EMVCo 보안 평가 프로세스는 결제 업계가 거래의 기반이 되는 칩이 집요한 공격자의 공격을 견뎌낼 수 있는지 확인하는 절차입니다. EMVCo는 2005년부터 공인된 독립 시험 기관과 협력하여 EMV 집적회로(IC), 플랫폼 및 집적회로 카드(ICC) 제품을 평가해 왔으며, 이후 평가 범위를 내장형 보안 요소(eSE), 시스템 온 칩(SoC) 및 IoT 결제 하드웨어로 확대했습니다. 이 평가는 본질적으로 적대적 방식으로 설계되었습니다. 즉, 시험 기관은 고객의 설계 및 구현을 검토하고 취약점 분석을 수행한 후, 침투 테스트를 실시하여 해당 제품이 공격 가능성이 높은 공격자의 공격을 견딜 수 있는지 여부를 판단합니다. 평가 보고서는 EMVCo로 제출되며, EMVCo는 IC 제품에 대해서는 ICCN을, 플랫폼에 대해서는 PCN을 발급합니다.
키사이트는 이 전 과정을 처음부터 끝까지 책임집니다. 당사는 IC 및 플랫폼 평가와 암호화 라이브러리 평가를 수행할 수 있는 인증을 받았으며, 비자(Visa), 마스터카드(Mastercard), 아메리칸 익스프레스(American Express), 카르테 방카이어(Cartes Bancaires) 등 모든 주요 결제 시스템으로부터 ICC 평가 수행 자격을 인정받았습니다. 당사는 범위 설정 및 사전 평가 단계부터 정식 평가 절차, 그리고 EMVCo의 인증에 필요한 보고서 작성에 이르기까지 전 과정을 지원합니다.
- 범위 설정 및 등록
- 설계 및 문서 검토
- 취약점 분석
- 침투 테스트
- 보고 및 인증
- 유지 관리 및 갱신
발견 및 범위 설정
당사는 귀하가 개발한 제품(IC, 플랫폼 또는 ICC)에 어떤 평가 기준이 적용되는지, 그리고 대상의 경계가 어디에 위치하는지 확인합니다. 복합 제품은 하위 계층의 결과를 상속받기 때문에, 경계를 정확히 설정하는 것이 칩을 재테스트할지 아니면 해당 인증서를 재사용할지를 결정하는 핵심 요소입니다.
설계 및 문서 검토
귀사의 설계 문서, 보안 아키텍처 및 지침 문서는 평가의 기준이 됩니다. 당사는 평가 결과를 바탕으로 재설계(re-spin)가 아닌 설계 변경 단계에서 조기에 이를 검토합니다. 복합 평가의 경우, 이 단계에서 귀사가 해당 인증서의 지침 문서에 명시된 조건을 충족하는지 확인하며, 이는 평가 막바지에 예상치 못한 문제가 발생하는 흔한 원인 중 하나입니다.
취약점 분석
당사의 평가 전문가들은 귀사의 설계 및 구현 정보를 면밀히 검토하여, 제품이 공격에 취약할 가능성이 있는 부분을 체계적으로 분석합니다. 이 분석 결과는 후속 과정 전반에 지침이 되며, 그 결과물은 일반적인 체크리스트가 아닌 침투 테스트를 위한 우선순위가 지정된 테스트 항목 목록입니다. 또한, 이 단계에서 발견된 문제점에 대한 대응 비용이 적게 들기 때문에, 사전 평가가 가장 큰 가치를 발휘하는 단계이기도 합니다.
침투 테스트
이 공격 캠페인은 공격 잠재력이 높은 공격자 프로필을 대상으로 당사 연구소에서 수행되었습니다. 사이드 채널 분석, 결함 주입, 침입형 및 준침입형 기법, 그리고 플랫폼 및 애플리케이션에 대한 논리적 공격이 포함되었으며, 이는 EMVCo가 현재 인정하는 공격 방법 및 등급 척도에 맞춰 조정되었습니다.
