피드로 돌아가기
GeekNewsSecurity
원문 읽기
Google Cloud Fraud Defense, reCAPTCHA의 다음 진화 단계
Device Integrity 기반의 QR 챌린지로 진화한 reCAPTCHA 보안 설계
AI 요약
Context
기존의 소프트웨어 기반 CAPTCHA가 AI 기반 봇에 의해 무력화되며 단순 텍스트/이미지 판별 방식의 한계 도달. 데스크톱 및 개방형 플랫폼의 낮은 신뢰도로 인해 기기 수준의 하드웨어 검증 체계가 필요해진 상황.
Technical Solution
- Google Play Services를 통한 기기 무결성 검증 기반의 신원 확인 체계 도입
- Play Integrity API를 활용하여 MEETS_DEVICE_INTEGRITY 수준의 인증된 Android 기기 여부 확인
- QR 코드 스캔을 통한 Cross-device 인증으로 봇의 자동화 공격 경로 차단
- Bluetooth 기반의 근접도 측정(Proximity Check)을 통해 두 기기의 물리적 동일 장소 체류 여부 검증
- Passkey 및 Google 계정 로그인을 결합하여 익명 사용자에서 인증된 신원 기반 사용자로 전환
- 하드웨어 Root of Trust를 활용한 기기 증명을 통해 소프트웨어 에뮬레이션을 통한 우회 가능성 제거
실천 포인트
- 단순 소프트웨어 챌린지 대신 Hardware-backed Attestation 도입 검토 - Cross-device 인증 설계 시 Bluetooth/NFC를 활용한 물리적 근접성 검증 로직 반영 - 기기 무결성 검증(Device Integrity) 시 Rooting 또는 커스텀 ROM 사용자에 대한 예외 처리 전략 수립 - QR 코드 기반 입력 인터페이스의 Zero-day URL 오염 가능성에 대비한 보안 필터링 적용