01
신원
발견, 초대, 승인을 서로 다른 사건으로 다룹니다.
콘솔이 보이거나 초대문을 복사한 것만으로 신뢰를 얻을 수 없습니다. 기기 신원과 일치하는 사람 승인이 필요하며 관리자는 철회할 수 있습니다.
- ✓강한 영구 관리자 credential
- ✓일회성 bootstrap 경로
- ✓기기별 등록 신원
- ✓재신청으로 기존 승인 신원 탈취 불가
02
데이터 최소화
운영 증거는 기본적으로 간결하게 유지합니다.
콘솔에는 결정을 설명할 맥락이 필요하지만 그 결정을 만든 전체 원문은 필요하지 않습니다.
- ✓원문 대신 prompt SHA-256과 글자 수
- ✓기본 metadata-only 증거
- ✓credential 유사 감사 metadata 거절
- ✓명시적 opt-in에서만 암호화 원문 증거
03
콘텐츠 보호
실행 전과 업로드 전에 차단합니다.
입력·출력 scanner는 엄격한 결과 schema를 사용합니다. 예외, 부분 객체, 모순된 결과는 fail-closed합니다.
- ✓PII, credential, private key, token, 카드 유사 값
- ✓scanner 예외 차단
- ✓비정상 scanner 결과 차단
- ✓민감 출력은 업로드·원문 저장 금지
04
감사 무결성
관리 이력을 변조 감지 가능하게 만듭니다.
관리 작업과 같은 DB transaction에서 canonical HMAC 연결 이벤트를 추가하며 내보내기 검증이 수정과 누락을 탐지합니다.
- ✓제한적인 별도 감사 signing key
- ✓canonical 이벤트 hash
- ✓민감 metadata 거절
- ✓검증 API와 오프라인 export 명령
05
잔여 한계
배포 환경에서 별도로 검토할 책임을 확인합니다.
Crossplay만으로 관리되지 않는 네트워크를 안전하게 만들 수는 없습니다. 회사가 Windows 호스트, 네트워크, 백업, 키 접근, 운영 계정을 보호해야 합니다.
- ✓Company Console 공용 인터넷 직접 노출 금지
- ✓새 PC 인수 검증은 아직 남음
- ✓macOS·Linux 패키지 미출시
- ✓백업·복구는 회사 운영 책임
보안 참고 문서