위키원
이중인증
개요
인증은 다음과 같이 3가지 유형으로 구분할 수 있다. 첫 번째는 사용자가 알고 있는 것으로, 가장 기본적인 인증 방식인 지식 기반 인증(아이디, 패스워드, PIN 등)이고, 두 번째는 사용자가 소유하고 있는 것을 통한 소유 기반 인증(휴대폰, 스마트카드, 토큰, USB 키 등), 마지막으로 사용자 그 자체에 해당하는 것을 이용한 생체인증(지문, 홍채 등)이 있다. 이들 중 서로 다른 2개의 인증을 조합하여 채택하는 방식으로 주로 지식 기반 인증에 소유 기반 인증이나 생체 인증을 추가한다.[1] 다양한 사이트에서 사용자들의 정보가 유출되는 사례가 발생하면서 추가 인증 단계를 넣는 것이 사람들의 개인 정보 및 온라인 권한을 관리하는 데 있어 매우 중요한 것이 되었다. 그와 함께 이중 인증 방식을 사용하는 사이트들이 늘어나고 있다. 이중 인증 방식은 해커가 다른 사용자의 계정에 접속하려는 시도를 효과적으로 방어해준다.
특징
지식 기반의 경우 분실 여부를 인지하기 어렵고, 약한 암호를 사용하거나 서로 다른 계정에서 동일한 암호를 사용하는 사용자의 경우 해커의 공격에 취약하다. 또한 사용자 개인이 보안성을 높이기 위해 노력하더라고 회사의 보안 침해로 인한 비밀번호 도난의 위험도 무시할 수 없다. 소유 기반 인증은 사용자가 분실하게 되면 다른 사용자가 습득하여 즉각적으로 사용할 수 있다는 위험이 있다. 위와 같이 보안상 취약한 단일 인증과는 달리 이중 인증은 효율적으로 높은 보안성을 얻을 수 있는 방법이다.[2]그러나 보안에 절대적인 것은 없기 때문에 이중 인증이 해킹의 위험으로부터 사용자를 완전히 지켜주는 것은 아니다. 생체 인식 정보가 해킹당하거나 지문이 손상되는 것처럼 생체가 손상될 수 있고, 휴대폰이나 보안기기를 분실할 수 있기 때문에 보안적으로 완벽한 것은 아니다. 또한 이중 인증 시스템을 구현하는 데 비용을 들여야 하고, 시스템 운용 시 단일 인증에 비해 번거로워진다는 단점이 있기는 하지만 다중 인증 방식 중 가장 간단한 형태의 인증 방식이다. 인증 방식의 종류가 다양하기 때문에 어떤 인증 방식들의 조합을 사용하느냐에 따라 구현 방식이 조금씩 달라진다. 이중 인증을 지원하는 대부분의 웹사이트는 사용자들이 처음 인증을 할 때 기기를 신뢰할 수 있는 기기로 등록한 뒤, 차후에 로그인할 때는 암호만으로 로그인할 수 있는 기능 또한 제공한다. 미국의 보안 업체인 듀오 랩스가 2017년 이중 인증의 도입율을 파악하기 위한 조사를 했는데 당시 이중 인증이라는 말을 들어본 적조차 없는 미국인들이 56%나 되었고, 한 개 이상의 웹사이트나 앱에서 이중 인증을 사용하고 있는 사용자는 28%정도 밖에 되지 않았다. 2년 후인 2019년에 다시 조사를 했을 때는 이중 인증 사용자가 51%로 늘어났고, 이중 인증에 대해 들어본 적이 있다는 응답자는 77%로 이중 인증의 사용 비율이 빠르게 늘어나고 있다는 것을 알 수 있었다. 특히 이중 인증 사용자의 69%가 18~24세로, 젊은 세대 사이에서 이중 인증 방식이 인기인 것으로 보인다. 이는 젊은 세대일수록 신기술을 능숙하게 다루기 때문도 있지만, 게임 산업이 큰 역할을 한 것으로 보인다. 교과 과정 중 보안 교육을 포함하고, 아이들을 대상으로 한 보안 교육 또한 빼놓을 수 없다. 이중 인증 기술 중 가장 인기가 높은 것은 문자 메시지를 기반으로 한 것으로 이중 인증 사용자 중 72% 정도가 문자 기반 기술을 활용하고 있었다. 이메일, 인증 전용 앱은 각각 57%, 36%로 그 뒤를 따랐다. 이중 인증 사용자들이 이중 인증 방식을 통하여 보호하고 있는 계정은 은행 및 금융 관련 계정이 제일 많았고, 소셜 미디어 및 통신, 의료 건강 등이 있었다. 이메일 계정에 관한 관심은 상대적으로 적었는데 이에 대하여 듀오 랩스의 전문가들은 가장 많은 사이버 공격이 이메일로부터 발생하고, 생각보다 많은 정보가 담겨 있는 이메일은 중요하게 생각할 만한 요소라고 덧붙였다.[3] 이중 인증 외에 사용자가 점점 늘어나는 인증 방식에는 싱글 사인 온(Single Sign On, SSO), 현재시간 기반 일회용 패스워드(Time-based One-time Password, TOTP), 토큰 인증(Token Authentication) 등이 있다.
