자바스크립트 화이트박스 암호와 크롬 라인 메신저의 보안 강화
DEVIEW 2023 네이버 · YouTube
AI 핵심 요약
브라우저에서는 암호 키를 안전하게 보관하기 어렵고, XSS나 변조된 클라이언트가 키에 접근할 수 있어 LINE은 크롬 메신저의 보안 강화를 추진했다. Web Crypto API의 저장·키 증명 제약을 보완하기 위해 화이트박스 암호 기반의 공통 보안 모듈 ATSM을 C++와 WebAssembly로 구현하고, 보안 파이프라인에 직접 제공했다. 이를 LINE 크롬의 로컬 데이터 암호화, 트랜잭션 서명, 종단 간 암호화 키 보호에 적용했으며, 키 패딩과 Curve25519 클램핑 문제는 키 블록과 룩업 테이블, 키 유도 함수로 해결했다. 화이트박스 암호는 공격 비용을 높이는 심층 방어 수단이지 단독 해결책은 아니며, 하드웨어 보안 기능과 함께 설계해야 한다는 점을 강조했다.
- 화이트박스 암호는 키를 알고리즘에 결합해 런타임 메모리에서도 평문 키가 드러나지 않도록 하지만, 완전한 보안을 보장하는 만능 해법은 아니다.
- Web Crypto API의 비추출 키도 브라우저 저장소에 저장될 때 파일 시스템에서 평문으로 남을 수 있으므로 저장 방식까지 확인해야 한다.
- C++로 구현한 암호 모듈을 WebAssembly로 컴파일하고 샌드박스 페이지에서 실행해 브라우저 확장 프로그램의 권한과 분리했다.
- 화이트박스 키를 직접 조작할 수 없는 제약은 신뢰된 환경에서 만든 키 블록과 룩업 테이블, 키 유도 함수로 우회할 수 있다.
- 보안 모듈을 서비스에 적용할 때는 키 내용을 노출하지 않으면서 해시 확인이나 테스트 키 주입을 지원하는 디버그 기능이 유용하다.
소개
[DEVIEW 2023] * 발표자 : 안상환(LINE) * 발표제목 : 자바스크립트 화이트박스 암호와 크롬 라인 메신저의 보안 강화 * DEVIEW 2023 바로가기: https://deview.kr/2023 #DEVIEW #DEVIEW2023 #데뷰 #데뷰2023
비슷한 학습 자료
컨퍼런스 DEVIEW 2023
SSR환경에서의 Micro-Frontend 구현과 퍼포먼스 향상을 위한 캐시전략
컨퍼런스 DEVIEW 2023
눈으로 보며 듣는 음성 기록, 클로바노트 서비스의 웹 기술 톺아보기
컨퍼런스 DEVIEW 2023
동형암호 기반 프라이버시 보존 CNN 알고리즘 개발 꿀팁 대방출
컨퍼런스 kt cloud Summit 2025
[Track2] Session_09_사이버 위협 대응을 위한 차세대 보안 기술 Trend - Cloud Native, Zero Trust 보안_전은철_kt cloud 보안아키텍처팀
컨퍼런스 kt cloud Summit 2026
[kt cloud summit 2026] kt cloud PLATFORM이 만드는 새로운 Cloud 보안 서비스｜kt cloud 보안아키텍처팀 전은철
컨퍼런스 kt cloud Summit 2026