푸시와 하드웨어 키

입력하는 OTP 코드는 작동하지만 번거롭고 피싱에 취약합니다. 소유 기반 인증 요소 중 더 강력한 두 가지인 푸시 승인과 하드웨어 보안 키를 사용하면 편의성과 보안이 향상됩니다.

푸시 기반 MFA는 휴대전화로 알림을 보냅니다. 코드를 입력하는 대신 승인 또는 거부를 누르면 됩니다.

편리하며 서버가 응답을 암호학적으로 확인합니다.

푸시 알림은 MFA 피로 공격(푸시 폭격)에 취약합니다. 공격자는 사용자가 귀찮아서 승인을 누르기를 바라며 승인 요청을 계속 보냅니다.

방어 방법은 번호 일치 확인입니다. 사용자가 로그인 화면에 표시된 번호를 입력해야 합니다.

하드웨어 보안 키는 암호학적 인증을 수행하는 작은 물리적 장치입니다(USB, NFC 또는 블루투스).

개인 키가 장치 밖으로 나가지 않으므로 도난에 매우 강합니다.

FIDO2는 최신 보안 키의 기반이 되는 개방형 표준입니다. 웹 부분은 WebAuthn 브라우저 API입니다.

두 기술을 함께 사용하면 공유 비밀 대신 공개 키 암호화로 사이트에서 사용자를 인증할 수 있습니다.

등록할 때 키는 사이트마다 고유한 키 쌍을 생성하고 사이트에 공개 키를 제공합니다.

로그인할 때 서버가 인증용 요청값을 보내면 키는 개인 키로 그 값을 서명합니다. 이 서명은 어떤 비밀도 드러내지 않고 키를 보유하고 있음을 증명합니다.

FIDO2는 각 자격 증명을 사이트의 정확한 오리진(도메인)에 연결합니다.

유사한 도메인을 사용하는 피싱 사이트는 유효한 서명을 받을 수 없습니다. 키가 잘못된 오리진에 대한 인증을 거부하기 때문입니다. 이것이 FIDO2가 피싱 방어형인 이유입니다.

패스키는 플랫폼(휴대전화, 노트북)을 통해 기기 간에 동기화할 수 있는 FIDO2 자격 증명입니다.

FIDO2의 피싱 방어 기능을 유지하면서 비밀번호를 완전히 대체하는 것을 목표로 합니다.

보안 키에는 사용자 확인이라는 로컬 확인 기능을 추가할 수 있습니다. 장치 자체에서 PIN이나 생체 인증을 사용하는 방식입니다.

이를 통해 소유한 것과 알고 있거나 본인인 것을 한 번의 탭으로 결합할 수 있습니다.

대략 약한 방식부터 강한 방식 순서입니다.

• SMS 코드(가능하면 피함)
• TOTP 앱
• 번호 일치 기능이 있는 푸시
• FIDO2 / 패스키(피싱 방어형)

하드웨어 키를 배포할 때는 다음 사항을 지키십시오.

• 사용자마다 키를 최소 두 개 등록하십시오(하나는 백업용).
• 피싱 방어 기능을 유지하는 복구 경로를 제공하십시오.
• 중요도가 높은 계정에는 FIDO2를 우선 사용하십시오.

FIDO2 보안 키가 피싱 방어형으로 간주되는 이유는 무엇인가요?

더 강력한 소유 기반 인증 요소를 배웠습니다.

• 푸시는 편리하지만 피로 공격을 막으려면 번호 일치 확인이 필요합니다.
• FIDO2 / 패스키는 사이트별 키 쌍과 오리진 연결을 사용해 피싱을 방어합니다.
• 백업 키를 등록하십시오.

다음에는 MFA를 여전히 우회할 수 있는 방법과 MFA를 강화하는 방법을 살펴봅니다.