- 싱글 사인 온(Single Sign On, SSO)
- 이중 인증 방식보다 더 간단한 보안 방식으로 싱글 사인 온 소프트웨어가 여러 웹사이트 및 서비스에 연결되어 있기 때문에 한 사이트에서 인증을 하면 다른 사이트에서 인증을 되출이 할 필요가 없어진다. 그러나 단독으로 쓰기에는 안정성이 좋지 않아 주로 다중 인증 방식에서 사용된다. 또한, 싱글 사인 온 소프트웨어가 오프라인 상태가 되면 다른 사이트들에도 접속을 할 수 없다는 점을 주의해야한다.[4]
- 현재시간 기반 일회용 패스워드(Time-based One-time Password, TOTP)
- 단 한 번만 생성되는 암호(OTP)에 시간이라는 변수를 더한 것으로, 단 한 번만 사용이 가능한 암호를 생성할 때, 서버와 사용자로부터 같은 시드, 같은 타임 스탬프를 추출해 계산 알고리즘에 추가하는 것이다. 사용자와 서버의 임시 코드가 일치하면 사용자가 사이트에 접근할 수 있다. 사용자와 서버의 코드 입력 및 처리 시간이 크게 차이 나서는 안 되며 주로 시스템에서 1분 정도의 시간을 주는 편이다. 생성 기기 분실의 취약점 때문에 단독으로 사용되지는 않는다.[4]
- 토큰 인증(Token Authentication)
- 일반적인 하드웨어형 토큰 이외에도 여러 가지 형태의 토큰이 존재한다. 다만 그리 강한 수준의 보안력을 갖추고 있지 않기 때문에 단독적으로 사용하는 것은 추천하지 않는다[4]
이중 인증과 2단계 확인
이중 인증과 2단계 확인(Two-Step Verification, 2SV)을 같다고 보는 관점과, 다르다는 관점이 있다. 많은 보안 전문가, 미디어 보도, 웹사이트에서는 두 용어를 같은 의미로 사용하지만, 암호화 전문가, 고급 인증 솔루션 개발자 등은 두 용어를 다르게 정의하고 그 차이점을 중요하게 여긴다. 두 용어를 다르게 보는 경우 이중인증이 2단계 확인보다 보안강도가 더 높지만 두 가지 모두 단일 인증 방식보다는 낫다.[1]
활용
- 아이폰 이중인증
- 설정> [사용자 이름]> 암호 및 보안으로 이동하여 ‘이중 인증 켜기’를 탭 한 뒤, 확인 코드를 받을 전화번호와 코드를 받을 방식을 선택한 뒤 이중 인증을 켜주면 아이폰에서의 이중인증 설정이 완료된다. 이중 인증 방식을 사용할 때는 계정에 접근하지 못하는 상황이 발생하지 않도록 하기 위해 ID와 암호를 기억, 모든 기기에 기기 암호를 사용, 신뢰할 수 있는 전화번호를 최신 상태로 유지, 신뢰할 수 있는 기기를 물리적으로 안전하게 보관하는 등 몇 가지 지침을 따라야 한다. 앞의 지시 사항들을 통하여 이중인증 방식을 사용하게 되면 신뢰할 수 있는 기기나 웹에서 계정 소유자 본인만이 계정에 접근할 수 있게 된다. 단순히 암호만으로는 계정에 접근할 수 없기 때문에 ID 및 개인 정보의 보안이 크게 향상되는 것이다. 새로운 기기에 처음 로그인하는 경우 신뢰하는 기기에 자동으로 표시되거나 전화번호로 전송되는 확인 코드와 암호를 입력해야 한다. 그렇지만 한 번 로그인하면 로그아웃 하거나 암호를 변경하는 몇 가지 경우를 제외하고는 해당 기기에서 다시 확인 코드를 요청하지 않는다.[5]
- 줌 이중인증
