💻 computer science

WebAuthn PRF-Based Vault Key Wrapping and Zero-Knowledge PWA Storage Architecture

이 논문은 WebAuthn의 PRF 확장 기능과 대칭 암호 기술 및 최적화된 브라우저 저장 패턴을 결합하여 강력한 제로 지식 속성을 달성하는 웹 기반 자격 증명 금고를 위한 클라이언트 측 보안 아키텍처를 제시한다.

원저자: Ian Pinto

게시일 2026-07-08✓ Author reviewed ⓘ

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Ian Pinto

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 가장 중요한 비밀, 예를 들어 비밀번호나 개인적인 메모를 보관하는 디지털 금고(vault)를 가지고 있다고 상상해 보세요. 보통 이 금고를 열려면 마스터 키(비밀번호)가 필요합니다. 하지만 만약 당신의 얼굴, 지문, 또는 물리적 보안 키를 사용하여 금고를 열 수 있다면 어떨까요? 그리고 만약 해커가 금고의 내용물을 복사해 가더라도, 당신 특유의 생체 인식 키 없이는 단 한 단어도 읽을 수 없다면 어떨까요?

Ian Pinto의 이 논문은 웹 브라우저를 위한 이러한 종류의 초고성도 디지털 금고를 구축하는 새로운 방법을 설명합니다. 이 방식은 몇 가지 첨단 기술 개념을 결합하여, 서버나 저장 시스템이 그 안에 무엇이 들어있는지, 심지어 그것을 여는 키가 무엇인지조차 알 수 없는 "제로 지식(zero-knowledge)" 상태를 유지합니다.

이것이 어떻게 작동하는지 간단한 부분으로 나누어 설명하겠습니다.

1. 마법의 키: WebAuthn PRF

당신의 패스키(로그인할 때 사용하는 것)를 단순히 "예/아니오"를 결정하는 문지기가 아니라, 비밀 레시피 생성기라고 생각하세요.

기존 방식: 당신이 본인임을 증명하면, 시스템은 "접근 허용"이라고 말합니다.
새로운 방식 (PRF): 당신이 본인임을 증명하면, 당신의 기기는 내부적으로 특별한 "소금(salt)"(무작위 재료)을 사용하는 복잡한 수학 레시피(Pseudo-Random Function 또는 PRF라고 불림)를 비밀리에 실행합니다. 이 레시Recipe는 오직 당신의 특정 기기만이 만들 수 있는 독특하고 고품질인 "비밀 소스"(32바이트 코드)를 만들어냅니다.
주의 사항: 이 비밀 소스는 당신의 기기 내부에 있는 보안 칩 안에서 생성됩니다. 이것은 절대 기기를 떠나지 않으며, 하드 드라이브에 저장되지도 않습니다. 이것은 금고를 잠시 동안 열 수 있을 만큼 아주 짧은 순간 동안만 존재하며, 그 직후 즉시 깨끗이 삭제됩니다.

2. 자물쇠: 금고 키 래핑(Wrapping)

당신의 금고에는 데이터를 실제로 잠그는 마스터 키(이를 Key K라고 부릅시다)가 있습니다.

시스템은 당신의 패스키로부터 얻은 그 찰나의 "비밀 소스"를 사용하여 Key K를 디지털 봉투(암호화)로 감쌉니다(wrapping).
일단 래핑되면, Key K는 이 봉투 안에 잠기게 됩니다. 시스템은 이 봉투를 당신의 브라우저 저장소(IndexedDB)에 저장합니다.
핵심 포인트: 시스템은 비밀 소스나 래핑되지 않은 Key K를 절대 저장하지 않습니다. 오직 잠긴 봉투만을 저장합니다. 만약 해커가 저장소를 훔치더라도, 그들은 열쇠가 없는 잠긴 상자만을 갖게 될 뿐입니다.

3. 안전 가옥: IndexedDB 저장소

이 논문은 브라우저 저장소(디지털 파일 캐비닛과 같은 IndexedDB)에 이 데이터를 구성하는 구체적인 방법을 제안합니다.

