encryption10.1. Signing10.1.1. Rotation of Asymmetric Signing Keys10.2. Encryption10.2.1. Rotation of Asymmetric Encryption Keys11. Offline Access12. Using Refresh Tokens12.1. Refresh Request12.2. Successful Refresh Response12.3. Refresh Error Response13. Serializations13.1. Query String Serialization13.2. Form Serialization13.3. JSON Serialization14. String Operations15. Implementation Considerations15.1. Mandatory to Implement Features for All OpenID Providers15.2. Mandatory to Implement Features for Dynamic OpenID Providers15.3. Discovery and Registration15.4. Mandatory to Implement Features for Relying Parties15.5. Implementation Notes15.5.1. Authorization Code Implementation Notes15.5.2. Nonce Implementation Notes15.5.3. Redirect URI Fragment Handling Implementation Notes15.6. Compatibility Notes15.6.1. Pre-Final IETF Specifications15.6.2. Google "iss" Value15.7. Related Specifications and Implementer's Guides16. Security Considerations16.1. Request Disclosure16.2. Server Masquerading16.3. Token Manufacture/Modification16.4. Access Token Disclosure16.5. Server Response Disclosure16.6. Server Response Repudiation16.7. Request Repudiation16.8. Access Token Redirect16.9. Token Reuse16.10. Eavesdropping or Leaking Authorization Codes (Secondary Authenticator Capture)16.11. Token Substitution16.12. Timing Attack16.13. Other Crypto Related Attacks16.14. Signing and Encryption Order16.15. Issuer Identifier16.16. Implicit Flow Threats16.17. TLS Requirements16.18. Lifetimes of Access Tokens and Refresh Tokens16.19. Symmetric Key Entropy16.20. Need for Signed Requests16.21. Need for Encrypted Requests17. Privacy Considerations17.1. Personally Identifiable Information17.2. Data Access Monitoring17.3. Correlation17.4. Offline Access18. IANA Considerations18.1. JSON Web Token Claims Registration18.1.1. Registry Contents18.2. OAuth Parameters Registration18.2.1. Registry Contents18.3. OAuth Extensions Error Registration18.3.1. Registry Contents19. References19.1. Normative References19.2. Informative ReferencesAppendix A. Authorization ExamplesA.1. Example using response_type=codeA.2. Example using response_type=id_tokenA.3. Example using response_type=id_token tokenA.4. Example using response_type=code id_tokenA.5. Example using response_type=code tokenA.6. Example using response_type=code id_token tokenA.7. RSA Key Used in ExamplesAppendix B. AcknowledgementsAppendix C. Notices§ Authors' Addresses
-
식약처, 세계보건기구(WHO)의 우수규제기관 목록(WLA) 최초 등재식품의약품안전처(처장 오유경)가 세계보건기구(WHO, 스위스 제네바)의 우수규제기관 목록(WLA)에 최초로 등재되었다. 의약품과 백신 분야의 8가지 기능에 대하여 등재되었으며, 이로써 대한민국은 전 세계로부터 의약품 규제의 우수성을 인정받게 되었다. WHO 우수규제기관 목록에 등재된 기능은 의약품과 백신 분야 내 8가지이다. * ①약물감시, ②제조∙수입업허가, ③규제실사, ④시험검사, ⑤임상시험, ⑥국가출하승인, ⑦시판허가, ⑧시장감시 WLA는 WHO가 규제기관의 업무 능력과 규제 시스템을 평가하여 우수한 규제기관을 목록화하는 제도로, UN 산하기관과의 의약품 조달을 촉진하기 위해 새롭게 도입되었다. 이에 따라 대한민국은 UN 산하기관에 의약품과 백신을 제공할 수 있는 규제기관으로 인정받게 되어 중요한 지위를 확보하게 되었다. WLA 등재는 의약품·백신 규제시스템 글로벌 기준(GBT)* 평가에서 3등급 이상을 받아 신청 자격을 갖춘 규제기관에 한해 수행 능력(PE) 평가를 거쳐 결정되며, 식약처는 지난해 11월 의약품·백신 분야에서 모두 GBT 최고등급(4등급)을 획득하는 등 체계적으로 WLA 등재를 준비해왔다. * 의약품·백신 규제시스템 글로벌 기준(GBT, Global Benchmarking Tool) 이를 통해 국내 의약품과 백신 제조업체의 신뢰성과 우수한 기술력을 국제사회에 알리는 중요한 계기가 되었다. 식약처는 앞으로도 의약품 분야의 ‘시판허가’ 기능에 대한 등재를 추진하고, K-의약품과 백신이 국제사회로 확장되는 데 적극적으로 기여하겠다고 밝혔다.
