2단계 인증(2FA)이란 무엇인가요?

2단계 인증 또는 2단계 검증은 시스템이나 서비스에 대한 액세스 권한을 부여하기 전에 두 가지 다른 형태의 식원 확인(즉, 요소)이 필요한 보안 수단입니다. 두 번째 인증 요소는 또 하나의 보호 장치를 추가하여 무단 액세스를 한 단계 더 어렵게 만듭니다.

기존에는 사용자 인증에 이메일 주소 또는 사용자 이름과 비밀번호만 필요했습니다. 여기에는 로그인 자격증명의 조합이 포함되지만 엄밀히 따지면 여전히 하나의 인증 요소일 뿐입니다.

또한 강력한 비밀번호 위생이 없으면 사이버 위협이 보안을 우회하고 온라인 계정, 애플리케이션 또는 리소스를 침해하기가 훨씬 쉬워집니다. 만약 그렇게 되면 얼마나 많은 민감한 정보를 수집할 수 있을지 가늠할 수 없습니다.

간단히 말해서, 이것이 바로 2FA가 주목받는 이유입니다. 데이터 유출 위험을 완화할 뿐만 아니라 신원 도용 및 기타 위협으로부터 직원과 소비자를 보호합니다.

2FA 인증 요소

인증 요소는 특정 사용자와 관련된 고유 식별자입니다. 대부분의 2FA 시스템은 세 가지 기존 인증 요소 중 두 가지를 활용합니다.

• 지식 요소: 비밀번호, PIN 또는 보안 질문에 대한 답변 등 사용자만이 아는 정보입니다.
• 소유 요소: 보안 키, 모바일 장치, ID 카드 등 사용자만이 가지고 있는 것입니다.
• 고유 요소: 사용자만이 될 수 있는 것입니다. 생체 인식의 한 형태로 얼굴 인식, 지문 인식, 홍채 인식 등을 이용해 신원을 확인하는 방식입니다.

위에 나온 내용 외에도 오늘날 다양한 최첨단 솔루션은 두 가지 새로운 적응형 인증 요소를 활용하고 있습니다.

• 행동: 행동 패턴과 관련된 디지털 아티팩트를 분석합니다. 예를 들어, 2FA 시스템은 사용자가 신뢰할 수 있는 장치가 아닌 새 휴대폰에서 로그인 시도가 발생하면 이를 의심스러운 로그인 시도로 간주할 수 있습니다.
• 위치: 사용자 인증 시 지리적 위치를 고려해 IP 주소 및 GPS 위치를 분석하는 요소입니다.

일반적으로 조직에서는 위 요소들을 조합하여 사용하도록 2FA 시스템을 구성할 수 있습니다. 사용자는 자신의 온라인 계정, 서비스 또는 시스템에 액세스하려면 능동적이든 수동적이든 요청된 정보를 정확하게 제출해야 합니다.

2FA 및 MFA

이론적으로 인증 요소를 얼마든지 조합할 수 있는데 왜 두 가지 요소에서 멈출까요? 간단히 말하면 이것이 다중 인증의 기본 개념입니다. 

다중 인증은 둘 이상의 인증 요소를 포함하는 2FA의 확장입니다. 간단히 말해서, 후자는 전자의 하위 집합입니다.

이 둘의 중요한 차이점 중 하나는 다중 인증이 더 적응력이 우수하다는 것입니다. 즉, 단계별 검증을 동적으로 적용하여 사용자에게 상황에 따라 세 번째 인증 요소를 제공하도록 할 수 있습니다.

2FA가 효과적인 보안 수단일 수는 있지만 다중 인증이 더 종합적인 솔루션인 경우가 많습니다. 그렇기 때문에 IT 전문가를 대상으로 한 설문 조사에 따르면 기업의 83%는 직원에게 모든 기업 리소스에 액세스할 때 다중 인증을 사용하도록 요구하고 있습니다.

사용 사례

2단계 인증은 가장 보편적인 다중 인증 형식으로, 다양한 사람이 데이터에 액세스해야 하는 사용 사례에 적합합니다. 예컨대 의료 서비스 애플리케이션의 경우 의사와 기타 임상의가 요구에 따라 종종 개인 장치에서 민감한 환자 데이터에 액세스할 수 있기 때문에 일반적으로 2FA를 사용합니다.

기타 주목할 만한 업계 응용 분야는 다음과 같습니다.

