인증과 비밀번호는 어떻게 되나요? Javelin 보고서 “강력한 인증 상태”를 코멘트와 함께 번역

보고서 제목의 스포일러: "새로운 위험의 위협과 규제 요구 사항으로 인해 강력한 인증 사용이 증가합니다."
리서치 회사 'Javelin Strategy & Research'는 '2019년 강력한 인증 현황' 보고서를 발표했습니다. PDF 형식의 원본은 여기에서 다운로드할 수 있습니다.). 이 보고서는 미국과 유럽 기업 중 몇 퍼센트가 비밀번호를 사용하는지(그리고 현재 비밀번호를 사용하는 사람이 거의 없는 이유), 암호화 토큰을 기반으로 한 XNUMX단계 인증의 사용이 왜 그렇게 빠르게 증가하고 있는지; SMS를 통해 전송된 일회용 코드가 안전하지 않은 이유

기업 및 소비자 애플리케이션 인증의 현재, 과거, 미래에 관심이 있는 분이라면 누구나 환영합니다.

번역가로부터

아쉽게도 이 보고서가 작성된 언어는 상당히 "건조하고" 형식적입니다. 그리고 짧은 문장 하나에 '인증'이라는 단어를 다섯 번 사용한 것은 번역자의 비뚤어진 손(혹은 두뇌)이 아니라 저자의 변덕이다. 두 가지 옵션을 번역할 때 독자들에게 원본에 더 가까운 텍스트나 더 흥미로운 텍스트를 제공하기 위해 때로는 첫 번째 옵션을 선택하고 때로는 두 번째 옵션을 선택했습니다. 하지만 독자 여러분, 인내심을 가지십시오. 보고서의 내용은 그만한 가치가 있습니다.

이야기에서 일부 중요하지 않고 불필요한 부분이 제거되었습니다. 그렇지 않으면 대다수가 전체 텍스트를 처리할 수 없었을 것입니다. 보고서를 '무삭제'로 읽고 싶은 분은 링크를 따라가면 원문으로 읽으실 수 있습니다.

불행하게도 저자들은 용어 사용에 항상 주의를 기울이는 것은 아닙니다. 따라서 일회용 비밀번호(One Time Password - OTP)를 "비밀번호"라고도 하며 때로는 "코드"라고도 합니다. 인증 방법은 더욱 심각합니다. 훈련받지 않은 독자가 "암호 키를 사용한 인증"과 "강력한 인증"이 동일한 것이라고 추측하는 것이 항상 쉬운 것은 아닙니다. 가능한 한 용어를 통일하려고 노력했으며 보고서 자체에 해당 용어에 대한 설명이 포함된 단편이 있습니다.

그럼에도 불구하고 이 보고서는 독특한 연구 결과와 올바른 결론을 담고 있기 때문에 꼭 읽어볼 것을 권한다.

모든 수치와 사실은 최소한의 변경 없이 제시되며, 이에 동의하지 않을 경우 번역가가 아닌 보고서 작성자와 논쟁하는 것이 좋습니다. 그리고 여기에 내 의견이 있습니다(인용문으로 배치되고 텍스트에 표시됨). 이탈리아 사람)은 나의 가치판단이며 각 가치판단에 대해(번역의 질에 대해서도) 기꺼이 논의하겠습니다.

검토

오늘날 고객과의 커뮤니케이션을 위한 디지털 채널은 기업에게 그 어느 때보다 중요합니다. 그리고 회사 내에서 직원 간의 커뮤니케이션은 그 어느 때보다 디지털 지향적으로 이루어지고 있습니다. 그리고 이러한 상호 작용의 보안은 선택한 사용자 인증 방법에 따라 달라집니다. 공격자는 약한 인증을 사용하여 사용자 계정을 대규모로 해킹합니다. 이에 대응하여 규제 당국은 기업이 사용자 계정과 데이터를 더 잘 보호하도록 강제하기 위해 표준을 강화하고 있습니다.

인증 관련 위협은 소비자 애플리케이션을 넘어 확장되며, 공격자는 기업 내부에서 실행되는 애플리케이션에도 액세스할 수 있습니다. 이 작업을 통해 기업 사용자를 가장할 수 있습니다. 인증이 약한 액세스 포인트를 사용하는 공격자는 데이터를 도용하고 기타 사기 활동을 수행할 수 있습니다. 다행히도 이를 방지할 수 있는 조치가 있습니다. 강력한 인증은 소비자 애플리케이션과 기업 비즈니스 시스템 모두에서 공격자의 공격 위험을 크게 줄이는 데 도움이 됩니다.

본 연구에서는 기업이 최종 사용자 애플리케이션과 기업 비즈니스 시스템을 보호하기 위해 인증을 구현하는 방법, 인증 솔루션을 선택할 때 고려하는 요소 조직에서 강력한 인증이 수행하는 역할 이러한 조직이 받는 혜택.

