CardanoWall에서 패스키를 제거하면 어떻게 됩니까?

패스키를 제거하면 CardanoWall은 현재 신원 볼트를 아직 보유한 요소로 다시 암호화하고, 기존 암호문을 영구 삭제합니다. 제거된 패스키는 그 이후에 존재하는 볼트를 더 이상 열 수 없습니다. 이것이 앞으로의 잠금 해제에 대한 진정한 폐기입니다.

다만 이는 소급되지는 않습니다. 그 패스키가 유효한 동안 이미 볼트를 여는 데 사용되었다면, 제거가 과거로 거슬러 올라가 이를 되돌릴 수는 없습니다. 이 경우에는 해당 신원을 단지 "요소 하나가 부족한" 상태가 아니라 침해된 것으로 취급합니다.

이 글에서는 무엇이 바뀌고 무엇이 그대로 남는지, 그리고 언제 제거만으로 충분하고 언제 새 신원이 필요한지 정확히 설명합니다.

패스키는 실제로 무엇을 보호합니까?

패스키는 호스팅된 신원 볼트에 대한 접근을 보호합니다. 그 이상도 그 이하도 아닙니다.

볼트는 계정이 소유한 신원 시드와 각 시드에 부여한 비공개 레이블을 담은 암호화된 묶음입니다. 등록하는 각 패스키는 그 묶음을 여는 하나의 잠금 해제 요소입니다. 서버는 자신이 읽을 수 없는 암호문만 저장하며, 이를 열 수 있는 것은 오직 패스키뿐입니다. (이 볼트가 어떻게 구성되는지에 대한 전체 그림은 CardanoWall이 신원을 저장하는 방식과 패스키가 신원 볼트를 보호하는 방식을 참고하십시오.)

여기서 중요한 구분은 이것입니다. 신원은 시드이지 패스키가 아닙니다. 패스키는 시드의 암호화된 사본을 여는 편리한 수단일 뿐입니다. 패스키를 제거하면 그 사본을 누가 열 수 있는지가 바뀌지만, 신원 자체는 바뀌지 않습니다.

제거 과정에서는 무슨 일이 일어납니까?

볼트가 남은 요소로 다시 암호화됩니다. 순서는 다음과 같습니다.

1. 유효한 요소로 볼트를 잠금 해제합니다.
2. CardanoWall이 선택한 패스키를 수신자 집합에서 제외합니다.
3. 브라우저가 남은 요소를 대상으로 볼트 암호문을 다시 만듭니다.
4. 현재 볼트 행이 새 암호문과 더 높은 버전 번호로 교체됩니다.
5. 기존 암호문이 영구 삭제됩니다.
6. 제거된 자격 증명 레코드가 삭제됩니다.

이 순서는 서버에서 강제됩니다. 볼트의 수신자 집합에 아직 나타나는 자격 증명은 삭제할 수 없습니다. 폐기는 반드시 실제여야 합니다. 제거된 패스키가 열 수 있는 암호문은 어떤 것도 살아남도록 허용되지 않으며, 결코 형식적이어서는 안 됩니다. 호출이 반환되고 나면 제거된 패스키는 여전히 존재하는 그 무엇도 열지 못합니다.

기존 암호문을 삭제하는 것이 왜 그렇게 중요합니까?

기존 암호문은 여전히 옛 요소로 열릴 수 있기 때문입니다.

볼트의 모든 과거 사본이 영원히 보관된다면 패스키 제거는 눈속임에 불과합니다. 제거된 요소가 여전히 더 오래된 볼트 버전을 복호화할 수 있고, 그 오래된 버전에는 바로 그 동일한 시드가 들어 있습니다. 스토리지에 그대로 놓여 있는 사본에 여전히 동작하는 키를 "제거"한 셈이 됩니다.

그래서 호스팅된 볼트는 추가 전용 이력이 아니라 교체되는 단일 현재 행으로 되어 있습니다. 요소 제거에 실질적인 효력을 부여하는 것은 바로 영구 삭제입니다. 실제 인프라에는 일반적인 백업 순환 기간이 존재할 수 있지만, 이 제품은 과거 볼트 암호문을 기능으로 보관하는 일이 결코 없도록 설계되었습니다.