파일 시스템: 시스템은 세 가지 특정 폴더를 생성합니다:
1. Vaults (금고): 잠긴 봉투(래핑된 키)들이 사는 곳입니다.
2. Credentials (자격 증명): 당신의 패스키와 그 "일련번호"(누군가 가짜 키를 사용하고 있는지 확인하기 위함) 목록입니다.
3. Meta (메타 데이터): 앱을 위한 일반적인 노트들입니다.
제로 지식 보장: 논문은 저장소에 잠긴 봉투와 공개된 메타 데이터만 포함되어 있기 때문에, 파일 캐비닛 전체를 훔친 도둑은 키를 재구성할 수 없다고 주장합니다. 그들은 잠긴 상자와 그것을 열 수 있는 방법 없이 막히게 됩니다.

4. 백업 계획: "비밀번호 폴백(Fallback)"

만약 당신의 브라우저가 이 화려한 "비밀 소스" 기능을 지원하지 않는다면(일부 안드로이드 태블릿처럼) 어떻게 될까요?

시스템은 pw-v1이라 불리는 백업 계획을 가지고 있습니다. 이 방식은 패스키의 비밀 소스를 사용하는 대신, 당신이 입력하는 전통적인 비밀번호를 기반으로 한 매우 느리고 무거운 수학 퍼즐(scrypt)을 사용합니다.
이것은 더 느리고 번거롭지만, 화려한 하드웨어 기능을 사용할 수 없을 때도 당신이 금고를 열 수 있도록 보장합니다. 마치 생체 인식 스캐너 옆에 물리적인 열쇠 구멍을 만들어 두는 것과 같습니다.

5. 안전 점검: 재생 공격(Replay Attacks) 방지

논문은 "재생 체크(replay check)"를 강조합니다.

해커가 당신의 "잠금 해제" 신호를 녹음했다가 나중에 다시 재생하여 금고를 열려고 시도한다고 가정해 봅시다.
시스템은 카운터(자동차의 주행 거리계와 같은 것)를 유지합니다. 당신이 금고를 잠금 해제할 때마다 카운터는 올라갑니다. 만약 시스템이 오래된 카운터 번호를 가진 신호를 감지하면, 그것이 녹음된 것이라는 것을 알고 거부합니다.
참고: 논문은 이 방식이 모든 기기에 완벽하지는 않다는 점을 인정합니다(일부 동기화된 패스키는 카운터를 업데이트하지 않음). 하지만 이는 방어 계층을 하나 더 추가해 줍니다.

6. 이 논문이 보호하지 "않는" 것들

저자는 이 시스템이 보호하지 못하는 부분에 대해서도 매우 신중하게 명시하고 있습니다.

컴퓨터의 바이러스로부터 보호하지 못합니다. 만약 해커가 이미 브라우저 내부에서 당신이 타이핑하는 것을 지켜보고 있다면, 그들은 키가 사용되는 동안 이를 훔칠 수 있습니다. 이 시스템은 데이터가 "정지 상태(at rest)"일 때(저장소에 놓여 있을 때)를 보호합니다.
"사이드 채널(side-channel)" 유출로부터 보호하지 못합니다. 만약 앱이 데이터를 잠그기 전에 압축하거나, 잠긴 상자의 크기가 비밀번호 길이에 따라 변한다면, 영리한 해커는 상자 크기를 측정하는 것만으로도 그 안에 무엇이 있는지 추측할 수 있습니다. 논문은 개발자들에게 데이터를 패딩(padding) 처리하여(모든 상자의 크기를 동일하게 맞춤) 이를 방지하라고 경고합니다.

요 요약

이 논문은 당신의 특정 물리적 패스키 없이는 수학적으로 읽을 수 없음이 증명된, 웹 기반 비밀번호 금고의 청사진을 제시합니다. 이 시스템은 패스키를 사용하여 데이터를 잠그는 일회성 코드를 생성하고, 그 코드가 절대 저장되지 않도록 하며, 데이터가 탈취되더라도 잠긴 상자 외에는 아무것도 남지 않도록 저장소를 구성합니다. 이는 저장 제공자(또는 해커)가 당신의 비밀을 전혀 알 수 없는 "제로 지식" 시스템입니다.

