구글의 2단계 인증(2FA)에 대해 들어본 적이 있을 것이며, 실제로 많은 분들이 이미 활용하고 있을 것입니다. 2단계 인증은 피싱 공격이나 계정 탈취로부터 사용자의 계정과 데이터를 지키기 위한 구글의 핵심 보안 조치입니다. 이번에 구글은 기존 2단계 인증 방식들이 남겨두었던 허점을 보완하는 새로운 기능을 추가했습니다.
바로 휴대폰 자체를 로그인용 보안 키로 사용하는 기능입니다. 공격자가 사용자의 휴대폰에 직접 접근하지 않고서는 계정을 탈취하기 어려워지는 것이죠. 그렇다면 이 새로운 방식은 기존 2FA 방식과 무엇이 다르고, 어떻게 더 높은 보안성을 보장할까요?
구글의 2단계 인증, 그 발전 과정
구글은 오랫동안 사용자 데이터 보호에 힘써왔습니다. 가장 널리 쓰였던 초기 방식은 SMS 인증이었습니다. 구글 계정에 전화번호를 등록해두면, 구글 서비스에 로그인할 때마다 인증된 번호로 전송된 6자리 코드를 입력해야 하는 방식입니다.
하지만 SMS 인증으로 모든 침해를 막을 수 있으리라 여겨졌음에도, 피싱 공격자들은 결국 코드를 빼내는 방법을 찾아냈습니다. 가짜 이메일로 인증 코드를 요구하거나, 통신사 서버를 해킹하는 식이었습니다. 이에 구글은 구글 OTP(Google Authenticator) 앱을 활용한 고도화된 2단계 인증으로 전환하게 됩니다.
Google Authenticator는 2010년에 처음 출시되었지만, 대중적으로 알려지기까지는 꽤 오랜 시간이 걸렸습니다. 이 앱은 사용자의 스마트폰에 설치되어 6자리 난수 코드를 생성하며, 구글 서비스는 물론 페이스북처럼 서드파티 앱 인증을 지원하는 서비스에도 로그인할 수 있게 해줍니다.
흥미로운 점은, QR 코드를 스캔해 계정을 등록하는 순간을 제외하면 Google Authenticator가 서버와 연결되지 않는다는 것입니다. 앱은 계정과 키(key)를 동기화하고, 그 키는 시간 기반 요소를 이용해 비밀번호를 주기적으로 변경합니다. 따라서 서버에 연결되어 있지 않아도 상황마다 새로운 일회용 비밀번호를 받을 수 있는 것입니다.
Authenticator가 신뢰할 만한 2FA 수단으로 폭넓게 받아들여졌지만, 구글은 2016년 Google 프롬프트(Google Prompt)라는 또 다른 2단계 인증을 선보였습니다. 이름 그대로, 구글 계정에 로그인하려 할 때마다 연결된 모바일 기기 화면에 "로그인을 시도하는 사람이 본인입니까?"라는 확인 창이 뜹니다. 함께 표시되는 정보에는 로그인에 사용 중인 기기, 시간, 예상 위치가 포함됩니다. 본인이라면 '예'를, 아니라면 '아니요'를 누르면 됩니다.
이어서 2018년에는 Google Titan 보안 키가 출시되었습니다. USB, USB-C, 또는 블루투스 방식의 물리적 키로, 로그인 시도를 인증하려면 반드시 기기에 먼저 연결해야 합니다. 이 키가 없으면 어떤 방법으로도 서비스에 접속할 수 없으며, 피싱 공격과 계정 탈취에 대한 가장 강력한 방어선으로 설계되었습니다.
그리고 이제, 구글은 로그인 보안을 위해 한 걸음 더 나아갔습니다.
블루투스 기반 휴대폰 보안 키, 새로운 2단계 인증
새롭게 도입된 2FA 보안 방식에서 구글은 보안 키 목록에 한 가지를 추가했는데, 이번에는 매장에서 별도로 구매할 필요가 없습니다. 바로 사용자의 휴대폰 자체를 보안 키로 등록하는 기능입니다. 휴대폰과 로그인하려는 기기를 블루투스로 연결하는 방식으로, Titan 키를 블루투스로 연결하던 것과 마찬가지로 휴대폰을 같은 방식으로 연결해 구글 보안 키로 활용하는 것입니다.
휴대폰 보안 키 기능 설정을 위한 요건
이 기능을 활성화하고 사용하려면 몇 가지 사전 요건이 필요합니다.
- 먼저 기기는 최소 안드로이드 7(누가) 이상이어야 합니다. 안드로이드 7 미만 버전이나 다른 OS에서는 이 기능을 지원하지 않습니다.
- 이 기능은 구글 크롬(Chrome) 브라우저로 구글 계정에 접속할 때만 작동합니다. OS는 무관하지만, Microsoft Edge나 Safari 등 다른 브라우저에서는 사용할 수 없습니다.
- 모바일 기기와 PC 양쪽 모두 내장 블루투스와 GPS를 갖춰야 합니다(최신 데스크톱과 노트북이라면 큰 문제가 되지 않습니다).