-
성별 응답형 표준, 기술표준과 성별 간 상호작용에 집중하다성별은 기술 표준 개발에 중요한 고려 사항으로 등장하고 있다. UL Standards & Engagement의 국제 표준 이사인 Sonya Bird는 성별 응답형 표준 공동 전략 자문 위원회의 창립 멤버 중 한 명이다. 그녀는 성별이 표준의 안전과 사용자 평등에 어떻게 영향을 미치는지에 대해 의견을 남겼다. 모든 표준은 사용자의 안전을 지키기 위해 모든 성별에 적용 가능해야 한다. 이를 위해 성별 응답형 표준이 필요하다. 이는 신체적 차이부터 사회적 및 문화적 측면까지 다양한 영향을 측정하고 고려하기 때문이다. 현재 IEC와 ISO는 UN의 지속가능한 개발 목표(SDG)를 달성하기 위해 헌신하고 있으며, 성별을 표준 개발에 고려하는 것이 SDG 5 달성에 기여할 수 있다고 말한다. 구체적으로 전기기술 분야에서도 성별은 중요한 역할을 한다. 예를 들어, 무선 통신 장치의 무선 주파수에 노출되는 인체의 특정 흡수율(SAR)을 평가하는 IEC 62209-3의 새로운 표준은 여성과 남성 모형을 활용하여 테스트되었다. 일부 전문가들은 전기기술 분야에서 성별 차이가 미미하다고 주장하지만, 모든 표준에서 성별 관련 영향을 확인하는 것은 결코 무시될 수 없는 중요한 요소가 되어가고 있다. Sonya Bird는 모든 표준 개발자들은 성별 응답형 표준을 개발하는데 기여해야 한다며 의견을 덧붙였다.
-
[기획-디지털 ID 표준] ⑭산업단체와 포럼 - 오아시스(OASIS)디지털 ID(Digital Identity) 분야에서 상호운용(interoperable)이 가능하고 안전한 서비스 보장을 위한 표준에 대한 수요가 증가하고 있다. 다양한 표준 조직 및 산업 기관이 활동하는 이유다.디지털 ID 표준을 개발하는 곳은 유럽표준화기구(European Standardisation Organistions), 국제표준화기구(International Standardisation Organisations), 상업 포럼 및 컨소시엄, 국가기관 등 다양하다.산업단체와 포럼은 공식적으로 표준화 조직으로 간주되지 않지만 디지털 ID 영역을 포함한 특정 영역에서는 사실상의 표준을 제공하고 있다.몇몇의 경우 이들 단체들이 추가 비준을 위해 자신들이 생산한 사양을 ISO/IEC, ITU 통신 표준화 부문(ITU-T), ETSI 등 표준 기관에 제출할 수 있다.이러한 산업단체 및 포럼에는 △인증기관브라우저 포럼(Certification Authority Browser Forum, CA/Browser Forum) △클라우드 서명 컨소시엄(Cloud Signature Consortium, CSC) △국제자금세탁방지기구(Financial Action Task Force, FATF) △신속온라인인증(Fast Identity Online, FIDO) △국제인터넷표준화기구(Internet Engineering Task Force, IETF) △구조화 정보 표준 개발기구(오아시스)(Organization for the Advancement of Structured Information Standards, OASIS) △오픈ID(OpenID) △SOG-IS(Senior Officials Group-Information Systems Security) △W3C(World Wide Web Consortium) 등이다.구조화 정보 표준 개발기구(Organization for the Advancement of Structured Information Standards, OASIS)는 공급업체와 사용자의 컨소시엄으로 시작됐다.오늘날 사이버보안(cybersecurity), 블록체인(blockchain), 사물인터넷(internet of things, IoT), 비상 경영(emergency management), 클라우드 컴퓨팅(cloud computing) 등 프로젝트를 발전시키는 대규모 비영리 표준 조직이다.오아시스는 '디지털 서명 서비스 핵심 프로토콜, 요소, 바인딩'과 같은 디지털 서명과 관련된 프로토콜, 프로필 등 기술 사양을 개발해왔다.오아시스는 ISO에 협력하고 있는 조직으로 각 기술위원회(TC) 또는 분과위원회(SC)가 다루는 문제에 대해 기술위원회(TC) 또는 분과위원회(SC)의 업무에 효과적으로 기여하는 조직(A liaisons)이다.기여하고 있는 기술위원회 및 분과위원회는 다음과 같다.▷ISO/IEC JTC 1/SC 6 시스템 간 통신 및 정보 교환▷ISO/IEC JTC 1/SC 34 문서 설명 및 처리 언어▷ISO/IEC JTC 1/SC 38 클라우드 컴퓨팅 및 분산 플랫폼▷ISO/IEC JTC 1/SC 40 IT 서비스 관리 및 IT 거버넌스▷ISO/TC 12 수량 및 단위▷ISO/TC 37 언어 및 용어▷ISO/TC 37/SC 5 번역, 통역 및 관련 기술▷ISO/TC 46/SC 4 기술적 상호 운용성▷ISO/TC 154 상업, 산업 및 행정 분야의 프로세스, 데이터 요소 및 문서▷ISO/TC 184/SC 4 산업 데이터▷ISO/TC 211 지리정보/지리학또한 오아시스는 2005년 10월 21일 Working Draft 34에서 Digital Signature Service Core Protocols, Elements, and Bindings Version 1.0을 발표했다.이후 2019년 12월 11일 'Digital Signature Service Core Protocols, Elements, and Bindings Version 2.0 Committee Specification 02'가 발표됐다.버전 2.0의 목차를 살펴보면 다음과 같다.