기술 요약: WebAuthn PRF 기반 Vault 키 래핑 및 제로 지식(Zero-Knowledge) PWA 저장 아키텍처

문제 정의
본 논문은 프로그레시브 웹 애플리케이션(PWA) 내의 자격 증명 금고(Credential Vault)를 위한 강력한 제로 지식 보안을 구현하는 과제를 다룹니다. WebAuthn과 패스키(Passkey)는 강력한 공개 키 인증을 제공하지만, 전통적으로 웹 애플리케이션에 사용자 데이터를 암호화하기 위한 고엔트로피 대칭 비밀값을 노출하지 않습니다. 기존 솔루션은 종종 서버 측 신뢰나 마스터 비밀번호에 의존하며, 이는 오프라인 공격에 취약하거나 복잡한 신뢰 모델을 요구할 수 있습니다. 구체적인 문제는 WebAuthn PRF(Pseudo-Random Function) 확장을 사용하여 패스키 자격 증명으로부터 대칭 암호화 키를 안전하게 유도하고, Vault 키를 래핑(Wrap)하며, 인증기(Authenticator) 상의 라이브 인증 절차 없이는 저장된 데이터가 사용자의 비밀을 전혀 드러내지 않도록 하는 방식으로 IndexedDB에 결과 상태를 저장하는 방법입니다.

방법론
제안된 아키텍처는 WebAuthn PRF 확장과 대칭 암호학, 그리고 엄격하게 설계된 IndexedDB 저장 스키마를 결합합니다.

키 래핑 체계 (Key Wrapping Scheme):
- 등록 (Enrollment): 등록 과정에서 애플리케이션은 고유하고 무작위인 32바이트 솔트(Salt)를 사용하여 인증기로부터 32바이트 PRF 출력을 요청합니다. 이 출력값은 HKDF-SHA256을 위한 입력 키 물질(IKM) 역할을 합니다.
- 유도 (Derivation): HKDF는 동결된 버전 관리 도메인 분리 레이블("webauthn-prf-zktv vault key wrap v1")과 빈 솔트를 사용하여 추출 불가능한 AES-256-GCM 래핑 키( $K_w$ )를 유도합니다.
- 암호화 (Encryption): Vault 키( $K_v$ )는 $K_w$ 와 새로운 96비트 논스(Nonce)를 사용하여 암호화됩니다.
- 저장 (Storage): 결과물인 WrappedSecretRecord만이 영속화됩니다. 이 레코드는 스킴 식별자(prf-v1), 암호문, 논스, 그리고 PRF 솔트를 포함합니다. 결정적으로, PRF 출력값과 유도된 래핑 키는 저장되지 않으며, 사용 직후 메모리에서 제로화(Zeroize)됩니다.
- 폴백 (Fallback): PRF를 사용할 수 없는 클라이언트(예: Android WebView)를 위해 pw-v1 스키마가 제공됩니다. 이는 PRF 대신 사용자 비밀번호로부터 메모리 하드(Memory-hard) 특성을 가진 scrypt 유도를 사용하며, 동일한 레코드 구조를 유지합니다.
언래핑 및 검증 (Unwrapping and Verification):
- 재생 공격 방지 (Replay Protection): 언래핑 프로세스에는 필수적인 재생 검증 단계가 포함됩니다. 애플리케이션은 저장된 솔트를 사용하여 PRF를 재평가하고, 클라이언트 데이터(Challenge, Origin) 및 서명 카운터(Signature Counter)를 검증합니다. 카운터는 (동기화된 패스키의 알려진 동작인 0을 제외하고) 반드시 엄격하게 증가해야 합니다.
- 오류 처리 (Error Handling): 시스템은 실패 모드에 있어 제네릭하도록 설계되었습니다. 복호화 실패(잘못된 키 또는 데이터 변조로 인한 경우)는 잘못된 키와 손상된 데이터를 구분하지 않는 일반적인 DecryptError를 발생시켜 사이드 채널 누출을 방지합니다.
저장 아키텍처 (IndexedDB):
- 라이브러리(webauthn-prf-zktv)는 vaults, credentials, meta라는 세 개의 오브젝트 스토어를 갖는 스키마를 정의합니다.
- vaults 스토어는 복합 기본 키 [vaultId, scheme]를 사용하여, 단일 Vault가 prf-v1 레코드와 pw-v1 폴백 레코드를 동시에 보유할 수 있도록 합니다.
- credentials 스토어는 마지막으로 검증된 서명 카운터와 PRF 솔트를 포함한 비기밀 메타데이터를 보유하지만, 비밀 키 자체는 보유하지 않습니다.
- 스키마는 데이터 무결성을 보장하기 위해 매 로드 시 구조적 불변성(예: 논스 길이, 솔트 크기)을 강제합니다.

