VARA
프로젝트 문의

통합 로그인(SSO) 솔루션

VARA SSO

한 번 로그인으로 기관 업무 시스템을 — 지문·얼굴 승인까지, 구축형

VARA SSO 는 기관 안의 여러 업무 시스템을 한 번 로그인으로 묶는 통합 로그인 서버입니다. 직원은 아이디·비밀번호와 2단계 인증을 한 번 거치면 연결된 시스템마다 다시 로그인하지 않고, 로그아웃도 한 번에 됩니다. 국제 표준 OpenID Connect 로 연결하며, 기관 자체 서버에 설치해 씁니다. 휴대폰 앱 「VARA 인증」으로 지문·얼굴 승인 로그인도 할 수 있습니다.

  • OpenID Connect 표준
  • 2단계 인증 기본
  • 지문·얼굴 승인 앱
  • 한 번에 로그아웃
  • 구축형 · 내부망 설치
도입 상담 · 데모 요청주요 기능 보기
VARA SSO 휴대폰으로 승인 화면 — PC 에 두 자리 숫자를 보여 주고 VARA 인증 앱에서 같은 숫자를 골라 지문·얼굴로 승인

FOR

이런 기관에 맞습니다

  • 업무 시스템마다 아이디·비밀번호가 달라 직원이 메모해 두고 쓴다
  • 퇴사자 계정을 시스템마다 찾아 막아야 한다
  • 비밀번호만으로 로그인해 2단계 인증을 갖춰야 한다는 지적을 받았다
  • OTP 번호를 매번 넣는 것이 번거로워 2단계 인증이 잘 쓰이지 않는다
  • 로그인 실패·접속 기록과 관리자 계정 점검을 손으로 정리한다
  • 외부 인증 서비스를 쓸 수 없는 내부망이라 설치형 통합 로그인이 필요하다

WHY

핵심 특징

  1. 01

    한 번 로그인, 한 번 로그아웃

    SSO 에 한 번 로그인하면 연결된 시스템을 비밀번호 없이 씁니다. SSO 로그아웃·관리자의 강제 로그아웃·사용 중지 때는 표준 Back-Channel Logout 으로 들어간 시스템의 세션까지 바로 끊습니다.

  2. 02

    지문·얼굴로 승인

    휴대폰에 VARA 인증 앱을 등록하면 OTP 번호 대신 PC 화면에 보이는 두 자리 숫자를 앱에서 고르고 지문·얼굴로 승인합니다. 승인 열쇠는 휴대폰 보안 칩 안에서만 만들어지고 밖으로 나오지 않습니다.

  3. 03

    공공기관 기준 한 번에

    국가 사이버보안 기본지침·개인정보의 안전성 확보조치 기준·KISA 권고와 OAuth 보안 모범 사례(RFC 9700)를 반영했습니다. 관리 화면의 「공공기관 기준 한 번에 적용」 단추로 공공기관용 값이 들어갑니다.

  4. 04

    빠른 입구

    연결 시스템은 로그인할 때만 SSO 를 거치고 토큰 서명은 스스로 확인합니다. 시험 서버에서 이미 로그인한 사람의 시스템 입장은 약 10ms, 동시 30명은 초당 약 700건을 실패 없이 처리했습니다.

SCREENS

화면 둘러보기

화면을 누르면 크게 볼 수 있습니다. 화면의 사람·시스템·주소는 시연용 가상 데이터입니다.

  • VARA 인증 앱 — 등록 → 숫자 고르기 → 지문 승인
  • 로그인 — 한 번이면 연결된 모든 시스템
  • 2단계 인증 — OTP 6자리
  • VARA 인증 앱 내려받기
  • 내 계정 — 시스템 바로가기·기기 관리
  • 관리 현황 — 이상 로그인 주의
  • 사용자 — 사용 끄면 모든 시스템에서 로그아웃
  • 연결 시스템 — OpenID Connect 로 등록
  • 로그인 중 — 세션 끊기
  • 정책 — 공공기관 기준 한 번에 적용

FEATURES

주요 기능

로그인과 2단계 인증

  • 아이디·비밀번호 다음 OTP 6자리 — 처음 로그인할 때 QR 로 등록, 한 번 쓴 번호는 다시 받지 않음
  • 임시 비밀번호·변경 주기가 지나면 새 비밀번호를 정해야 다음 단계로
  • 로그인 직후 「이전 접속 시각·IP」 표시
  • 로그인 유지 시간·최대 유효기간, 동시 로그인 기기 수 제한
  • SSO 관리자 계정은 정책과 관계없이 늘 2단계 인증

