8-1 PAYMENT CARD SECURITY Oauth 2.0 Protocol Flow

ECOSYSTEM OF PAYMENT DEVICES, APPLICATIONS, INFRASTRUCTURE AND USERS

1. ์˜คํ”„๋ผ์ธ ํŒŒํŠธ๋„ˆ ๋งค์žฅ์—์„œ โ€œShopBackโ€ ์„ ์ œ๊ณต๋ฐ›๊ธฐ ์œ„ํ•ด์„œ๋Š” ์‚ฌ์šฉํ•˜๋Š” ์‹ ์šฉ์นด๋“œ ๋˜๋Š” ์ง๋ถˆ์นด๋“œ๋ฅผ DONA ๋ชจ๋ฐ”์ผ APP์— ๋“ฑ๋กํ•ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. ๋งŽ์€ ์œ ์‚ฌํ•œ ์นด๋“œ ์—ฐ๋™ ์•ฑ์ด ์‚ฌ์šฉ์ž์˜ ์†Œ๋น„ ์Šต๊ด€๊ณผ ๊ฐœ์ธ ์ •๋ณด๋ฅผ ๋ณผ ์ˆ˜ ์žˆ๋‹ค๋Š” ๊ฒƒ์„ ์‚ฌ๋žŒ๋“ค์€ ๋ชจ๋ฆ…๋‹ˆ๋‹ค. DonaBlock์€ ์†Œ๋น„์ž์˜ ๊ฐœ์ธ ์ •๋ณด๋ฅผ ์ˆ˜์ง‘ ๋ฐ ํŒ๋งคํ•˜์ง€ ์•Š์œผ๋ฉฐ, ์นด๋“œ ์‚ฌ์šฉ ๊ณผ์ •์—์„œ ์ˆ˜์ง‘๋˜๋Š” ์ •๋ณด๋Š” ์•ˆ์ „ํ•˜๊ฒŒ ๋ณดํ˜ธํ•ฉ๋‹ˆ๋‹ค. ์†Œ๋น„์ž๊ฐ€ ํŒŒํŠธ๋„ˆ ๋งค์žฅ์—์„œ ์‡ผํ•‘ํ•  ๋•Œ ํŒ๋งค์ž๋กœ๋ถ€ํ„ฐ ๋ฐ›๋Š” โ€œShopBackโ€ ์„ DonaBlock Token์œผ๋กœ ์ „ํ™˜ํ•˜๋Š” ๋ฐ ํ•„์š”ํ•œ ์ •๋ณด๋งŒ ์‚ฌ์šฉํ•ฉ๋‹ˆ๋‹ค. ๊ฐ€์žฅ ์‹ ๋ขฐ ์žˆ๋Š” ๋ณด์•ˆ์„ ์œ„ํ•ด ์‹ ์šฉ์นด๋“œ ์—ฐ๋™์— ๋Œ€ํ•ด OAuth ์—ฐ๊ฒฐ์„ ์‚ฌ์šฉํ•˜์—ฌ ์•”ํ˜ธํ™”ํ โ€œShopBackโ€ ์„œ๋น„์Šค๋ฅผ ๊ตฌ์ถ•ํ•  ๊ฒƒ์ž…๋‹ˆ๋‹ค.

