디지털 전환의 가속화와 함께 비밀번호 유출 사고가 빈번해지며, 기업 보안의 핵심 이슈로 부상하고 있다. 다중 시스템에 걸쳐 다양한 자격증명이 활용되는 환경에서, 비밀번호 확인 프로세스는 민감한 정보 노출의 위험성과 처리 속도의 병목이라는 이중 과제를 안고 있다. 특히, 대규모 사용자 기반을 보유한 기업일수록 빠르고 안전한 확인 메커니즘의 필요성이 증가하고 있다.

비밀번호 관리 솔루션 글로벌 기업 패스워크(Passwork)가 기업용 비밀번호 침해 탐지를 위한 혁신적인 확인 프로토콜을 발표했다. 이번에 공개된 기술은 난독화된 결정적 블룸 필터를 활용해 민감한 정보 노출 없이 밀리초 단위의 고속 확인을 실현한다.

패스워크는 “기존 방식은 해시 접두사 노출 등의 부분적 데이터 유출 우려가 있거나, 암호화 프로세스가 지나치게 느리고 복잡해 실사용에 부적합했다”고 밝히며, “새로운 프로토콜은 데이터 유출 가능성을 제거하고 1밀리초 이내 확인이 가능한 실용적 대안을 제공한다”고 설명했다.

클라이언트 기반 해시·서버 측 블룸 필터 구조로 보안성과 성능 확보

이 기술의 핵심은 사용자 비밀번호를 클라이언트 측에서 해시하고, 이에 노이즈 인덱스를 결합한 후 서버로 전송해 확인을 수행하는 구조다. 서버는 해시 기반 블룸 필터(Bloom Filter)로 구성되어 있으며, 약 6억 1300만 개의 침해된 비밀번호 데이터를 1.25GB의 메모리에 저장하고 있다. 블룸 필터는 특정 데이터가 집합에 존재하는지를 빠르게 확인하기 위한 확률적 자료구조로, 저장 공간을 적게 사용하면서도 빠른 탐색이 가능하다. 다만 오탐(False Positive)이 발생할 수 있고 누락(False Negative)은 발생하지 않는다. 보안에서는 URL 차단, 악성 코드 탐지 등에 활용된다.

서버는 쿼리를 분석하되 실제 비밀번호를 파악하지 못하며, 응답값을 클라이언트로 전달하면, 클라이언트가 최종 판단을 수행한다.

비노출·고속성·확장성 실현

해당 프로토콜은 네 가지 주요 혁신으로 평가된다. 첫째, 난독화 기술을 통해 서버가 사용자의 비밀번호 쿼리를 구별하지 못하게 하여 완벽한 개인정보 보호를 보장한다. 둘째, 밀리초 미만의 쿼리 시간으로 대규모 데이터셋에서도 실시간 검증이 가능하다. 셋째, 결정적 노이즈를 통해 여러 번의 쿼리에도 실제 인덱스를 추론할 수 없도록 설계되어 회복력을 높였다. 넷째, 복잡한 암호화 도구 없이 다양한 인증 시스템과 원활하게 연동할 수 있어 실용성과 확장성이 뛰어나다.

패스워크의 최고경영자 알렉스 문티안(Alex Muntyan)은 “이 기술은 비밀번호 보안의 진정한 혁신이며, 보안과 통제를 중요시하는 기업에게는 중대한 진전”이라며 “속도, 개인정보 보호, 확장성을 동시에 확보한 솔루션을 통해 기업들이 새로운 방식으로 자격증명을 보호할 수 있도록 했다.”라고 밝혔다.

이번 기술은 기업 보안 인프라, 인증 시스템, 비밀번호 관리자와의 통합이 용이하며, 기존 보안 설계에 직접 적용 가능한 구조로 설계되었다. 이에 따라 민감한 정보 노출 우려를 낮추고, 대규모 사용자 기반을 가진 조직의 실시간 보안 대응 역량을 향상시킬 수 있다.

패스워크는 이 기술을 통해 기업의 비밀번호 보안 기준을 재정의하고, 고속성·비노출·확장성이라는 세 가지 핵심 요소를 기반으로 기업 보안 시장에서의 입지를 더욱 공고히 할 계획이다. 이번 발표는 보안성과 사용자 경험 간의 균형을 실현한 기술로서, 실용성과 전략적 가치가 동시에 부각되고 있다.

[알림] GTT KOREA GTT SHOW는 오는 8월 12일 오후 2시부터 3시까지 “피해 큰 BFPdoor 같은 커널 기반 악성코드 막는 EDR과 마이크로세그멘테이션 실전 보안 전략”을 주제로 웨비나를 진행합니다. BPFdoor 같은 커널 기반의 악성코드가 사용하는 공격 기법과 침투 단계별 위협의 소개, EDR과 마이크로세그멘테이션이 어떻게 상호보완적으로 작동하여 침입 초기 탐지부터 내부 확산 차단까지 이어지는 보안 체계의 구축 전략과 새로운 형태의 변종 공격에 유연하게 대응하는 제로 트러스트 기반 보안 전략을 실전 사례와 함께 제시합니다.