VARA 인증 앱 승인

  • PC 에 두 자리 숫자, 앱에서 같은 숫자를 골라 지문·얼굴 확인
  • 숫자를 틀리게 고르면 그 요청은 바로 막힘, 요청은 2분 뒤 만료·한 번만
  • 앱의 「제가 아닙니다」로 거절하면 비밀번호 변경 안내
  • 휴대폰 생체 정보가 바뀌면 열쇠 무효, 분실하면 SSO 에서 기기 해제
  • 앱은 Android 설치 파일을 SSO 화면에서 내려받음 (iPhone 은 App Store 등록 뒤)

OpenID Connect 제공자

  • 인가 코드 + PKCE(S256), 갱신 토큰 회전
  • ID·접근 토큰 JWT(RS256), 인가 코드 2분·1회용, 접근 토큰 10분
  • 시스템마다 「모든 사용자」 또는 「지정한 사람만」, 권한 없으면 안내 화면·기록
  • 등록한 돌아갈 주소와 정확히 같을 때만
  • 설정 주소(발견 문서)·공개 열쇠(JWKS)·사용자 정보·로그아웃 주소

한 번에 로그아웃

  • SSO 로그아웃·강제 로그아웃·사용 끄기 때 들어간 시스템마다 로그아웃 알림
  • 저절로 끝난 세션도 1분 안에 알림, 실패하면 다시 보냄
  • 다른 기기 로그인이 없으면 시스템이 받아 둔 갱신 토큰까지 취소

내 계정 (직원)

  • 들어갈 수 있는 시스템 바로가기
  • 비밀번호 바꾸기·OTP 다시 등록·휴대폰 등록(1회용 코드)·해제
  • 로그인 중인 기기와 「다른 기기 모두 로그아웃」, 최근 로그인 기록

관리 (SSO 관리자)

  • 현황 — 오늘 성공·실패, 로그인 중, 잠긴 계정, 반복 실패·처음 보는 IP·차단 중인 IP 주의
  • 사용자 — 추가(임시 비밀번호), 들어갈 시스템, 사용 끄기, OTP 초기화·잠금 해제·강제 로그아웃, 계정 점검표(CSV)
  • 연결 시스템 등록·비밀값 재발급, 로그인 중 세션 끊기
  • 로그인 기록·관리 변경 기록, 정책(공공기관 기준 한 번에 적용)

SECURITY

보안 · 개인정보

비밀번호
국가 사이버보안 기본지침 규칙 — 영문·숫자·특수문자 조합과 길이, 아이디·이름 포함·사전 단어·키보드 연속·같은 글자 반복 금지, 변경 주기, 최근 비밀번호 재사용 금지. PBKDF2-SHA256 으로 저장
인증 실패
연속 실패 잠금(1~5회), 같은 IP 에서 반복 실패하면 그 IP 를 막음(사무실 공인 IP 는 제외 목록), 없는 아이디와 틀린 비밀번호를 같은 문구·비슷한 시간으로 답함
관리자
2단계 인증 필수, 관리 화면 접속 IP 제한, 관리 변경 기록, 연 2회 점검용 계정 점검표
암호·토큰
OTP 비밀·서명 키는 AES-256-GCM 으로 암호화(기관이 보관하는 마스터 키), 토큰 서명 RSA 2048, 시스템 비밀값·기기 토큰·등록 코드는 해시로만. 암호 처리를 한곳에 모아 검증 암호 모듈(KCMVP)로 바꿔 끼울 수 있는 구조
접속 기록
로그인 성공·실패·잠김·권한 없음·로그아웃·강제 로그아웃 기록(기본 2년, 최소 1년), 관리 변경 기록 최소 3년, 장기 미사용 계정 차단(기본 90일)
화면
외부 스크립트·글꼴 없음, CSP·남의 화면에 끼워 넣기 금지, 세션 쿠키 Secure·HttpOnly·SameSite, CSRF 토큰

INTEGRATION

연동

  • 연결 시스템

    OpenID Connect 를 지원하는 시스템 — VARA ITSM·EMS·ERP 같은 업무 시스템을 일반 OIDC 클라이언트 라이브러리(예: Spring Security oauth2Login)로 연결

