인증 방법은 사용자가 자신이 주장하는 해당 인물인지 확인하는 프로세스로, 사이버보안의 한 측면에 불과하기는 하지만 방어의 최전선에 해당합니다. 인증은 그 다음 단계인 ‘인가’와 혼동해서는 안 되며, 사용자가 수행하거나 액세스하려는 작업에 대한 권한 수준을 갖도록 디지털 아이덴티티를 확인하는 수단입니다.
비밀번호 에서 지문까지 다양한 인증 방법을 통해 액세스를 허용하기 전에 사용자의 아이덴티티를 확인할 수 있습니다. 이러한 조치로 보호 계층을 추가하고 데이터 침해 같은 보안 문제를 방지할 수 있지만, 일반적으로는 여러 유형의 인증을 결합하는 것이 잠재적 위협에 대한 시스템 보안을 더욱 강화합니다.
인증의 정의
사이버 보안 컨텍스트에서 인증은 리소스나 정보에 대한 액세스 권한을 부여하기 전에 사용자, 기기 또는 시스템의 아이덴티티 를 검증하고 확인하는 프로세스입니다. 이는 개인이나 엔티티가 허가된 민감한 데이터 만 액세스하거나 특정 작업만 수행하기 위한 1차적인 방어 보안 조치입니다.
인증의 주요 목적은 무단 액세스 를 방지하고 아이덴티티 도용, 데이터 침해, 랜섬웨어 공격 등의 악의적 활동으로부터 자산(예: 애플리케이션, 데이터, 시스템)을 보호하는 것입니다. 인증 정책을 구현하고 적용하는 데 사용되는 시스템은 규정 준수 조치를 지원하기도 합니다.
사이버 보안에서 인증의 중요성
인증은 조직 환경 내 거의 모든 디지털 자산을 보호하는 데 사용되며, 데이터를 보호하고 시스템을 유지하며 내부 정책과 외부 규정 을 준수하는 데 중요한 역할을 합니다. 인증이 조직의 전반적인 보안 태세에서 중요한 부분으로 꼽히는 이유 중 가장 자주 언급되는 몇 가지는 다음과 같습니다.
무단 액세스 방지
인증을 거치면 인가된 사용자만 시스템, 애플리케이션, 데이터에 액세스할 수 있습니다. 이는 인가되지 않은 개인이나 악의적인 행위자가 디지털 자산에 액세스하지 못하도록 보호하기 위한 기본 조치입니다.
민감한 데이터 보호
대부분의 조직은 HR팀에서 수집한 개인 식별 정보(PII), 회계팀에서 사용하는 금융 정보, 조직 내 여러 부서에서 생성 및 활용하는 지적 재산 등의 민감한 데이터를 생성, 저장하고 처리합니다.
인증 메커니즘은 액세스 권한을 부여하기 전에 아이덴티티를 검증하여, 인가되지 않은 액세스와 잠재적인 침해 로부터 이러한 정보를 보호하도록 지원합니다.
사이버 위험 완화
인증 프로세스에서는 사용자와 엔티티의 아이덴티티를 검증하여 아이덴티티 도용, 재정 손실, 운영 중단, 데이터 침해로 이어질 수 있는 사이버 공격 의 위험을 줄입니다. 다층적 접근 방식으로 관리되는 강력한 액세스 제어 를 통해 이러한 위협으로부터 방어가 가능합니다.
책임 부여 지원
인증 도구를 사용하면 모든 액세스 사례를 상세히 기록한 로그를 생성할 수 있습니다. 이를 통해 특정 사용자나 기기별로 특정 작업을 추적하여 어떤 개인이나 엔티티가 언제 어떤 리소스에 액세스했는지 확인할 수 있습니다. 이는 잠재적 문제 모니터링, 감사 및 조사, 보안 사고 발생에 따른 보고에서 중요한 역할을 수행합니다.
규정 준수 지원
인증은 일반데이터보호규정 (GDPR), 건강보험 정보 이전 및 그 책임에 관한 법률(HIPAA), 지불 카드 산업 데이터 보안 표준(PCI DSS), 사베인스 옥슬리법(SOX), 연방 정보보안 관리법(FISMA), 그램-리치-블라일리법(GLBA), ISO/IEC 27001 등의 다양한 규정과 표준뿐만 아니라 다수의 국제 보안 및 개인정보보호법에서 요구되는 사항입니다. 이러한 규정 및 법률에서는 조직이 민감한 데이터를 보호하고 개인정보보호를 보장하기 위해 강력한 인증 조치를 구현하고 유지하도록 의무화하고 있습니다.
