인증(Authentication)은 사용자나 시스템이 실제로 자신이 주장하는 신원과 일치하는지 검증하는 정보 보안의 핵심 절차입니다. 인증 기술은 적용 대상과 환경에 따라 매우 다양하며, 상황에 맞는 적절한 인증 방식을 선택하는 것이 보안 수준을 좌우합니다. 지금부터 주요 인증 기술들을 하나씩 살펴보겠습니다.
정보 보안의 주요 인증 기술
1. 비밀번호 기반 인증
가장 단순하고 널리 사용되는 인증 방식입니다. 특정 사용자 이름(username)에 해당하는 비밀번호를 요구하며, 입력된 비밀번호가 시스템 데이터베이스에 저장된 정보와 일치하면 사용자는 인증을 통과하게 됩니다.
2. 볼트(Vault) 인증
볼트 시스템에서는 사용자 또는 머신에 대한 정보를 내부 또는 외부 시스템과 대조하여 인증이 이루어집니다. 이러한 시스템의 일반적인 인증 방식은 API 또는 CLI를 통해 수행됩니다.
3. 이메일 인증
이메일 인증에는 여러 가지 방식이 있으며, 대표적인 표준으로는 SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail), DMARC가 있습니다. SMTP는 자체적으로 충분한 인증 메커니즘을 갖추고 있지 않기 때문에, 이러한 표준들이 SMTP를 보완하는 역할을 합니다.
4. 데이터베이스 인증
이 방식은 올바른 사람만 특정 데이터베이스에 접근하여 업무에 필요한 데이터를 사용할 수 있도록 보장하는 데 중점을 둡니다. 인증은 SSL(Secure Sockets Layer) 프로토콜을 사용하거나 제3자 인증 서비스를 활용하여 수행됩니다.
5. 싱글 사인온(SSO)
SSO(Single Sign-On)는 하나의 자격 증명 세트로 여러 애플리케이션에 접근할 수 있게 해주는 방식입니다. 사용자는 한 번만 로그인하면, 동일한 중앙화된 디렉터리에 연결된 모든 웹 애플리케이션에 자동으로 로그인됩니다.
6. 소셜 인증
소셜 인증은 별도의 강력한 보안 장치를 요구하지 않고, 해당 소셜 네트워크에 이미 등록되어 있는 기존 자격 증명을 통해 사용자를 검증합니다.
7. 패스워드리스 인증
이 방식에서는 사용자가 비밀번호를 입력할 필요가 없습니다. 대신 등록된 휴대폰 번호로 OTP(일회용 비밀번호) 또는 링크를 전송받아 인증을 완료합니다. OTP 기반 인증이라고도 불립니다.
8. 다중 요소 인증(MFA)
많은 조직이 진정으로 안전한 신원 관리를 위해서는 다중 요소 인증(MFA)이 필수적이라는 사실을 받아들이고 있습니다. MFA는 비밀번호와 홍채 스캔처럼 서로 다른 두 가지 이상의 인증 요건을 요구합니다.
하나의 인증 요소는 해킹당할 수 있지만, 두 가지 이상을 뚫는 것은 기하급수적으로 어렵습니다. MFA와 함께 활용되는 것이 시간 제한이 있는 일회용 비밀번호입니다. 이 방식은 짧은 시간 동안만 유효한 비밀번호에 대한 독점적 접근 권한을 부여하므로, 유효 기간이 지나면 도난당해도 무용지물이 됩니다.
9. 거래 인증
거래 인증 방식은 일회성 사용만 가능한 일회용 식별 번호(TAN)를 기반으로 작동합니다. 거래 인증 번호는 시스템에 보안 계층을 추가하여 더욱 안전한 환경을 만들어 줍니다.
10. 결제 인증
결제 인증은 누군가 타인의 정보를 도용하여 온라인 거래를 하는 것을 방지하기 위해 존재합니다. 경우에 따라 신원 확인은 두 번 이상 수행되기도 합니다. 대표적인 방식으로는 3D Secure, CVV(Card Verification Value), 주소 확인(Address Verification)이 있습니다.
11. 서버 및 네트워크 인증 방식
다른 인증 형태와 마찬가지로, 네트워크 수준의 인증 방식은 사용자가 자신이 주장하는 신원과 일치하는지 검증합니다. 이 과정에서 시스템은 정상 사용자와 비정상 사용자를 구분합니다. 대표적인 형태로는 2단계 인증, 토큰, 컴퓨터 식별, 싱글 사인온(SSO) 인증 방식이 있습니다.