휴대폰을 구글 보안 키로 등록하는 방법
먼저 평소와 같이, 즉 SMS 인증이나 Google 프롬프트 등을 통해 구글 MyAccount(내 계정)에 로그인합니다. 로그인 후 'We Keep Your Account Protected(계정을 안전하게 보호합니다)' 항목 아래의 Get Started(시작하기) 버튼을 클릭합니다.
그러면 구글 보안 점검(Security Checkup) 창으로 이동합니다. 여기서 2단계 인증(2-Step Verification) 버튼을 클릭하세요.
버튼을 클릭하면 드롭다운 메뉴에 현재 사용 중인 2단계 인증 설정 내역이 표시됩니다. 여기서 2단계 인증 설정(2-Step Verification Settings) 옵션을 찾아 해당 링크를 엽니다.
계정에 다시 로그인한 후, 페이지를 아래로 스크롤하여 다른 2FA 수단들 사이에서 보안 키(Security Key) 옵션을 찾습니다. Add Security Key(보안 키 추가) 버튼을 클릭하세요.
클릭하면 새로운 선택 패널이 나타나고, 여기서 설정하려는 보안 키 유형을 고르면 됩니다.
이미 Google Titan을 보유하고 있다면 준비는 끝난 상태입니다. 하지만 그렇지 않다면, 이 새로운 기능을 통해 휴대폰을 내장 보안 키로 추가할 수 있습니다.
다음 단계로 넘어가면 구글이 휴대폰의 GPS와 블루투스를 켜라고 안내합니다. 두 기능을 모두 켠 후 ADD(추가) 버튼을 클릭하세요.
이것으로 끝입니다. ADD 버튼을 클릭하면 휴대폰이 성공적으로 내장 보안 키로 등록됩니다.
만약 나중에 이 기기를 삭제하고 싶다면, 오른쪽의 휴지통 아이콘을 클릭하기만 하면 됩니다.
기존 2FA 방식보다 나은가?
결론부터 말하면, 그렇습니다. SMS 인증은 여러 취약점을 안고 있습니다. 문자 메시지가 통신사망을 통해 전송되므로 추적이나 탈취가 가능하기 때문입니다. 특히 비즈니스 계정에는 결코 최선의 2FA 선택지가 아니었죠. Google Authenticator는 여전히 유용한 선택지지만, Google 프롬프트는 휴대폰이 고장 나면 무용지물이 됩니다.
또한 Authenticator와 프롬프트 모두, 휴대폰이 도난당하고 화면 잠금이 뚫린다면(모바일 기술에 어느 정도 지식이 있는 사람에게는 그리 어려운 일이 아닙니다) 악용될 소지가 있습니다.
Titan은 어떨까요? 50달러짜리 동글로, 다양한 기기를 지원하려면 세 개 정도가 필요합니다. 보안성은 매우 뛰어나지만, 작은 크기 특성상 분실하기 쉽고, 잃어버리면 계정은 사실상 끝장입니다. 구글 지원 센터에 연락해 복구하는 일도 복잡하고 시간이 오래 걸립니다.
왜 또 다른 2단계 인증 방식을 도입했나?
구글은 사용자 데이터 보안 소홀로 인해, 특히 유럽에서 거센 감시와 막대한 벌금에 시달려왔습니다. GDPR 당국은 구글의 사용자 데이터 보호 실패를 지속적으로 비판해 왔습니다. 따라서 이번 신기능은 소비자 만족도를 높이려는 노력의 일환이며, 대중 사이에서 구글의 이미지를 개선하는 데 도움이 될 수 있습니다. 무엇보다 수많은 사람이 계정 서비스를 구글에 의존하고 있는 만큼, 그들의 신원을 끝까지 보호하는 것은 구글의 책임이기도 합니다.
이번 기능은 성공할 수 있을까?
구글의 위상을 고려하면 이 기능이 성공과 대중성을 얻을 가능성은 높습니다. 다만 휴대폰이 손상되거나 도난당하면 계정 역시 영영 잃어버릴 수 있다는 점은 감수해야 합니다. 게다가 구글의 내장 보안 키 기능의 핵심은, 공격자가 사용자의 휴대폰 근처에 없이는 계정을 탈취할 수 없도록 하는 것이기 때문에, 휴대폰을 항상 곁에 두어야 합니다. GPS 위치 기반으로 휴대폰과 로그인 기기가 근접해 있는지 확인하기 때문입니다.
마지막으로 한 가지 당부드립니다. 휴대폰을 분실하는 경우에 대비해 신뢰할 수 있는 기기를 최소 하나는 백업으로 등록해두세요. 2FA 사용자에게 휴대폰이나 보안 키 분실은 흔히 발생하는 문제입니다. 백업 기기가 하나라도 있으면 2단계 인증 없이 계정에 로그인할 수 있고, 이후 설정에서 분실된 보안 키와 SMS 인증을 제거하면 됩니다.
구글의 새로운 내장 보안 키 기능은 아직 안드로이드 기기에서만 사용할 수 있으며, 당분간은 크롬 브라우저에서만 작동합니다. 페이스북 등 다른 플랫폼과 앱을 지원하게 될 시기는 아직 공개되지 않았습니다. 구글은 현재 이 기능의 잠재적인 허점을 면밀히 모니터링하고 있습니다. 과연 얼마나 성공할지는 시간이 증명해줄 것입니다.