■ 목차(Table of Contents) 1 Introduction 1.1 IPR Policy 1.2 Terminology 1.2.1 Terms and Definitions 1.2.2 Abbreviated Terms 1.3 Normative References 1.4 Non-Normative References 1.5 Typographical Conventions 1.6 DSS Overview (Non-normative) 2 Design Considerations 2.1 Version 2.0 goal [non-normative] 2.2 Transforming DSS 1.0 into 2.0 2.2.1 Circumventing xs:any 2.2.2 Substituting the mixed Schema Attribute 2.2.3 Introducing the NsPrefixMappingType Component 2.2.4 Imported XML schemes 2.2.5 Syntax variants 2.2.6 JSON Syntax Extensions 2.3 Construction Principles 2.3.1 Multi Syntax approach 2.4 Schema Organization and Namespaces 2.5 DSS Component Overview 2.5.1 Schema Extensions 3 Data Type Models 3.1 Boolean Model 3.2 Integer Model 3.3 String Model 3.4 Binary Data Model 3.5 URI Model 3.6 Unique Identifier Model 3.7 Date and Time Model 3.8 Lang Model 4 Data Structure Models 4.1 Data Structure Models defined in this document 4.1.1 Component NsPrefixMapping 4.1.1.1 NsPrefixMapping – JSON Syntax 4.1.1.2 NsPrefixMapping – XML Syntax 4.2 Data Structure Models defined in this document 4.2.1 Component InternationalString 4.2.1.1 InternationalString – JSON Syntax 4.2.1.2 InternationalString – XML Syntax 4.2.2 Component DigestInfo 4.2.2.1 DigestInfo – JSON Syntax 4.2.2.2 DigestInfo – XML Syntax 4.2.3 Component AttachmentReference 4.2.3.1 AttachmentReference – JSON Syntax 4.2.3.2 AttachmentReference – XML Syntax 4.2.4 Component Any 4.2.4.1 Any – JSON Syntax 4.2.4.2 Any – XML Syntax 4.2.5 Component Base64Data 4.2.5.1 Base64Data – JSON Syntax 4.2.5.2 Base64Data – XML Syntax 4.2.6 Component SignaturePtr 4.2.6.1 SignaturePtr – JSON Syntax 4.2.6.2 SignaturePtr – XML Syntax 4.2.7 Component Result 4.2.7.1 Result – JSON Syntax 4.2.7.2 Result – XML Syntax 4.2.8 Component OptionalInputs 4.2.8.1 OptionalInputs – JSON Syntax 4.2.8.2 OptionalInputs – XML Syntax 4.2.9 Component OptionalOutputs 4.2.9.1 OptionalOutputs – JSON Syntax 4.2.9.2 OptionalOutputs – XML Syntax 4.2.10 Component RequestBase 4.2.10.1 RequestBase – JSON Syntax 4.2.10.2 RequestBase – XML Syntax 4.2.11 Component ResponseBase 4.2.11.1 ResponseBase – JSON Syntax 4.2.11.2 ResponseBase – XML Syntax 4.3 Operation requests and responses 4.3.1 Component SignRequest 4.3.1.1 SignRequest – JSON Syntax 4.3.1.2 SignRequest – XML Syntax 4.3.2 Component SignResponse 4.3.2.1 SignResponse – JSON Syntax 4.3.2.2 SignResponse – XML Syntax 4.3.3 Component VerifyRequest 4.3.3.1 VerifyRequest – JSON Syntax 4.3.3.2 VerifyRequest – XML Syntax 4.3.4 Component VerifyResponse 4.3.4.1 VerifyResponse – JSON Syntax 4.3.4.2 VerifyResponse – XML Syntax 4.3.5 Component PendingRequest 4.3.5.1 PendingRequest – JSON Syntax 4.3.5.2 PendingRequest – XML Syntax 4.4 Optional data structures defined in this document 4.4.1 Component RequestID 4.4.1.1 RequestID – JSON Syntax 4.4.1.2 RequestID – XML Syntax 4.4.2 Component ResponseID 4.4.2.1 ResponseID – JSON Syntax 4.4.2.2 ResponseID – XML Syntax 4.4.3 Component OptionalInputsBase 4.4.3.1 OptionalInputsBase – JSON Syntax 4.4.3.2 OptionalInputsBase – XML Syntax 4.4.4 Component OptionalInputsSign 4.4.4.1 OptionalInputsSign – JSON Syntax 4.4.4.2 OptionalInputsSign – XML Syntax 4.4.5 Component OptionalInputsVerify 4.4.5.1 OptionalInputsVerify – JSON Syntax 4.4.5.2 OptionalInputsVerify – XML Syntax 4.4.6 Component OptionalOutputsBase 4.4.6.1 OptionalOutputsBase – JSON Syntax 4.4.6.2 OptionalOutputsBase – XML Syntax 4.4.7 Component OptionalOutputsSign 4.4.7.1 OptionalOutputsSign – JSON Syntax 4.4.7.2 OptionalOutputsSign – XML Syntax 4.4.8 Component OptionalOutputsVerify 