생체 인식과 토큰 기반 인증

생체 인증은 고유한 신체적 또는 행동적 특성, 즉 '자신인 것'을 바탕으로 신원을 확인합니다. 비밀번호와 달리 생체 정보는 잊어버리거나 쉽게 공유하거나 잃어버릴 수 없습니다. 그러나 침해되었을 때 변경할 수도 없습니다. 새로운 지문을 발급받을 수는 없기 때문입니다. 생체 시스템은 신체적 또는 행동적 특성을 측정하고, 설정 중 저장된 등록 템플릿과 비교합니다. 생체 시스템의 품질은 오류율과 템플릿 저장 방식의 보안성으로 측정합니다. 생체 인증은 다른 요소(예: 지문 + PIN)와 결합할 때 가장 강력합니다.

생리적 생체 정보는 신체의 물리적 특성을 기반으로 합니다. 주요 유형은 다음과 같습니다. 지문: 비용이 낮고 수용도가 높아 가장 널리 사용되며, 휴대전화, 접근 통제, 국경 보안에 사용됩니다. 망막 스캔: 눈 뒤쪽의 혈관 패턴을 스캔합니다. 매우 정확하고 위조하기 어렵지만 판독기에 눈을 가까이 대야 합니다. 홍채 스캔: 눈의 색이 있는 부분의 패턴을 스캔하며, 더 먼 거리에서도 수행할 수 있어 공항에서 사용됩니다. 얼굴 인식: 카메라로 얼굴의 형태를 분석합니다. 점점 더 정확해지고 있지만 조명, 노화, 변장에 영향을 받을 수 있습니다. 손 형태: 손의 모양과 손가락 길이를 측정합니다.

행동 생체 정보는 신체적 특성보다 사람이 어떤 행동을 수행하는 방식의 패턴을 분석합니다. 예로는 다음이 있습니다. 키 입력 동역학 — 입력 리듬, 속도, 각 키를 누르고 있는 시간(키를 누른 상태가 지속되는 시간)을 측정합니다. 마우스 동역학 — 마우스 사용의 속도, 가속도, 이동 패턴을 분석합니다. 음성 인식 — 음성 명령과는 달리 말하기 패턴, 음높이, 운율을 분석합니다. 서명 동역학 — 모양만이 아니라 손으로 쓴 서명의 압력, 속도, 리듬을 분석합니다. 행동 생체 정보는 로그인할 때뿐 아니라 세션 전체에서 신원을 확인하는 지속적 인증에 특히 유용합니다.

두 가지 오류율로 생체 시스템의 성능을 나타냅니다. 오인 수락률(FAR): 시스템이 침입자를 정당한 사용자로 잘못 받아들일 확률로, 보안 위험에 해당합니다. 오인 거부율(FRR): 시스템이 정당한 사용자를 잘못 거부할 확률로, 가용성 및 사용성 문제에 해당합니다. 이 두 비율은 반비례합니다. 민감도를 높이면 FAR(수락되는 침입자 수)은 감소하지만 FRR(거부되는 정당한 사용자 수)은 증가합니다. 교차 오류율(CER)은 FAR과 FRR이 같아지는 지점으로, 생체 시스템의 정확도를 비교하는 데 사용하는 단일 수치입니다. CER이 낮을수록 시스템의 정확도가 높습니다.

생체 시스템도 공격에 면역인 것은 아닙니다. 위조 공격은 센서를 속이기 위해 가짜 생체 정보를 제시합니다. 지문 위조에는 잠재 지문의 젤라틴 또는 실리콘 복제물이 사용되며, 얼굴 인식은 품질이 낮은 시스템에서 고품질 3D 마스크나 사진으로 속일 수 있습니다. 템플릿 데이터베이스 공격: 저장된 생체 템플릿을 도난당하면 비밀번호처럼 폐기할 수 없습니다. 최신 시스템은 원시 생체 데이터 대신 해시되거나 변환된 템플릿을 저장하는 템플릿 보호와 생체 정보가 복제물이 아니라 실제 살아 있는 사람에게서 나온 것임을 입증하는 생체 활동 감지를 통해 이러한 위험을 완화합니다.

하드웨어 보안 키는 YubiKey, Google Titan 보안 키, SoloKey와 같이 피싱에 강한 인증을 위해 FIDO2/WebAuthn 표준을 구현합니다. 키에는 하드웨어로 보호되는 개인 키가 들어 있어, 개인 키가 장치를 벗어나지 않은 상태로 암호화 작업을 수행합니다. 인증할 때 웹사이트에서 보낸 문제가 하드웨어 키의 개인 키로 서명됩니다. 또한 이 작업은 특정 웹사이트 출처에 연결되어 있으므로 MITM 피싱 사이트가 인증을 가로채거나 중계할 수 없습니다. 하드웨어 키는 인증서 기반 인증이 필요한 기업 환경에서 PIV 스마트 카드로도 사용할 수 있습니다.