• 재무: 은행 및 기타 금융 기관에서는 2FA를 사용하여 신원 도용 및 사기를 방지하여 고객이 안전한 모바일 뱅킹을 위해 온라인 계정에 액세스할 수 있도록 합니다.
• 정부: 미국에서는 모든 연방 웹사이트에 2FA를 의무화하여 민감한 정보와 시민 데이터를 안전하게 보호합니다.
• 고등 교육: 대학은 2FA를 사용하여 성적, 일정 및 개인 정보가 저장되는 학생 포털을 보호합니다.
• 소셜 미디어: Facebook 및 X(이전의 Twitter) 등의 플랫폼에서는 개인 정보를 보호하고 계정 보안을 강화하기 위해 2FA 서비스를 제공합니다.

2FA 프로세스는 간단합니다. 인증 방식에 따라 구체적인 내용은 다를 수 있으나, 기본적인 워크플로는 다음과 같습니다.

• 사용자 로그인: 사용자는 사용자 이름과 비밀번호를 입력합니다.
• 인증 요청: 기본 로그인이 성공하면 두 번째 인증 요소가 트리거됩니다.
• 요소 검증: 사용자가 인증 앱에서 생성된 일회용 토큰이나 비밀번호와 같은 두 번째 요소를 제공합니다.
• 액세스 권한 부여됨: 두 요소가 모두 확인되면 사용자는 시스템에 액세스할 수 있습니다. 일반적으로 이는 사용자 경험에 거의 영향을 주지 않고 몇 초 안에 발생합니다.

2단계 인증 방법

2FA 시스템이 인증 요소를 요청할 수 있는 방법에는 여러 가지가 있습니다. 각각의 장점과 단점이 있지만 모두 계정 보안을 강화하기 위한 단계입니다.

가장 일반적인 인증 방법, 작동 방식, 그 가치를 살펴보겠습니다.

이메일 및 SMS 인증

이 방법은 일회용 패스코드(OTP)를 사용자의 이메일 받은 편지함 또는 휴대폰의 문자 메시지로 전송합니다. 간단히 말해, 일회용 패스코드는 올바르게 입력되면 요청한 리소스에 대한 액세스 권한을 부여하는 5~10자리 검증 코드입니다.

SMS 인증은 가장 편리하고 사용자 친화적인 솔루션 중 하나입니다. 그리고 모바일 장치의 가용성을 고려하면 사용자가 시작하기에 쉽습니다.

그러나 한편으론 사이버 위협에 취약합니다. 암호화되지 않은 SMS 메시지는 해커의 주요 표적이 됩니다. 공격자는 피해자의 휴대폰에 물리적으로 액세스할 수 있는 경우 일회용 패스코드도 직접 판독할 수 있습니다.

하드웨어 토큰

하드웨어 토큰은 보안 키, 스마트 카드 또는 USB 동글과 같은 물리적 장치입니다. 이렇게 하면 고유 토큰이 동적으로 생성되며, 일반적으로 제한된 시간 동안만 유효합니다.

로그인할 때 사용자가 버튼을 눌러 토큰을 활성화하면 토큰 내 알고리즘에서 고유한 일회용 패스코드가 생성됩니다. 그러면 사용자는 장치 또는 애플리케이션의 인증 프롬프트에 이러한 검증 코드를 입력합니다. 서버는 동일한 알고리즘과 보안 키를 사용하여 자체 일회용 패스코드를 생성하고 이를 사용자가 입력한 것과 비교합니다. 일치하면 사용자가 인증되고 액세스 권한이 부여됩니다. 이 프로세스를 통해 비밀번호가 유출되더라도 실제 토큰이 없으면 무단 액세스를 방지할 수 있습니다.

그러나 분명한 단점은 하드웨어 토큰 인증이 항상 실용적이거나 모든 사용 사례에 적용할 수 있는 것은 아니라는 점입니다. 설정 및 유지 관리 비용이 많이 들고, 장치를 잘못 배치하거나 도난당할 수도 있습니다.

소프트웨어 토큰

소프트웨어 토큰은 사용자 컴퓨터나 휴대폰의 인증 앱을 통해 전송되는 시간 또는 이벤트 기반 일회용 패스코드입니다. 하드웨어 토큰과 마찬가지로 이 방법은 짧은 시간 동안만 지속되는 검증 코드를 동적으로 생성합니다.

