Kaldera인증기가 보관함 키를 감쌉니다
내보낼 수 없는 키 저장소 안에서 PBKDF2-SHA256과 AES-GCM으로 보관함 키를 감싸, 잠금 해제를 플랫폼 인증기로 승인할 수 있게 합니다.
제품 / 잠금 해제와 복구
복구를 포기하지 않으면서 편한 잠금 해제
생체 인식과 하드웨어 키가 마스터 비밀번호를 대신할 수 있습니다. 이것은 번거로움을 줄일 뿐입니다. 보관함 키는 여전히 마스터 비밀번호와 비밀 키에서 파생되고, 24단어 복구 키트도 계속 쓸 수 있습니다.
무엇을 하는지
보관함으로 되돌아가는 서로 독립적인 두 경로
잠금 해제는 이미 가지고 있는 하드웨어에 맡길 수 있습니다. Windows Hello, Touch ID, Face ID, Android 생체 인식 또는 YubiKey 같은 FIDO2 키가 인증 단계를 충족할 수 있으므로, 매일 아침 긴 마스터 비밀번호를 입력하지 않아도 됩니다.
복구는 완전히 별개의 경로입니다. 마스터 비밀번호와 기기를 모두 잃었을 때 24단어 BIP-39 복구 구절로 보관함의 잠금을 해제하고 재설정할 수 있으며, 그것을 담은 긴급 키트는 업체가 아니라 사용자가 관리하는 파일에 적힙니다.
그 중간 경우를 위해 비밀번호 힌트가 있으며, 실제로 상기시킬 수 있도록 의도적으로 평문으로 저장됩니다. 그래서 제품은 여기에 비밀번호 자체를 넣지 말라고 경고합니다.
하드웨어 바인딩이 정확히 하는 일
근본적인 파생 방식은 바뀌지 않습니다
보관함 접근은 언제나 Argon2id를 통해 마스터 비밀번호와 비밀 키에서 파생됩니다. 하드웨어 바인딩은 그 위에 얹는 계층이지, 근본이 아닙니다.
인증기를 잃으면 편의성만 잃습니다
인증기를 잃거나 교체해도 보관함 파일과 백업, 그 안의 어떤 기록에도 영향을 주지 않습니다.
세 가지 비밀값을 정하는 곳
마스터 비밀번호, 계정 비밀 키, 긴급 키트는 설정할 때 사용자의 기기에서 한 번만 받습니다. 이들을 복구해 줄 서버 측 계정은 없습니다.
보안 아키텍처
TPM 2.0
Secure Enclave
BIP-39
편의가 끝나고 위험이 시작되는 지점
힌트는 힌트이지 백업이 아닙니다
하드웨어 잠금 해제는 기기에서 인증할 수 있는 사람이면 누구라도, 보안 키를 가진 사람이면 누구라도 보관함을 열 수 있습니다. 이것이 바로 그 기능의 목적이고, 그래서 기기와 키의 보안이 중요합니다. 비밀번호 힌트는 사용자에게 다시 읽어 들려 주기 위해 의도적으로 평문으로 저장되므로, 비밀번호 자체가 절 들어가면 안 됩니다. 복구 구절은 적어 두어 오프라인으로 보관해야 합니다. 그것을 읽은 사람은 누구나 보관함을 재설정할 수 있습니다.
Windows Hello
Windows에서 플랫폼 인증기는 TPM으로 뒷받침되며, 감싸는 키 자료는 그 경계를 벗어나지 않습니다.
macOS
macOS에서 플랫폼 인증기의 출력은 Secure Enclave로 봉인됩니다.
복구 키트
비밀번호와 기기를 모두 쓸 수 없을 때 24단어 복구 구절로 보관함의 잠금을 해제하고 재설정할 수 있습니다.
자주 묻는 질문
잠금 해제와 복구에 관해
하드웨어 잠금 해제를 켜면 보관함이 약해지나요?
암호화 방식이 아니라 보관함을 열 수 있는 사람이 달라집니다. 기록은 같은 키로 계속 암호화되어 있고, 접근 권한은 여전히 사용자의 마스터 비밀번호와 비밀 키에서 파생됩니다.
보안 키를 잃어버리면 어떻게 되나요?
마스터 비밀번호로 되돌아가게 되고, 그것까지 잃었다면 복구 키트를 씁니다. 보관함 자체는 영향받지 않습니다. 사라지는 것은 편의성뿐입니다.
복구 키트는 어디에 보관해야 하나요?
오프라인으로, 물리적으로, 몇 년 뒤에도 찾을 수 있는 곳에 두세요. 이것은 마스터 키입니다. 그것을 읽은 사람은 누구나 보관함을 재설정할 수 있습니다.