Appgate는 광범위한 비밀번호 도난을 방지하기 위해 다양한 보안 인증 모델을 제시했습니다. 그는 또한 이 시스템의 진화에 대한 타임라인을 제시했습니다.
암호를 사용하여 성공적으로 로그인해도 시스템 및 민감한 계정에 대한 합법적인 액세스가 더 이상 보장되지 않습니다. 이것이 보안 액세스 회사이자 사이버 보안 분야의 세계적인 리더인 Appgate가 디지털 위협으로부터 보호하기 위해 보안 인증 구현의 중요성을 설명하는 이유입니다.
노출된 자격 증명의 수는 2018년 이후 300% 증가했으며 이러한 증가로 인해 사용자 키와 암호가 보안 인증으로서 비효율적인 방법이라는 사실이 드러났습니다. 그러나 대다수의 조직은 계속 이 모델에 의존하고 있습니다.
가장 먼저 명확히 해야 할 것은 각 인증 요소가 다음 세 가지 범주 중 하나에 속한다는 것입니다.
- 지식: 이 범주는 알려진 것을 나타냅니다. 가장 간단한 예는 사용자의 암호입니다. 그러나 이러한 자격 증명을 조작하기 쉽기 때문에 지식 범주는 보안 인증을 구현하는 데 가장 효과적이지 않습니다.
- 소유: 소유한 것과 관련이 있으며 조작하기가 더 어렵기 때문에 강력한 인증 범주로 간주됩니다. 사용자가 물리적으로 무언가를 가지고 있어야 한다는 점은 도전 과제를 추가하지만 여전히 완벽한 조치로 증명되지는 않습니다.
- 타고난: 가장 강력한 인증 카테고리입니다. 사기꾼이 인간의 특성을 복제하는 것이 훨씬 더 어렵기 때문에 이 고유한 범주는 사이버 범죄자의 표적이 되지 않습니다.
각 인증 요소에는 장단점이 있습니다. 아래에서 Appgate는 인증의 진화에 대한 개요를 제공합니다.
- 첫 번째 비밀번호: 기반 시스템은 1960년대 초 MIT에서 만들어졌습니다. 즉, 암호가 50년이 넘었고 당시에도 안전하지 않았습니다. 설치가 쉽고 비용 효율적이지만 결국 인증 요소가 약하고 크랙이 발생하기 쉽습니다.
- 하드 토큰은 1980년대 후반에 처음으로 특허를 받았습니다.: 1회용 비밀번호를 제공하고 주기적으로 변경되는 임의의 숫자를 표시했습니다. 고유한 숫자 코드는 빈도에 따라 변경되고 조작하기 어렵게 만들지만 훨씬 더 접근하기 쉬운 스마트 장치로 대체된 구식 시스템입니다.
- 기기 인식: 쿠키는 1990년대 후반에 만들어졌고 2000년대 초반에 보편화되었습니다. 그들은 대규모 장치 인식의 첫 번째 예였습니다. 이 기술은 지속적으로 업데이트되는 다양한 방법을 통합하여 발전하고 개선되었지만 사기 행위자가 원격 액세스 트로이 목마(RAT)를 사용하여 원격으로 장치에 액세스할 수 있습니다.
- SMS: 2000년대 초반에 널리 사용되어 일반 전화기에 비밀번호가 보급되기 시작했습니다. 보안 인증 시스템을 구현하는 간단한 방법입니다. 하지만 기기를 분실했거나 등록된 전화번호에 더 이상 액세스할 수 없는 사용자에게는 불편한 것으로 판명됩니다.
- 푸시: 블랙베리는 푸시 알림을 처음 사용했지만 2009년과 2010년에 Google과 Apple이 이를 주류로 채택했습니다. 이 요소는 사용자가 거래 또는 로그인 시도를 수락하거나 거부할 수 있도록 모바일 장치에 팝업 메시지를 표시합니다. 장치 수준에서 시행되기 때문에 매우 안전한 방법이지만 사용자가 원래 계정에 등록된 장치에 액세스할 수 있어야 합니다.
- 지문 생체 인식: Apple의 Touch ID는 2013년 지문 생체 인식을 대중화했습니다. 이 방법은 등록된 사용자의 지문으로 신원을 확인하기만 하면 되기 때문에 사기꾼이 복제하기 어렵습니다.
- QR 인증: WhatsApp 웹사이트는 2015년에 QR 인증을 시작했습니다. QR 코드는 각 사용자에게 고유한 코드를 제공하는 안전한 인증 방법을 제공합니다. 빠르고 편리하며 매우 안전한 인증 형식이지만 대역 외 프로세스에서만 사용할 수 있습니다.
- 얼굴 생체 인식: Apple의 Face ID는 사용자를 인증하는 최초의 안면 생체 인식 사례 중 하나였습니다. 단점은 조명과 사용자 얼굴의 각도에 따라 달라지며 사용자의 사진이나 동영상으로도 가로챌 수 있다는 점입니다.
많은 인증 모델이 일정 수준의 보호를 제공하지만 단일 모델만으로는 충분하지 않습니다. 따라서 조직이 서로 다른 범주 내에서 여러 모델을 사용하여 보안 인증을 구현하도록 하는 것이 중요합니다.