2016.08.18

금융 보안을 뒤흔드는 핀테크 스타트업 사례 3가지

Bruce Harpham | CIO
신생 핀테크 업체들은 오늘날의 보안 과제 중 가장 중요한 문제에 도전하고 있다. 혁신에 대한 동기와 필요성으로 무장한 이들 스타트업은 금융 산업을 변화시키는 새로운 서비스와 보안 접근방식을 구축했다. 최근 주목 받고 있는 신생 핀테크 업체 세 곳이 보안을 기반으로 어떻게 경쟁하고 있는지 살펴본다.

KYC(Know Your Client)
개인의 신원을 밝히는 것이 금융 산업 보안의 핵심 요소이다. 대부분의 주요 금융 기관들은 고객들이 직접 계좌를 개설하고 정부가 발행한 신원 서류를 제시하며 계좌가 개설될 때까지 수 시간 또는 수 일을 기다리도록 요구하고 있다. 하지만 오늘날의 고객들은 계좌 개설 과정을 포함하여 더 빠른 서비스를 기대한다.

2010년에 설립된 트룰리우(Trulioo)는 신원을 확인하는 새로운 접근방식을 개척했으며, 이베이, 킥스타터, 스퀘어, 페이팔 등의 대형 업체를 고객으로 확보하고 있다. 일반적으로 금융 기관들은 소량의 신원 서류에 의존하고 있는 상황에서 트룰리우는 재산 파일, 유틸리티 데이터, 신용 이력, 경계 사항 목록, 건강보험 등록번호, 직접 마케팅 데이터 등 더욱 광범위한 데이터 소스를 활용해 신원을 확인한다. 이를 통해 해당 기업은 수 초 안에 "검증" 또는 "미검증" 등급을 결정할 수 있다.

트룰리우의 CEO 존 존스는 "우리가 확인하는 핵심 정보는 이름, 주소, ID 번호, 생년월일 등 KYC(Know Your Client) 컴플라이언스에 핵심이 되는 속성이지만, 휴대폰과 이메일까지 확장된다"며, "우리는 각 고객의 상황에 맞추어 데이터 소스를 조정한다. 경우에 따라 데이터 소스에 접근하기 위해 ID 번호를 제공해야 할 수도 있지만 고객은 해당 정보를 캡처하지 못해 소스를 적용하지 못할 수도 있고 엄격한 다중 소스 규칙을 원할 수도 있다. 이 때, 우리는 여러 업체를 통합해야 하며, 비용을 최소화하기 위해 데이터 소스끼리 연동되는 폭포수 접근방식을 구성할 수 있는 단일 소스 규칙이 필요할 수도 있다"고 설명했다.

또 "KYC와 컴플라이언스 기대치의 증가로 고객 신원에 대한 높은 수준의 신뢰성 확보가 중요해졌다"며, "우리의 다음 개척 분야는 전통적이지 않은 데이터 세트를 더 많이 활용하여 고객 결제 기록 등의 신원을 파악하는 것이다"라고 강조했다.

긍정적인 의미의 비밀번호 재사용
캐나다의 인증 서비스 업체인 시큐어키 테크놀로지(SecureKey Technologies)의 CIO(Chief Identity Officer) 안드레 보이센은 "인증은 사용자에게 하나의 부담이다"라며, "초기에 비밀번호 관리를 스펙트럼으로 분할해야 한다는 것을 깨달았다. 사용자는 매일 또는 매주 사용하는 온라인 뱅킹 등의 빠른 비밀번호를 가지고 있고, 다른 한편으로는 1년에 한 번씩 사용하는 온라인 세금 서비스 등의 느린 비밀번호가 있다"고 설명했다. 예를 들어, 수 백만 명의 사람들이 캐나다 국세청 웹 사이트를 방문해 소득세 환급금을 확인하기 때문에 접근성이 중요하다. 하지만 대부분의 사용자들은 소득세 기간에만 자신의 계정에 접속한다.

시큐어키의 솔루션을 통해 사용자들은 자신의 은행 사용자 ID로 국세청 웹 사이트에 로그인할 수 있다. 보이센은 "다른 온라인 서비스 및 계정과는 달리 은행 계좌 ID는 신원 서류 및 기타 수단에 대한 직접 검사를 통해 인증된다. 이 때문에 이런 ID를 온라인 정부 서비스 접속 등의 상황에 사용할 수 있다"고 강조했다.
보안을 위해 까다로운 정부 요건을 통과하는 것도 시큐어키의 접근방식에 포함되어 있다. 시큐어키의 CTO 드미트리 바리노프는 "우리는 1년에 두 번씩 캐나다 정부의 감사를 거치며 지속적으로 정부의 승인을 얻고 있다. 또한 우리는 제품에 SAML(Security Assertion Markup Language)과 OIDC(OpenID Connect) 등의 프로토콜을 활용해 보안을 강화하고 있다”고 설명했다.

