제로 트러스트(Zero trust)의 시작은 ‘인증(Authentication)’이다. 서비스에 접근하려는 ID가 본인 자신인지 확인하는 인증은 사용자 자신이 아는 것(What you know), 사용자 자신이 갖고 있는 것(What you have), 사용자 자신(Who you are)의 3가지 요소 중 2가지 이상을 사용하는 다중인증(MFA)를 사용해야 한다.
아는 것은 비밀번호, 갖고 있는 것은 일회용 인증키나 소프트웨어 OTP와 같은 물리적 인증 매체, 사용자 자신은 생체인증이 대표적인 인증 매체로 사용된다.
간편인증이 대세가 되면서 다중인증(MFA)의 개념이 크게 변하고 있다. 사용자가 직접 입력하는 길고 복잡한 문자·숫자 조합의 비밀번호가 오히려 보안위협을 높인다는 지적에 따라 비밀번호 없이 로그인하는 패스워드리스 인증 방식이 부상하고 있다.
로그인 시 비밀번호 만으로는 결코 안전하지 않으며 매번 변하거나 한번 사용하고 버리는 일회성/휘발성 같은 동적인 보안 솔루션인 일회용 인증키로 대체 했을 때 이점은 다음과 같다.
정보자산의 보안강화를 위해서는 무엇보다도 매번 변하거나 한번 사용하고 버리는 일회성/휘발성 같은 동적인 보안인 일회용 인증키는 본인이 소유하고 있는 일회용 인증키 생성매체를 사용해서 본인이 직접 일회용 인증키를 생성하여 본인이 직접 접근하고자 하는 정보자산에 입력 및 검증해야 그나마 보안 사고를 예방할 수 있는 최선책이다.
외부의 해커나 내부의 사용자가 불법적으로 정보자산에 접근하는 것을 제한하기 위하여 우회.원격 접속 차단 및 중간자 공격, 다중인증(MFA) 우회기술.피로 공격을 어떻게 방어할 것인지가 어느 때보다도 그만큼 중요하다.
정보자산의 보안강화를 위한 3단계 인증은 날로 지능화된 사이버 공격에 대응하기 위한 최적의 보안 대책으로 기존의 지식기반 인증(ID/비밀번호)과 소유기반 인증(일회용 인증키)에 지문이나 안면 같은 사람의 고유한 특징인 생체인식을 통해 인증하는 속성기반 인증을 추가하여 정보자산의 보안 강화에 최적화된 방안이다.
이러한 3단계 인증의 핵심은 아무나 인증수단에 접근할 수 없다는 점이다.
아이디와 암호는 알기만 하면 누구나 입력할 수 있지만, 3단계 인증은 그 정보에 접근할 수 있는 방법이 매우 한정적이다.
여기에서 강력한 보안성이 발생한다.
아이디와 암호를 해킹할 수 있는 방법은 많지만, 3단계 인증수단을 해킹한다는건 거의 불가능에 가깝기 때문에 해커 입장에서도 3단계 인증창이 뜨면 해킹 자체를 포기하게 된다.
3단계 인증은 AI얼굴인식 적용으로 불편성은 최소, 보안강화는 최고로 날로 지능화된 사이버 공격에 대응할 수 있다.
누리아이티는 “날로 지능화된 사이버 공격에 대응하기 위한 최적의 보안 대책으로는 2단계 인증도 약하다”면서 “새로운 시스템으로 모두가 신뢰하는 3단계 인증의 시대를 열겠다”고 강조했다.
"아무 것도 신뢰하지 않는다" = "아무도 믿지 마라" = "계속 검증하라"
앞으로 정보 보안의 흐름은 보안은 강화하고 사용자의 불편함을 최소화하는 방향으로, 기억할 필요가 없는 비밀번호! BaroPAM이 함께 하겠습니다.
'▶ BaroSolution > 기술문서' 카테고리의 다른 글
| 한 곳 털리니 딴 곳도 털렸다-크리덴셜 스터핑(Credential Stuffing) 공격 (0) | 2023.12.17 |
|---|---|
| 강력한 MFA도 무력화하는 MFA 피로공격과 MFA 우회기술 방어 (0) | 2023.12.14 |
| 주기적으로 비밀번호를 변경하는 것이 온라인 해킹 침해를 결코 막지 못한다. (0) | 2023.11.27 |
| ‘정부24’ 먹통 사태가 우리에게 시사하는 의미 (0) | 2023.11.19 |
| VPN의 보안 강화를 위하여 2차 인증 솔루션의 적용은 선택이 아닌 필수로 적용해야 할 최적의 방안 (0) | 2023.10.09 |