4.4.8.1 OptionalOutputsVerify – JSON Syntax 4.4.8.2 OptionalOutputsVerify – XML Syntax 4.4.9 Component ClaimedIdentity 4.4.9.1 ClaimedIdentity – JSON Syntax 4.4.9.2 ClaimedIdentity – XML Syntax 4.4.10 Component Schemas 4.4.10.1 Schemas – JSON Syntax 4.4.10.2 Schemas – XML Syntax 4.4.11 Component IntendedAudience 4.4.11.1 IntendedAudience – JSON Syntax 4.4.11.2 IntendedAudience – XML Syntax 4.4.12 Component KeySelector 4.4.12.1 KeySelector – JSON Syntax 4.4.12.2 KeySelector – XML Syntax 4.4.13 Component X509Digest 4.4.13.1 X509Digest – JSON Syntax 4.4.13.2 X509Digest – XML Syntax 4.4.14 Component PropertiesHolder 4.4.14.1 PropertiesHolder – JSON Syntax 4.4.14.2 PropertiesHolder – XML Syntax 4.4.15 Component Properties 4.4.15.1 Properties – JSON Syntax 4.4.15.2 Properties – XML Syntax 4.4.16 Component Property 4.4.16.1 Property – JSON Syntax 4.4.16.2 Property – XML Syntax 4.4.17 Component IncludeObject 4.4.17.1 IncludeObject – JSON Syntax 4.4.17.2 IncludeObject – XML Syntax 4.4.18 Component SignaturePlacement 4.4.18.1 SignaturePlacement – JSON Syntax
-
KTR의 GCB, 한국 기업에 유럽 CE마크 직접 부여하며 유럽 진출 지원한국화학융합시험연구원(KTR)이 폴란드 바르샤바에 GCB(Global Certification Body)라고 불리는 글로벌 종합 인증기관을 설립하는데 성공했다. GCB는 KTR과 폴란드의 인증컨설팅 기관 MDR Regulator(MDRR)이 합작하여 설립한 기관으로, 현재 KTR이 주요 주주로 참여하고 있다. 현재 유럽 내에서 제품의 CE인증은 매우 필수적이다. 이런 상황에서 GCB 설립을 통해 CE마크를 직접 부여할 수 있게 됐다. 지금까지는 국내 기업들이 유럽 내 CE인증을 위해 협력 관계를 구축해 왔으나, 이번 GCB 설립으로 한국 기업에게 직접 CE마크 부여가 가능해졌다. 이를 통해 언어 장벽과 중복 시험을 줄이고 시간 및 비용 부담을 크게 경감시킬 것으로 기대된다. GCB는 주로 의료기기 CE인증, 탄소중립, 자동차부품 및 소프트웨어 인증을 주력 사업으로 추진하며, 유럽 내 공장 설립을 지원하는 등 한국 기업의 유럽 진출을 촉진하는 것을 목표로 한다. 또한, 기후변화와 탄소중립 정책에 대응할 수 있는 제품 환경평가 및 유럽 배터리법 규제 대응을 제공하며, 한국과 전 세계 기업의 유럽 소프트웨어 산업 진출을 지원한다. 이러한 노력을 통해 GCB는 한국의 글로벌 종합 인증기관으로 자리 잡을 계획이며, 의료기기 CE MDR 기관지정을 완료하고 누적매출을 키우는 등의 성장과 발전을 목표로 하고 있다. 주력 사업 분야 및 가파른 성장을 통해 명실상부한 글로벌 종합 인증기관으로 자리 매김 할 것으로 기대된다.
-
[기획-디지털 ID 표준] ⑬산업단체와 포럼 - 국제인터넷표준화기구(IETF)디지털 ID(Digital Identity) 분야에서 상호운용(interoperable)이 가능하고 안전한 서비스 보장을 위한 표준에 대한 수요가 증가하고 있다. 다양한 표준 조직 및 산업 기관이 활동하는 이유다.디지털 ID 표준을 개발하는 곳은 유럽표준화기구(European Standardisation Organistions), 국제표준화기구(International Standardisation Organisations), 상업 포럼 및 컨소시엄, 국가기관 등 다양하다.산업단체와 포럼은 공식적으로 표준화 조직으로 간주되지 않지만 디지털 ID 영역을 포함한 특정 영역에서는 사실상의 표준을 제공하고 있다.몇몇의 경우 이들 단체들이 추가 비준을 위해 자신들이 생산한 사양을 ISO/IEC, ITU 통신 표준화 부문(ITU-T), ETSI 등 표준기관에 제출할 수 있다.이러한 산업단체 및 포럼에는 △인증기관브라우저 포럼(Certification Authority Browser Forum, CA/Browser Forum) △클라우드 서명 컨소시엄(Cloud Signature Consortium, CSC) △국제자금세탁방지기구(Financial Action Task Force, FATF) △신속온라인인증(Fast Identity Online, FIDO) △국제인터넷표준화기구(Internet Engineering Task Force, IETF) △구조화 정보 표준 개발기구(오아시스)(Organization for the Advancement of Structured Information Standards, OASIS) △오픈ID(OpenID) △SOG-IS(Senior Officials Group-Information Systems Security) △W3C(World Wide Web Consortium) 등이다.국제인터넷표준화기구(Internet Engineering Task Force, IETF)는 1986년 설립됐다. 인터넷 관련 표준 개발 기구(standards development organization, SDO)다.IETF는 인터넷 사용자, 네트워크 운영자, 장비 공급업체가 자주 채택하는 자발적인 표준을 만들어 인터넷 개발 궤적을 형성하는데 도움을 주고 있다.특히 IETF가 발행한 대부분의 의견 요청(requests for comments, RFCs)은 데이터 교환(data exchanges) 및 형식(formats)을 다루고 있으며 전자 서명(electronic signatures), PKI, 신뢰 서비스 분야 구성요소로 간주되고 있다.
