인증 요소

인증은 자신이 주장하는 사람이 맞음을 증명하는 것입니다.

강력한 인증은 서로 다른 종류의 증거인 여러 요소를 조합하는 방식에 의존합니다.

인증 요소는 세 가지 범주로 나뉩니다.

• 알고 있는 것(비밀번호 또는 PIN)
• 가지고 있는 것(휴대전화 또는 보안 키)
• 본인인 것(지문 또는 얼굴)

지식 요소는 기억하고 있는 비밀 정보입니다. 비밀번호, PIN, 보안 질문 등이 있습니다.

저렴하고 익숙하지만 피싱에 노출되고 추측되기 쉬우며 여러 사이트에서 재사용되기도 합니다.

소유 요소는 물리적으로 소지하는 것입니다.

• 코드나 승인 알림을 받는 휴대전화
• 물리 보안 키
• 스마트 카드

공격자가 사용하려면 해당 기기를 훔쳐야 합니다.

생체 요소는 지문, 얼굴, 홍채 또는 음성과 같은 생체 정보입니다.

편리하고 잊어버리기 어렵지만 유출되면 변경할 수 없으므로 여러 요소 중 하나로 사용하는 것이 가장 좋습니다.

다중 요소 인증(MFA)은 서로 다른 범주의 요소를 요구합니다.

비밀번호와 PIN은 둘 다 지식 요소이므로 MFA가 아닙니다. 비밀번호와 휴대전화 코드를 함께 사용하면 MFA입니다.

비밀번호만 사용하는 것은 가장 약한 고리입니다. 비밀번호는 재사용되고, 피싱으로 탈취되며, 데이터 유출 사고로 공개되기도 합니다.

두 번째 요소를 추가하면 비밀번호를 도난당해도 그것만으로는 로그인할 수 없습니다.

2단계 인증은 정확히 두 가지 요소를 사용하는 MFA입니다.

MFA는 더 넓은 개념으로 두 가지 이상의 요소를 요구할 수 있습니다. 실제로 대부분의 일반 사용자용 시스템은 2단계 인증을 사용합니다.

일반적인 두 번째 요소를 약한 것부터 강한 순서로 나열하면 다음과 같습니다.

• SMS 코드(SIM 교체 공격에 취약)
• 인증 앱 코드(TOTP)
• 승인 알림
• 하드웨어 보안 키(가장 강력함)

최신 시스템은 적응형(위험 기반) 인증을 사용합니다. 로그인이 위험해 보일 때만 추가 요소를 요구하는 방식입니다.

새로운 기기, 평소와 다른 위치 또는 짧은 시간에 불가능한 거리의 이동 등이 신호가 될 수 있습니다.

일부 시스템은 위치(어디에 있는지) 또는 행동(입력 리듬)을 추가 신호로 취급합니다.

이러한 정보는 일반적으로 독립적인 요소라기보다 위험도 입력값이지만, 전체 판단을 더 정확하게 만듭니다.

다음 조합 중 진정한 다중 요소 인증에 해당하는 것은 무엇일까요?

인증의 세 가지 요소 범주인 지식, 소유, 생체 요소를 배웠습니다.

• 진정한 MFA는 서로 다른 범주의 요소를 조합합니다.
• 두 번째 요소는 약한 SMS부터 강력한 하드웨어 키까지 다양합니다.
• 적응형 인증은 위험이 높을 때만 요소를 추가합니다.

다음에는 일회용 비밀번호 알고리즘이 작동하는 방식을 자세히 살펴봅니다.