결제 보호
특히, 국경을 넘어 제공되는 결제 서비스는 비용이 크고 느리다. 리플(Ripple)의 수석 암호 기법 전문가 데이비드 슈바르츠는 "현재 대부분의 은행은 즉시 결제를 위한 인프라가 없다"고 지적했다. 2012년에 설립된 리플은 즉각적이며 확실하고 저렴한 국제 결제를 제공할 방법을 찾고 있다. 리플의 고객으로는 독일의 FB AG(Fidor Bank AG)과 결제 서비스 업체인 어스포트(Earthport) 등이 있다.

슈바르츠는 "오늘날 결제 시스템에 대한 많은 공격이 시스템 침투 및 위조 결제 항목 입력에 집중되어 있다. 리플의 접근방식은 각 결제를 위해 암호화된 증거를 제공하는 것이다. 이 방식을 통해 사용자는 결제 상태를 추적할 수 있고 악용하기가 훨씬 어렵다"고 설명했다.

리플의 기업 커뮤니케이션 디렉터 데이비드 패터슨은 "리플의 동의 원장의 모든 계정은 이와 관련된 최대 3개의 공개키가 있다. 우선, 계좌의 소유권을 입증하는 마스터 공개키가 있다. 둘째, 정상 거래를 승인할 수 있는 일반 공개키가 있다. 마지막으로 세 번째 키는 해당 계좌만 읽을 수 있는 메시지를 거래에 첨부하는데 사용하는 메시지 키이다. 일반적인 거래는 정상 키 또는 마스터 키로 승인해야 한다"며, "디지털 서명은 ECDSA SECp256K1 또는 Ed25519와 슈노르 서명을 사용할 수 있다"고 덧붙였다.

또한 리플은 정보 수집 과정을 조정하여 보안 관리 부담을 줄이는 방법을 검토하고 있다. 패터슨은 "서드파티 감사에서 얻은 흥미로운 권고사항은 우리가 기록하는 정보의 양을 줄이라는 것이었다. 필요한 경우 모든 것을 기록하는 경향이 있으며, 필요 없다면 나중에 감사를 거부할 수 있다고 생각하는 경우가 많다. 데이터 과잉 공급으로 보존할 수 있는 이력의 양이 줄어들어 데이터 분석을 저해하고 성능을 떨어뜨릴 수 있다"고 밝혔다.  editor@itworld.co.kr


2016.08.18

금융 보안을 뒤흔드는 핀테크 스타트업 사례 3가지

Bruce Harpham | CIO
신생 핀테크 업체들은 오늘날의 보안 과제 중 가장 중요한 문제에 도전하고 있다. 혁신에 대한 동기와 필요성으로 무장한 이들 스타트업은 금융 산업을 변화시키는 새로운 서비스와 보안 접근방식을 구축했다. 최근 주목 받고 있는 신생 핀테크 업체 세 곳이 보안을 기반으로 어떻게 경쟁하고 있는지 살펴본다.

KYC(Know Your Client)
개인의 신원을 밝히는 것이 금융 산업 보안의 핵심 요소이다. 대부분의 주요 금융 기관들은 고객들이 직접 계좌를 개설하고 정부가 발행한 신원 서류를 제시하며 계좌가 개설될 때까지 수 시간 또는 수 일을 기다리도록 요구하고 있다. 하지만 오늘날의 고객들은 계좌 개설 과정을 포함하여 더 빠른 서비스를 기대한다.

2010년에 설립된 트룰리우(Trulioo)는 신원을 확인하는 새로운 접근방식을 개척했으며, 이베이, 킥스타터, 스퀘어, 페이팔 등의 대형 업체를 고객으로 확보하고 있다. 일반적으로 금융 기관들은 소량의 신원 서류에 의존하고 있는 상황에서 트룰리우는 재산 파일, 유틸리티 데이터, 신용 이력, 경계 사항 목록, 건강보험 등록번호, 직접 마케팅 데이터 등 더욱 광범위한 데이터 소스를 활용해 신원을 확인한다. 이를 통해 해당 기업은 수 초 안에 "검증" 또는 "미검증" 등급을 결정할 수 있다.

트룰리우의 CEO 존 존스는 "우리가 확인하는 핵심 정보는 이름, 주소, ID 번호, 생년월일 등 KYC(Know Your Client) 컴플라이언스에 핵심이 되는 속성이지만, 휴대폰과 이메일까지 확장된다"며, "우리는 각 고객의 상황에 맞추어 데이터 소스를 조정한다. 경우에 따라 데이터 소스에 접근하기 위해 ID 번호를 제공해야 할 수도 있지만 고객은 해당 정보를 캡처하지 못해 소스를 적용하지 못할 수도 있고 엄격한 다중 소스 규칙을 원할 수도 있다. 이 때, 우리는 여러 업체를 통합해야 하며, 비용을 최소화하기 위해 데이터 소스끼리 연동되는 폭포수 접근방식을 구성할 수 있는 단일 소스 규칙이 필요할 수도 있다"고 설명했다.