-
[기획-디지털 ID 표준] ⑫산업단체와 포럼 - 신속 온라인 인증(Fast Identity Online, FIDO)디지털 ID(Digital Identity) 분야에서 상호운용(interoperable)이 가능하고 안전한 서비스 보장을 위한 표준에 대한 수요가 증가하고 있다. 다양한 표준 조직 및 산업 기관이 활동하는 이유다.디지털 ID 표준을 개발하는 곳은 유럽표준화기구(European Standardisation Organistions), 국제표준화기구(International Standardisation Organisations), 상업 포럼 및 컨소시엄, 국가기관 등 다양하다.산업단체와 포럼은 공식적으로 표준화 조직으로 간주되지 않지만 디지털 ID 영역을 포함한 특정 영역에서는 사실상의 표준을 제공하고 있다.몇몇의 경우 이들 단체들이 추가 비준을 위해 자신들이 생산한 사양을 ISO/IEC, ITU 통신 표준화 부문(ITU-T), ETSI 등 표준 기관에 제출할 수 있다.이러한 산업단체 및 포럼에는 △인증기관브라우저 포럼(Certification Authority Browser Forum, CA/Browser Forum) △클라우드 서명 컨소시엄(Cloud Signature Consortium, CSC) △국제자금세탁방지기구(Financial Action Task Force, FATF) △신속온라인인증(Fast Identity Online, FIDO) △국제인터넷표준화기구(Internet Engineering Task Force, IETF) △구조화 정보 표준 개발기구(오아시스)(Organization for the Advancement of Structured Information Standards, OASIS) △오픈ID(OpenID) △SOG-IS(Senior Officials Group-Information Systems Security) △W3C(World Wide Web Consortium) 등이다.신속 온라인 인증(Fast Identity Online, FIDO)은 2013년 2월 출범한 개방형 산업협회다. 전 세계 비밀번호에 대한 과도한 의존을 줄이는 데 도움이 되는 인증 표준을 개발하고 홍보하는 것을 사명으로 삼고 있다.디지털 ID와 관련된 내용은 로밍 인증자와 다른 클라이언트/플랫폼 간 통신을 위한 어플리케이션 계층 프로토콜을 설명하는 클라이언트-인증자 프로토콜(Client to Authenticator Protocol, CTAP)이다.다양한 물리적 매체를 사용해 이 어플리케이션 프로토콜을 다양한 전송 프로토콜에 결합하고 있다. 클라이언트-인증자 프로토콜(Client to Authenticator Protocol, CTAP) 관련 목차를 살펴보면 다음과 같다.목차(table of contents)1. Introduction1.1 Relationship to Other Specifications2. Conformance3. Protocol Structure4. Protocol Overview5. Authenticator API5.1 authenticatorMakeCredential (0x01)5.2 authenticatorGetAssertion (0x02)5.3 authenticatorGetNextAssertion (0x08)5.3.1 Client Logic5.4 authenticatorGetInfo (0x04)5.5 authenticatorClientPIN (0x06)5.5.1 Client PIN Support Requirements5.5.2 Authenticator Configuration Operations Upon Power Up5.5.3 Getting Retries from Authenticator5.5.4 Getting sharedSecret from Authenticator5.5.5 Setting a New PIN5.5.6 Changing existing PIN5.5.7 Getting pinToken from the Authenticator5.5.8 Using pinToken5.5.8.1 Using pinToken in authenticatorMakeCredential5.5.8.2 Using pinToken in authenticatorGetAssertion5.5.8.3 Without pinToken in authenticatorGetAssertion5.6 authenticatorReset (0x07)6. Message Encoding6.1 Commands6.2 Responses6.3 Status codes7. Interoperating with CTAP1/U2F authenticators7.1 Framing of U2F commands7.1.1 U2F Request Message Framing ### (#u2f-request-message-framing)7.1.2 U2F Response Message Framing ### (#u2f-response-message-framing)7.2 Using the CTAP2 authenticatorMakeCredential Command with CTAP1/U2F authenticators7.3 Using the CTAP2 authenticatorGetAssertion Command with CTAP1/U2F authenticators8. Transport-specific Bindings8.1 USB Human Interface Device (USB HID)8.1.1 Design rationale8.1.2 Protocol structure and data framing8.1.3 Concurrency and channels8.1.4 Message and packet structure8.1.5 Arbitration8.1.5.1 Transaction atomicity, idle and busy states.8.1.5.2 Transaction timeout8.1.5.3 Transaction abort and re-synchronization8.1.5.4 Packet sequencing8.1.6 Channel locking8.1.7 Protocol version and compatibility8.1.8 HID device implementation8.1.8.1 Interface and endpoint descriptors8.1.8.2 HID report descriptor and device discovery8.1.9 CTAPHID commands8.1.9.1 Mandatory commands8.1.9.1.1 CTAPHID_MSG (0x03)8.1.9.1.2 CTAPHID_CBOR (0x10)8.1.9.1.3 CTAPHID_INIT (0x06)8.1.9.1.4 