신뢰 관계 강화
강력한 인증 메커니즘은 법률과 표준을 준수하도록 지원하며 사용자, 고객, 파트너 간의 신뢰 관계를 구축합니다. 강력한 인증 사용은 조직이 보안을 중요하게 여기며 데이터를 보호하기 위해 최선을 다하고 있음을 보여 줍니다.
소셜 엔지니어링 관련 위험 절감
소셜 엔지니어링은 악의적 활동을 수행하기 위한 공격 수단으로 심리적 조작을 이용하는 것을 가리킵니다. 이 경우 개인이 범죄 활동을 돕도록 속여 개인 또는 조직의 보안 프로토콜을 위반하게 만드는 기만 행위를 이용합니다.
다단계 인증(MFA) 같은 고급 인증 방법을 사용하면 침해된 자격 증명 같은 단일 실패 지점을 통해 사이버 공격자가 애플리케이션, 시스템 또는 데이터에 인가되지 않은 액세스 권한을 획득하지 못하도록 방지할 수 있습니다. 다층적 접근 방식은 공격자가 액세스 권한을 확보하는 것을 훨씬 더 어렵게 만드는데, 하나의 인증 계층이 침해되었더라도 다른 계층이 여전히 유지되기 때문입니다. 이러한 추가적인 검증 단계는 무단 액세스를 차단하는 데 매우 효과적인 것으로 입증되었습니다.
아이덴티티 관리 지원
인증은 아이덴티티 및 액세스 관리(IAM)에서 중요한 역할을 합니다. 인증을 사용하면 인가된 사용자만 시스템과 데이터에 액세스할 수 있으므로 조직이 사용자 아이덴티티를 관리하고 리소스에 대한 액세스를 제어할 수 있습니다. 아이덴티티 관리 시스템(IDMS)은 액세스 권한을 부여하기 전에 다단계 인증 같은 인증 방법을 사용하여 사용자의 아이덴티티를 검증합니다. 아이덴티티 서비스 공급자(IdP)는 MFA 및 싱글 사인온 (SSO) 같은 인증 시스템을 지원하는 데 사용되는 경우가 많습니다.
인증 유형
관련 요소에 따라 인증에는 지식 기반, 소유 기반, 고유성 기반의 세 가지 주요 유형이 있습니다. 각각 장단점이 있지만, 이러한 인증 유형을 함께 사용하면 인가되지 않은 액세스를 방지하는 강력한 보호를 구현할 수 있습니다.
지식 기반 인증(알고 있는 정보)
지식 기반 인증 은 사용자가 알고 있는 정보(예: 사용자 이름과 비밀번호 조합 또는 개인정보)를 사용하여 액세스가 허용되기 전에 아이덴티티를 검증하는 방식입니다. 지식 기반 인증에서 제공하는 보안 수준은 사용되는 유형에 따라 다르며, 이 인증 방식은 정적과 동적 두 가지 유형으로 나뉩니다.
정적 지식 기반 인증에서는 인증 시스템에 저장되어 있으며 사전 선택된 정보를 사용합니다. 정적 인증 요소의 예시로는 자격 증명 외에도 첫 번째 반려동물, 좋아하는 색상, 어머니의 결혼 전 성씨 같은 보안 질문이 있습니다. 정적 검증은 단순하다는 장점이 있지만, 질문이 일반적이기 때문에 사이버 공격자가 답을 찾아내기가 더 수월합니다.
동적 지식 기반 인증에서는 사용자를 인증하기 위해 무작위 질문을 생성하는데, 이 경우 사전에 답을 조사하기가 어려워지므로 보안이 강화됩니다. 동적 지식 기반 인증에서는 그때그때 질문을 생성하기 때문에, 사이버 공격자가 보안 시스템을 우회하는 데 필요한 정보를 예측할 수 없습니다. 이러한 질문은 수집된 신용 기록, 금융 정보, 공개 기록 등 다양한 데이터 소스에서 가져옵니다.
