2단계 인증이란? 먼저 설정할 계정 순서와 방식별 보안 강도 차이

2단계 인증은 ‘다른 종류의 증명’을 더하는 것

본인 확인에 쓰는 재료는 크게 세 종류로 나뉩니다. 지식(나만 알고 있는 것), 소지(나만 가지고 있는 것), 생체(내 몸 그 자체)입니다. 2단계 인증이 효과가 있는 것은 이 가운데 종류가 다른 두 가지를 조합하기 때문입니다.

비밀번호와 보안 질문은 둘 다 ‘지식’이므로, 한쪽이 유출되는 상황에서는 다른 쪽도 위험해지기 쉽습니다. 강도의 차이가 생기는 것은 비밀번호(지식)에 손에 든 스마트폰(소지)을 조합했을 때입니다. 공격자가 비밀번호를 알고 있더라도 내 기기까지 가지고 있지는 않기 때문입니다.

방식별 강도와 사용 편의성

똑같이 2단계 인증이라고 해도 방식에 따라 지킬 수 있는 범위가 다릅니다. 특히 ‘피싱을 견딜 수 있는가’에서 큰 차이가 납니다.

SMS가 약하다고 하는 것은 전화번호 자체를 다른 사람의 유심으로 옮겨 버리는 수법이 있기 때문입니다. 그렇다고 해도 ‘SMS라도 없는 것보다 훨씬 낫다’는 것도 사실이며, 설정하지 않을 이유는 되지 않습니다. 고를 수 있다면 인증 앱 이상을, 고를 수 없다면 SMS라도 설정하는 순서로 생각하세요.

어떤 서비스부터 설정할까

전부 하려고 하면 중간에 지칩니다. 탈취당했을 때 피해가 얼마나 넓게 퍼지는지로 우선순위를 정하면, 적은 수고로 지킬 수 있는 범위가 크게 달라집니다.

놓치기 쉬운 것이 첫 번째 줄의 이메일입니다. 대부분의 서비스는 ‘비밀번호 찾기’로 이메일을 통해 재설정할 수 있기 때문에, 이메일을 지키지 않고 다른 것만 단단히 해도 뒷문이 열린 채로 남습니다. 착수 순서로는 이메일, 기기 계정, 돈과 관련된 서비스의 세 가지를 첫 주에 끝내는 것이 현실적입니다.

휴대폰 교체·분실로 막히지 않기 위한 준비

2단계 인증에서 가장 많은 문제는 공격이 아니라 스스로 계정에 갇히는 것입니다. 휴대폰을 바꿨더니 인증 앱이 비어 있었다는 것이 전형적인 예입니다. 설정한 직후에 다음 세 가지를 끝내 두세요.

1. 1

   ① 백업 코드를 저장한다

   2단계 인증을 켜면 10개 안팎의 일회용 코드가 표시됩니다. 이것이 마지막 탈출구입니다. 인쇄해서 보관하거나 비밀번호 관리 앱의 메모에 저장합니다. 스크린샷을 휴대폰 사진 앨범에 남겨 두는 것은 기기를 잃었을 때 함께 잃기 때문에 충분하지 않습니다.

2. 2

   ② 예비 수단을 두 가지 이상 등록한다

   인증 앱뿐만 아니라 다른 기기나 SMS도 등록해 둡니다. 경로가 하나뿐인 상태는 그 하나를 잃는 순간 계정을 잃는 상태입니다.

3. 3

   ③ 기기 교체는 ‘이전 기기를 쓸 수 있을 때’ 옮긴다

   많은 인증 앱이 계정 동기화나 이전 기능을 갖추고 있습니다. 이전 기기를 초기화하거나 반납하기 전에 이전을 끝내세요. 옮기는 것을 잊은 채 기기를 처분하는 것이 가장 복구하기 어려운 경우입니다.

2단계 인증으로도 막을 수 없는 것

2단계 인증은 만능이 아닙니다. 막을 수 있는 공격과 막을 수 없는 공격을 알아 두면 그 밖에 어디를 단단히 해야 할지 보입니다.

• 막을 수 있음: 다른 곳에서 유출된 아이디와 비밀번호 조합을 재사용하는 공격(크리덴셜 스터핑)
• 막을 수 있음: 무차별 대입으로 비밀번호를 추측하는 공격
• 막기 어려움: 가짜 사이트에서 비밀번호와 코드를 동시에 입력하게 하고 그 자리에서 진짜 사이트로 넘기는 수법(패스키나 보안 키라면 막을 수 있음)
• 막을 수 없음: 기기 자체가 장악되어 로그인된 세션을 조작당하는 경우
• 막을 수 없음: 본인이 고객센터를 사칭한 상대에게 코드를 알려 준 경우

세 번째로 든 가짜 사이트 수법에 구조적으로 강한 것이 패스키와 보안 키입니다. 이들은 ‘어느 사이트에 대한 인증인지’를 구조적으로 확인하므로, 도메인이 다른 가짜 사이트에서는 인증 자체가 성립하지 않습니다. 지원하는 서비스에서는 우선적으로 켤 가치가 있습니다.

그리고 토대가 되는 것은 역시 비밀번호입니다. 서비스마다 다른 무작위 문자열을 쓰고 있다면 한 곳의 유출이 다른 곳으로 번지지 않습니다. 비밀번호 생성기에서는 길이와 문자 종류를 지정해 즉시 만들 수 있고, 생성은 브라우저 안에서 끝납니다. 2단계 인증을 설정하는 김에 그 서비스의 비밀번호도 새로 만들어 두면 수고를 덜 수 있습니다.

자주 묻는 질문

2단계 인증과 2요소 인증은 다른 것인가요?

엄밀히 말하면 2요소 인증은 ‘지식·소지·생체 중 종류가 다른 두 가지’를 쓰는 것이고, 2단계 인증은 ‘두 번에 나누어 확인하는 것’을 가리킵니다. 비밀번호와 보안 질문은 둘 다 지식이므로 2단계이기는 해도 2요소는 아닙니다. 일상적으로는 거의 같은 뜻으로 쓰이지만, 고를 때는 종류가 다른 조합인지 의식하면 안전합니다.

인증 앱은 무엇을 쓰면 되나요?

6자리 코드를 표시하는 구조(TOTP)는 공통 규격이므로 어느 앱에서나 똑같이 쓸 수 있습니다. 고르는 기준은 휴대폰을 바꿀 때 이전이나 백업을 지원하는지입니다. 이전 수단이 없는 앱이라면 기기를 잃은 시점에서 복구가 백업 코드에만 의존하게 됩니다.

휴대폰을 잃어버리면 로그인할 수 없게 되나요?

백업 코드를 보관해 두었다면 그것으로 들어갈 수 있습니다. 보관하지 않았다면 서비스의 본인 확인 절차를 통한 복구가 되며, 며칠이 걸리거나 복구하지 못할 수도 있습니다. 그렇기 때문에 켠 직후 백업 코드를 저장해 두는 것이 중요합니다.

매번 코드를 입력하는 게 번거롭습니다. 생략할 수 있나요?

많은 서비스에 ‘이 기기 신뢰하기’ 설정이 있어서, 나 혼자 쓰는 기기에서는 일정 기간 코드 입력을 생략할 수 있습니다. 공용 PC나 PC방에서는 절대 켜지 마세요. 기기를 처분할 때 생략 설정을 해제하는 것도 잊지 마세요.