또 "KYC와 컴플라이언스 기대치의 증가로 고객 신원에 대한 높은 수준의 신뢰성 확보가 중요해졌다"며, "우리의 다음 개척 분야는 전통적이지 않은 데이터 세트를 더 많이 활용하여 고객 결제 기록 등의 신원을 파악하는 것이다"라고 강조했다.

긍정적인 의미의 비밀번호 재사용
캐나다의 인증 서비스 업체인 시큐어키 테크놀로지(SecureKey Technologies)의 CIO(Chief Identity Officer) 안드레 보이센은 "인증은 사용자에게 하나의 부담이다"라며, "초기에 비밀번호 관리를 스펙트럼으로 분할해야 한다는 것을 깨달았다. 사용자는 매일 또는 매주 사용하는 온라인 뱅킹 등의 빠른 비밀번호를 가지고 있고, 다른 한편으로는 1년에 한 번씩 사용하는 온라인 세금 서비스 등의 느린 비밀번호가 있다"고 설명했다. 예를 들어, 수 백만 명의 사람들이 캐나다 국세청 웹 사이트를 방문해 소득세 환급금을 확인하기 때문에 접근성이 중요하다. 하지만 대부분의 사용자들은 소득세 기간에만 자신의 계정에 접속한다.

시큐어키의 솔루션을 통해 사용자들은 자신의 은행 사용자 ID로 국세청 웹 사이트에 로그인할 수 있다. 보이센은 "다른 온라인 서비스 및 계정과는 달리 은행 계좌 ID는 신원 서류 및 기타 수단에 대한 직접 검사를 통해 인증된다. 이 때문에 이런 ID를 온라인 정부 서비스 접속 등의 상황에 사용할 수 있다"고 강조했다.
보안을 위해 까다로운 정부 요건을 통과하는 것도 시큐어키의 접근방식에 포함되어 있다. 시큐어키의 CTO 드미트리 바리노프는 "우리는 1년에 두 번씩 캐나다 정부의 감사를 거치며 지속적으로 정부의 승인을 얻고 있다. 또한 우리는 제품에 SAML(Security Assertion Markup Language)과 OIDC(OpenID Connect) 등의 프로토콜을 활용해 보안을 강화하고 있다”고 설명했다.

결제 보호
특히, 국경을 넘어 제공되는 결제 서비스는 비용이 크고 느리다. 리플(Ripple)의 수석 암호 기법 전문가 데이비드 슈바르츠는 "현재 대부분의 은행은 즉시 결제를 위한 인프라가 없다"고 지적했다. 2012년에 설립된 리플은 즉각적이며 확실하고 저렴한 국제 결제를 제공할 방법을 찾고 있다. 리플의 고객으로는 독일의 FB AG(Fidor Bank AG)과 결제 서비스 업체인 어스포트(Earthport) 등이 있다.

슈바르츠는 "오늘날 결제 시스템에 대한 많은 공격이 시스템 침투 및 위조 결제 항목 입력에 집중되어 있다. 리플의 접근방식은 각 결제를 위해 암호화된 증거를 제공하는 것이다. 이 방식을 통해 사용자는 결제 상태를 추적할 수 있고 악용하기가 훨씬 어렵다"고 설명했다.

리플의 기업 커뮤니케이션 디렉터 데이비드 패터슨은 "리플의 동의 원장의 모든 계정은 이와 관련된 최대 3개의 공개키가 있다. 우선, 계좌의 소유권을 입증하는 마스터 공개키가 있다. 둘째, 정상 거래를 승인할 수 있는 일반 공개키가 있다. 마지막으로 세 번째 키는 해당 계좌만 읽을 수 있는 메시지를 거래에 첨부하는데 사용하는 메시지 키이다. 일반적인 거래는 정상 키 또는 마스터 키로 승인해야 한다"며, "디지털 서명은 ECDSA SECp256K1 또는 Ed25519와 슈노르 서명을 사용할 수 있다"고 덧붙였다.

또한 리플은 정보 수집 과정을 조정하여 보안 관리 부담을 줄이는 방법을 검토하고 있다. 패터슨은 "서드파티 감사에서 얻은 흥미로운 권고사항은 우리가 기록하는 정보의 양을 줄이라는 것이었다. 필요한 경우 모든 것을 기록하는 경향이 있으며, 필요 없다면 나중에 감사를 거부할 수 있다고 생각하는 경우가 많다. 데이터 과잉 공급으로 보존할 수 있는 이력의 양이 줄어들어 데이터 분석을 저해하고 성능을 떨어뜨릴 수 있다"고 밝혔다.  editor@itworld.co.kr


X