소유 기반 인증(보유하고 있는 것)
소유 기반 인증에서는 사용자가 실물로 소유하고 있는 특정 물체나 기기를 통해 아이덴티티를 검증합니다. 이러한 기기에는 하드웨어 토큰, 스마트 카드, USB 키, 그리고 일반적으로 스마트폰 같은 모바일 기기가 포함됩니다. 기기는 개별 사용자에게 등록되어 사용자의 아이덴티티와 연결되며, 사용자와 기기 간의 고유한 연결을 형성합니다.
설정이 완료되면 해당 기기는 인증 프로세스의 일부로 사용될 수 있습니다. 사용자가 리소스에 로그인하려고 할 때, 물체 자체나 그와 관련된 고유 식별자를 제시하도록 요청하는 식입니다. 예를 들어 토큰이나 스마트폰에서는 고유한 보안 코드를 제시할 수 있고, 스캐너는 사용자의 지문을 캡처하는 데 사용될 수 있습니다. 소유 기반 요소는 공격자가 기기를 확보하거나 도용하기 어렵기 때문에 한층 더 향상된 보호를 제공합니다.
고유성 기반 인증(개인 또는 조직의 특성)
고유성 기반 인증에서는 사용자의 지문, 음성, 홍채와 같이 복제하거나 위조하기가 거의 불가능한 고유한 생체 특성을 이용하여 아이덴티티를 검증합니다. 매우 안전한 인증 방법이지만, 몇 가지 한계점도 있습니다.
고유성 기반 인증의 가장 큰 우려 사항 중 하나는 개인정보보호입니다. 이 방식을 활용하려면 개인의 특성을 수집하고 저장해야 하기 때문입니다. 고유성 기반 인증의 또 다른 단점은 구현과 관련되어 있습니다. 이러한 유형의 인증은 데이터를 캡처하고 처리할 수 있는 특수 기기를 필요로 하며, 이러한 시스템은 비용이 많이 들고 지원도 복잡할 수 있습니다.
인증 방법
인증을 사용하면 유효하지 않은 사용자가 데이터베이스, 네트워크 및 기타 리소스에 액세스하는 것을 방지할 수 있습니다. 이러한 인증 유형은 사용자의 아이덴티티를 확인하기 위해 검증용 자격 증명의 범주인 요소를 사용합니다. 몇 가지 인증 방법은 다음과 같습니다.
단일 요소/1차 인증
단일 요소 인증은 역사적으로 가장 일반적인 형태의 인증으로, 전체 시스템 액세스를 위해 하나의 요소만 필요로 하기 때문에 가장 안전하지 않은 방식이기도 합니다. 이때 요구하는 요소는 사용자 이름 및 비밀번호, PIN 번호 또는 다른 간단한 코드일 수 있습니다. 단일 요소 인증 시스템은 사용자 친화적이지만 피싱, 키 로깅, 또는 단순한 추측만으로 침투하기도 비교적 쉽습니다. 통과해야 할 추가 인증 게이트가 없기 때문에 이 방식은 공격에 매우 취약합니다.
2단계 인증(2FA)
2단계 인증 에서는 검증을 위한 두 번째 요소를 추가함으로써 보안을 강화합니다. 이는 기본적으로 사용자가 실제로 로그인하려는 사용자 본인인지 이중으로 확인하는 추가적인 보안 계층으로, 보안 침해를 훨씬 더 어렵게 만듭니다. 이 방법에서는 사용자가 1차 인증 자격 증명(앞서 언급한 사용자 이름/비밀번호 등)을 입력한 후, 추가적인 식별 정보를 입력해야 합니다.
2단계 인증은 일반적으로 더 어렵습니다. 유효한 사용자가 액세스할 수 있지만 해당 시스템 자체와는 관련이 없는 무언가를 요구하는 경우가 많기 때문입니다. 가능한 2단계 인증 요소로는 인증자 앱에서 생성된 일회용 비밀번호, 푸시 알림이나 SMS 코드를 받을 수 있는 전화번호나 기기 또는 지문(Touch ID), 얼굴(Face ID)이나 음성 인식 같은 생체 인식 이 있습니다.
2FA는 시스템이나 리소스 침해 위험을 최소화해 줍니다. 잘못된 사용자가 두 가지 인증 요소를 모두 알고 있거나 그에 액세스할 가능성이 낮기 때문입니다. 이러한 이유로 2단계 인증이 더 널리 도입되고 있지만, 사용자에게 약간의 불편을 초래할 수 있다는 점도 구현 시 고려해야 합니다.
