다중요소 인증 (Multi-Factor Authentication)

한 줄 정의: 지식(비밀번호), 소유(휴대폰, 보안 토큰), 고유특성(지문 등) 중 서로 다른 두 가지 이상의 요소를 결합하여 사용자를 인증하는 방식입니다.

쉽게 풀면

비밀번호 하나만으로 문을 여는 것과, 비밀번호를 입력한 뒤 휴대폰으로 온 인증번호까지 입력해야 문이 열리는 것을 비교해 보면 이해가 쉽습니다. 비밀번호는 유출될 수 있지만, 휴대폰까지 동시에 훔치기는 훨씬 어렵기 때문에 안전성이 크게 높아집니다. 이렇게 서로 다른 종류의 증거를 여러 개 요구하는 인증 방식이 다중요소 인증입니다. 은행 앱이나 이메일 로그인에서 흔히 볼 수 있습니다. 다중요소인증은 비밀번호 같은 지식 요소, 스마트폰이나 보안토큰 같은 소지 요소, 지문이나 홍채 같은 생체 요소 가운데 서로 다른 두 가지 이상을 함께 요구해 신원을 검증하는 인증 방식입니다.

왜 중요한가

비밀번호 단일 인증은 유출, 추측, 피싱 등에 취약하여 계정 탈취 사고의 주요 원인이 되어 왔습니다. 정보보안학 연구에서는 사용성과 보안성을 동시에 만족시키는 다중요소 인증 방식을 설계하고, 각 요소의 결합이 실제로 공격 저항성을 얼마나 높이는지 평가하는 연구가 이루어집니다. 비밀번호 하나만으로는 유출이나 추측에 취약하지만, 서로 다른 종류의 요소를 결합하면 공격자가 모든 요소를 동시에 확보하기가 훨씬 어려워지기 때문에 계정 탈취 방지의 핵심 수단으로 널리 채택되고 있습니다.

논문에서는 이렇게 쓰입니다

"제안 시스템은 비밀번호와 생체정보를 결합한 다중요소 인증을 적용하여 계정 탈취 공격에 대한 저항성을 높였다."

서로 다른 두 인증 요소를 함께 사용해 보안을 강화했다는 의미입니다.

"다중요소 인증 도입 후 피싱 기반 계정 침해 사례가 유의미하게 감소한 것으로 관찰되었다."

실제 운영 환경에서 다중요소 인증이 공격 성공률을 낮추는 데 도움이 되었다는 관찰 결과입니다.

조금 더 깊게 보면

인증 요소는 일반적으로 지식 기반, 소유 기반, 생체 기반으로 분류되며, 이 중 서로 다른 범주에서 두 가지 이상을 조합해야 진정한 다중요소 인증으로 인정됩니다. 최근에는 시간 기반 일회용 비밀번호(TOTP), 푸시 알림 승인, FIDO2 기반 하드웨어 보안키 등이 널리 사용됩니다. 다중요소인증에서 요소의 개수보다 중요한 것은 요소의 독립성으로, 동일한 스마트폰에 비밀번호와 인증앱을 함께 두는 경우처럼 하나의 매개체가 손상되면 여러 요소가 동시에 뚫릴 수 있다는 점에 주의해야 합니다.

주의할 점

같은 범주에 속하는 요소를 두 개 사용하는 것은 다중요소 인증이 아니며, SMS 기반 인증번호는 심 스와핑 같은 공격에 취약할 수 있어 대체 수단과 함께 검토되는 경우가 많습니다.