피드로 돌아가기
Dev.toSecurity
원문 읽기
Tauri와 AES-256-GCM 기반의 로컬 전용 보안 자격 증명 Vault 설계
I built a local-only credential vault because every dev team I worked with stored PATs in Notepad
AI 요약
Context
개발자의 PAT 및 API Key를 메모장 등에 평문 저장하여 발생하는 보안 노출 위험 확인. Cloud 기반 Password Manager의 오버헤드와 기업 보안 정책에 따른 설치 제한 및 OS Keystore의 UI 부재로 인한 사용성 한계 직면.
Technical Solution
- OS WebView를 활용한 Tauri 프레임워크 채택으로 Electron 대비 설치 파일 크기를 150MB에서 10MB 미만으로 최적화
- React 프론트엔드와 Rust 백엔드 간의 명시적 Command 기반 권한 제어로 시스템 접근 최소화 및 메모리 안전성 확보
- AES-256-GCM 알고리즘 적용을 통한 데이터 암호화 및 128-bit 인증 태그 기반의 데이터 위변조 탐지 구조 설계
- Argon2id 기반 Key Derivation을 통한 마스터 패스워드의 비저장 방식 구현 및 무작위 Salt 기반 암호화 키 생성
- 30초 후 자동 삭제되는 Clipboard 로직과 Hold-to-View 인터페이스 설계를 통한 화면 노출 시간의 원천적 차단
실천 포인트
1. 보안 민감 데이터 처리 시 단순 암호화를 넘어 Authenticated Encryption(GCM 등) 적용 여부 검토
2. 마스터 패스워드 저장 대신 Argon2id와 같은 KDF를 통한 키 유도 방식 채택
3. Electron 대비 리소스 효율이 필요한 데스크톱 앱의 경우 Tauri 기반의 OS WebView 활용 고려
4. 토글 방식보다 Hold-to-View와 같은 능동적 제어 인터페이스를 통한 데이터 노출 최소화