2. DONA ์นด๋“œ ์—ฐ๋™ ์‹œ์Šคํ…œ์€ ๊ฐ€์žฅ ์•ž์„  ๊ธฐ์ˆ ์„ ์‚ฌ์šฉํ•˜์—ฌ PCI DSS ํ‘œ์ค€์„ ์ค€์ˆ˜ํ•˜๊ณ  ์—„๊ฒฉํ•œ ์•ก์„ธ์Šค ์ œ์–ด๋ฅผ ์œ ์ง€ํ•˜์—ฌ ์‚ฌ๊ณ ๋ฅผ ๋ฐฉ์ง€ํ•ฉ๋‹ˆ๋‹ค. โ€œShopBackโ€ ์ œ๊ณต์„ ์œ„ํ•ด ํŒŒํŠธ๋„ˆ ๋งค์žฅ ๋ฐ ๊ฑฐ๋ž˜ ๋ฒ”์ฃผ ๋ฐ ๊ด€๋ จ ๊ณ„์ • ์œ ํ˜•์„ ๊ณ„์‚ฐํ•˜๊ณ  ์ธ์ฆํ•˜๋Š”๋ฐ ํ•„์š”ํ•œ ๋ฐ์ดํ„ฐ๋งŒ ์ˆ˜์ง‘ ๋ฐ ์ฒ˜๋ฆฌํ•˜๋ฉฐ. ์†Œ๋น„์ž์˜ ์‹ ์šฉ๋„๋ฅผ ์‹๋ณ„ํ•˜์ง€๋งŒ ๋ณด๊ด€ํ•˜์ง€ ์•Š์Šต๋‹ˆ๋‹ค. PCI DSS ํ‘œ์ค€์„ ์ค€์ˆ˜ํ•˜๊ณ  ๋ฏผ๊ฐํ•œ ์‹œ์Šคํ…œ์— ๋Œ€ํ•œ ์—„๊ฒฉํ•œ ์•ก์„ธ์Šค ์ œ์–ด๋ฅผ ์œ ์ง€ํ•ฉ๋‹ˆ๋‹ค. ์ต๋ช…์œผ๋กœ ์ˆ˜์ง‘๋œ ํ†ต๊ณ„๋Š” ๋‹น์‚ฌ๊ฐ€ ๋ณผ ์ˆ˜ ์žˆ์ง€๋งŒ ๊ฐœ์ธ ์‹๋ณ„ ์ •๋ณด๋Š” ํฌํ•จํ•˜์ง€ ์•Š์Šต๋‹ˆ๋‹ค. ์šฐ๋ฆฌ๋Š” โ€œShopBackโ€ ์ œ๊ณต์„ ์œ„ํ•ด ์‚ฌ์šฉ์ž์˜ ์นด๋“œ๋ฅผ DonaBlock ์‹œ์Šคํ…œ์— ์—ฐ๊ฒฐํ•˜๋Š”๋ฐ ํ•„์š”ํ•œ ์ •๋ณด๋งŒ ์‚ฌ์šฉํ•ฉ๋‹ˆ๋‹ค.

3. A) (์•ฑโ†’์‚ฌ์šฉ์ž)์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ์— ์ ‘๊ทผํ•˜๊ธฐ ์œ„ํ•œ ๊ถŒํ•œ์„ ์š”์ฒญํ•œ๋‹ค. ๊ฐœ๋…์ƒ ์•ฑ์ด ์‚ฌ์šฉ ์ž์—๊ฒŒ ์š”์ฒญํ•˜์ง€๋งŒ, ์‹ค์ œ ๊ตฌํ˜„์€ ์•ฑ๊ณผ ์‚ฌ ์šฉ์ž ์‚ฌ์ด์— ๊ถŒํ•œ ์ œ๊ณต ๊ธฐ๊ด€์ด ์ค‘๊ฐœ ์—ญํ•  ์„ ํ•˜๋Š” ๊ฒฝ์šฐ๊ฐ€ ์ผ๋ฐ˜์ ์ž…๋‹ˆ๋‹ค.

