다요소 인증(MFA)의 사용을 꺼리는 이유

"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것"

다요소 인증(MFA, Multi-Factor Authentication)은 최소 두 가지 이상의 인증 요소를 이용하여 본인 여부를 인증하는 것으로 비밀번호와 같이 해당 이용자만이 알고 있는 요소(지식기반), 하드웨어 토큰과 같이 해당 이용자만이 갖고 있는 요소(소유기반), 생체인식 정보와 같이 해당 이용자만의 고유 요소(속성기반), 어떤 인물의 반복된 행동이나 기기 사용 방식(행위기반), GPS나 이동통신과 같이 특정 장소(장소기반) 등에서 최소 2개 이상을 함께 사용하여 이용자를 인증한다.

또한, 다요소 인증은 적어도 지식(knowledge), 소유(possession), 속성(inherence), 행위(behavior), 장소(place) 중 두 가지에 한해 별도의 여러 증거 부분을 인증 매커니즘에 성공적으로 제시한 이후에만 사용자가 접근 권한이 주어지는 컴퓨터 접근 제어 방식의 하나이다. 

2-팩터 인증(Two-factor authentication, 2FA)은 두 개의 다른 요소를 병합함으로써 사용자가 주장하는 식별자를 확인하는 방식이다. 2-팩터 인증은 다요소 인증의 일종이다.

원격/재택근무 시 정보자산의 보안 강화를 위하여 가장 중요한 것은 "사용자 식별.인증을 위한 OTP 등을 활용한 2단계 인증(다중 인증)체계를 설정"하는 것이다.

2단계 인증은 정보자산에 로그인 시 아이디/비밀번호 외에 도 추가적인 인증(2차 인증) 수단을 이용하기 때문에 단순히 계정 정보가 유출된 것만으로는 공격자는 이를 악용할 수 없다.

2차 인증 적용(예: ID/PW + OTP) 및 일정 횟수(예: 5회) 이상 인증 실패 시 접속 차단 및 인증수단을 특정하지는 않고 있으나, 지식기반.소유기반.특정기반.행위기반.위치기반 인증 수단 중 서로 다른 방식에 속하는 인증수단 2개를 조합해서 사용해야 한다.

평균적으로 원격 업무를 하고 있는 원격 근무자 5명 중 1명이 매달 20개가 넘는 피싱 메일을 받고 있으며, 응답자의 71%가 피싱 공격의 대상이 되고 있다고 밝혔다. 사이버 보안 인식 교육을 통해 이러한 공격을 식별하는 방법을 학습하는 것이 조직과 개인 자산을 보호하는 데 있어 중요한 과제로 떠올랐다.

공격자들이 타깃 풀을 공격적으로 확대하고 있다. 윈도 OS 기반의 워크로드뿐만 아니라 리눅스, 맥OS, 안드로이드, iOS 디바이스에서도 공격 빈도가 급증하고 있으며, 가상화 환경에 대한 공격도 증가하고 있다.

MFA(멀티 팩터 인증)에 대한 인식이 높아지고 있음에도 불구하고 IT 관리자의 절반(47%)이 MFA 솔루션을 사용하지 않아 피싱 공격에 노출되어 있는 것으로 조사됐다. 사용을 꺼리는 이유로는 이 기술에서 가치를 발견하지 못했기 때문이다.

원격 근무자 4명 중 1명은 MFA(멀티 팩터 인증)을 사용하지 않고 있다. 사용을 꺼리는 이유로는 이 기술에서 가치를 발견하지 못하거나 구현하기에 너무 복잡하기 때문이라고 답했다. 이는 피싱이 2021년에 가장 일반적인 공격 유형이 된 이유 중 하나이다.

MFA(멀티 팩터 인증)의 사용을 꺼리는 이유인 MFA(멀티 팩터 인증의 기술에서 가치를 발견하지 못하거나 구현하기에 너무 복잡함을 보완하여 기술의 가치 및 누구나 손쉽게 적용하여 사용할 수 있는 솔루션이 누리아이티의 BaroPAM 솔루션이다.

BaroPAM 솔루션은 정보자산의 보안 강화를 위하여 인증이 필요한 다양한 운영체제와 애플리케이션에 누구나 손쉽게 바로 적용할 수 있는 플러그인 가능한 인증 모듈(PAM, Pluggable Authentication Module) 방식을 기반으로 하는 보안에 최적화된 솔루션이다. 

BaroPAM 솔루션은 플러그인 가능한 인증 모듈(PAM) 방식의 2차 인증 솔루션으로 보안성이 강하며, 단순하고, 관리도 필요 없고, 장애도 없고, 손쉽게 적용할 수 있고, 솔루션을 도입할 때 별도의 서버나 DB 같은 추가 도입이 필요 없는 솔루션이다. 

BaroPAM 솔루션은 누구나 손쉽게 적용할 수 있는 2차 인증(추가 인증)이 필요한 OS, Language, Application, Database, Network 장비, ARM system 등의 다양한 개발 및 운영환경을 지원한다. 

보안은 어렵고 적용하면 불편하다는 편견에 사로 잡혀 있는게 현실이며, 이런 고정 관념을 탈피하여 외부의 해커 또는 내부 사용자가 불법적으로 정보자산에 접근하는 상황을 제한(정보자산의 우회/원격접속을 차단)하여 정보자산의 보안을 강화하는 것이 최상의 보안전략으로 정보 보안은 단순해야 하며, 누구나 손쉽게 적용할 수 있어야 하며, 운영 및 관리도 간편하면서 보안성은 강하게 해야 한다.