다중 인증 (Multi-Factor Authentication)
IT 인프라가 다변화됨에 따라 각종 공격 위협으로부터 기업의 정보자산을 보호하기 위한 다양한 옵션과 미래 대비 확장성을 갖춘 보다 강력하고 유연한 인증 방법의 필요성이 크게 부각되고 있습니다.
펜타시큐리티의 ‘다중 인증 (Multi-Factor Authentication)’ 솔루션은 기본 계정정보 외 다양한 추가 인증 수단을 제공함으로 기업의 전산환경을 보호하고, 사용자의 신원을 보호하며, 해당 사용자가 본인임을 확인함으로써 조직 전체의 보안성을 한층 더 높일 수 있는 효과적 방법입니다.
| 지식 기반 | 인증자와 검증자만 아는 지식을 비교해 인증 | 아이디/패스워드, PIN |
| 소지 기반 | 소지한 별도 매체의 고유정보를 제시해 인증 | 보안토큰, 휴대전화, 스마트카드 등 |
| 생체 기반 | 인증자의 신체적인 특성을 이용해 인증 | 지문, 음성, 홍채 인식 등 |
적절한 패스워드 사용은 개인정보 보호 및 사고 발생 시 피해 최소화를 위한 가장 기본적인 일입니다. 지금껏 발생한 개인정보 유출 사례들을 보더라도 피해자들의 대부분은 주기적으로 패스워드 변경하지 않았거나 쉽게 유추 가능한 패스워드를 설정한 경우가 많았습니다. 패스워드만 조심했더라도 개인정보 탈취 위험성이 크게 낮아졌을 것이고 이어지는 2차 피해를 줄일 수 있었을 것입니다.
아래, 국내 기업 및 기관의 보안 담당자 2,437명을 대상으로 패스워드 교체주기에 대한 설문조사 결과를 보면, ‘잘 바꾸지 않음’ 응답이 두번째로 높은 것을 볼 수 있습니다. 주기적 비밀번호 변경 및 특수문자 포함한 보안성 높은 패스워드 설정 등 패스워드 보안 캠페인을 늘 하고 있지만, 현실적으로는 사용자의 실천의식이 가장 중요하다는 것을 알 수 있습니다.
| 분기마다 한 번 이상 | 897명 | 36.82% |
| 잘 바꾸지 않음 | 637명 | 26.15% |
| 1년에 한 번 정도 | 499명 | 20.48% |
| 한 달에 한 번 이상 | 311명 | 12.77% |
| 1주일에 한 번 이상 | 49명 | 2.01% |
| 기타 | 44명 | 1.81% |
| 합계 | 2,437명 | 100% |
(출처: 보안담당자들, 비밀번호 변경 얼마나 자주 할까?, 보안뉴스, 2016-07-06)
패스워드의 한계, 추가 인증수단의 필요
일반적으로 권고되는 패스워드 보안 정책은 아래와 같습니다.
– 대/소문자, 숫자, 특수문자를 혼용하여 8 글자 이상의 패스워드를 사용하도록 한다.
– 동일 문자를 연속 4회 이상 사용하지 못 하도록 한다.
– 패스워드 히스토리를 관리해 2~3개 이상 동일한 패스워드를 사용하지 못 하도록 한다.
– 패스워드 변경 주기를 설정한다. (패스워드 유효기간을 90일 이하로 설정)
– 연속적인 숫자/문자 조합 및 생일, 전화번호 등 추측하기 쉬운 패스워드 사용을 금지한다.
– 사전에 나오는 쉬운 단어나 이름은 패스워드로 사용하지 못 하도록 한다.
– 기본 설정된 패스워드는 사용하지 못 하도록 설정한다.
– 초기 부여된 패스워드는 사용자 최초 접속 시 변경하도록 한다.
하지만 여러 개의 복수 사이트를 사용하는 경우 위 정책을 준수하면서 많은 패스워드들을 모두 다 기억하는 것은 어려운 일이기 때문에 현실적으로는 잘 지켜지지 않고 있습니다. 그러한 현실적 이유 때문에라도, 패스워드 외 추가 인증수단를 이용하는 다중 인증 방식이 권장됩니다.