(B) (์‚ฌ์šฉ์žโ†’์•ฑ) ์ ‘๊ทผ์— ๋™์˜ํ•จ์„ ์ฆ๋ช… ํ•˜๋Š” ๊ถŒํ•œ ๋ถ€์—ฌ ๋™์˜์„œ(Authorization Grant)๋ฅผ ๋ฐœ๊ธ‰ํ•ฉ๋‹ˆ๋‹ค. RFC 6749์—์„œ๋Š” 4 ๊ฐ€์ง€ ์œ ํ˜•์˜ ๊ถŒํ•œ ๋ถ€์—ฌ ๋™์˜์„œ๋ฅผ ์ •์˜ํ•˜๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ์•ฑ์˜ ์œ ํ˜• ๋ฐ ๊ถŒํ•œ ์ œ๊ณต ๊ธฐ๊ด€์˜ ์ง€์› ์—ฌ๋ถ€์— ๋”ฐ๋ผ ์‚ฌ์šฉํ•  ๊ถŒํ•œ ๋ถ€์—ฌ ๋™์˜ ์„œ์˜ ์œ ํ˜•์ด ๊ฒฐ์ •๋ฉ๋‹ˆ๋‹ค.

(C) (์•ฑโ†’๊ถŒํ•œ ์ œ๊ณต ๊ธฐ๊ด€) ๊ถŒํ•œ ๋ถ€์—ฌ ๋™์˜ ์„œ๋ฅผ ์ œ์ถœํ•˜์—ฌ ์ ‘๊ทผ ํ† ํฐ์„ ์š”์ฒญํ•ฉ๋‹ˆ๋‹ค. ์ ‘๊ทผ ํ† ํฐ์€ ์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ๋ฅผ ์ž ๊ทผ ์ž๋ฌผ์‡  ๋ฅผ ์—ฌ๋Š” ์—ด์‡ ์ž…๋‹ˆ๋‹ค.

(D) (๊ถŒํ•œ ์ œ๊ณต ๊ธฐ๊ด€โ†’์•ฑ) ๊ถŒํ•œ ๋ถ€์—ฌ ๋™์˜ ์„œ๋ฅผ ํ™•์ธํ•˜์—ฌ ์‚ฌ์šฉ์ž๊ฐ€ ๋™์˜ํ•œ ๋ฐ์ดํ„ฐ ํ•ญ ๋ชฉ, ๋ฒ”์œ„ ๋ฐ ๊ธฐ๊ฐ„ ๋“ฑ์— ๋Œ€ํ•œ ์ •๋ณด๊ฐ€ ๋‹ด๊ธด ์ ‘ ๊ทผ ํ† ํฐ์„ ์ œ๊ณตํ•ฉ๋‹ˆ๋‹ค. ์ฆ‰, ์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ ์— ์ ‘๊ทผํ•  ๋•Œ ์‚ฌ์šฉํ•  ์—ด์‡ ๋ฅผ ์ œ๊ณตํ•˜๋Š” ์…ˆ ์ž…๋‹ˆ๋‹ค.

(E) (์•ฑโ†’๋ฐ์ดํ„ฐ ์ œ๊ณต ๊ธฐ๊ด€) ์ ‘๊ทผ ํ† ํฐ์„ ์ œ์ถœํ•˜์—ฌ ์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ๋ฅผ ์š”์ฒญํ•ฉ๋‹ˆ๋‹ค.

(F) (๋ฐ์ดํ„ฐ ์ œ๊ณต ๊ธฐ๊ด€โ†’์•ฑ) ์‚ฌ์šฉ์ž ๋ฐ์ดํ„ฐ ๋ฅผ ์ œ๊ณตํ•ฉ๋‹ˆ๋‹ค. ์ด๋•Œ ์•ฑ์ด ์ œ์ถœํ•œ ์ ‘๊ทผ ํ†  ํฐ์ด ์œ ํšจํ•จ์„ ํ™•์ธํ•˜๊ณ , ์ ‘๊ทผ ํ† ํฐ์˜ ์ • ๋ณด๋ฅผ ํ™•์ธํ•˜์—ฌ ์ œ๊ณตํ•  ๋ฐ์ดํ„ฐ ํ•ญ๋ชฉ, ๋ฒ”์œ„ ๋ฐ ์œ ํšจ๊ธฐ๊ฐ„์ด ์ •ํ•ด์ง‘๋‹ˆ๋‹ค์œ ํšจ๊ธฐ๊ฐ„์ด ์ • ํ•ด์ง„๋‹ค.

Last updated