위키원
이중인증
개요
인증은 다음과 같이 3가지 유형으로 구분할 수 있다. 첫 번째는 사용자가 알고 있는 것으로, 가장 기본적인 인증 방식인 지식 기반 인증(아이디, 패스워드, PIN 등)이고, 두 번째는 사용자가 소유하고 있는 것을 통한 소유 기반 인증(휴대폰, 스마트카드, 토큰, USB 키 등), 마지막으로 사용자 그 자체에 해당하는 것을 이용한 생체인증(지문, 홍채 등)이 있다. 이들 중 서로 다른 2개의 인증을 조합하여 채택하는 방식으로 주로 지식 기반 인증에 소유 기반 인증이나 생체 인증을 추가한다.[1] 다양한 사이트에서 사용자들의 정보가 유출되는 사례가 발생하면서 추가 인증 단계를 넣는 것이 사람들의 개인 정보 및 온라인 권한을 관리하는 데 있어 매우 중요한 것이 되었다. 그와 함께 이중 인증 방식을 사용하는 사이트들이 늘어나고 있다. 이중 인증 방식은 해커가 다른 사용자의 계정에 접속하려는 시도를 효과적으로 방어해준다.
특징
지식 기반의 경우 분실 여부를 인지하기 어렵고, 약한 암호를 사용하거나 서로 다른 계정에서 동일한 암호를 사용하는 사용자의 경우 해커의 공격에 취약하다. 또한 사용자 개인이 보안성을 높이기 위해 노력하더라고 회사의 보안 침해로 인한 비밀번호 도난의 위험도 무시할 수 없다. 소유 기반 인증은 사용자가 분실하게 되면 다른 사용자가 습득하여 즉각적으로 사용할 수 있다는 위험이 있다. 위와 같이 보안상 취약한 단일 인증과는 달리 이중 인증은 효율적으로 높은 보안성을 얻을 수 있는 방법이다.[2]그러나 이중 인증이 해킹의 위험으로부터 사용자를 완전히 지켜주는 것은 아니다. 생체 인식 정보가 해킹당하거나 지문이 손상되는 것처럼 생체가 손상될 수 있고, 휴대폰이나 보안기기를 분실할 수 있기 때문에 보안적으로 완벽한 것은 아니다. 또한 이중 인증 시스템을 구현하는 데 비용을 들여야 하고, 시스템 운용 시 단일 인증에 비해 번거로워진다는 단점이 있기는 하지만 다중 인증 방식 중 가장 간단한 형태의 인증 방식이다. 인증 방식의 종류가 다양하기 때문에 어떤 인증 방식들의 조합을 사용하느냐에 따라 구현 방식이 조금씩 달라진다. 이중 인증과 2단계 확인(Two-Step Verification, 2SV)을 같다고 보는 관점과, 다르다는 관점이 있다. 많은 보안 전문가, 미디어 보도, 웹사이트에서는 두 용어를 같은 의미로 사용하지만, 암호화 전문가, 고급 인증 솔루션 개발자 등은 두 용어를 다르게 정의하고 그 차이점을 중요하게 여긴다. 두 용어를 다르게 보는 경우 이중인증이 2단계 확인보다 보안강도가 더 높다.[1] 이중 인증을 지원하는 대부분의 웹사이트는 사용자들이 처음 인증을 할 때 기기를 신뢰할 수 있는 기기로 등록한 뒤, 차후에 로그인할 때는 암호만으로 로그인할 수 있는 기능 또한 제공한다. 이중 인증 외에 사용자가 점점 늘어나는 인증 방식에는 싱글 사인 온(Single Sign On, SSO), 현재시간 기반 일회용 패스워드(Time-based One-time Password, TOTP), 토큰 인증(Token Authentication) 등이 있다.
