암호화, 키 관리, 저장

DEEP DIVE

원리와 영향을 이해하세요.

알고리즘 이름만으로 줄어드는 위험을 설명할 수는 없습니다. 주소 저장과 배송 예시로 키와 데이터 흐름을 살펴봅니다.

데이터와 암호화 키 분리

봉투 암호화 예시는 DEK로 개인정보를 암호화하고 KEK로 DEK를 보호합니다. 인증된 암호화를 사용하고 변조 데이터는 이용 전에 거부합니다.

DEK / KEK

DB 접근 권한이 KMS 관리 키 접근까지 허용해서는 안 됩니다.

nonce / authentication tag

AES-GCM에서 nonce 재사용을 피하고 인증 태그 검증 실패를 거부합니다.

추가 인증 데이터(AAD)

tenant_id, record_id, schema_version을 연결하여 암호문 바꿔치기를 탐지합니다.

키 교체

KEK 교체 시 DEK 재래핑과 DEK 교체 시 데이터 재암호화를 구별합니다.

CLOUD KEY MANAGEMENT

키 보관을 위한 클라우드 키 서비스.

주소 Vault의 KEK는 Azure Key Vault에서 관리합니다. 데이터 암호화 키(DEK)를 보호하는 키의 사용 권한과 DB 접근을 분리합니다.

Azure

Azure Key Vault를 사용하며 전용 HSM 환경이 필요하면 Azure Managed HSM을 선택합니다.

AWS

현재 DEV 제품은 Azure의 배송 주소 API입니다. 메일 발송, 신분증 이미지, OCR과 AWS KMS 연동은 포함되지 않습니다. 일반 설계 예시와 제공 기능을 구분해 주세요. 저장 위치, 운영 책임과 추가 연동은 도입 시 확인합니다.

OneNym의 역할

클라우드 키 관리와 업무별 규칙을 결합하여 누가 어떤 데이터를 어떤 목적으로 언제까지 조회할 수 있는지 제어합니다.

암호문과 래핑된 DEK를 저장하고 평문 DEK를 영구 보관하지 않습니다. 키 이용 권한이 침해되면 복호화가 가능하므로 데이터, 키, 관리 접근을 분리합니다.

복호화 경로 최소화

DB 연결과 복호화 권한을 분리합니다. 승인된 작업만 필요한 필드를 복호화하여 불필요한 개인정보가 응답, 로그, 예외에 들어가지 않도록 합니다.

필드별 응답

배송에 필요한 주소 등 허용된 필드만 반환합니다.

관리자 접근

강력한 인증, 시간 제한, 감사 기록으로 일반 작업과 긴급 작업을 분리합니다.

검색 설계

암호화된 필드의 검색은 별도 설계가 필요합니다. 검색 해시에도 매칭과 추측 위험이 있습니다.

삭제, 백업, 복구

목적별 보유 기간을 정합니다. 원본, 복제본, 백업, 파트너의 삭제를 추적합니다. 복구 후 삭제 기록을 다시 적용해 삭제 데이터의 재등장을 막습니다.

삭제 완료

논리 삭제, 물리 삭제, 키 파기를 별도로 기록합니다.

키 파기

백업을 포함한 모든 복구 가능한 복사본을 제거할 수 있을 때 전용 키를 고려합니다. 공유 키 파기는 다른 레코드에도 영향을 줍니다.

복구 목표

RPO와 RTO를 정하고 실제 복구를 시험합니다.

감사 로그

행위자, 작업, 대상 참조, 시간, 결과를 기록합니다. 개인정보나 원본 토큰은 로그에 남기지 않습니다.

DATA / INTEGRATION EXAMPLE

데이터 및 연동 예시

설계를 설명하는 예시입니다. 필드명과 값은 설명용이며 실행 가능한 API 명세가 아닙니다.

{
  "operation": "Vault record metadata example",
  "record": {
    "tenant_id": "tenant_a",
    "record_id": "rec_example_01",
    "schema_version": 1,
    "ciphertext": "<encrypted bytes>",
    "wrapped_dek": "<wrapped key>",
    "kek_version": "key-version-2",
    "retention_until": "<agreed retention date>",
    "status": "active"
  }
}

저장 구조를 설명하는 예시입니다. nonce와 태그는 암호 라이브러리 형식을 따릅니다. 암호화만으로 정당한 복호화 권한의 악용을 막을 수는 없습니다.

관련 기술 설계

업무에 맞춘 연동 설계.

보유 데이터, 파트너, 필요한 작업을 정리해 노출을 줄일 방법을 찾습니다.