4장: 인증

이 장은 WIA-financial-inclusion (Financial Inclusion) 표준의 4장: 인증 영역을 다룹니다. 본 표준은 데이터 형식, API 인터페이스, 프로토콜, 통합의 4개 PHASE 문서로 구성된 교차 벤더 데이터·프로토콜 레이어를 정의합니다.

참조 표준

구현 노트

구현체는 표준 슬러그, 버전(SemVer 2.0.0), 빌드 다이제스트, SBOM URL, 적합성 프로파일, Sigstore DSSE 서명을 포함하는 매니페스트를 발급합니다. 매니페스트는 배포 정책이 정한 주기에 따라 Sigstore Rekor 투명성 로그에 anchoring 됩니다. 디스커버리는 IETF well-known URI 메커니즘 `/.well-known/wia/financial-inclusion`을 사용합니다.

적합성 등급

세 가지 적합성 등급이 정의되어 있습니다: Surface(데이터 형식만 인정, 자체 증명), Verified(연간 제3자 감사), Anchored(지속적 증적 패키지, Annex G에 따라 Sigstore DSSE 서명 + Rekor anchoring). 구현체는 OpenAPI 문서의 `x-wia-conformance-tier` 확장 필드에 등급을 선언합니다.

프라이버시 및 보안

구현체는 전송 중 데이터(TLS 1.3)와 저장 데이터(AES-256-GCM 이상)를 암호화하고, 역할 기반 접근 제어를 적용하며, 변조 감지 가능한 감사 로그를 유지해야 합니다. 개인정보는 관할 프라이버시 규정(GDPR, CCPA, K-PIPA, LGPD 등)을 따르며, 배포 정책은 적용 규정을 명시해야 합니다.

버전 관리

정정·확장은 시맨틱 버저닝(SemVer 2.0.0)을 따릅니다. 메이저 변경은 최소 90일 병행 호환 기간을 거치며 그 기간 동안 신·구 두 버전 모두 WIA 등록부에 Stable로 표기됩니다. 패치 릴리스는 편집 정정만 포함합니다. 폐기는 12개월 sunset 윈도우와 마이그레이션 노트를 거칩니다.

거버넌스

변경 제안과 정정 요청은 GitHub Issues 트래커에 financial-inclusion 레이블로 접수됩니다. WIA 표준 워킹그룹은 매 마이너 릴리스 사이클의 시작 시점에 열린 이슈를 검토하고, 결정 로그를 릴리스 노트와 함께 공개합니다.

참조 표준 및 적용 지침

본 표준은 다음 ALLOW 출처를 단일 진실원으로 삼아 데이터 교환·서명· 감사 증적 인터페이스를 제공합니다. 구현체는 이들 원전을 대체하지 않고, 데이터 교환·감사 증적·자동 검증을 위한 상호운용 계층을 정의합니다.

OpenAPI Specification 3.1 — REST API 정의
JSON Schema 2020-12 — 스키마 검증
ISO/IEC 27001:2022 — 정보보안 경영시스템
ISO/IEC 27018:2019 — 공용 클라우드의 PII 보호
ISO/IEC 17065:2012 — 제품 인증 기관
CycloneDX 1.5 / SPDX 2.3 — 소프트웨어 BOM
Sigstore (DSSE 봉투, Rekor 투명성 로그) — 서명 앵커링
in-toto Attestation Framework 1.0 — 빌드 출처 검증
IETF RFC 9700 — OAuth 2.1
IETF RFC 9457 — Problem Details for HTTP APIs
IETF RFC 8615 — well-known URIs

실무 적용 체크리스트

매니페스트 무결성: 모든 발급은 SHA-256 또는 Sigstore 서명을 부착해 변조를 차단합니다. 발급 후 변경은 새 매니페스트로 처리 되며 이전 매니페스트는 supersede 마킹과 함께 보존됩니다.
보관 기간: ISO/IEC 17065:2012 감사 기대치를 충족하기 위해 7년 이상의 보관 정책을 명시합니다. 관할 규정이 더 길면 그것을 따릅니다.
버전 관리: 정정·확장은 시맨틱 버저닝(SemVer 2.0.0)을 따릅니다. 필수 요건의 추가는 마이너, 호환 단절은 메이저 버전 갱신을 트리거합니다. 메이저 변경은 최소 90일 병행 호환 기간을 거치며 그 기간 동안 신·구 두 버전 모두 WIA 등록부에 Stable로 표기 됩니다.
부정결과 보고: 누락된 지표는 사유와 함께 매니페스트에 기록 되어야 합니다. 사유가 없는 누락은 감사 시 실패로 간주됩니다.
키 회전: 매니페스트 서명 키는 배포 정책에 따라 회전됩니다. 이전 키는 공개된 키 이력에 보존되어 과거 매니페스트의 사후 검증을 보장합니다.

참조 토폴로지

구현체의 운용 토폴로지는 다음 4가지 중 하나로 매니페스트에 선언됩니다: 단일 테넌트 엣지(조직당 1개 런타임), 멀티 테넌트 게이트웨이(헤더 기반 격리로 다중 테넌트 서비스), 연합 메시(다수 런타임이 디렉토리 서비스 통해 상호 인식), 에어갭 배치(라이브 연결 없이 서명된 패키지를 out-of-band 채널로 전송). 각 토폴로지는 참조 테스트 벡터를 포함하며 구현체가 자신의 배포가 표준 패턴과 일치하는지 검증할 수 있도록 합니다.

거버넌스 및 변경 관리

모든 변경 제안과 정정 요청은 GitHub Issues 트래커에 표준 이름 레이블로 접수됩니다. WIA 표준 워킹그룹은 매 마이너 릴리스 사이클의 시작 시점에 열린 이슈를 검토하고, 결정 로그를 릴리스 노트와 함께 공개합니다. 정정(에라타)은 패치 버전으로 발급되며, 새로운 의무 요건의 추가는 마이너, 호환 단절은 메이저 버전 갱신을 트리거합니다. 안전·인체· 프라이버시 관련 이슈는 fast-track 절차로 처리됩니다.

弘益人間 (Hongik Ingan) — Benefit All Humanity