애플리케이션과 온라인 서비스의 정보를 보호하는 데있어 더 이상 사용자 이름과 비밀번호 인증만으로는 불충분하다는 것은 이미 많은 사람들이 인식하고있는 것이다. 그럼에도 불구하고 아직도 대부분의 경우에있어서,이 둘은 보안상의 중요한 도구로서 기능하고있다. 문제는 Equifax 와 Anthem , Target 을 비롯한 데이터 유출 사건을 배경으로 인터넷 암시장에서 사람들의 로그인 정보를 널리주고 있다는 점이다.
Google 은 바로이 문제를 해결하기 위해 오늘 (현지 시간 7/25) Google Next에서 컨텍스트 어웨어 사용자 인증 도구를 발표했다. 이 프로그램은 로그인 정보 이외의 요소를 감안하여 로그인을 시도하는 사용자가 정말 그 계정의 소유자인지를 판단 할 것이라고한다.
컨텍스트 어웨어 액세스하여 웹 서비스의 관리자는 사용자를보다 정확하게 인증하기위한 추가 정보를 설정할 수있게된다. "컨텍스트 어웨어 액세스를 사용하면 사용자의 신원과 위치, 요청의 컨텍스트 (문맥) 등에서 GCP API와 리소스 G Suite, 심지어 타사 SaaS 애플리케이션에 대한 액세스를보다 효율적으로 관리 할 수 있도록 될 것 "이라고 Google는 설명한다.
서비스에 액세스하려고하는 사용자에 대해 자세히 알아 보려면 사용자가 어디에서 로그인을 시도하고있다 모기장 로그인에 사용되는 컴퓨터의 IP 주소, 시간 등의 컨텍스트 정보를 파악하는 것이 중요하다. 그러면 지금까지의 사용자 행동에 비추어 정말 사용자가 계정의 소유자인지를 추측하기 쉬워진다.
이것은 기존의 보안 책임에 관한 생각의 정반대에 있다고 할 수 있겠다. Google은 지금까지처럼 사용자 만 신원 증명 책임을 지우는 것이 아니라 필요에 따라 운영자 측에 어느 정도의 책임 (및 제어)를 주려하고있다.
Google이이 보안 도구를 개발 한 배경에는 이제 사용자는 물리적 위치에 묶여 없게되어 있다는 현실이있다. 그들은 모바일 장치를 자주 사용하여 웹 응용 프로그램 및 클라우드 서비스를 이용하고 있기 때문에 (또한 위와 같은 데이터 유출 사건도 함께) 사용자 인증 장애물은 오르고있다.
이 프로그램은 2011 년부터 Google에서 일하고있다 " BeyondCorp 비전 '이라는 시책의 일환으로 그들의 목적은 사무실처럼 명확한 경계가있는 공간에없는 사용자를 지원한다. 모바일과 클라우드가 일반적으로 보급하기 전, 정해진 장소에서 시스템에 액세스하는 것이 일반적이었다. 따라서 만약 누군가가 외부에서 액세스하려고해도 즉시 침입자를 식별 쫓아 낼 수 있었던 것이다.
그러나 모바일과 클라우드의 등장으로 환경이 크게 바뀌었기 때문에, Google는 "제로 트러스트 '라는 개념을 내 세웠다. 이것은 서비스에있는 사용자를 한명도 신뢰하지 않는다는 전제로, 운영자는 보안 조치를 취해야한다는 생각이다. 사용자의 신원은 그 중심에 있다고 할 수 있는데, 비록 제로 트러스트 모델 하에서도 운영자는 누구나 서비스에 로그인하여 사업을 실시 할 구조를 갖춰야한다. 그래서 Google이 이번에 발표 한 도구를 사용하면 제로 트러스트 모델을 채용 한 운영자도 사용자 이름과 암호 외에 사용자를 인증하는 정보를 손에 넣을 수 있다는 것이다.
컨텍스트 어웨어 액세스는 현지 시간 7/25보다 VPC Service Controls 사용자에게 공개된다. Google에 따르면 곧 Cloud Identity & Access Management (IAM)과 Cloud Identity-Aware Proxy (IAP), Cloud Identity 사용자도이 툴을 사용할 수있게 될 것 같다.