마지막 패스키였다면 어떻게 됩니까?

그러면 볼트 자체가 삭제됩니다.

요소가 하나도 남지 않으면 CardanoWall은 등록된 그 무엇도 열 수 없는 암호문을 보관하지 않습니다. 계정은 시드 입력 경로로 되돌아갑니다. 즉, 신원 시드를 붙여 넣어 접근을 되찾습니다.

이는 시드를 저장해 두었다면 괜찮습니다. 저장해 두지 않았다면 위험합니다. 저장된 시드 없이 마지막 요소를 제거하면 해당 신원을 앞으로 사용할 수 없게 잠길 수 있습니다. 무언가 망가져서가 아니라, 다시 들어올 모든 길을 스스로 제거했기 때문입니다. 진짜 백업은 시드이며, 볼트는 그 위에 얹힌 편의 계층일 뿐입니다. (시드가 여전히 중요한 이유에서 이를 자세히 다룹니다.)

패스키를 제거하면 이미 게시한 증명에 영향이 있습니까?

없습니다. 게시된 Label 309 레코드는 체인에 그대로 남아 검증 가능한 상태를 유지합니다.

증명의 유효성은 현재 패스키, 현재 계정, 현재 볼트 상태에 의존하지 않습니다. 트랜잭션 참조를 가진 누구든 온체인 메타데이터와, 필요하다면 콘텐츠 바이트, 그리고 공개 Cardano 탐색기만으로 이를 검증할 수 있습니다. CardanoWall 로그인은 필요하지 않습니다. 패스키를 제거하기 전에 검증되던 증명은 제거한 뒤에도 똑같은 방식으로 검증됩니다.

패스키 제거는 앞으로의 신원 볼트 접근을 관장합니다. 이미 체인에 올라간 것은 무엇도 다시 쓰지 않습니다.

방금 패스키를 분실했습니다. 어떻게 해야 합니까?

신속하게 제거하십시오.

휴대폰, 노트북, 또는 하드웨어 보안 키를 분실했다면 패스키를 제거하는 것이 올바른 첫 조치입니다. 해당 요소 없이 볼트가 다시 암호화되고 나면 분실한 기기는 현재 볼트를 더 이상 열 수 없습니다.

분실한 요소가 다른 누군가에게 사용된 적이 결코 없다고 확신할 수 있다면 — 책상 뒤로 떨어진 키, 되팔기 전에 초기화된 휴대폰이라면 — 제거만으로 충분할 수 있습니다. 신원 교체는 필요하지 않습니다.

누군가 그것을 사용했을 가능성을 배제할 수 없다면 계속 읽으십시오.

패스키가 도난당해 사용되었을 수 있다면 어떻게 합니까?

위험을 진지하게 받아들이되, 도난당한 패스키만으로 할 수 있는 것과 할 수 없는 것이 무엇인지 정확히 파악하십시오.

도난당한 패스키 자체는 도난당한 시드와 같지 않습니다. 볼트를 열려면 공격자에게는 볼트 암호문(이는 인증된 세션 안에서만 오갑니다)과 인증 장치가 요구하는 사용자 확인 수단(생체 인증 또는 기기 PIN)도 필요합니다. 패스키 단독으로는 키를 가질 뿐, 그 키가 여는 암호문을 가지지는 않습니다.

하지만 공격자가 패스키를 제거하기 전에 — 탈취된 세션 안에서, 활성 볼트를 상대로 — 사용했을 수 있다면, 볼트를 열어 신원 시드를 읽었을 가능성이 있습니다. 시드가 한번 노출되면 신원은 완전히 침해됩니다. 시드를 가진 자는 모든 비공개 키를 파생하고, 그 신원으로 향한 봉인된 레코드를 복호화하며, 그 신원으로 새 레코드에 서명할 수 있습니다.

이 시나리오에서는 패스키 제거만으로 충분하지 않습니다. 폐기는 앞으로의 볼트를 보호할 뿐, 이미 빠져나간 시드의 노출을 되돌릴 수는 없습니다.