보고 및 인증
당사는 평가 보고서를 작성하여 EMVCo에 제출한 후, 검토 과정에서 제기된 모든 문의 사항을 해결하며 보고서가 요건을 충족하고 EMVCo가 귀사의 ICCN 또는 PCN을 발급할 때까지 지원합니다. 귀사는 직접 교환 절차를 관리할 필요 없이, 제출 과정 전반에 걸쳐 전담 담당자 한 명을 통해 모든 절차를 진행할 수 있습니다.
유지 관리 및 갱신
인증서에는 유효기간이 있으며, 제품 변경, 새로운 파생상품, 새로운 마스크 개정판 등은 모두 귀하가 보유한 인증서에 영향을 미칩니다. 당사는 초기 단계에서 파생상품 및 델타 평가를 포함한 유지 관리 계획을 수립하므로, 갱신은 출시일을 앞두고 허둥지둥하는 일이 아니라 예정된 절차로 진행됩니다.
EMVCo 평가 등급
IC 평가는 칩 하드웨어와 칩에 내장된 모든 소프트웨어 암호화 라이브러리를 포괄하며, 그 결과로 ICCN이 부여됩니다. 많은 칩 공급업체들은 동일한 실리콘이 일반적으로 CC(Common Criteria)를 요구하는 정부, 신원 확인 및 기타 규제 분야에도 사용되기 때문에, 이 단계를 전용 EMVCo IC 평가 대신 CC 평가로 진행합니다. EMVCo는 자사의 IC 인증 절차에서 CC 평가 결과를 인정하므로, 두 평가를 함께 진행하더라도 중복되는 작업은 최소화할 수 있습니다. 여러 시장에 제품을 공급하는 실리콘 공급업체라면, 일반적으로 이 결정을 우선적으로 내리는 것이 좋습니다.
플랫폼 평가는 이미 평가가 완료된 칩에서 실행되는 운영 체제를 대상으로 하며, 그 결과로 PCN이 발급됩니다. 이는 복합 평가로, IC 평가 결과를 반복하는 것이 아니라 이를 바탕으로 진행되며, 그 범위는 암호화 알고리즘, 메모리 및 수명 주기 관리, 애플릿 격리, 플랫폼 고유의 보안 메커니즘 등 일반적인 소프트웨어 계층을 포괄합니다. 복합 평가는 플랫폼이 IC 인증서에 첨부된 지침을 올바르게 준수할 때만 효율적이며, 바로 이 부분에서 해당 캠페인이 가장 자주 시간을 낭비하게 됩니다.
ICC 평가는 실제로 출시될 플랫폼과 그 위에 구축된 모든 애플리케이션을 아우르는 제품 전체를 대상으로 합니다. 이 평가는 칩 평가 결과를 재사용하며, 플랫폼 평가 결과가 있는 경우에는 이를 활용합니다. 이는 결제 체계에서 출시된 제품에 대해 중점을 두는 수준이며, EMVCo의 공인 시험소 목록에 따르면 키사이트(Keysight)는 해당 평가를 수행할 수 있는 자격을 갖추고 있습니다.
인증 범위는 EMVCo가 정의한 내용을 따릅니다. 일부 공급업체는 해당 범위 외부의 제품 보안 위험에 대해서도 파악하고자 하며, 당사는 이에 대한 평가 서비스를 별도로 제공합니다. 이 평가는 단순히 현행 요구사항만 살펴보는 것이 아니라, 공격 가능성과 현장 위협이 어디에서 발생하고 있는지 파악하는 데 중점을 두며, 일부 팀에서는 제품 수명이 긴 경우 로드맵 수립에 이 평가가 유용하다고 평가합니다.
키사이트와 협력하기
키사이트가 EMVCo 준비 및 평가 과정을 안내해 드리는 동안, 귀사는 제품 개발에 전념하십시오.
모든 수준에 맞는 하나의 실험실
EMVCo는 칩, 플랫폼, 완제품 카드 등 세 가지 하드웨어 수준은 물론 소프트웨어 기반 모바일 결제까지 포괄하여 당사를 인증하고 있습니다. 따라서 단일 실험실에서 귀사의 현재 제품과 로드맵에 포함된 차기 제품, 그리고 이와 연계된 모바일 솔루션을 모두 평가할 수 있습니다.
