이중 인증(Two-Factor Authentication, 2FA)은 은행, 결제 서비스, 소셜 미디어처럼 민감한 개인 정보가 오가는 환경에서 이미 표준처럼 자리 잡았습니다. 아이디와 비밀번호만으로는 부족하다는 인식이 퍼지면서, "나 외에는 아무도 내 데이터에 접근할 수 없다"는 확신을 주는 강력한 보안 수단으로 여겨져 왔습니다.
그러나 좋은 소식만 있는 것은 아닙니다. 이중 인증에도 결함이 존재합니다. 물론 모든 것이 낙관적일 수만은 없지만, 다행히 일부 기업들은 이러한 결함을 보완하는 새로운 형태의 인증 방식을 연구하고 있습니다.
이중 인증, 어떻게 작동할까?
핵심은 간단합니다. 계정에 로그인할 때 아이디와 비밀번호 외에 무언가를 더 요구받는다면, 그것이 바로 이중 인증입니다.
가장 흔한 예는 은행 앱 로그인이나 Uber 같은 앱을 처음 사용할 때입니다. 보통 SMS 확인 코드를 발송해, 해당 전화번호의 실제 소유자인지 확인하는 방식입니다.
일부 은행은 구글 인증기(Google Authenticator)와 유사한 디지털 토큰 생성기를 제공하기도 합니다. 이 기기는 1분마다 새로운 숫자 조합을 생성하며, 로그인할 때 반드시 이 번호를 입력해야 합니다.
또 다른 앱들은 영리한 자동 감지 시스템을 활용합니다. 사용자의 전화번호로 전화를 걸고, 사용자가 전화를 받는 순간 본인 확인이 완료되는 방식입니다.
경우에 따라서는 지문이나 얼굴 인식 같은 생체 인증이 사용되기도 합니다. 일부 방법은 휴대폰 잠금 해제처럼 특정 작업에서 비밀번호를 대체하기도 합니다.
이 모든 방법의 목적은 단 하나, "당신이 당신임을 정확하게 증명"하는 것입니다.
가장 큰 문제점: 사람이라는 변수
현대 인증 방식의 최대 결함은 '사람'이라는 변수를 고려하지 않는다는 점입니다. 인간은 언제나 새롭고 창의적인 방법으로 데이터를 잘못 사용하고, 오늘날 존재하는 어떤 보안 조치도 이를 완벽하게 보완할 수 없습니다.
실제로 많은 경우 우리는 사회공학(social engineering) 공격에 속아, 계정에 접근하려는 공격자에게 중요한 정보를 스스로 넘겨주게 됩니다.
도난 위험도 상존합니다. 누군가 휴대폰을 훔치면 확인 SMS를 받을 통로가 생기고, 토큰을 훔치면 은행 계좌 인증까지 가능해집니다.
지문도 마찬가지로 취약하며, 얼굴 인식 역시 예외가 아닙니다.
새로운 대안, 그러나 또 다른 우려
2017년 가을, 미국의 여러 이동통신사들이 위에서 언급한 모든 결함을 해결할 새로운 인증 방식을 출시하겠다고 발표했습니다. 하지만 이것이 실제로 어떻게 작동하는지에 대한 구체적인 정보는 많지 않습니다.
'모바일 인증 태스크포스(Mobile Authentication Taskforce)'라 불리는 이 그룹은 새로운 방식이 "모바일 네트워크상의 데이터와 활동 패턴을 분석하여, 사용자가 실제 본인인지 높은 확률로 예측함으로써 모바일 신원 도용 위험을 줄일 것"이라고 밝혔습니다.
이는 모바일 사용자의 이동 경로와 데이터 패턴을 추적해 신원의 '지문'을 만드는 방식으로 들립니다. 만약 이 패턴에서 큰 이탈이 감지된다면(예: 갑자기 휴대폰이 런던에 위치하면서 평소 접속하던 웹사이트에 로그인하지 않는 경우), 사용자의 신원이 도용되었다고 판단할 수 있습니다.
흥미로워하는 사람이 있는가 하면, 프라이버시와 데이터 통제권을 중요하게 생각하는 사람들에게는 우려스러운 소식입니다. 이동통신사가 자신의 모든 움직임과 웹에서 주고받는 데이터를 추적하는 것을 꺼리는 사람이 적지 않을 것입니다. 게다가 정부가 이러한 데이터 기록을 법적으로 요구한다면 어떻게 될까요?
당신은 어느 편입니까? MAT의 새로운 인증 방식이 해커를 막는 한 걸음 앞선 진전이라고 생각하십니까? 아니면 프라이버시 우려가 그 이상으로 크게 다가옵니까? 댓글로 여러분의 생각을 들려주세요!