다중요소 인증 (Multi-Factor Authentication)
한 줄 정의: 지식(비밀번호), 소유(휴대폰, 보안 토큰), 고유특성(지문 등) 중 서로 다른 두 가지 이상의 요소를 결합하여 사용자를 인증하는 방식입니다.
쉽게 풀면
비밀번호 하나만으로 문을 여는 것과, 비밀번호를 입력한 뒤 휴대폰으로 온 인증번호까지 입력해야 문이 열리는 것을 비교해 보면 이해가 쉽습니다. 비밀번호는 유출될 수 있지만, 휴대폰까지 동시에 훔치기는 훨씬 어렵기 때문에 안전성이 크게 높아집니다. 이렇게 서로 다른 종류의 증거를 여러 개 요구하는 인증 방식이 다중요소 인증입니다. 은행 앱이나 이메일 로그인에서 흔히 볼 수 있습니다.
왜 중요한가
비밀번호 단일 인증은 유출, 추측, 피싱 등에 취약하여 계정 탈취 사고의 주요 원인이 되어 왔습니다. 정보보안학 연구에서는 사용성과 보안성을 동시에 만족시키는 다중요소 인증 방식을 설계하고, 각 요소의 결합이 실제로 공격 저항성을 얼마나 높이는지 평가하는 연구가 이루어집니다.
논문에서는 이렇게 쓰입니다
"제안 시스템은 비밀번호와 생체정보를 결합한 다중요소 인증을 적용하여 계정 탈취 공격에 대한 저항성을 높였다."
서로 다른 두 인증 요소를 함께 사용해 보안을 강화했다는 의미입니다.
"다중요소 인증 도입 후 피싱 기반 계정 침해 사례가 유의미하게 감소한 것으로 관찰되었다."
실제 운영 환경에서 다중요소 인증이 공격 성공률을 낮추는 데 도움이 되었다는 관찰 결과입니다.
조금 더 깊게 보면
인증 요소는 일반적으로 지식 기반, 소유 기반, 생체 기반으로 분류되며, 이 중 서로 다른 범주에서 두 가지 이상을 조합해야 진정한 다중요소 인증으로 인정됩니다. 최근에는 시간 기반 일회용 비밀번호(TOTP), 푸시 알림 승인, FIDO2 기반 하드웨어 보안키 등이 널리 사용됩니다.
주의할 점
같은 범주에 속하는 요소를 두 개 사용하는 것은 다중요소 인증이 아니며, SMS 기반 인증번호는 심 스와핑 같은 공격에 취약할 수 있어 대체 수단과 함께 검토되는 경우가 많습니다.