싱글 사인온(SSO)
SSO를 사용하면 사용자가 하나의 애플리케이션에만 로그인해도 여러 다른 애플리케이션에 액세스할 수 있습니다. 이 방법은 사용자가 여러 개의 자격 증명을 기억할 필요가 없고, 작업 세션 중에 더 원활한 경험을 제공하기 때문에 더 편리합니다.
조직은 중앙 도메인(가장 이상적으로는 IAM 시스템)을 식별하고, 리소스 간에 안전한 SSO 링크를 생성함으로써 이를 구현할 수 있습니다. 이 프로세스는 도메인을 통해 모니터링되는 사용자 인증을 허용하며, 싱글 사인오프(Single Sign-Off)를 활용하면 유효한 사용자가 세션을 종료할 때 연결된 모든 리소스와 애플리케이션에서 로그아웃되도록 할 수 있습니다.
다단계 인증(MFA)
다단계 인증은 사용자의 합법성을 확인하기 위해 시스템과 무관한 여러 요소를 사용한다는 점에서 신뢰도가 높은 방법입니다. 2FA와 유사하게 MFA는 생체 인식 정보, 기기 기반 확인, 추가 비밀번호뿐만 아니라 위치나 행동 기반 정보(예: 키 입력 패턴 또는 타이핑 속도) 등의 요소를 사용하여 사용자의 아이덴티티를 확인합니다. 하지만 2FA는 항상 두 가지 요소만 사용하는 반면 MFA는 두 가지나 세 가지 요소를 사용할 수 있으며, 세션마다 다른 요소를 사용할 수도 있어 잘못된 사용자의 액세스를 더 어렵게 만듭니다.
일반적인 인증 요소
각 인증 요소는 특정 보안 제어 카테고리에 속합니다. 보안 분석가는 요구사항, 가용성, 비용, 구현 용이성 등을 기반으로 각 카테고리의 요소를 선택합니다. 서로 다른 카테고리의 요소를 조합하면 악의적인 행위자가 여러 요소를 동시에 획득하거나 도용하기 어려워지므로 전반적인 보안 태세가 크게 향상됩니다. 주요 인증 요소 카테고리는 다음과 같습니다.
비밀번호
비밀번호 는 지식 기반 인증의 한 형태입니다. 사용자는 자신의 아이덴티티를 검증하기 위해 사용자 이름과 비밀번호 조합으로 구성된 자격 증명을 입력해야 합니다. 이러한 자격 증명은 사용자의 자격 증명 데이터베이스와 대조하여 검증됩니다.
자격 증명은 IT 또는 보안 팀에서 발급하거나, 사용자가 처음으로 서비스에 액세스할 때 설정됩니다. 민감한 시스템 및 데이터에 대한 자격 증명은 일반적으로 IT 또는 보안 팀에서 발급하는 반면, 은행, 스토어, 서비스 같은 계정의 자격 증명은 사용자가 직접 설정하는 경우가 많습니다.
자격 증명이 저장된 데이터베이스를 보호하는 것 외에도, 비밀번호를 인증 수단으로 사용하는 보안 전략은 비밀번호 정책의 수립과 시행을 기반으로 합니다. 이러한 정책의 핵심은 강력한 비밀번호를 사용하는 것입니다.
연방 정부의 사이버 보안 및 인프라 보안국(CISA)에서는 강력한 비밀번호를 위해 이상적으로는 16자 이상의 긴 비밀번호를 사용할 것을 권장합니다. 또한 대문자와 소문자, 숫자, 기호를 조합하거나, SharkIceCardPurple 같은 패스프레이즈를 사용하는 등 무작위성을 갖추는 것이 좋습니다. CISA는 또한 각 계정마다 서로 다른 비밀번호를 사용하여 고유성을 유지할 것을 권장합니다.
PIN
개인 식별 번호(PIN) 인증에서는 숫자 코드나 비밀번호를 사용하여 사용자의 아이덴티티를 인증합니다. PIN은 소유 기반 인증의 일부로 사용되는 경우가 많습니다. PIN은 동적으로 생성되어 기기에 표시되며, 사용자가 인증 프로세스에서 이를 입력하게 됩니다. PIN이 지식 기반 인증으로 사용되는 일반적인 사례는 ATM이나 스마트폰, 태블릿 같은 모바일 기기입니다.