- 줌 비디오 커뮤니케이션즈(Zoom Video Communications, 이하 줌)는 사용자를 검증하고 보안 침해로부터 보호할 수 있는 안전한 방법을 제공하는 이중인증 기능을 업데이트하여 플랫폼의 보안을 강화했다. 줌의 이중 인증 기능은 악의적인 행위자들이 다른 사용자의 계쩡에 접근하여 신분 도용 및 보안 침해의 위험을 줄이고, 민감한 데이터와 고객 정보에 대한 컴플라이언스 의무를 수월하게 충족하는 등 여러 가지 혜택을 제공한다. 또한 구글 어센티케이터, 마이크로소프트 어센티케이터, Free OTP등 시간 기반의 일회용 비밀번호 프로토콜을 이용하거나 SMS 전화 인증 등 여러 가지 계정 인증 방식 중 사용자가 원하는 방식을 택하여 사용할 수 있도록 하였다. 줌에서 이중인증 활성화 하는 방법은 다음과 같다. 줌 대시보드에 로그인한 후, 탐색 메뉴에서 고급과 보안을 차례로 클릭하면 이중 인증으로 로그인하기 옵션이 나온다. 이를 활성화 한 뒤 어떤 사용자에 대하여 이중 인증을 활성화할지 설정하고 저장을 하면 줌의 이중인증 기능이 활성화된다.[6]
- 구글 2단계 인증
- 구글 2단계 인증을 사용하는 법은 다음과 같다. 구글 계정으로 로그인 한 뒤 계정 관리에 들어가서 보안 메뉴를 선택하면 2단계 인증을 활성화하거나 비활성화할 수 있는 메뉴가 있다. 구글에서는 문자 메시지나 전화 통화를 통하여 인증 코드를 받을 수 있고, 그 외에 OTP 앱을 통하여 인증 코드를 받거나 보안 키를 통하여 인증하는 방식들을 지원하고 있다. 예상치 못한 휴대폰 분실이나 휴대폰을 사용할 수 없는 경우를 위한 백업 경로도 만들어 준다. 전화번호를 통하여 인증하거나 일회성 백업 코드를 통하여 인증하는 방법을 통하여 사용자는 백업을 할 수 있다. 구글 역시 신뢰하는 기기로 등록을 하여 동일 기기에서 로그인할 경우 2차 인증을 생략할 수 있다.[7]
- 페이스북 2단계 인증
- 페이스북 로그인 후 설정에서 보안 및 로그인 설정으로 이동하면 2단계 인증을 설정할 수 있다. 2단계 인증을 사용하기 위해서는 타사 인증 앱을 이용한 로그인 코드나 휴대폰의 문자 메시지 코드 중 어떤 방식으로 로그인 할 것인지를 설정해 주어야 한다. 그러면 확인된 기기를 설정하여 동일한 기기에서 로그인 할 때 2단계 인증을 하지 않고 로그인을 할 수 있고, 휴대폰을 사용할 수 없는 경우를 위한 복구코드나 보안키 방식을 사용할 수 있게 된다.[8]
- 인스타그램 2단계 인증
각주
- ↑ 1.0 1.1 병아리 기획자, 〈이중인증, 2단계 인증, 2단계 확인〉, 《브런치》, 2019-06-05
- ↑ 〈이중인증〉, 《네이버 지식백과》
- ↑ 문가용 기자, 〈이중 인증의 보급, 젊은 세대가 담당하고 있다〉, 《보안뉴스》, 2019-12-16
- ↑ 4.0 4.1 4.2 홍나경 기자, 〈차기 인증 방식으로 떠오르는 이중 인증이란〉, 《보안뉴스》, 2017-01-17
- ↑ 〈Apple ID의 이중 인증〉, 2020-12-31
- ↑ Edward Lee, 〈ZOOM의 2FA활성화 방법〉, 2020-09-10
- ↑ 〈Google 2단계 인증〉
- ↑ 〈2단계 인증이란 무엇이고 Facebook에서 어떤 방식으로 작동하나요?〉, 《Facebook 고객센터》
참고자료
- 병아리 기획자, 〈이중인증, 2단계 인증, 2단계확인〉, 《브런치》, 2019-06-05
- 〈이중인증〉, 《네이버 지식백과》
- 문가용 기자, 〈이중 인증의 보급, 젊은 세대가 담당하고 있다〉, 《보안뉴스》, 2019-12-16
- 홍나경 기자, 〈차기 인증 방식으로 떠오르는 이중 인증이란〉, 《보안뉴스》, 2017-01-17
- 〈Apple ID의 이중 인증〉, 2020-12-31
- Edward Lee, 〈ZOOM의 2FA활성화 방법〉, 2020-09-10
- 〈Google 2단계 인증〉
- 〈2단계 인증이란 무엇이고 Facebook에서 어떤 방식으로 작동하나요?〉, 《Facebook 고객센터》
같이 보기