시드가 노출되었을 수 있다면 그 후에는 어떻게 해야 합니까?

새 신원으로 옮기십시오. 침해 대응은 기존 신원을 그 자리에서 재설정하는 것이 아니라 새로운 신원을 마련하는 것입니다. 시드와 신원은 영구적으로 묶여 있어 "시드를 바꾸는" 작업 자체가 존재하지 않기 때문입니다.

시드 노출을 배제할 수 없다면 다음을 수행합니다.

• 새 신원을 생성하고 새 신원 시드를 저장합니다;
• 거기에 새 패스키 요소를 등록합니다;
• CardanoWall에서 침해된 신원을 비활성화합니다(이는 새로운 서명과 게시를 차단하면서도, 그 신원으로 봉인된 것은 여전히 복호화할 수 있도록 둡니다);
• 기존 수신 주소 공유를 중단합니다;
• 기존 공개 키를 게시했던 모든 곳에 — 공개 프로필, 자체 사이트, DNS 레코드, .well-known, 연락처에 — 새 공개 키를 다시 게시합니다;
• 다운스트림 독자에게 도움이 되는 곳에는 대체 레코드를 게시합니다.

하나의 시드는 하나의 신원입니다. (활성, 비활성화, 삭제에서 각 수명 주기 상태를 단계별로 설명합니다.) 한 가지 솔직한 한계에 유의하십시오. 침해된 키로 이미 봉인된 것은 그 키를 가진 자가 여전히 복호화할 수 있습니다. Cardano와 Arweave는 이미 게시된 콘텐츠에 대한 폐기 수단을 두지 않습니다. 비활성화와 대체 포인터는 관련 당사자에게 보내는 신호일 뿐, 과거 데이터를 회수하는 것은 아닙니다.

버전 핀이란 무엇이며, 왜 존재합니까?

서버가 오래된 볼트를 재생하는 것에 대한 방어 장치입니다.

볼트 행에는 오직 증가만 하는 버전 번호가 담깁니다. 브라우저는 자신이 본 가장 높은 버전을 기억합니다. 침해된 서버가 더 오래된 볼트 암호문 — 이미 제거된 패스키가 여전히 열 수 있는 것 — 을 되돌려주려 하면, 클라이언트는 반환된 버전이 예상보다 낮음을 알아채고 이를 거부할 수 있습니다.

이는 시드 보관을 대체하는 것이 아니라 심층 방어입니다. 이것이 막는 것은 한 가지 특정 틈, 즉 제거된 요소를 상대로 한 오래된 볼트 재생입니다. 시드와 모든 잠금 해제 요소를 한꺼번에 잃는다면 이것으로 도움받을 수 있는 것은 없습니다.

요약

패스키를 제거하면 현재 신원 볼트가 남은 요소로 다시 암호화되고 기존 암호문은 영구 삭제됩니다. 제거된 패스키는 제거 이후에 존재하는 볼트를 더 이상 열 수 없습니다.

한 가지 주의 사항은 이것입니다. 그 요소가 유효한 동안 이미 사용되었을 수 있다면, 시드가 노출되었을 수 있다고 가정하고 새 신원으로 옮기십시오. 폐기는 미래를 보호합니다. 과거를 바꿀 수는 없습니다.

더 읽을거리

• 신원은 곧 시드입니다와 시드가 여전히 중요한 이유 — 모든 패스키 뒤에 있는 영속적인 산출물.
• CardanoWall이 신원을 저장하는 방식과 패스키가 신원 볼트를 보호하는 방식 — 볼트 구성의 세부 내용.
• 동기화 패스키 대 하드웨어 키 — 요소를 선택하고 각각의 복구 모델을 이해하기.
• 활성, 비활성화, 삭제 — 침해 대응 중에 사용하는 신원 수명 주기.
• Label 309 표준과 그 오픈소스 구현은 github.com/cardanowall에 있습니다. 이 표준은 Cardano CIP 절차에 제출되었으며 CIP 편집자의 검토를 받고 있습니다.