전반적으로 사용자 친화적이고 간단한 프로세스이지만 사용자가 장치에 추가적인 소프트웨어를 다운로드해야 합니다.

푸시 알림

푸시 알림은 신뢰할 수 있는 장치의 보안 모바일 앱에 직접 경고를 보내 사용자의 신원을 확인합니다. 이 메시지에는 인증 시도에 대한 세부 정보가 포함되어 있어 사용자가 탭 한 번으로 액세스 요청을 승인하거나 거부할 수 있습니다.

이론상으로는 인증 앱에 등록된 장치가 사용자의 소유인지 확인하는 과정입니다. 푸시 알림은 중간자 공격의 위험을 제거하여 계정을 안전하게 보호합니다. 이 2FA 방법은 매우 안전하지만 인터넷 연결성에 좌우됩니다.

생체 인증

마지막으로, 패스워드리스 인증에는 다양한 형태가 있습니다. 특히 생체 인식이 가장 대표적입니다. 기본적으로 생체 인식은 생물학적 특성을 이용해 신원을 확인하는 것입니다.

예를 들어, iPhone 사용자는 다른 서비스 중에서도 Apple ID 계정 정보에 액세스하는 데 사용할 수 있는 얼굴 인식에 익숙합니다. 다른 시스템에서는 지문, 홍채 또는 망막 스캔을 사용합니다.

결과적으로 가장 안전한 2FA 옵션 중 하나임에 틀림없습니다. 사용자를 토큰으로 활용할 뿐만 아니라, 매우 편리하고 해독이 거의 불가능합니다.

간단히 말해서, 2FA는 현재 상태보다 한 단계 업그레이드된 기능입니다. 비밀번호 기반 보안만으로는 더 이상 계정, 웹사이트, 서비스를 무단 액세스로부터 안전하게 보호할 수 없습니다.

몇 가지 놀라운 통계를 살펴보세요.

• 240억 개가 넘는 사용자 이름과 비밀번호 조합이 다크 웹에 유포되고 있습니다. 이 수치는 2020년에서 2022년 사이에 65% 증가했으며 앞으로도 계속 증가할 것으로 보입니다. 대부분의 사람들이 기존 비밀번호를 재사용한다는 점을 고려하면 한 번의 데이터 유출로 여러 계정이 동시에 침해될 수 있습니다.
• Google의 2023년 위협 범위 보고서에 따르면 유출 사고의 86%가 자격증명 도난과 관련이 있는 것으로 나타났습니다. 다시 말하면, 이는 거의 항상 훨씬 더 큰 규모의 파괴적인 사이버 위협의 근본 원인이 되는 것입니다.
• Verizon의 2024년 데이터 침해 조사 보고서에 따르면 보고된 침해의 68%가 취약한 비밀번호 등의 '인적 요소'였다고 합니다.

더 큰 문제는 강력한 비밀번호 위생을 갖추고 있어도 계정을 침해하는 데 많은 시간이 걸리지 않는다는 점입니다. 예를 들어, 해커는 소셜 미디어를 쉽게 탐색하여 기본적인 보안 질문에 답하는 데 필요한 개인 정보를 찾을 수 있습니다.

하지만 좋은 소식이 있습니다. 바로 2FA와 다중 인증이 도움이 될 수 있다는 것입니다. 실제로 다음을 비롯하여 다양한 사이버 위협을 효과적으로 완화합니다.

• 도난당한 비밀번호: 위에서 언급한 바와 같이 자격증명 위생이 좋지 않으면 비밀번호를 도난당하기 쉽습니다. 2FA는 도난당한 비밀번호가 계정을 침해하는 데 필요한 전부가 아님을 보장합니다.
• 무차별 공격: 해커는 점점 더 액세스하기 쉬워지는 컴퓨팅 성능을 사용하여 코드를 해독할 때까지 비밀번호를 무작위로 생성합니다. 그러나 컴퓨팅 성능으로 두 번째 요소를 해킹할 수는 없습니다.
• 피싱: 2FA는 피싱 공격을 통해 사용자 이름과 비밀번호가 도용된 경우 무단 액세스로부터 보호합니다.
• 소셜 엔지니어링: 영리한 해커는 점점 더 소셜 미디어를 이용해 사용자가 자격증명을 자발적으로 포기하도록 속이는 공격을 시작합니다. 그러나 두 번째 요소가 없으면 이러한 노력은 소용이 없습니다.