보안 토큰
보안 토큰은 소유 기반 인증에 사용되며, 하드웨어 기반 또는 소프트웨어 기반일 수 있습니다. 하드웨어 기반 보안 토큰의 예로는 USB 토큰, 스마트 카드, 시간 제한 코드가 표시되는 휴대용 기기, 비접촉 인증을 위한 근거리 무선 통신(NFC) 토큰, 근접 시 기기와 페어링되어 인증할 수 있는 Bluetooth 토큰을 들 수 있습니다. 소프트웨어 기반 토큰에는 모바일 인증 앱, 문자 메시지나 이메일로 전송되는 일회용 코드, 사용자가 로그인 시도를 확인해야 하는 푸시 알림, 웹 기반 인증을 위해 일회용 비밀번호를 생성 및 관리하는 브라우저 확장 프로그램이 포함됩니다.
생체 인식
생체 인식 인증은 개인의 고유한 신체적 또는 행동 특성을 활용하여 아이덴티티를 검증하기 때문에 비밀번호나 PIN보다 강력한 인증 요소로 간주됩니다. 이러한 특성은 위조하거나 도용하기 어렵기 때문입니다.
생체 인증 요소의 유형으로는 지문, 얼굴 인식, 손 모양, 홍채 인식, 망막 스캔, 음성 인식, 걸음걸이 분석, 정맥 패턴, DNA 매칭, 귀 모양 인식 등이 있습니다. 사용자는 인증 프로세스에서 자신의 생체 인식 정보를 제시하고, 이러한 정보는 사전에 제공된 기록과의 비교를 거칩니다.
생체 인식 인증은 다양한 액세스 제어 용도로 사용됩니다. 예를 들면 스마트폰에 액세스하기 위한 얼굴 인식, 컴퓨터 시스템 액세스를 위한 지문 인식, 보안 건물이나 구역에 출입하기 위한 망막 또는 손 모양 스캔, 전화로 계정 정보에 액세스하기 위한 음성 인식 등이 있습니다.
위치
지리적 위치를 인증 요소로 사용하면 인터넷 프로토콜(IP) 주소, 위성 항법 시스템(GPS) 좌표, 네트워크 정보를 사용하여 사용자의 액세스 요청이 예상되거나 신뢰할 수 있는 위치에서 발생했는지 판단할 수 있습니다. 위치 기반 인증에서는 일반적인 로그인 위치의 기준선을 설정하고, 이상 징후가 감지되면 추가 인증을 실행합니다.
행동
행동 기반 인증은 기타 유형과 달리 지속적인 아이덴티티 검증을 지원합니다. 사용자 행동의 기준선을 설정하며, 사용자가 기기나 애플리케이션과 상호작용하는 방식에서 벗어나는 활동을 감지하기 위해 모니터링을 수행합니다. 예를 들어, 키 입력 분석에서는 사용자가 타이핑할 때의 속도와 키를 누르는 압력 등 고유한 타이밍 패턴을 감지합니다. 마우스 움직임 또한 사용자가 일반적으로 화면을 탐색하는 방식을 추적하고 분석할 수 있습니다. 행동 분석 도구를 사용하면 사용자가 기기를 잡는 방식과 움직이는 방법, 예를 들면 손의 힘이나 각도까지 추적할 수 있습니다.
가장 일반적인 인증 프로토콜
인증 프로토콜은 엔드포인트(노트북, 데스크톱, 전화기, 서버 등)나 시스템이 통신에 사용하는 상호작용 및 검증을 위해 지정된 규칙입니다. 표준과 프로토콜은 사용자가 액세스해야 하는 다양한 애플리케이션만큼이나 많이 존재합니다.
조직에 적합한 인증 프로토콜을 선택하는 것은 보안 운영과 사용 호환성을 확보하는 데 필수적입니다. 가장 일반적으로 사용되는 몇 가지 인증 프로토콜은 다음과 같습니다.
비밀번호 인증 프로토콜(PAP)
일반적으로 사용되기는 하지만, PAP는 주로 미흡한 암호화로 인해 사용자 검증을 위한 프로토콜 중 가장 보안 수준이 낮습니다. 기본적으로 주어진 시스템에 액세스하기 위해 사용자 이름과 비밀번호 조합을 요구하는 일반적인 로그인 프로세스이며, 이를 통해 제공된 자격 증명을 검증합니다. 현재는 서버와 데스크톱 또는 원격 기기 간의 통신 시 마지막 수단으로 사용되는 경우가 많습니다.