  • 한 번에 로그아웃

    OpenID Connect Back-Channel Logout 1.0 · RP-Initiated Logout 1.0

  • OTP 앱

    Google Authenticator·Microsoft Authenticator 등 TOTP 표준 앱

  • VARA 인증 앱

    Android — 기본은 auth.vara.co.kr, 고객사 설치형은 기관 SSO 주소를 넣어 등록

  • 푸시 알림 (선택)

    Firebase 서비스 계정을 설정하면 승인 요청 알림 — 없으면 앱이 켜져 있는 동안 스스로 확인

SPEC

지원 환경

VARA SSO 지원 환경
서버리눅스(systemd, 예: Rocky·RHEL 9 이상), Java 21 — 실행 파일(jar) 하나
DBMariaDB 10.11 이상 — 표는 처음 실행 때 자동으로 만듦
웹 서버Apache 등에서 HTTPS 를 받아 넘김 (SSO 는 127.0.0.1 에서만 받음)
권장 최소 자원2코어, 메모리 2GB, 디스크 10GB + 기록 보관분
표준OpenID Connect Core·Discovery, OAuth 2.0, PKCE, RFC 9700, JWT·JWS·JWK, TOTP
기반Java 21 · Spring Boot · Spring Security · Spring Authorization Server, MariaDB
브라우저최신 Edge · Chrome · Whale · Firefox · Safari, 휴대폰 브라우저

DELIVERY

제공 형태

  • SSO 서버

    실행 파일(jar) 하나 — 설치·업그레이드·백업 절차와 마스터 키 보관 안내

  • VARA 인증 앱

    Android 설치 파일 — 기관 SSO 서버의 앱 폴더에 올려 직원에게 나눠 줄 수 있음

사용권

  • · 설치본 수·사용자 계정 수·연결 시스템 수·기간으로 정합니다. VARA 인증 앱은 별도 요금이 없습니다.
  • · 로그인·토큰 발급은 외부 서비스를 부르지 않고, 제품은 회사나 외부로 데이터를 보내지 않습니다.
  • · 도입 전에 평가 기간을 정해 기관 서버에서 직접 써 볼 수 있습니다.

PROCESS

도입 절차

  1. 01

    상담·데모

    지금 쓰는 업무 시스템과 로그인 방식을 듣고, 로그인부터 휴대폰 승인·한 번에 로그아웃까지 실제 화면으로 보여 드립니다.

  2. 02

    평가 설치

    기관 서버에 SSO 를 두고 시스템 한두 개를 연결해 직원 몇 명이 직접 써 봅니다.

  3. 03

    연결·정책

    업무 시스템을 OpenID Connect 로 하나씩 연결하고, 공공기관 기준 정책과 사용자·들어갈 시스템을 맞춥니다.

  4. 04

    운영 지원

    계정 점검·기록 보관과 업그레이드·마스터 키 백업 절차를 함께 점검합니다.

제품 문서

도입 검토·납품에 필요한 문서를 함께 드립니다. 문의 주시면 보내 드립니다.

  • 제품 설명서
  • 사용자 설명서
  • 운영자 설명서
  • 설치 설명서
  • 보안 설명서
  • 개인정보 처리 기준서
  • 요구사항 정의서
  • 설계서
  • 연동 설명서
  • 시험 결과서
  • 오픈소스 고지
  • 사용권 계약서
  • 릴리스 노트

알려 드릴 점

제품과 설명이 다르지 않도록, 현재 범위를 밝힙니다.

기관 계정 연결
AD·LDAP 연결, SAML 2.0, SCIM(계정 자동 동기화) 없음 — 사용자는 SSO 관리 화면에서 만듦
비밀번호 찾기
스스로 찾기 없음 — 관리자가 임시 비밀번호 발급
iPhone 앱
App Store 등록 뒤 제공 — 그전에는 OTP
이중화
세션을 DB 에 두는 구조지만 여러 대 설치 안내는 다음 판
동의 화면
시스템별 정보 제공 동의 화면 없음 (기관이 등록한 시스템만 연결)

VARA SSO 도입을 검토 중이신가요?

지금 쓰는 방식과 환경을 알려 주시면 화면으로 보여 드리고, 평가판 설치까지 도와드립니다.

도입 상담 · 데모 요청