CISA·NIST, 클라우드 ‘아이덴티티 토큰’ 보호 지침 확정

CISA·NIST, 클라우드 ‘아이덴티티 토큰’ 보호 기준 확정

• CISA와 NIST가 2024년 9월 15일 ‘Interagency Report 8587’을 최종 발간해 연방기관·클라우드 서비스 제공자·이용 기업을 위한 클라우드 아이덴티티 토큰 보호 지침을 제시했다.
• 지침은 SSO·아이덴티티 연동·API 접근에 쓰이는 토큰·어서션을 도난·위조·오용으로부터 막는 방식을 규정하고, 공격자가 이를 악용해 네트워크 내부 이동과 민감 데이터 접근을 시도하는 현실을 전제로 설계됐다.
• 토큰은 최대 1시간까지만 유효하도록 설정하고 만료 후에는 모든 인가 서비스와 정책 집행 지점에서 즉시 거부할 것을 요구하며, 토큰마다 명시적 ‘audience’ 필드를 포함하고 로그에 토큰·개인정보를 남기지 않도록 했다.
• 보고서는 2020년 공급망 침해에서 Active Directory Federation Services가 공격당해 SAML 어서션 위조로 수천 조직의 MFA가 우회된 사례와, 노출된 소비자용 서명키로 토큰을 위조해 한 연방기관에서 6만 개 이상 이메일이 탈취된 사건을 근거로 삼았다.
• 서명키는 고위험 시스템에서 최소 90일마다, 기타 환경에서는 1년 이내 주기로 교체하고 중간 수준 이상 영향 환경에서는 HSM 등 하드웨어 기반·격리 저장소에 보관하도록 했으며, 연방 인가 외부에서 유효한 키는 인가 내부 토큰 서명에 사용할 수 없도록 범위를 제한했다.
• 보고서는 AI 에이전트가 서명된 토큰을 사용해 시스템·데이터·API에 접근하는 추세를 지침 적용 대상으로 포함하면서도 광범위한 AI 접근 리스크는 별도 기준을 개발 중이라 밝히고 있어, 국내 공공·민간 클라우드에서도 유사한 토큰 통제·AI 연계 보안 정책 정비가 시급하다.

아이덴티티 토큰과 서명키 보호는 클라우드 기반 행정·국방 시스템의 새로운 경계선이다. 국내 클라우드·SSO 인프라에서 토큰 수명·키 관리·로그 정책을 조기 점검하고, 향후 AI 에이전트 이용 시 토큰 기반 접근통제를 선제적으로 규제·표준화할 필요가 있다.

주요 용어: 아이덴티티 토큰(SSO·API 접근에 쓰이는 인증·인가 정보 묶음), 어서션(SAML 등으로 신원·권한을 기술한 보안 토큰), SSO(한 번 로그인으로 여러 서비스에 접근하는 통합 인증)

출처: Infosecurity Magazine