멀티팩터인증은 접근제어 기술의 하나로 사용자의 지식, 소유 그리고 사용자 고유의 정보(생체정보) 등을 결합한 병렬인증 기술입니다. 이 문서에서는 다중인증(Multi Factor Authentication)의 종류와 솔루션 등에 대해서 정리해보겠습니다.
멀티팩터인증
아래 그림과 같이 사용자가 2개 이상의 인증방법을 통해 금융거래나 서비스 로그인을 하는 솔루션을 말합니다.
멀티팩터 인증에 사용되는 각 인증 Factor는 다음의 3가지 유형이 있습니다.
1. 지식기반 Factor
대표적으로 패스워드 등이 해당합니다. 이 인증의 취약점은 소유자 본인이 잊어버리거나 외부에 노출될 경우 인지가 어렵다는 점입니다.
| 개념 | 사용 예 |
| 사용자만 알고 있는 정보를 기반으로 한 인증 | 패스워드, 미리 설정된 질문에 대한 답, PIN 코드, 보안패턴 등의 지식정보 |
이를 단점을 보완하기 위해 다른 요소와 결합하여 분실시 재발급을 대비하거나, 또는 SNS 로그인 등의 대체 수단을 이용하기도 합니다.
2. 소유기반 Factor
보안카드나 OTP 등이 대표적인 사례입니다. 이 역시 분실이나 도난의 위험이 있다는 측면에서 완벽한 인증 솔루션은 아닙니다.
| 개념 | 사용 예 |
| 사용자만 소유하고 있는 것을 기반으로 한 인증 | 보안카드, OTP, 신분증, USB 토큰, 스마트카드, 휴대폰 SMS 인증 등 |
3. 속성기반 Factor (생체인증)
잊어버리거나 분실의 위험성도 없는 인증 방법으로 얼굴인식, 지문, 정맥, 홍채, 음성인식 등과 같이 우리 신체 정보를 이용한 생체인증 기술입니다. 각 생체인식 기술의 유형 및 장단점에 대해서 정리하면 다음과 같습니다.
| 생체인증 | 설명 | 장단점 |
| 지문인식 | 개개인의 고유하고 불변한 지문 형태를 이용한 인증기술 | 기술성숙도가 높고 안정적인 솔루션이 많다.지문 채취 시 심리적인 저항이 있음 (예, 입국심사) |
| 얼굴인식 | 얼굴의 위치, 형태, 굴곡 등의 정보를 통해 본인 여부를 판별 | 원격 인증이 가능하며 비접촉식으로 지문에 비해 저항이 덜한 장점. 다만 마스크나 여러 환경에서 인식률이 낮을 수 있다는 단점이 있음 |
| 홍채인식 | 눈동자의 망막혈관과 홍채의 패턴을 구별해 본인을 판별하는 기술 | 오인식률이 낮으며 비접촉식의 장점.인식에 익숙해지기까지 시간이 소요됨 |
| 정맥인식 | 손과 팔등의 정맥의 패턴을 이미지 인식하여 판별하는 기술 | 정맥이 잘 인식될 경우 인식률은 높지만, 정밀한 측정을 위해 하드웨어 구성이 복잡해짐 |
| 음성인식 | 사람마다 고유한 성문 정보를 통해 식별하는 기술 | 비접촉식으로 사용이 간편하나, 녹음을 통한 위변조에 취약하다 |
위와 같이 생체인식의 경우 기본적으로 오거부율과(FRR) 오인식률의(FAR) 오차가 있다는 한계점이 있습니다. 이는 적용 시스템의 특성에 따라 수치의 조정이나 다른 Factor와 결합하여 사용하게 됩니다.
멀티팩터인증 솔루션 5가지
국내에 진출해있는 다양한 글로벌 MFA 상용 솔루션들을 정리해보았습니다. 관심이 있는 경우 아래 링크에서 Free Trial이나 문의 사항을 남길 수 있으니 참고 바랍니다.
1. 시스코 듀오 (Cisco Duo)
네트워크 솔루션 회사로도 잘 알려진 시스코의 MFA 솔루션입니다. 제로트러스트 컨셉을 기반으로 실시간으로 사용자 신원확인이 가능하며, 안드로이드 및 iOS 등의 다양한 디바이스를 지원합니다. 제로트러스트의 개념에 대해서는 이전의 다음 글을 참고 바랍니다.
시스코는 MFA 인증의 대표 솔루션의 하나로 기기의 생체 Factor와 결합하여 사용자가 실제 기기를 소유하고 있는지 등을 확인하는 추가적인 옵션을 제공합니다.
2. 이셋 보안인증 (ESET)
이셋은 다양한 인터넷 보안솔루션을 제공하는 전문업체입니다. 모바일 및 윈도10 기기를 지원하며 On-Premise 외에도 클라우드 솔루션과 같은 서비스도 지원하는 것이 장점입니다.
3. HID 어프로브
대기업이나 정부기관 등에서 많이 사용하는 글로벌 솔루션입니다. 모바일인증, OTP 토큰, 스마트카드 등 다양한 인증 Factor 들을 지원하고 있습니다.
4. OKTA (옥타 어댑티브)
인증 분야에서 꽤 인지도가 있는 업체입니다. 마찬가지로 사내 On-Premise부터 클라우드 환경의 서비스까지 모두 지원이 가능한 점이 장점입니다.
인증단계마다 장치, 네트워크, 위치, 이동시간, IP 등의 여러 요소들을 다차원적으로 분석하여 적절한 액세스 처리를 수행합니다.
5. RSA 시큐어ID
RSA라는 이름이 낯설지는 이는 델 테크놀로지스의 브랜드 중의 하나입니다. 이 솔루션은 사용자 접근관리 외에도 리스크관리, 사이버 범죄 공격 등 최신 공격패턴을 효과적으로 탐지하는 솔루션으로 알려져 있습니다.
국내의 기업들도 실제 도입한 사례들이 기사로 소개되고 있으니 참고해보시면 도움이 될 것 같습니다.
이상으로 멀티팩터인증 MFA 종류와 5가지 주요 솔루션에 대해서 알아보았습니다.