인증(Authentication)은 사용자, 개체 또는 장치가 스스로 주장하는 신원과 실제 일치하는지 확인하는 절차입니다. 다시 말해, 식별(Identification)과 검증(Verification)으로 이루어진 일련의 과정이라고 할 수 있습니다.
인증을 구성하는 세 가지 핵심 요소
지식 요소(Knowledge Factors) – 사용자가 '알고 있는 것'입니다. 비밀번호, 패스프레이즈(passphrase), 개인식별번호(PIN), 챌린지-응답(challenge-response) 방식 등이 여기에 해당합니다.
소유 요소(Ownership Factors) – 사용자가 '가지고 있는 것'입니다. ID 카드, 보안 토큰, 하드웨어 토큰이 내장된 휴대전화, 소프트웨어 토큰 앱을 설치한 스마트폰 등이 대표적입니다.
생체 요소(Inherence Factors) – 사용자의 '고유한 신체적·행동적 특징'입니다. 지문, 망막 패턴, DNA 서명, 얼굴, 음성, 고유 생체 전기 신호 등 바이오 인식 정보가 포함됩니다.
기업 환경에서 인증이 중요한 이유
대부분의 조직은 웹 애플리케이션을 처음 도입할 때 공용 인터넷, 인트라넷, 엑스트라넷을 통해 누구나 접근 가능한 일반 정보를 제공하는 수준에 머물렀습니다. 그러나 인터넷 활용이 성숙해지면서 기업 웹 자원을 안전하게 관리하고 확보하는 일은 점점 더 어려운 과제가 되었습니다.
직원들이 웹을 통해 원격으로 인트라넷에 접속해야 하는 조직, 혹은 엑스트라넷을 통해 공급망을 자동화하려는 조직이라면 이러한 환경에 특화된 보안 및 관리 문제를 반드시 고려해야 합니다.
오늘날 조직들은 기밀 데이터에 대한 웹 기반 접근을 지원하고 있습니다. 이러한 환경에서는 서로 다른 권한을 가진 내부·외부 사용자가 기업 인트라넷 내 여러 자원에 접근할 수 있어야 하며, 동시에 각 사용자는 승인된 데이터에만 접근할 수 있도록 제한되어야 합니다.
문제를 더욱 복잡하게 만드는 것은, 모든 조직이 데이터 시스템을 처음부터 새롭게 구축할 여건을 갖춘 것은 아니라는 점입니다. 대부분의 조직은 새로운 기술을 기존 시스템과 통합하여, 웹을 통해 접근하는 모든 자원과 애플리케이션의 보안을 지원할 수 있는 도구를 필요로 합니다.
기업 인트라넷 보안을 위한 핵심 요건
기업 인트라넷에서 데이터를 안전하게 관리하려면 몇 가지 핵심 요건이 충족되어야 합니다. 첫째, 인트라넷에 접근하려는 개인의 신원이 실제로 진본임이 확인되어야 합니다.
인증이란 요청자에게 고유 식별자가 발급되었는지, 그리고 해당 식별자와 연결된 비밀 정보(예: 비밀번호 또는 PIN)를 알고 있는지 확인하는 절차입니다.
직원이나 비즈니스 파트너가 여러 컴퓨터에서, 그리고 인터넷을 통해 원격지에서 데이터에 접근할 때 이 절차는 더욱 복잡해집니다. 사용자는 별도의 애플리케이션 설치 없이 웹 브라우저나 무선 기기(휴대전화, PDA 등)만으로 인증할 수 있어야 합니다.
또한 규모가 큰 기업에는 수천 대의 웹 서버가 존재하는 경우가 많으며, 사용자는 접속하는 각 서버마다 접근 권한이 필요합니다. 이로 인해 다음과 같은 문제가 발생할 수 있습니다.
- 사용자가 여러 서버의 비밀번호를 모두 기억해야 하는 부담
- 관리자가 서버별로 접근 통제를 개별적으로 관리해야 하는 어려움
- 사용자의 권한 변경이나 직원의 입사·퇴사 시마다 독립적인 계정 항목을 추가하거나 삭제해야 하는 운영상의 복잡성
이러한 문제를 해결하기 위해 최근에는 단일 로그인(SSO, Single Sign-On)이나 중앙화된 인증 관리 시스템을 도입하여, 하나의 자격 증명으로 여러 서버와 애플리케이션에 안전하게 접근할 수 있도록 하는 방식이 널리 활용되고 있습니다.