“ID, 패스워드 5년 내 사라져…다중 인증 방식 필요”

[산업일보]
생성형 인공지능(AI)으로 해킹 방식이 다양해지고 있다. 국내 산업계, 정부도 보안성이 취약한 현재 인증 방식에서 벗어나 다중 인증 원리의 ‘제로트러스트’ 솔루션을 도입해야 한다는 주장이 나왔다.

이재형 옥타코 대표는 21일 ‘전자정부 정보보호 콘퍼런스 2024’에서 ‘FIDO-제로트러스트 사용자 인증구현 방법’을 주제로 발표했다.

제로트러스트는 모든 사용자와 기기, 구성요소를 절대 신뢰하지 않고, 접속하더라도 최소한의 권한만 부여해 위험 요소의 확산을 방지하는 개념이다.

이재형 대표는 제로트러스트 구현의 세 가지 핵심 원칙으로 ▲인증 체계 강화 ▲마이크로세그멘테이션(Microsegmentation) ▲소프트웨어 정의 경계(Software Defined Perimeter, 이하 SDP)를 제시했다.

인증 체계 강화는 말 그대로 사용자 인증 방식을 고도화하는 것이다. 단순히 ID와 비밀번호를 입력하는 것이 아니라, 신원을 확인하기 위해 아는 것(비밀번호 등), 가지고 있는 것(OTP, ARS, 푸시 알림 등), 있는 것(생체인식, 지문인식 등)을 교차 검증한다.

마이크로세그멘테이션은 보안을 강화하기 위해 네트워크를 작은 단위로 분할하는 보안 전략이다. 접속자에게 ‘최소한의 권한’만 부여하고, 보안을 작은 단위로 세분화하면 침입이 발생해도 추가 피해를 막을 수 있다.

SDP는 하드웨어 대신 소프트웨어를 기반으로 네트워크 경계를 설정하는 것이다. 서버와 라우터 등 네트워크 구성 요소에 가상의 방벽을 설치하면 보안성을 높일 수 있다.

이재형 대표는 현재 인증 방식은 취약점이 많다고 강조했다. ID, 패스워드 해킹은 흔하고, OTP(일회용 비밀번호)도 사용자에게 도달하기 전에 탈취할 수 있다. 생체 인증도 생성형 AI의 등장으로 위험성이 커졌다. 딥페이크, 목소리 도용 등이 쉬워져서다.

그러면서 국제 인증 표준 중 하나인 ‘신속온라인인증(Fast Identity Online, 이하 FIDO)’의 강점을 소개했다. 이 대표는 “기존 인증 방식은 ‘맞으면 통과’지만, FIDO는 단계별 인증 과정에서 여러 요소를 확인한다”라고 말했다.

이어 “ID, 도메인, 생체인증, 웹 세션, 전자서명, 디바이스 정보 등 다양한 요소를 확인하는 ‘다중 인증’ 방식으로 보안성이 높고, 확인 과정도 사용자가 알지 못하는 사이 백그라운드에서 진행해 빠르다”라고 설명했다.

한편, ‘전자정부 정보보호 콘퍼런스 2024’는 ‘제23회 세계 보안 엑스포(SECON & eGISEC 2024, 이하 SECON)’ 부대행사로 진행됐다.