CTAPHID_PING (0x01)8.1.9.1.5 CTAPHID_CANCEL (0x11)8.1.9.1.6 CTAPHID_ERROR (0x3F)8.1.9.1.7 CTAPHID_KEEPALIVE (0x3B)8.1.9.2 Optional commands8.1.9.2.1 CTAPHID_WINK (0x08)8.1.9.2.2 CTAPHID_LOCK (0x04)8.1.9.3 Vendor specific commands8.2 ISO7816, ISO14443 and Near Field Communication (NFC)8.2.1 Conformance8.2.2 Protocol8.2.3 Applet selection8.2.4 Framing8.2.4.1 Commands8.2.4.2 Response8.2.5 Fragmentation8.2.6 Commands8.2.6.1 NFCCTAP_MSG (0x10)8.2.6.2 NFCCTAP_GETRESPONSE (0x11)8.3 Bluetooth Smart / Bluetooth Low Energy Technology8.3.1 Conformance8.3.2 Pairing8.3.3 Link Security8.3.4 Framing8.3.4.1 Request from Client to Authenticator8.3.4.2 Response from Authenticator to Client8.3.4.3 Command, Status, and Error constants8.3.5 GATT Service Description8.3.5.1 FIDO Service8.3.5.2 Device Information Service8.3.5.3 Generic Access Profile Service8.3.6 Protocol Overview8.3.7 Authenticator Advertising Format8.3.8 Requests8.3.9 Responses8.3.10 Framing fragmentation8.3.11 Notifications8.3.12 Implementation Considerations8.3.12.1 Bluetooth pairing: Client considerations8.3.12.2 Bluetooth pairing: Authenticator considerations8.3.13 Handling command completion8.3.14 Data throughput8.3.15 Advertising8.3.16 Authenticator Address Type9. Defined Extensions9.1 HMAC Secret Extension (hmac-secret)10. IANA Considerations10.1 WebAuthn Extension Identifier Registrations11S ecurity ConsiderationsIndexTerms defined by this specificationTerms defined by referenceReferencesNormative ReferencesInformative ReferencesIDL Index
-
[특집-ISO 2023 연례회의] ⑭3일차 : 지속가능성 및 무역(Sustainability and trade)지난 9월18~22일 5일간 2023 ISO 연례회의(Annual Meeting)가 오스트레일리아 브리즈번(Brisbane)에서 개최됐다. 올해 국제표준화기구(International Organization for Standardization, ISO)가 개최한 연례회의 에디션의 주제는 '글로벌 니즈 충족(Meeting global needs)'이다.1주일 동안 개최된 연례회의는 오늘날 지구가 직면한 가장 시급한 문제에 대해 건설적인 대화에 참여할 수 있는 기회를 제공하고 참가자들이 협력 솔루션을 찾을 기회를 제공하는 것이다.연례 회의는 다양한 정부, 업계 및 시민단체 대표 뿐 아니라 ISO 커뮤니티 전문가와 리더가 가장 큰 트렌드 및 과제에 대해 생각을 공유하기 위한 목적으로 참여했다.이번 회의는 인공지능(Artificial intelligence), 순환경제(Circular economy), 청정 에너지(Clean energy), 사이버보안(Cybersecurity), 스마트 농업(Smart farming) 등을 중심으로 논의가 진행됐다.3일차 연례회의의 주제는 지속 가능성과 무역(Sustainability and trade) 이다. 이날 연례회의는 △정책 분야 표준(Standards in policy) △도시를 탄력적으로 만들기(Making cities resilient) △지속 가능성을 위한 동맹 구축(Forging alliances for sustainability) △무역에 대한 신뢰(Trust in trade) △고객 경험(The customer experience) 등을 중심으로 토론이 이뤄졌다.3일차 도시를 탄력적으로 만들기(Making cities resilient)라는 세션은 불확신한 세상에서의 회복력 구축에 대해 심도 있는 토론이 진행됐다.이번 세션은 10:00~11:00까지 개최됐으며 참석 패널은 찬탈 가이(Chantal Guay, 캐나다 표준 위원회 CEO), 쉬울리 고쉬(Shiulie Ghosh, Aero Production Ltd.의 국제 저널리스트 겸 진행자), 콜린 시발링검(Collin Sivalingum, 오스트레일리아 적십자사 주 응급 서비스 관리자), 벡 도슨(Beck Dawson, 시드시 시 최고 복원력 책임자), 앨리슨 드루리(Alison Drury, 오스트레일리아 연방 정부 산업·과학·에너지 및 자원부(DISR) 무역 및 국제 부서 총괄 관리자), 키리 아타에라(Kiri Ataera, 기획 및 프로젝트 국장, 인프라부) 등이다.패널리스트들은 21세기 도시를 지속 가능하고 탄력적이며 안전하게 만드는데 있어 협력의 중요성과 표준의 중요한 역할에 대해 논의했다.또한 불확실한 세상에서 표준이 집단적 문제를 해결하고 끊임없이 진화하는 미래를 자신감 있게 수용하기 위한 탄력성의 토대라는 개념을 재확인하는 계기가 됐다.전문가들은 표준이 문제, 목표, 우선순위에 대한 명확한 비전을 제공하는 필수 도구 역할을 하는 다각적인 방식을 탐구했다. 도시 중심을 더욱 탄력적으로 만들기 위해 주요 행위자 간 단결된 노력과 행동이 필요하다는 것이다.전례 없는 도전으로 얼룩진 세계에서 도시를 더욱 안전하고 탄력적으로 만드는 표준의 변혁적 잠재력 뿐 아니라 표준이 혁신, 준비, 발전을 위한 역동적인 도구라는 사실을 재확인했다.특히 도시가 성장함에 따라 2050년 전 세계 인구의 약 70%가 도시 지역에 거주할 것으로 예상된다. 지속적으로 도시가 성장함에 따라 생명, 생계, 경제적 자산의 노출은 기하급수적으로 증가할 가능성이 높아졌다.
