토스 미니앱 개발기: PassFormula 보안
최근 토스 생태계 내에서 동작하는 토스 미니앱 개발에 대한 관심이 뜨겁습니다. 단순히 토스 플랫폼을 이용하는 것을 넘어, 실제 유저에게 강력한 편의성을 제공하는 앱인토스(Apps-in-Toss) 서비스가 등장하고 있기 때문입니다.
오늘 소개할 PassFormula(암호공식)는 비밀번호를 저장하지 않고, 자신만의 고유한 공식으로 필요할 때마다 실시간으로 암호를 재생성하는 혁신적인 보안 도구입니다.
실제 출시 단계까지 도달한 첫 완결 프로젝트로서, AI 인터뷰를 통한 PRD/SRS 작성부터 배포까지의 모든 개발 프로세스를 완벽하게 증명해 낸 기념비적인 레퍼런스입니다.
이 글을 통해 토스 미니앱 환경에서 마주한 실제 보안 설계 아키텍처와 뼈아픈 개발 시행착오를 아낌없이 공유해 드리겠습니다.
PassFormula의 혁신적인 암호 생성 알고리즘
기존의 비밀번호 관리 앱들은 서버에 암호화된 데이터를 저장하기 때문에 해킹의 위험에서 자유롭지 못했습니다. 하지만 PassFormula는 결정적 알고리즘을 채택하여 동일한 입력값에 대해 항상 동일한 출력값을 그 자리에서 즉시 생성합니다.
- Cortex Vault: 사용자가 기억하기 쉬운 직관성에 초점을 맞춘 직관적 알고리즘 (보안 강도 78점)
- Neon Paradox: 무작위성과 예측 불가능성을 극대화한 변형 알고리즘 (보안 강도 90점)
- Titan Fortress: 강력한 마스터 키 기반의 고강도 엔터프라이즈급 알고리즘 (보안 강도 98점)
서버가 필요 없는 ‘로컬-우선’ 보안 설계 아키텍처
토스 미니앱 개발 시 가장 중요한 점은 개인정보 처리 방침과 보안성입니다. PassFormula는 민감한 암호 데이터를 서버로 전송하지 않고 오직 사용자의 기기 내부에서만 처리하는 로컬-우선(Local-First) 아키텍처를 구현했습니다.
- AES-256-GCM & IndexedDB: 암호 생성 및 관리는 서버를 전혀 거치지 않고 로컬 브라우저 샌드박스 내부에서 안전하게 저장됩니다.
- PIN 기반 보안 강화: 6자리 PIN 번호를 사용하되, PBKDF2 단방향 해시만 저장하여 5회 실패 시 30분간 시스템 접근을 원천 차단합니다.
- 화면 단위 재인증 구조: 일반 설정 대시보드는 PIN 없이 즉시 진입이 가능하지만, 안심 보관함과 같은 민감 데이터 영역은 진입할 때마다 즉시 재인증을 요구합니다.
- mTLS 인증 분리: 토스 로그인을 활용한 유저 식별 처리는 오직 최소 인증 중계 서버(mTLS)를 통해서만 진행되며, 본체 서버는 비밀번호 정보에 아예 접근할 수 없습니다.
토스 미니앱 개발 중 겪은 뼈아픈 시행착오와 해결책
완벽해 보이는 앱인토스 개발 과정에서도 플랫폼의 특수한 제약 조건으로 인해 몇 가지 기술적 충돌이 발생했습니다. 이 트러블슈팅 경험은 향후 미니앱을 설계할 개발자들에게 훌륭한 나침반이 될 것입니다.
토스 로그인 요구사항과 로컬 계정의 충돌
앱인토스는 기본적으로 ‘서버 필수’ 연동 요구사항을 가지고 있습니다. 기존에 기획했던 모의(Mock) 로그인을 제거하고, 완벽한 로컬 보안을 만족시키기 위해 PIN 기반 로컬 독자 계정 구조로 유연하게 전환해야만 했습니다.
실시간 UX 성능과 암호학적 해시 알고리즘의 타협
원래 고강도 암호화를 위해 비동기 Web Crypto API 기반의 PBKDF2 및 Argon2id 체인을 기획했습니다. 하지만 사용자가 타이핑하는 동안 실시간으로 암호를 미리 보여주는 강력한 UX를 만족시키기 위해, 불가피하게 동기식 해시 방식인 cyrb53 알고리즘으로 근사 구현하여 타협점을 찾았습니다.
PassFormula의 완성도 높은 기술 스택 총정리
본 프로젝트는 최신 프론트엔드 생태계 기술과 토스 고유의 디자인 에코시스템을 유기적으로 융합하여 설계되었습니다.
- 프레임워크 및 코어: Granite (@apps-in-toss/web-framework), Vite 6, TypeScript 5, React 18
- UI 및 디자인 시스템: 토스 디자인 시스템 (TDS)
- 상태 관리 및 로컬 DB: Zustand, IndexedDB, Web Crypto API
- 백엔드 및 통신: Node.js, Express, mTLS (인증 중계 전용)
결론 및 핵심 요약
📋 핵심 포인트 3줄 요약
- 1. PassFormula는 서버에 비밀번호를 절대 저장하지 않고, 기기 로컬에서 고유 공식으로 암호를 실시간 생성하는 혁신적인 토스 미니앱입니다.
- 2. AES-256-GCM, PBKDF2, cyrb53 등 보안성과 UX 편의성의 최적 밸런스를 잡은 강력한 로컬-우선 아키텍처를 증명했습니다.
- 3. AI 기반의 PRD/SRS 자동화 문서 설계부터 시작해 실제 배포 단계까지 성공적으로 이끌어낸 앱인토스의 대표적인 성공 레퍼런스입니다.
개인정보 보호와 강력한 실시간 성능을 모두 잡는 토스 미니앱 개발 노하우가 더 궁금하시다면, 지금 바로 PassFormula의 아키텍처 가이드를 깊이 있게 살펴보세요!