개요

주요 결과

2017년부터 강력한 인증의 사용이 급격히 증가했습니다. 기존 인증 솔루션에 영향을 미치는 취약점의 수가 증가함에 따라 조직에서는 강력한 인증을 통해 인증 기능을 강화하고 있습니다. 암호화 다단계 인증(MFA)을 사용하는 조직의 수는 2017년 이후 소비자 애플리케이션의 경우 50배, 기업 애플리케이션의 경우 거의 XNUMX% 증가했습니다. 생체 인증의 가용성이 높아짐에 따라 모바일 인증이 가장 빠르게 성장하고 있습니다.

여기서 우리는 “천둥이 칠 때까지 사람은 자기 자신을 건너지 못할 것이다”라는 속담의 예를 봅니다. 전문가들이 비밀번호의 안전성에 대해 경고했을 때 이중 인증을 구현하는 데 서두르는 사람은 아무도 없었습니다. 해커들이 비밀번호를 훔치기 시작하자마자 사람들은 이중 인증을 구현하기 시작했습니다.

사실, 개인은 2FA를 훨씬 더 적극적으로 구현하고 있습니다. 첫째, 실제로는 매우 신뢰할 수 없는 스마트폰에 내장된 생체 인증에 의존함으로써 두려움을 진정시키는 것이 더 쉽습니다. 조직은 토큰 구매에 돈을 쓰고 이를 구현하기 위한 작업(사실 매우 간단함)을 수행해야 합니다. 둘째, 게으른 사람들만이 Facebook이나 Dropbox와 같은 서비스의 비밀번호 유출에 대해 글을 쓰지 않았지만 어떤 경우에도 이러한 조직의 CIO는 조직에서 비밀번호가 어떻게 도난당했는지(그리고 다음에 무슨 일이 일어났는지)에 대한 이야기를 공유하지 않습니다.

강력한 인증을 사용하지 않는 사람들은 비즈니스와 고객에 대한 위험을 과소평가하고 있습니다. 현재 강력한 인증을 사용하지 않는 일부 조직에서는 로그인과 비밀번호를 가장 효과적이고 사용하기 쉬운 사용자 인증 방법 중 하나로 보는 경향이 있습니다. 다른 사람들은 자신이 소유한 디지털 자산의 가치를 보지 못합니다. 결국, 사이버 범죄자는 모든 소비자 및 비즈니스 정보에 관심이 있다는 점을 고려해 볼 가치가 있습니다. 직원을 인증하기 위해 비밀번호만 사용하는 회사의 XNUMX/XNUMX는 비밀번호가 자신이 보호하는 정보 유형에 충분하다고 믿기 때문에 그렇게 합니다.

그러나 암호는 무덤으로 가는 중입니다. 조직에서 기존 MFA 및 강력한 인증 사용을 늘리면서 소비자 및 기업 애플리케이션 모두에서 비밀번호 의존도가 작년에 크게 감소했습니다(각각 44%에서 31%, 56%에서 47%).
하지만 상황을 전체적으로 보면 취약한 인증 방식이 여전히 우세합니다. 사용자 인증을 위해 약 5분의 XNUMX의 조직이 보안 질문과 함께 SMS OTP(일회용 비밀번호)를 사용합니다. 결과적으로, 취약점으로부터 보호하기 위해 추가 보안 조치를 구현해야 하며 이로 인해 비용이 증가합니다. 하드웨어 암호화 키와 같이 훨씬 더 안전한 인증 방법을 사용하는 경우는 조직의 약 XNUMX%로 훨씬 덜 자주 사용됩니다.

진화하는 규제 환경은 소비자 애플리케이션에 대한 강력한 인증 채택을 가속화할 것을 약속합니다. PSD2의 도입과 EU 및 캘리포니아와 같은 미국의 여러 주의 새로운 데이터 보호 규정으로 인해 기업들은 열기를 느끼고 있습니다. 거의 70%의 기업이 고객에게 강력한 인증을 제공해야 한다는 강력한 규제 압력에 직면해 있다는 데 동의합니다. 절반 이상의 기업은 몇 년 내에 인증 방법이 규제 표준을 충족하기에 충분하지 않을 것이라고 생각합니다.

프로그램 및 서비스 사용자의 개인 데이터 보호에 대한 러시아와 미국-유럽 입법자들의 접근 방식의 차이는 분명하게 드러납니다. 러시아인들은 다음과 같이 말합니다. 서비스 소유자 여러분, 원하는 대로, 원하는 대로 하십시오. 하지만 관리자가 데이터베이스를 병합하면 우리는 여러분을 처벌할 것입니다. 해외에서는 다음과 같은 조치를 취해야 한다고 말합니다. 허용하지 않습니다 베이스를 배수하십시오. 이것이 바로 엄격한 XNUMX단계 인증에 대한 요구 사항이 구현되는 이유입니다.
사실, 우리의 입법 기관이 언젠가 제정신을 차리지 못하고 서구의 경험을 고려하지 않을 것이라는 사실은 결코 아닙니다. 그런 다음 모든 사람이 러시아 암호화 표준을 준수하는 2FA를 긴급하게 구현해야 한다는 것이 밝혀졌습니다.

