정보 보안 분야에서 인증(Authentication)은 어떤 사람이 스스로 주장하는 신원이 실제로 맞는지 확인하는 모든 절차를 의미합니다. 가장 일반적인 방법은 아이디와 비밀번호를 입력하는 것이지만, 스마트 카드, 홍채 스캔, 음성 인식, 지문 인식 등 다양한 신원 증명 방식이 활용될 수 있습니다. 쉽게 비유하자면, 공항 체크인 카운터에서 신분증을 제시하는 과정과 같습니다.
인증과 권한 부여의 차이
권한 부여(Authorization)는 신원이 확인된 사용자가 해당 자원에 접근할 수 있는지 판단하는 절차입니다. 이는 일반적으로 해당 사용자가 특정 그룹에 속해 있는지, 입장료를 지불했는지, 혹은 특정 등급의 보안 허가를 받았는지를 확인하는 방식으로 결정됩니다. 고급 파티에서 게스트 명단을 대조하거나, 오페라 관람 시 티켓을 검사하는 것에 비유할 수 있습니다.
접근 통제란 무엇인가?
접근 통제(Access Control)는 웹 자원에 대한 접근을 관리하는 포괄적인 방법을 말합니다. 접근 허용 여부는 사용자의 네트워크 주소, 시간대, 사용 중인 브라우저나 네트워크 환경 등 매우 다양한 기준에 따라 결정될 수 있습니다. 놀이공원이 운영 종료 시간에 출입문을 잠그거나, 신장 120cm(48인치) 미만 어린이의 특정 놀이기구 탑승을 제한하는 것과 유사합니다. 즉, 접근 통제는 방문자 개개인의 속성과 직접적인 관련이 있을 수도, 없을 수도 있는 조건에 따라 출입을 통제하는 방식입니다.
이 세 가지 개념은 실제 애플리케이션에서 매우 긴밀하게 연결되어 있어, 서로 독립적으로 논하기가 어렵습니다. 특히 인증과 권한 부여는 대부분의 실제 구현 환경에서 불가분의 관계에 있습니다.
식별(Identification)과 인증의 단계
사용자가 IT 시스템을 이용할 수 있는지 판단하는 과정은 크게 식별과 인증이라는 두 단계로 나뉩니다.
식별은 사용자가 IT 시스템에 고유한 신원을 제시하는 방식을 의미합니다. 신원은 이름(성 또는 이름)이나 번호(예: 계좌번호)와 같은 형태일 수 있으며, 시스템이 여러 사용자를 구별할 수 있도록 반드시 고유해야 합니다. 운영상의 요구 사항에 따라 하나의 '신원'이 한 명의 개인을 나타낼 수도 있고, 여러 명의 개인을 나타내거나, 한 명(또는 여러 명)의 개인 중 일부만 특정 시점에 해당할 수도 있습니다.
인증은 개인과 고유 신원을 연결 짓는 단계입니다. 즉, 개인이 주장하는 신원의 유효성을 입증하는 방법입니다. 개인이 자신의 신원을 인증할 수 있는 세 가지 기본 수단은 다음과 같습니다.
알고 있는 것(Knowledge): 비밀번호, 개인 식별 번호(PIN), 자물쇠의 암호 조합, 개인 배경에서 얻은 정보 조합 등
소유하고 있는 것(Possession): 토큰이나 카드, 자물쇠의 물리적 열쇠 등
본인의 고유 특징(Inherence): 지문이나 음성 패턴 등 '생체 인식(Biometrics)'으로 불리는 개인의 신체적 특징