새 스마트폰을 샀다면, 가장 먼저 등록하는 것은?
새 휴대폰을 구입하면 우리가 가장 먼저 하는 일 중 하나가 바로 생체 인증 정보를 기기에 등록하는 것입니다. 아이폰의 Face ID이든, 단순하면서도 뛰어난 효율성을 자랑하는 지문 인식이든 말입니다.
스마트폰의 스캐닝 기술은 더 이상 새로운 기능이 아닙니다. 특히 지문 인식은 고급형 스마트폰의 전유물조차 아니게 되었죠. 합리적인 가격대의 중저가 폰들도 이 추가 보안 하드웨어를 내세우고 있습니다. 기술이 워낙 보편화되다 보니 우리는 이를 당연하게 여기기 시작했고, 기기에 로그인하는 일은 그야말로 손쉬워졌습니다.
하지만 한 가지 현실을 기억해야 합니다. 우리 데이터의 시장 가치는 크게 상승했습니다. 캠브리지 애널리티카(Cambridge Analytica)와 페이스북 같은 기관들은 자신들의 목적을 위해 데이터를 조작해 왔습니다. 이런 상황에서는 모든 것을 의심하고, 자신의 데이터를 보호하며 안전과 보안에 각별한 주의를 기울이는 것이 필수적입니다. 이처럼 불확실한 데이터 마이닝의 시대에, 혹시 이 생체 인식 스캔이 오히려 우리의 보안을 위협하고 있는 것은 아닐까 생각해 본 적이 있습니까?
추천 글: 적응형 인증(Adaptive Authentication)으로 사이버 위험 없애기
양날의 검, 지문 스캐닝
아래 예시들은 기술이 어떻게 악용될 수 있는지를 보여주는 단편들입니다. 결국 기술을 어떻게 사용할지는 우리의 선택에 달려 있습니다.
한밤중 퇴근길 골목을 걷다 무리에게 습격당하는 상황을 상상해 보세요. 가해자들이 해야 할 일은 피해자를 단 1분간 제압하는 것뿐입니다. 그 사이 피해자의 손가락을 스캐너에 대어 쉽게 잠금을 해제할 수 있습니다. 일단 휴대폰에 접근 권한을 얻으면 데이터 유출이나 자금 이체도 식은 죽 먹기입니다. 반면, 이 기술은 사람이 세상을 떠난 후에도 악용될 수 있습니다! 언론에 보도된 실제 사례 중에는 총격전으로 숨진 수배 중 도주범이 뜻밖의 방식으로 기술과 조우한 안타까운 사건이 있었습니다.
그가 사망한 후 경찰에 넘겨진 '증거' 중 하나가 바로 그의 스마트폰이었습니다. 모든 절차를 무시하고 "죽은 자에게는 디지털 프라이버시에 대한 권리가 없다"며, 두 명의 경찰관은 장례식장에 찾아가 사망자의 지문으로 스마트폰 잠금을 해제했습니다. 놀랍게도 법적으로는 허용되는 행위입니다!
스마트폰은 날로 강력해지고 있는 반면, 컴퓨팅 기기는 더욱 소형화되고 있습니다. 개발자들은 사용자 경험과 스마트폰 및 저장된 콘텐츠의 보안 수준을 한 단계 끌어올리기 위해 다양한 기능들을 도입하고 있습니다.
살아서든 죽어서든, 기술의 발자국은 흔적을 남깁니다.
전통으로 돌아가라: 진짜 보안을 위해서는 비밀번호를
스마트폰에 처음 생체 정보를 등록할 때, 기기는 여러 방향과 각도에서 손가락을 여러 차례 스캔합니다. 그래서 인증 시 지문의 일부 영역만 읽어도 기기가 잠금 해제됩니다. (할리우드 영화를 믿는다면, 마스킹 테이프나 품질 좋은 셀로판 테이프에 부분 지문을 복사하는 것은 아주 쉬운 일입니다. 찰리스 엔젤스의 연출에 홀리지 마세요!)
해커나 도둑이 쉽게 기기에 접근하지 못하도록 확실히 하려면 오랜 격언인 KISS(Keep It Simple Silly) 원칙을 따르는 것이 좋습니다. 즉, 센서 대신 비밀번호(passcode)를 사용하는 것입니다. 다만 여기서도 주의할 점이 있습니다.
존스홉킨스대학교의 저명한 암호학자 매슈 그린(Matthew Green)은 4~6자리 숫자 비밀번호는 쉽게 해독될 수 있다고 경고했습니다. 그는 다음과 같이 트윗했습니다.
결국 역시 최고의 비밀번호는 영숫자(alphanumeric) 조합이라는 결론이 나옵니다.
추천 글: 사이버 킬 체인(Cyber Kill Chain), 공격자가 따르는 접근 방식
결론: 스마트하게 행동하세요! 스마트 기기에만 의존하지 마세요
기술은 우리가 목적을 달성하기 위한 도구로 만들어졌습니다. 기능이 존재한다고 해서 반드시 사용해야 하는 것은 아닙니다. 디지털 안전을 저해하고, 데이터와 자금 도난의 위험을 감수하면서까지 말입니다. 긴 비밀번호를 입력하는 일은 시간도 걸리고 번거롭지만, 놀라울 정도로 강력한 방어책입니다. 스마트하게 판단하세요. 기기가 알아서 잘 지켜주리라 기대만 하지 마세요! 데이터, 콘텐츠, 자금에 대한 접근을 10자리 이상의 비밀번호로 보호한다면, 해커들 입장에서는 무척 까다로운 과녁이 될 수 있습니다.