챌린지 핸드셰이크 인증 프로토콜(CHAP)
CHAP는 ‘암호’의 3단계 교환을 통해 더 높은 수준의 암호화를 사용하여 특정 네트워크에 대해 사용자를 검증하는 아이덴티티 검증 프로토콜입니다. 먼저 로컬 라우터가 원격 호스트에 ‘챌린지’를 전송하고, 그런 다음 원격 호스트가 MD5 해시 함수를 사용한 응답을 보냅니다. 라우터는 이를 예상된 응답(해시값)과 비교하여 일치 여부를 확인하고, 일치 여부에 따라 인증된 연결(‘핸드셰이크’)을 설정하거나 액세스를 거부합니다. 라우터가 세션 중 언제든 챌린지를 보낼 수 있기 때문에 CHAP는 본질적으로 PAP보다 더 안전합니다. PAP는 초기 인증 승인 시에만 작동하기 때문입니다.
확장 가능한 인증 프로토콜(EAP)
이 프로토콜은 일회용 비밀번호에서 스마트 카드에 이르기까지 다양한 인증 유형을 지원합니다. 무선 통신에 사용할 경우 EAP는 가장 높은 수준의 보안을 제공합니다. 주어진 액세스 포인트와 원격 기기가 기본적으로 제공되는 암호화를 통해 상호 인증을 수행할 수 있기 때문입니다. EAP는 자격 증명을 요청하는 액세스 포인트에 사용자를 연결하고, 인증 서버를 통해 아이덴티티를 확인한 후, 서버를 통해 다시 확인하기 위해 추가적인 사용자 식별 양식을 요청합니다. 이러한 프로세스를 통해 인증이 완료되며, 모든 메시지는 암호화된 상태로 전송됩니다.
Kerberos
Kerberos는 네트워크 인증에 사용되는 프로토콜로, 암호화 키를 사용하여 티켓을 생성합니다. 티켓이 발급되면 Kerberos는 비밀번호 대신 네트워크 세션 동안 클라이언트와 서버의 아이덴티티를 검증하는 데 사용됩니다. 대규모 환경에서 SSO를 지원하는 데 사용되는 경우가 많습니다.
LDAP
경량 디렉토리 액세스 프로토콜(LDAP)은 인증 서버 같은 디렉토리 정보를 관리하고 유지하는 데 사용되는 개방형 표준 프로토콜입니다. 애플리케이션이 인증을 위해 사용자 정보를 빠르게 쿼리할 수 있기 때문에, 조직의 사용자 자격 증명을 관리하는 데 폭넓게 사용됩니다.
OAuth 2.0
OAuth(Open Authorization) 2.0은 사용자를 대신해 웹사이트나 애플리케이션이 다른 웹 앱에서 호스팅된 리소스에 액세스하는 데 사용되는 업계 표준 인가 프레임워크입니다. 액세스는 각 사용자에 인가된 작업으로 제한됩니다. OAuth 2.0의 가장 큰 장점은 클라이언트 앱이 사용자를 대신해 작업을 수행할 수 있으며, 인증 정보 교환 과정이 애플리케이션 프로그래밍 인터페이스(API)를 통해 처리되고 인증 토큰이 전달되기 때문에 사용자가 자신의 자격 증명을 직접 공유할 필요가 없다는 것입니다.
RADIUS
원격 인증 다이얼인 사용자 서비스(RADIUS)는 중앙 집중식 인증 및 내역 관리 기능을 제공하는 네트워크 프로토콜입니다. 원격 사용자는 이를 통해 가상 사설망(VPN) 서버에 액세스할 수 있으며, VPN 서버는 원격 사용자의 요청을 받아 사설 네트워크에 대한 안전한 연결을 설정합니다.
SAML
보안 어설션 마크업 언어(SAML)는 아이덴티티 공급자(IdP)와 서비스 공급자 간의 인증 및 인가 데이터를 교환하기 위한 개방형 표준 XML 기반 프로토콜입니다. 이는 서비스 공급자 간의 싱글 사인온(SSO) 인증을 지원합니다.