-
[특집-ISO 2023 연례회의] ⑬3일차 : 지속가능성 및 무역(Sustainability and trade) - 정책 분야 표준(Standards in policy)지난 9월18~22일 5일간 2023 ISO 연례회의(Annual Meeting)가 오스트레일리아 브리즈번(Brisbane)에서 개최됐다. 올해 국제표준화기구(International Organization for Standardization, ISO)가 개최한 연례회의 에디션의 주제는 '글로벌 니즈 충족(Meeting global needs)'이다.1주일 동안 개최된 연례회의는 오늘날 지구가 직면한 가장 시급한 문제에 대해 건설적인 대화에 참여할 수 있는 기회를 제공하고 참가자들이 협력 솔루션을 찾을 기회를 제공하는 것이다.연례 회의는 다양한 정부, 업계 및 시민단체 대표 뿐 아니라 ISO 커뮤니티 전문가와 리더가 가장 큰 트렌드 및 과제에 대해 생각을 공유하기 위한 목적으로 참여했다.이번 회의는 인공지능(Artificial intelligence), 순환경제(Circular economy), 청정 에너지(Clean energy), 사이버보안(Cybersecurity), 스마트 농업(Smart farming) 등을 중심으로 논의가 진행됐다.3일차 연례회의의 주제는 지속 가능성과 무역(Sustainability and trade) 이다. 이날 연례회의는 △정책 분야 표준(Standards in policy) △도시를 탄력적으로 만들기(Making cities resilient) △지속 가능성을 위한 동맹 구축(Forging alliances for sustainability) △무역에 대한 신뢰(Trust in trade) △고객 경험(The customer experience) 등을 중심으로 토론이 이뤄졌다.3일차 정책 분야 표준(Standards in policy) 세션에서는 규제 프레임워크를 형성하고 혁신을 추진하는데 있어 표준의 중요한 역할을 강조하고 정책 입안자와의 지속적인 대화 필요성을 강조했다.정책분야 표준 세션은 08:00~09:30분까지 개최됐다. 참여자는 클레어 호번(Clare Hobern, Standards Australia 국제 참여 담당 선임 관리자), 잉빌드 스텁(Ingvild Stub, 노르웨이 표준부서 국제관계 및 비즈니스 개발 이사), 쿠쿠 S. 아크마드(Kukuh S. Achmad, 인도네시아 국가표준화기구 CEO), 다니엘 트릴로스(Daniel Trillos, 콜롬비아 기술 표준 및 인증 연구소 표준 부국장), 찬탈 가이(Chantal Guay, 캐나다 표준 위원회 CEO), 데이비드 벨(David Bell, 영국표준협회(British Standards Institution) 표준 정책 이사), 에리히 키에크(Erich Kieck, 국제표준화기구 역량강화 이사) 등이다.보다 탄력적이고 지속 가능한 세상으로 전환하는 과정에서 표준을 사용하면 실질적인 결과를 얻을 수 있기 때문이다. 세션 중에 ISO 회원들이 정책 입안자 및 규제 기관과 적극적으로 협력하기 위해 사용하도록 설계된 새로운 ISO 정책 툴킷을 공개했다.정책입안자들은 어려운 일을 맡고 있으며 자신이 봉사하는 사람들의 번영과 복지를 이해하고 개선하기 위해 노력한다. 격동의 시기에 정부와 규제 기관은 국가 표준기관에서 개발한 표준을 포함해 많은 자원을 활용할 수 있다.표준은 국가의 규제 인프라를 강화하기 위해 다양하고 편견 없는 방법을 제공하고 있다. 이번 워크숍은 기후, 무역, 혁신과 같은 핵심 분야에서 참여 기법, 설득력 있는 옹호 활동을 위한 영감을 주는 아이디어 등으로 구성됐다.