스마트 카드는 암호화 키와 인증서를 저장하는 마이크로칩이 내장된 신용카드 크기의 장치입니다. PIV (Personal Identity Verification) 카드는 US 연방 정부 직원에게 의무화된 스마트 카드 표준입니다(FIPS 201). PIV 카드에는 카드 소유자의 X.509 인증서, 카드 밖으로 절대 나가지 않는 개인 키, 디지털 사진, 생체 정보가 포함됩니다. 인증하려면 실제 카드('가지고 있는 것')와 PIN('알고 있는 것')이 모두 필요하므로 이중 인증이 구성됩니다. 스마트 카드는 접촉식 또는 비접촉식(NFC) 판독기로 읽습니다.

일회용 비밀번호(OTP)는 한 번만 사용할 수 있는 인증 코드입니다. 두 가지 표준이 있습니다. HOTP (RFC 4226): 사용할 때마다 카운터가 증가하는 HMAC 기반 OTP입니다. 인증기와 서버는 동기화 상태를 유지해야 합니다. 코드를 생성하고 사용하지 않으면 서로 동기화가 어긋날 수 있어 재동기화가 필요합니다. TOTP (RFC 6238): 현재 시간을 카운터로 사용하며 30초마다 바뀌는 시간 기반 OTP입니다. TOTP는 시간을 통해 자동으로 동기화되므로 더 널리 사용됩니다. 인증기와 서버는 현재 시간에만 동의하면 됩니다(NTP가 이를 지원합니다). 사용하지 않은 TOTP 코드는 단순히 만료됩니다.

푸시 인증(Duo Security, Microsoft Authenticator, Okta Verify에서 사용)은 로그인 시도가 감지되면 사용자의 스마트폰으로 푸시 알림을 보냅니다. 사용자는 6자리 코드를 입력하는 대신 탭 한 번으로 요청을 승인하거나 거부할 수 있습니다. 일부 구현에서는 로그인 상황(IP 주소, 위치, 애플리케이션)을 표시하여 사용자가 충분한 정보를 바탕으로 결정할 수 있게 합니다. 보안상 약점은 MFA 피로 공격입니다. 공격자는 사용자가 실수로 하나를 승인하거나 알림을 멈추기 위해 승인하기를 기대하면서 빠른 푸시 요청을 연속해서 보냅니다. 대응 방법으로는 번호 일치 방식(사용자가 로그인 페이지에 표시된 코드를 입력해야 함)과 푸시 알림에 추가 상황 정보를 포함하는 방법이 있습니다.

적응형 인증은 상황 신호에 따라 필요한 인증 강도를 조정합니다. 사용자가 평소 사용하던 장치에서 회사 네트워크를 통해 업무 시간에 로그인한다면 위험이 낮으므로 비밀번호만으로 충분할 수 있습니다. 같은 사용자가 새 장치에서 오전 3시에 알 수 없는 국가로부터 로그인한다면 위험이 높으므로 단계적 인증이 시작됩니다(MFA 또는 관리자의 승인이 필요함). 상황 신호에는 장치 지문(알려진 장치/알 수 없는 장치), IP 지리적 위치, 시간대, 불가능한 이동(경과 시간 안에 이동할 수 없는 두 위치에서 로그인하는 상황), 행동 패턴이 포함됩니다. 이를 통해 위험이 낮은 로그인에서는 MFA로 인한 불편을 줄이고, 가장 중요한 상황에서는 추가적인 불편을 감수하게 할 수 있습니다.

비밀번호 없는 인증은 비밀번호를 완전히 없애고 대신 피싱에 강한 요소를 사용합니다. 일반적인 방법은 다음과 같습니다. 생체 인식(Windows Hello, Touch ID) 또는 하드웨어 키를 사용하는 FIDO2/WebAuthn, 사용자의 이메일이나 전화로 일회용 URL을 보내는 매직 링크(이메일 접근을 신뢰할 수 있을 때 효과적), 그리고 Apple, Google, Microsoft가 채택한 FIDO Alliance 표준인 패스키(개인 키가 장치의 보안 영역에 저장되고 공급업체 계정을 통해 클라우드와 동기화됨)입니다. 패스키는 편리하면서도 피싱에 강하므로 비밀번호를 대체하는 수단으로 빠르게 확산되고 있습니다.

이 단원에서는 생체 인증이 생리적 특성(지문, 홍채) 또는 행동 특성(키 입력, 음성)을 사용한다는 점, FAR 및 FRR이 CER을 균형점으로 삼아 생체 시스템의 정확도를 측정한다는 점, 하드웨어 보안 키(FIDO2/WebAuthn)가 피싱에 강한 토큰 기반 인증을 제공한다는 점, 그리고 적응형 인증이 상황 위험도에 따라 인증 부담을 조정한다는 점을 배웠습니다. 다음에는 권한 부여 모델: RBAC, MAC 및 DAC을 살펴보겠습니다.