2FA 및 제로 트러스트

결정적으로, 강력한 인증은 ID 및 액세스 관리(IAM)와 제로 트러스트 아키텍처의 주요 부분입니다. 2FA는 사용자 역할이나 권한뿐만 아니라 장치, 행동, 위치 등을 기반으로 액세스 여부에 대한 결정을 내리고 신원 검증을 엄격하게 적용하여 기업의 제로 트러스트 구현에 도움을 줄 수 있습니다.

2단계 인증을 고려 중이신가요? 명심해야 할 몇 가지 주요 단계는 다음과 같습니다.

1. 올바른 인증 요소 선택

각 유형의 인증 요소 내에서도 선택할 수 있는 다양한 옵션이 있으며, 새로운 기술도 계속해서 등장하고 있습니다. 2FA 프로토콜에 사용할 요소를 어떻게 선택하시겠습니까?

다음은 올바른 선택을 고려하는 데 도움이 되는 몇 가지 질문입니다.

• 인증이 사용자에게 투명하게 공개되도록 하시겠습니까?
• 사용자가 물리적 장치를 휴대하거나 온라인으로 인증하기를 원하십니까?
• 웹사이트가 사용자에게 자신을 인증하도록 하시겠습니까?
• 보호하는 정보는 얼마나 민감하며 관련된 위험은 무엇입니까?
• 사무실, 실험실 또는 기타 영역에 대한 물리적 액세스(링크)가 사용자 요건에 포함됩니까?

Entrust에서는 가장 광범위한 2FA 보안 인증 요소를 지원하여 보안 요구 사항과 사용 사례에 가장 적합한 옵션을 선택할 수 있습니다. 더 중요한 점은 Entrust가 올바른 옵션을 선택하고 고수준 보안 보장, 2단계 인증으로의 전환 작업을 간소화하는 데 도움이 되는 전문가의 컨설팅 지침을 제공할 수 있다는 것입니다.

2. 사용자 경험(UX) 전략 세우기

2FA가 일반적으로 원활한 워크플로이긴 하지만, 추가 단계로 사용자에게 부담을 주고 싶진 않으시겠죠? 프로세스가 번거로우면 고객이 계정 생성을 중단할 수 있기 때문에 사용자 경험은 디지털 온보딩에 특히 중요합니다.

보안, 속도, UX의 균형을 갖춘 2FA 솔루션을 찾아보세요.

3. 2FA 인프라 보호

2FA 코드 또는 토큰 전송과 관련된 통신이 전송 계층 보안 등의 보안 암호화 프로토콜을 사용하여 암호화되었는지 확인하세요.

4. 적응형 인증 고려

사용 사례에 따라 더 강력한 다중 요소 솔루션이 필요할 수 있습니다. 적응형 인증 또는 위험 기반 단계별 검증은 신원을 확인하는 동적인 방법입니다. 상황 인식 방법으로, 인지된 위험에 따라 필요한 인증 수준과 유형을 조정합니다.

예를 들어 적응형 다중 인증에는 모든 조건이 정상적으로 나타나는 경우에만 사용자 이름과 비밀번호가 필요할 수 있습니다. 그러나 비정상적인 IP 주소에서 로그인하는 경우 일회성 검증 코드와 같은 단계적 문제가 발생할 수 있습니다. 이 방식에서는 보안과 편의성의 균형을 유지합니다. 합법적인 사용자에게는 리소스에 대한 원활한 액세스를 허용하지만 잠재적으로 위험한 활동을 감지하면 방어 수단을 강화합니다.

통합 ID 및 액세스 관리 포트폴리오인 Entrust Identity는 조직이 효과적인 제로 트러스트 아키텍처를 달성하는 데 필요한 기반을 제공할 수 있습니다. 이 보안 도구 제품군에서는 다음을 활용할 수 있습니다.

• Identity as a Service: 피싱 방지 다중 인증, 패스워드리스 인증, 싱글 사인 온(SSO)을 갖춘 클라우드 기반 IAM 솔루션입니다.
• Identity Enterprise: 스마트 카드 발급을 포함하여 직원과 소비자를 위한 강력한 인증 방법을 갖춘 온프레미스 ID 및 액세스 관리 기능입니다.
• Identity Essentials: Windows 기반 조직에서 제로 트러스트 접근 방식을 실현할 수 있도록 하는 빠르고 비용 효율적인 MFA(다중 인증) 솔루션입니다.