싱글 사인 온(Single Sign On, SSO)
이중 인증 방식보다 더 간단한 보안 방식으로 싱글 사인 온 소프트웨어가 여러 웹사이트 및 서비스에 연결되어 있기 때문에 한 사이트에서 인증을 하면 다른 사이트에서 인증을 되출이 할 필요가 없어진다. 그러나 단독으로 쓰기에는 안정성이 좋지 않아 주로 다중 인증 방식에서 사용된다. 또한, 싱글 사인 온 소프트웨어가 오프라인 상태가 되면 다른 사이트들에도 접속을 할 수 없다는 점을 주의해야한다.[3]
현재시간 기반 일회용 패스워드(Time-based One-time Password, TOTP)
단 한 번만 생성되는 암호(OTP)에 시간이라는 변수를 더한 것으로, 단 한 번만 사용이 가능한 암호를 생성할 때, 서버와 사용자로부터 같은 시드, 같은 타임 스탬프를 추출해 계산 알고리즘에 추가하는 것이다. 사용자와 서버의 임시 코드가 일치하면 사용자가 사이트에 접근할 수 있다. 사용자와 서버의 코드 입력 및 처리 시간이 크게 차이 나서는 안 되며 주로 시스템에서 1분 정도의 시간을 주는 편이다. 생성 기기 분실의 취약점 때문에 단독으로 사용되지는 않는다.[3]
토큰 인증(Token Authentication)
일반적인 하드웨어형 토큰 이외에도 여러 가지 형태의 토큰이 존재한다. 다만 그리 강한 수준의 보안력을 갖추고 있지 않기 때문에 단독적으로 사용하는 것은 추천하지 않는다[3]
활용
- 아이폰 이중인증
- 설정> [사용자 이름]> 암호 및 보안으로 이동하여 ‘이중 인증 켜기’를 탭 한 뒤, 확인 코드를 받을 전화번호와 코드를 받을 방식을 선택한 뒤 이중 인증을 켜주면 아이폰에서의 이중인증 설정이 완료된다. 이중 인증 방식을 사용할 때는 계정에 접근하지 못하는 상황이 발생하지 않도록 하기 위해 ID와 암호를 기억, 모든 기기에 기기 암호를 사용, 신뢰할 수 있는 전화번호를 최신 상태로 유지, 신뢰할 수 있는 기기를 물리적으로 안전하게 보관하는 등 몇 가지 지침을 따라야 한다. 앞의 지시 사항들을 통하여 이중인증 방식을 사용하게 되면 신뢰할 수 있는 기기나 웹에서 계정 소유자 본인만이 계정에 접근할 수 있게 된다. 단순히 암호만으로는 계정에 접근할 수 없기 때문에 ID 및 개인 정보의 보안이 크게 향상되는 것이다. 새로운 기기에 처음 로그인하는 경우 신뢰하는 기기에 자동으로 표시되거나 전화번호로 전송되는 확인 코드와 암호를 입력해야 한다. 그렇지만 한 번 로그인하면 로그아웃 하거나 암호를 변경하는 몇 가지 경우를 제외하고는 해당 기기에서 다시 확인 코드를 요청하지 않는다.[4]
- 줌 이중인증
- 줌 비디오 커뮤니케이션즈(Zoom Video Communications, 이하 줌)는 사용자를 검증하고 보안 침해로부터 보호할 수 있는 안전한 방법을 제공하는 이중인증 기능을 업데이트하여 플랫폼의 보안을 강화했다. 줌의 이중 인증 기능은 악의적인 행위자들이 다른 사용자의 계쩡에 접근하여 신분 도용 및 보안 침해의 위험을 줄이고, 민감한 데이터와 고객 정보에 대한 컴플라이언스 의무를 수월하게 충족하는 등 여러 가지 혜택을 제공한다. 또한 구글 어센티케이터, 마이크로소프트 어센티케이터, Free OTP등 시간 기반의 일회용 비밀번호 프로토콜을 이용하거나 SMS 전화 인증 등 여러 가지 계정 인증 방식 중 사용자가 원하는 방식을 택하여 사용할 수 있도록 하였다. 줌에서 이중인증 활성화 하는 방법은 다음과 같다. 줌 대시보드에 로그인한 후, 탐색 메뉴에서 고급과 보안을 차례로 클릭하면 이중 인증으로 로그인하기 옵션이 나온다. 이를 활성화 한 뒤 어떤 사용자에 대하여 이중 인증을 활성화할지 설정하고 저장을 하면 줌의 이중인증 기능이 활성화된다.[5]
각주
- ↑ 1.0 1.1 병아리 기획자, 〈이중인증, 2단계 인증, 2단계 확인〉, 《브런치》, 2019-06-05
- ↑ 〈이중인증〉, 《네이버 지식백과》
- ↑ 3.0 3.1 3.2 홍나경 기자, 〈차기 인증 방식으로 떠오르는 이중 인증이란〉, 《보안뉴스》, 2017-01-17
- ↑ 〈Apple ID의 이중 인증〉, 2020-12-31
- ↑ Edward Lee, 〈ZOOM의 2FA활성화 방법〉, 2020-09-10
참고자료
- 병아리 기획자, 〈이중인증, 2단계 인증, 2단계확인〉, 《브런치》, 2019-06-05
- 〈이중인증〉, 《네이버 지식백과》
- 홍나경 기자, 〈차기 인증 방식으로 떠오르는 이중 인증이란〉, 《보안뉴스》, 2017-01-17
- 〈Apple ID의 이중 인증〉, 2020-12-31
- Edward Lee, 〈ZOOM의 2FA활성화 방법〉, 2020-09-10
같이 보기