평가 준비 완료 상태 달성
EMVCo 캠페인에서 발생하는 지연의 대부분은 불완전한 설계 문서나, 플랫폼 측에서 완전히 구현하지 못한 종합 지침에서 기인합니다. 당사의 사전 평가를 통해 이러한 누락 사항을 조기에 파악할 수 있으므로, 귀사 팀은 설계 변경을 통해 이를 해결할 수 있습니다.
증거 재사용하기
당사는 귀사의 로드맵에 포함된 공통 기준(Common Criteria) 및 결제 프로그램 등 다른 인증 체계와 연계하여 EMVCo 관련 업무를 계획합니다. 이를 통해 단일 인증 캠페인을 통해 여러 구성 요소와 제품 변형을 포괄할 수 있으며, 새로운 파생 제품이 나올 때마다 인증 비용은 이전보다 절감됩니다.
학습 리소스
추천 블로그
당사의 전문가는 블로그를 통해 실용적인 통찰력을 정기적으로 공유합니다. 디바이스 보안의 최신 개발 동향을 살펴보세요.
자주 묻는 질문
이는 결제 업계에서 칩 기반 결제 제품이 실제 공격에 견딜 수 있음을 입증하기 위해 사용하는 절차입니다. 공인된 독립 시험 기관이 해당 제품에 대한 취약점 분석 및 침투 테스트를 수행한 후, 평가 보고서를 EMVCo에 제출합니다. EMVCo는 보고서를 검토하고, 결과가 만족스러울 경우 제품 인증서(IC 제품의 경우 ICCN, 플랫폼 제품의 경우 PCN)를 발급합니다.
접촉식 및 비접촉식 결제 카드를 포함한 칩 기반 결제 제품과, SIM, eSE, iSE, SoC 등 모든 형태의 모바일 및 웨어러블 결제 뒤에 있는 보안 요소. 실제로 결제 체계에서는 결제 애플리케이션의 기반이 되는 칩이 EMVCo 보안 평가를 통과해야 하므로, 결제 시장에 제품을 공급하는 반도체, 플랫폼 또는 카드 공급업체라면 해당 프로세스가 귀사의 스택 내 어느 단계에서든 적용됩니다. 어떤 단계가 적용되는지는 귀사가 해당 스택 내에서 어떤 위치에 있는지에 따라 달라집니다.
IC 평가는 칩 하드웨어와 칩 내부의 암호화 라이브러리를 대상으로 합니다. 플랫폼 평가는 평가 대상 칩 위에 구축된 운영 체제를 대상으로 합니다. ICC 평가는 출시된 상태의 카드 제품 전체, 즉 플랫폼과 애플리케이션을 모두 대상으로 합니다. 플랫폼 및 ICC 평가는 복합적인 성격을 띠며, 처음부터 새로 시작하는 것이 아니라 그 아래 단계의 결과를 바탕으로 진행됩니다.
네, IC 공급업체의 경우 대개 이것이 가장 효율적인 방법입니다. 대부분의 스마트 카드 칩은 공통 평가 기준(Common Criteria)을 요구하는 정부 및 신원 확인 분야 등으로도 판매되며, EMVCo는 IC 인증 과정에서 CC 평가 결과를 인정하고 있습니다. 두 과정을 병행하면 중복되는 노력을 대부분 줄일 수 있습니다. 또한 귀사가 추진 중인 다른 인증 체계도 통합할 수 있습니다.
사전 평가는 정식 캠페인에 앞서 수행되는 취약점 분석 및 테스트 작업으로, 문제를 저렴한 비용으로 해결할 수 있는 시기에 이를 찾아내는 것을 구체적인 목표로 합니다. 이는 필수 사항은 아니지만, 인증 일정을 차질 없이 진행하는 데 있어 우리가 아는 가장 신뢰할 수 있는 방법입니다. 당사는 사전 평가와 인증 작업을 완전히 분리하여 두 작업이 서로 다른 일정에 따라 진행되도록 할 수 있습니다.