주요 기여
본 논문은 다음을 공식화하고 오픈 소스 구현을 제공합니다:

PRF 기반 Vault 키 래핑 체계: 엄격한 도메인 분리 레이블을 활용하여 PRF 출력을 대칭 래핑 키 유도의 루트 신뢰(Root of Trust)로 사용하는 방법.
제로 지식 IndexedDB 스키마: 저장된 상태에 재계산 가능한 키 입력값이 포함되지 않는 저장 패턴. 저장된 데이터의 보안은 전적으로 인증기 내부 키의 비밀성에 의존합니다.
webauthn-prf-zktv 라이브러리: 암호학적 로직, 저장 관리, 그리고 마이그레이션 경로(기존 TrustVault-PWA 레코드를 위한 원샷 어댑터 포함)를 캡슐화한 재사용 가능한 타입 기반 TypeScript 라이브러리.
클라이언트 측 재생 검증: 일반적인 PRF 헬퍼 라이브러리에서는 생략되기 쉬운 기능인 서명 카운터 체크 및 Challenge/Origin 검증을 Vault 잠금 해제 알고리즘에 직접 통합.

결과 및 평가
본 논문은 세 가지 축을 통해 아키텍처를 평가합니다:

보안 (Security): 제로 지식 논거는 인증기 없이는 저장된 암호문이 계산적으로 무용하다는 점을 상정합니다. 이 스킴은 인증기의 PRF의 의사 난수성, HKDF-SHA256의 보안성, 그리고 AES-256-GCM의 IND-CPA/INT-CTXT 보안성에 의존합니다. 논문은 대칭 계층은 양자 내성이 적절하지만(AES-256), 비대칭 인증 계층은 여전히 양자 공격에 취래할 수 있으나, 이것이 저장된 Vault 키의 기밀성을 해치지는 않는다고 명시합니다.
성능 (Performance): 언락 지연 시간은 인증기에 요구되는 사용자 검증 제스처에 의해 지배됩니다. 암호화 작업(HKDF 유도 및 32바이트 페이로드의 AES-GCM 복호화)은 미미한 수준입니다. 비밀번호 폴백(scrypt)은 오프라인 공격을 저지하기 위해 의도적으로 비용이 많이 들도록 설계되었으나, 저사양 모바일 기기에서 지연을 유발할 수 있습니다.
사용성 및 견고성 (Usability and Robustness): 시스템은 지원되지 않는 클라이언트를 위한 pw-v1 폴백을 통해 우아한 성능 저하(Graceful Degradation)를 지원합니다. 또한 클론된 자격 증명 탐지(동기화된 패스키의 제로 카운터 에지 케이스 처리)를 위한 "최선 노력(Best-effort)" 접근 방식을 채택하며, 카운터 업데이트 중 발생하는 부분적 실패(예: 크래시)가 사용자를 영구적으로 차단하지 않도록 하여, 에지 케이스에서 엄격한 재생 방지보다 가용성을 우선시합니다.

의의 및 주장
본 논문은 현대적인 패스키 기술을 사용하여 웹 애플리케이션에서 제로 지식 저장을 달성하기 위한 정형화되고 프로덕션 준비가 된 패턴을 제공한다고 주장합니다. 그 의의는 다음과 같습니다:

서버 신뢰 제거: 기밀성의 경계를 완전히 클라이언트로 이동시켜, 서버나 동기화된 백업이 침해되더라도 인증기가 침해되지 않는 한 사용자의 비밀이 안전하게 유지되도록 합니다.
패턴의 표준화: 동결된 v1 포맷과 특정 도메인 분리 레이블을 정의함으로써, 알고리즘 변경으로 인해 레코드가 조용히 무효화되는 것을 방지하고 향-후 버전(예: prf-v2)을 위한 명확한 마이그레이션 경로를 제공합니다.
전체론적 보안 (Holistic Security): 애플리케이션 계층의 가이드에서 프리-암호화 압축 및 레코드 크기 상관관계와 같은 비암호학적 누출 벡터를 명시적으로 다룸으로써, 저장 계층만으로는 애플리케이션이 메타데이터를 유출할 경우 제로 지식을 보장할 수 없음을 인정합니다.

저자는 이 라이브러리가 개발자들이 복잡한 키 위생(Key-hygiene) 및 저장 규율을 다시 설계할 필요 없이 이러한 패턴을 채택할 수 있도록 돕는 도구임을 강조합니다.