다요소·일회용·생체·디바이스 인증 | 정보보안기사 필기

1. 인증 요소

요소	의미	예시
지식 요소	사용자가 알고 있는 것	비밀번호, PIN
소유 요소	사용자가 가지고 통제하는 것	OTP 토큰, 스마트카드, 보안키, 개인키 저장 장치
생체 요소	사용자의 신체·행동 특성	지문, 얼굴, 홍채, 음성

IP 주소·접속 지역·브라우저 특성은 위험 판단에 유용하지만 보통 독립 인증 요소라기보다 상황·위험 신호로 사용한다.

2. 다요소 인증 판정

비밀번호 + 보안키 → 지식 + 소유: MFA
비밀번호 + 지문 → 지식 + 생체: MFA
스마트카드 + 카드 PIN → 소유 + 지식: MFA
비밀번호 + 보안질문 → 지식 + 지식: 다단계일 수 있으나 다요소 아님
지문 + 얼굴 → 둘 다 생체: 서로 다른 요소 종류의 조합은 아님

3. OTP의 기본 구조

OTP(One-Time Password)는 한 번 또는 짧은 시간 동안만 유효한 인증값이다. HOTP·TOTP에서는 서버와 토큰이 공유한 비밀 seed와 카운터·시간 같은 이동값을 이용해 생성한다. 일회용이라는 말만으로 한 번 사용한 값이 자동 거부되는 것은 아니다.

HOTP

카운터 기반 OTP다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

HOTP = DynamicTruncate(HMAC-SHA-1(K, Counter)) mod 10^d
(d: 출력할 십진 숫자 자릿수)

인증 성공 후 카운터를 다시 사용하지 않도록 동기화와 재사용 검사가 필요하다.

TOTP

시간 단계를 카운터처럼 사용하는 OTP다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

T = floor((현재시각 - 기준시각) / 시간간격)
TOTP = HOTP(K, T)

서버와 토큰의 시간이 지나치게 어긋나면 정상 사용자가 거부될 수 있다. 허용 시간 창을 넓히면 편의성은 높아지지만 공격자가 사용할 수 있는 유효 범위도 커질 수 있다.

OTP가 제공하지 않는 것

사용자가 가짜 사이트에 현재 OTP를 입력하면 공격자가 즉시 진짜 사이트로 중계할 수 있다.
OTP seed가 복제되면 공격자도 같은 OTP를 생성할 수 있다.
6자리 OTP는 후보가 1,000,000개뿐이므로 시도 제한이 필요하다.

따라서 일회용이라는 특성과 피싱 저항성은 같은 개념이 아니다.

4. SMS·앱 OTP·푸시 승인

방식	특징과 주의점
SMS·음성 코드	통신망·번호 이전·메시지 가로채기 위험을 고려한다.
OTP 앱	seed가 장치에 저장되며 seed 백업·복제 위험이 있다.
푸시 승인	사용자가 무심코 반복 승인하는 MFA 피로 공격에 주의한다.
하드웨어 토큰	별도 장치로 소유 요소를 제공하지만 분실·복구 절차가 중요하다.

5. 생체 인증의 흐름

등록

생체 샘플을 취득한다.
특징을 추출한다.
비교용 템플릿을 생성하고 보호해 저장한다.

인증

새 생체 샘플을 취득한다.
특징을 추출한다.
저장 템플릿과 유사도를 계산한다.
임계값 이상이면 일치로 판정한다.

6. 생체 오류 지표

지표	의미
FAR·오수락률	인증 시스템이 타인을 정당한 사용자로 잘못 받아들이는 비율
FRR·오거부율	인증 시스템이 정당한 사용자를 잘못 거부하는 비율
FMR·FNMR	비교기 수준의 거짓 일치·거짓 불일치 비율
EER/CER	같은 측정 조건에서 두 오류율이 같아지는 지점의 오류율

FAR/FRR과 FMR/FNMR은 밀접하지만 측정 범위·시도 조건이 달라 항상 같은 값은 아니다. 유사도가 클수록 일치로 판단하는 방식에서 임계값을 높여 엄격하게 하면 오수락은 줄지만 오거부가 늘 수 있다. 시스템 목적에 따라 두 위험의 균형을 정한다.

생체정보는 유출되어도 비밀번호처럼 쉽게 바꾸기 어렵다. 따라서 템플릿 보호, 센서·비교기 보호, 위조 샘플 탐지(PAD), 다른 소유 요소와의 결합이 중요하다.

7. 디바이스 인증

등록된 장치가 보유한 비밀키 또는 개인키로 challenge에 응답하게 해 장치의 정당성을 확인할 수 있다.

대칭키 기반

장치와 서버가 같은 비밀키를 공유하고 MAC 응답을 검증한다. 서버 키 저장소가 침해되면 여러 장치에 영향이 갈 수 있다.

공개키 기반

장치가 개인키를 보관하고 서버는 공개키를 등록한다. 서버가 보낸 challenge에 장치가 서명하면 서버가 공개키로 검증한다. 개인키는 장치 밖으로 내보내지 않는 것이 이상적이다.

웹의 보안키·패스키는 서비스에 연결된 공개키 자격증명과 challenge 응답을 활용하는 사례다. 피싱 저항성에는 공개키 사용뿐 아니라 올바른 서비스·도메인과의 결합이 필요하다. 장치 키의 소유가 확인되어도 실제 사람이 누구인지, 어떤 권한을 줄지는 별도로 판단한다.