복수의 인증수단을 관리하는 다중 인증 솔루션 도입을 검토할 때 눈여겨볼 점들은 아래와 같습니다.
우선 다중 인증 솔루션을 도입하기 위해서는 정책 서버, 인증 서버, 관리 도구 등의 다양한 요소가 필요합니다. 특히 계정의 통합관리를 위해 대개 SSO(Single Sign-On) 제품과 연동됩니다. 그렇기 때문에 해당 요소들 사이의 연동성 및 유지관리 편의성 등을 유심히 살펴야 합니다. 자칫 솔루션을 도입하여 얻는 편리함보다 솔루션을 유지하고 관리하는 노력이 더 많이 들 수도 있습니다.
다양한 운영체제 및 브라우저 등 사용자 환경에 대한 제한 없이 모두 다 지원해야 하며, 환경에 따라 ID/PW 외 인증서, 바이오 정보 등 다양한 인증수단을 제공해야 합니다.
적절한 표준(FIDO 등)을 준수하는 다양한 인증 방법 및 강화된 인증 프로세스를 통해 사용자에게 보다 강도 높은 보안성을 제공해야 하고, 이를 편리하게 이용할 수 있어야 합니다.
일반적으로 다중 인증 솔루션 구축 시 SSO와의 연동을 고려해야 하기 때문에 적지 않은 비용과 시간이 소요됩니다. 그리고 시스템의 복잡성 때문에 구축 이후 1~2년이 지나면 재구축을 해야 하는 상황도 빈번히 발생합니다. 도입 시 기존 응용 프로그램 변경이 필요한지 여부에 따라 별도 인건비가 발생할 수도 있습니다. 따라서 최근에는 도입 및 유지보수 비용을 획기적으로 줄일 수 있는 제품이 각광받고 있습니다.
장애가 발생할 경우 서비스 무중단 여부와 안정적 백업 체계 또한 고려 대상입니다.
결론적으로 기능성, 신뢰성, 효율성, 유지보수성, 연동성 등을 모두 만족하는 제품이 권장됩니다.
펜타시큐리티는 다년간 축적된 보안 기술을 바탕으로 안심하고 사용할 수 있는 다중 인증 솔루션을 제공합니다
iSIGN+는 SSO 기술을 바탕으로 다중 인증에 필요한 모든 기능과 구성요소가 모두 다 어플라이언스 한 대에 탑재되어 있습니다. 따라서 도입 및 유지보수 비용의 문제를 최소화할 수 있으며, 구축 후 반영구적 사용이 가능합니다. 편리성뿐 아니라 안전성까지 갖춘 iSIGN+는 도입 결정 후 1주일 이내 실제 사용이 가능합니다.
iSIGN+는 Mobile OTP APP, PKI, FIDO 등을 활용한 ‘다중 인증 (Multi-Factor Authentication)’ 기능을 제공함으로써 거짓 인증에 대한 위험도를 낮춰 사내 자원 접근을 통제하고, 사용자의 신원을 확인함으로써 모든 조직 내에서 필수적인 보안 기능을 수행합니다.
이에 더해, IoT 시대의 새로운 필요에 따라 웹 환경에서의 인증뿐 아니라, PACS(Physical Access Control System) 역할을 수행하기 위한 다양한 기능들을 추가함으로써 사용자 출입 통제, 기기 인증 등에 대한 보다 강화된 인증 기능을 제공합니다.
'Q & A 게시판' 카테고리의 다른 글
| 자폐 아이 회복 RECOVERY (0) | 2023.01.23 |
|---|---|
| Brooklyn College Home Page. (0) | 2023.01.17 |
| 대학교 선생들 직위 (0) | 2023.01.13 |
| bell jar (0) | 2023.01.11 |
| Noctiluca scintillans -해양 와편모종 (0) | 2023.01.11 |