-
[기획-디지털 ID 표준] ⑪산업단체와 포럼 - 국제자금세탁방지기구(Financial Action Task Force, FATF)디지털 ID(Digital Identity) 분야에서 상호운용(interoperable)이 가능하고 안전한 서비스 보장을 위한 표준에 대한 수요가 증가하고 있다. 다양한 표준 조직 및 산업 기관이 활동하는 이유다.디지털 ID 표준을 개발하는 곳은 유럽표준화기구(European Standardisation Organistions), 국제표준화기구(International Standardisation Organisations), 상업 포럼 및 컨소시엄, 국가기관 등 다양하다.산업단체와 포럼은 공식적으로 표준화 조직으로 간주되지 않지만 디지털 ID 영역을 포함한 특정 영역에서는 사실상의 표준을 제공하고 있다.몇몇의 경우 이들 단체들이 추가 비준을 위해 자신들이 생산한 사양을 ISO/IEC, ITU 통신 표준화 부문(ITU-T), ETSI 등 표준 기관에 제출할 수 있다.이러한 산업단체 및 포럼에는 △인증기관브라우저 포럼(Certification Authority Browser Forum, CA/Browser Forum) △클라우드 서명 컨소시엄(Cloud Signature Consortium, CSC) △국제자금세탁방지기구(Financial Action Task Force, FATF) △신속온라인인증(Fast Identity Online, FIDO) △국제인터넷표준화기구(Internet Engineering Task Force, IETF) △구조화 정보 표준 개발기구(오아시스)(Organization for the Advancement of Structured Information Standards, OASIS) △오픈ID(OpenID) △SOG-IS(Senior Officials Group-Information Systems Security) △W3C(World Wide Web Consortium) 등이다.국제자금세탁방지기구(Financial Action Task Force, FATF)는 자금세탁 방지 정책을 개발하기 위해 G7 국가의 주도로 1989년 설립된 정부 간 조직이다.FATF는 2020년 3월 정부, 금융기관, 가상 자산 서비스 제공업체, 기타 규제 기관이 디지털 ID가 고객 실사에 사용하기에 적합한지 여부를 결정하는데 도움이 되는 디지털 ID에 관한 지침(Guidance on Digital ID)을 개발했다.'디지털 ID에 대한 지침'은 정부, 규제 대상 기관(예: 금융기관) 및 기타 관련 이해관계자가 FATF 권고사항 10에 따라 고객 실사의 특정 요소를 수행하기 위해 디지털 ID 시스템을 사용할 수 있는 방법을 결정하는 데 도움을 주기 위한 간행물이다.지침을 발표한 2020년 당시 조사에 따르면 디지털 거래 건수가 매년 약 12.7%씩 증가하고 있다. 2022년 전 세계 GDP의 약 60%가 디지털화 될 것으로 예측됐기 때문이다.모든 금융 거래와 관련된 자금이 범죄 및 테러와 연관되지 않도록 고객을 이해하는 것이 필수적이라고 생각했으나 디지털 환경에서는 기존 검증 도구가 적용되지 않기 때문이다.디지털 ID 시스템이 빠르게 발전하고 있으며 디지털 ID가 적합한지 확인하려면 정부나 금융기관, 기타 이해관계자들은 디지털 ID 시스템의 기술, 아키텍처, 거버넌스 보증 수준을 이해해야 된다.또한 보증 수준을 고려해 불법 금융을 조장하는데 사용되는 잠재적 위험을 고려해 적절하게 신뢰할 수 있고 독립적인지 여부를 결정해야 된다. 다음은 FATF가 개발한 디지털 ID에 관한 지침(Guidance on Digital ID)의 목차 내용이다.□ 목차(Table of Contents)▷줄임말(ACRONYMS)▷요약(EXECUTIVE SUMMARY)▷섹션 I(SECTION I) : 소개(INTRODUCTION)▷섹션 II(SECTION II) : 디지털 ID 용어 및 주요 기능(DIGITAL ID TERMINOLOGY AND KEY FEATURES)▷섹션 III(SECTION III) : 고객 실사에 대한 FATF 표준(FATF STANDARDS ON CUSTOMER DUE DILIGENCE)▷섹션 IV(SECTION IV) : AML/CFT 규정 준수 및 관련 문제에 대한 디지털 ID 시스템의 이점과 위험(BENEFITS AND RISKS OF DIGITAL ID SYSTEMS FOR AML/CFT COMPLIANCE AND RELATED ISSUES)▷섹션 V(SECTION V) : CDD에 대한 위험 기반 접근 방식에 따라 디지털 ID 시스템이 충분히 안정적이고 독립적인지 평가(ASSESSING WHETHER DIGITAL ID SYSTEMS ARE SUFFICIENTLY RELIABLE AND INDEPENDENT UNDER A RISK-BASED APPROACH TO CDD)▷부록(APPENDIX) A : 기본 디지털 ID 시스템 및 해당 참가자에 대한 설명(DESCRIPTION OF A BASIC DIGITAL IDENTITY SYSTEM AND ITS PARTICIPANTS)▷부록(APPENDIX) B : 사례 연구(CASE STUDIES)▷부록(APPENDIX) C : 지속가능발전 식별에 관한 원칙(PRINCIPLES ON IDENTIFICATION FOR SUSTAINABLE DEVELOPMENT)▷부록(APPENDIX) D : 디지털 ID 보증 프레임워크 및 기술 표준 설정 기관(DIGITAL ID ASSURANCE FRAMEWORK AND TECHNICAL STANDARDSETTING BODIES)▷부록(APPENDIX) E : 미국 및 EU 디지털 보증 프레임워크 및 기술 표준 개요(OVERVIEW OF US AND EU DIGITAL ASSURANCE FRAMEWORKS AND TECHNICAL STANDARDS)▷용어 사전(GLOSSARY)