평가는 특정 공격자 프로필을 기준으로 조정됩니다. 즉, 자원이 풍부하고 정보에 정통하며, 전문 장비를 확보하고 이를 사용할 시간적 여유까지 갖춘 공격자를 가정합니다. 실질적으로 이는 해당 공격 캠페인이 단순한 공격자가 감행할 수 있는 공격뿐만 아니라, 침습적 및 준침습적 물리적 공격, 고도의 사이드채널 분석, 결함 주입 등을 포함함을 의미합니다.
이는 수준, 대상의 복잡성, 그리고 첫날 시점의 문서화 완성도에 따라 달라집니다. 문서화 준비 상태는 항상 가장 큰 변수입니다. 복합 평가의 경우, 기초가 되는 인증서의 지침이 올바르게 이행되었는지 여부가 두 번째로 큰 변수입니다.
네. 인증서에는 유효 기간이 있으며, 제품 변경, 새로운 파생 상품 또는 새로운 하드웨어 릴리스가 발생할 경우 추가적인 평가 작업이 필요할 수 있습니다. EMVCo는 이를 ‘인증서 발급, 갱신 및 연장 절차’ 문서에 명시하고 있습니다. 당사는 초기 계약 단계에서 갱신 및 파생 상품 개발 계획을 수립하여, 출시 일정에 추가 부담이 되는 것이 아니라 귀사의 로드맵에 자연스럽게 반영되도록 하고 있습니다.
두 가지 사항이 있는데, 둘 다 귀사에서 처리해야 할 일이며 일찍 시작하는 것이 좋습니다. 첫째, ‘카드 및 모바일 형식 승인(Card and Mobile Type Approval)’ 등록 절차를 통해 EMVCo 공급업체로 등록되어야 하며, 둘째, EMVCo의 보안 평가 실무 그룹(Security Evaluation Working Group)과 보안 평가 계약(Security Evaluation Agreement)을 체결해야 합니다. 제품 테스트 준비가 완료될 때까지 이 두 가지를 미루는 팀은, 몇 달 전에 처리할 수 있었던 서류 작업으로 인해 몇 주나 시간을 낭비하게 됩니다.
개발 및 생산 현장 또한 EMVCo 제품 승인의 대상에 포함되며, EMVCo의 현장 감사 지침에 따른 감사가 요구될 수 있습니다. 귀사의 제품이 여러 장소에서 제조되거나 개인화되는 경우, 나중에야 이 사실을 알게 되는 일이 없도록 캠페인 계획을 수립할 때 이를 미리 고려하시기 바랍니다.
비용은 두 가지로 나뉩니다. 평가 자체에 대한 범위와 견적은 시험소에서 제시하며, EMVCo는 신규 제품, 갱신, 업데이트, 만료된 인증서의 유효기간 연장 등 제출 건당 별도의 등록 수수료를 부과합니다.
일반적으로 하드웨어 보안 설계자, OS 또는 플랫폼 책임자, 암호화 구현을 담당하는 사람, 그리고 문서화를 담당하는 사람이 포함됩니다. 프로젝트 초기에 문서화 담당자를 지정하는 것은 일정을 지키기 위해 취할 수 있는 가장 비용 효율적인 조치입니다.
네. 키사이트는 또한 소프트웨어 보호 도구, HCE 애플리케이션 및 SDK, 신뢰 실행 환경(TEE), CDCVM, OEM 결제 솔루션을 아우르는 EMVCo 소프트웨어 기반 모바일 결제(SBMP) 프로그램을 운영하고 있습니다.
네. 당사는 EMVCo가 의무화한 범위 외의 제품 위험에 대한 보안 평가 서비스를 제공하며, 공격 가능성과 현장 위협의 추이를 예측함으로써 고객사가 현재의 요구사항 수준이 아닌, 공격자들이 향후 어떤 방향으로 나아갈지를 고려하여 로드맵을 수립할 수 있도록 지원합니다.