토큰화 – usecurity.net

I. 모바일 결제 보호를 위한, 토큰화((Tokenization)의 개요

1) 토큰화 (Tokenization) 의 정의

– 보호할 데이터를 토큰(Token)으로 치환하여 원본데이터 대신 토큰을 사용하는 기술
– 신용카드 번호를 난수로 이루어진 암호(토큰)로 변환해 저장함으로써 해당 카드 정보가 유출되어도 부정사용을 막는 기술
※ 개인정보의 유출 위험이 있는 전송 과정과 저장 단계에서 개인정보 데이터를 치환한 토큰 데이터만을 전송하고 저장함으로서 개인정보를 보호하는 접근법

2) 기존 결재의 취약점 및 사고 사례

구분	사고 유형	사고 사례
온라인	결제서버 등 카드정보가 집약된 서버 해킹을 통해 신용카드번호를 외부로 유출	– (업체) 하트랜드 Payment 시스템(온라인 지불결제 솔루션 사업자) – (결과)‘07년부터 약 2년간 1억3천만건의 신용카드 정보를 도난당함 – (기법) SQL-인젝션해킹을 통해 거래정보를 외부로 지속적 유출 – (피해) 약 1482억원
오프라인	매장에 설치된 POS를 해킹하여 카드정보 등 유출	– (업체) Target사(대형 오프라인 쇼핑몰) – (결과) ’12년 11월경 개인정보 7천만건, 카드정보 4천만건 유출 – (기법) Target사 서버를 해킹하여 자사 POS에 악성코드를 일괄삽입 – (피해) 배상금액 기준 3조 8천억원 추산

– 기존의 카드복제방지에서 벗어나 카드정보 전처리 구간에서 유출을 방지하는 근본적 대책이 필요
– 토큰화가 그 해법으로 제시

3) 토큰화의 장점

모바일 결제	스마트기기에서 디지털 결제 가능
편의성 향상	소비자가 카드정보를 입력하는 번거로움 사라짐
보안성 향상	불법카드 복제, 위변조 차단 가능, 보안이 취약한 상점 단말기 내부에 신용카드 저장 불필요
보안관리의 단순화	분산 저장되는 개인정보들이 토큰 서버에 통합 관리됨에 따라 보안 노력을 토큰 서버에만 집중하면 됨
보안요구사항 충족	PCS-DSS의 카드정보 저장,연산,정송 시 보호조치 강구에 요구사항 만족

II. 토큰화 기술의 구성도 및 유형

1) 토큰화 기술의 구성도

① 신용카드를 소유하고 있는 소비자가 상점에서 신용카드를 제시
② 상점의 단말기(POS; Point Of Sale)는 토큰 서버에게 암호화된 통신 채널을 통해 신용카드 번호를 전송
– 신용카드번호를 수신한 토큰 서버는 신용카드번호를 대체할 수 있는 토큰 데이터를 생성하여 토큰 데이터와 신용카드번호의 쌍을 내부의 저장소에 저장
③ 토큰 데이터를 상점 단말기에게 알려준다
④ 상점의 단말기는 카드번호를 이용하는 응용 서버에게 토큰 번호를 전달
⑤ 응용 서버는 데이터 처리 시 신용카드번호를 대체한 토큰 번호를 이용
⑥~⑨ 토큰 번호와 연결된 실재 신용카드번호가 필요할 때에는 토큰 서버에게 요청하여 신용카드 번호를 확인
– 결제토큰 기술은 부정거래 방지를 목적으로 개발되어, 토큰의 유효성 검증을 위한 절차, 구성 등이 매우 중요

2) 토큰화 유형

토큰방식	내용	토큰검증값
일회형	발생 시점부터 정해진 시간내 카드사에 승인요청으로 전달되어야 정상토큰으로 활용 가능	생성시간, 토큰카드번호에 대한 무결성 보장을 위해 해쉬알고리즘을 적용
고정형	구성된 토큰은 카드사에 전달되어 토큰 카드번호, 카드유효기간 등이 변경되지 않음 확인	고정형 토큰카드번호, 유효기간 등 카드관련 정보에 암호학적 방식이 적용되어 토큰검증값이 생성되며 이때 토큰검증값은 매 거래 시 마다 변경

– 토큰카드번호는 신용카드번호를 변환한 값이며, 토큰검증값은 토큰의 유효성을 확인하기 위한 값

III. 토큰화 기술의 보안요구 사항

1) 토큰기술의 보안요구사항

IV. 토큰화 기술의 적용 사례 및 고려사항

1) 토큰화 기술의 적용 사례

서비스	규격	구현방식
애플페이	단일(EMV)	비밀번호, 지문정보, 단말기 계정정보가 시큐어엘리먼트(SE)라는별도 하드웨어 보안구역에서 처리된다. 애플페이는 카드 등록 시 본인확인 과정이 없어 도난 카드가 활용되는 수단으로 악용 가능
삼성페이	복합(국내독자규격+EMV)	삼성페이 구동앱은 녹스(Knox) 플랫폼에 저장돼 일반앱과 구분하며, 토큰과 인증시드값은 스마트폰칩 제조사인 ARM이 고안한 트러스트존 내에 저장
안드로이드페이	단일(EMV)	토큰화한 결제 정보를 보호하도록 SW로 구현한 호스트카드에뮬레이터(HCE) 기술을 이용한다. 토큰화한 결제 정보는 구글 클라우드에 저장된다. 결제 시 정보를 내려 받아 활용