2단계 인증

여섯 자리 코드는 정확히 1,000,000가지라서, 비밀번호를 손에 넣은 도둑이 다섯 번 찍어 볼 수 있다면 맞힐 확률은 20만분의 1입니다.

도둑이 비밀번호를 알아냈다면, 코드는 맞힐 수 있을까

문제부터 풀어 봅시다. 누군가 내 비밀번호를 훔쳤는데, 사이트가 여섯 자리 인증 코드를 하나 더 묻습니다. 도둑에게 주어진 기회는 다섯 번입니다. 운 좋게 맞힐 확률은 얼마일까요? 아래 실습에서 먼저 계산해 보고 이어서 읽으세요.

여섯 자리 코드는 000000부터 999999까지 10⁶ = 1,000,000가지입니다. 다섯 번 찍어서 맞힐 확률은 1,000,000분의 5, 줄이면 20만분의 1입니다. 비밀번호만 있었다면 도둑은 이미 들어갔을 텐데, 코드 앞에서는 거의 언제나 막힙니다. 다중 인증이 지켜 주는 몫이 바로 이 차이입니다.

증명은 세 종류, 비밀번호 두 개는 여전히 한 종류

다중 인증(multi-factor authentication, MFA)은 흔히 2단계 인증이라고 부르며, 두 종류 이상의 증명을 요구합니다. CISA는 그 종류를 아는 것(비밀번호, PIN), 가진 것(휴대전화, 보안 키), 나 자신인 것(지문, 얼굴)으로 나눕니다. 비밀번호를 두 번 묻는 것은 여전히 한 종류입니다. CISA는 이 기능을 주는 계정이라면 모두 켜고, 그중에서도 이메일과 SNS, 금융 계정부터 켜라고 권합니다. 이메일이 맨 앞인 까닭은 비밀번호 재설정 링크가 그리로 오기 때문입니다. 받은편지함을 손에 넣은 사람은 다른 계정 대부분을 재설정할 수 있습니다. 학교 계정의 비밀번호를 잊었을 때 개인 이메일로 재설정 링크가 온다면, 그 이메일부터 지켜야 학교 계정도 지켜집니다.

빼돌릴 수 있는 코드, 빼돌릴 수 없는 키

흔히 쓰는 방법들은 공격을 버티는 힘이 저마다 다릅니다. 문자 메시지나 음성 전화로 받는 인증번호는 전화망을 거쳐 옵니다. NIST는 이를 「제한된 인증 수단(restricted authenticator)」으로 분류합니다. 쓸 수는 있지만 서비스가 다른 수단을 함께 주고 위험을 알려야 하며, 최근 유심 변경이나 번호 이동 같은 징후도 살펴야 합니다. 범죄자가 통신사를 속여 내 번호를 자기 유심으로 옮겨 가는 일이 있기 때문입니다. 인증 앱이 보여 주는 코드는 내 휴대전화 안에서 생기고 전화망을 한 번도 지나지 않습니다. 푸시 알림은 화면의 「승인」을 눌러 달라고 묻는 방식입니다. 범죄자는 귀찮아서라도 하나 눌러 주기를 바라며 알림을 수십 번 보내기도 합니다. 그래서 CISA는 로그인 화면에 뜬 숫자를 직접 입력하게 하는 「숫자 맞추기」를 권합니다.

그래도 이 방법들은 모두 피싱에 뚫릴 수 있습니다. 가짜 로그인 페이지가 인증번호를 물으면 사람은 별생각 없이 입력하고, 범죄자는 그 번호를 몇 초 만에 진짜 사이트에 넣습니다. NIST는 코드를 손으로 입력하는 방식은 코드가 진짜 사이트에 묶여 있지 않아서 피싱 방지 인증이 아니라고 분명히 적어 두었습니다. CISA는 피싱 방지 MFA를 「최고 기준」이라 부르고, 지금 널리 쓸 수 있는 것은 FIDO/WebAuthn, 다시 말해 보안 키와 패스키뿐이라고 합니다. 앞 단원에서 본 대로 이 둘은 자기가 만들어진 사이트에만 응답합니다. 그렇다고 문자 인증을 꺼 버릴 까닭은 없습니다. 어떤 MFA든 켜 두는 편이 아무것도 없는 것보다 훨씬 낫습니다.

휴대전화를 잃어버리기 전에 해 둘 일

2단계 인증을 처음 켜면 대부분의 서비스가 한 번씩만 쓰는 복구 코드 목록을 보여 줍니다. NIST는 이를 「조회 비밀(look-up secret)」이라고 부릅니다. 휴대전화를 잃어버렸을 때 계정으로 돌아갈 길이니 휴대전화와 떨어진 안전한 곳에 둡니다. 종이에 인쇄해 집에 보관하거나 비밀번호 관리 프로그램에 넣어 두면 됩니다. 자신에게 보내는 이메일에 붙여 넣지 마세요. 전화로 복구 코드를 불러 달라는 사람에게도 알려 주면 안 됩니다. 진짜 고객센터라면 그 코드가 필요 없습니다.

휴대전화를 바꾸거나 잃어버리는 일은 미리 대비해 두어야 덜 곤란합니다. 대부분의 서비스는 두 번째 요소를 둘 이상 등록하게 해 줍니다. 인증 앱과 보안 키를 함께 등록하거나, 두 기기에 패스키를 하나씩 두는 식입니다. 새 휴대전화로 바꿀 때는 옛 기기를 초기화하기 전에 인증 앱이나 패스키부터 새 기기로 옮깁니다. 휴대전화를 잃어버렸다면 복구 코드나 다른 요소로 로그인한 다음, 계정마다 들어가 잃어버린 기기를 목록에서 지웁니다.