강력한 인증 프레임워크를 구축하면 기업은 규제 요구 사항 충족에서 고객 요구 사항 충족으로 초점을 전환할 수 있습니다. 여전히 간단한 비밀번호를 사용하거나 SMS를 통해 코드를 수신하는 조직의 경우 인증 방법을 선택할 때 가장 중요한 요소는 규제 요구 사항을 준수하는 것입니다. 그러나 이미 강력한 인증을 사용하는 회사에서는 고객 충성도를 높이는 인증 방법을 선택하는 데 집중할 수 있습니다.

기업 내에서 기업 인증 방법을 선택할 때 규제 요구 사항은 더 이상 중요한 요소가 아닙니다. 이 경우 통합 용이성(32%)과 비용(26%)이 훨씬 더 중요합니다.

피싱 시대, 공격자는 회사 이메일을 이용해 사기를 칠 수 있다 사기적으로 데이터, 계정(적절한 액세스 권한 포함)에 대한 액세스 권한을 얻고 심지어 직원이 자신의 계정으로 자금을 이체하도록 설득하는 것입니다. 따라서 기업 이메일과 포털 계정은 특히 잘 보호되어야 합니다.

Google은 강력한 인증을 구현하여 보안을 강화했습니다. 2년 전 Google은 FIDO U85F 표준을 사용하여 암호화 보안 키를 기반으로 한 000단계 인증 구현에 대한 보고서를 발표하여 인상적인 결과를 보고했습니다. 회사에 따르면 XNUMX명 이상의 직원을 대상으로 단 한 건의 피싱 공격도 발생하지 않았습니다.

추천

모바일 및 온라인 애플리케이션에 대한 강력한 인증을 구현합니다. 암호화 키를 기반으로 한 다단계 인증은 기존 MFA 방법보다 해킹으로부터 훨씬 더 나은 보호 기능을 제공합니다. 또한, 암호화 키를 사용하면 사용자 기기에서 인증 서버로 비밀번호, 일회용 비밀번호, 생체정보 등 추가 정보를 사용하고 전송할 필요가 없기 때문에 훨씬 편리합니다. 또한, 인증 프로토콜을 표준화하면 새로운 인증 방법이 출시될 때 훨씬 쉽게 구현하여 구현 비용을 절감하고 보다 정교한 사기 계획으로부터 보호할 수 있습니다.

일회용 비밀번호(OTP)의 종말에 대비하세요. 사이버 범죄자들이 사회 공학, 스마트폰 복제 및 악성 코드를 사용하여 이러한 인증 수단을 손상시키면서 OTP에 내재된 취약성이 점점 더 명백해지고 있습니다. 그리고 어떤 경우 OTP에 특정 이점이 있다면 모든 사용자에 대한 보편적 가용성의 관점에서만 가능하고 보안 관점에서는 그렇지 않습니다.

SMS나 푸시 알림을 통해 코드를 수신하는 것, 스마트폰용 프로그램을 사용하여 코드를 생성하는 것은 우리가 거부에 대비해야 하는 것과 동일한 일회용 비밀번호(OTP)를 사용하는 것임을 눈치채지 않는 것은 불가능합니다. 기술적인 관점에서 볼 때 이 솔루션은 매우 정확합니다. 왜냐하면 속기 쉬운 사용자로부터 일회용 비밀번호를 알아내려고 시도하지 않는 사기꾼은 드물기 때문입니다. 그러나 나는 그러한 시스템의 제조업체들이 마지막까지 죽어가는 기술에 매달릴 것이라고 생각합니다.

강력한 인증을 마케팅 도구로 사용하여 고객 신뢰를 높이세요. 강력한 인증은 비즈니스의 실제 보안을 향상시키는 것 이상의 역할을 할 수 있습니다. 귀하의 비즈니스에서 강력한 인증을 사용하고 있음을 고객에게 알리면 해당 비즈니스의 보안에 대한 대중의 인식을 강화할 수 있습니다. 이는 강력한 인증 방법에 대한 고객 요구가 클 때 중요한 요소입니다.

기업 데이터에 대한 철저한 인벤토리 및 중요도 평가를 수행하고 중요도에 따라 보호합니다. 고객 연락처 정보 등 위험도가 낮은 데이터(아니요, 실제로 보고서에는 "위험도가 낮음"이라고 나와 있습니다. 이 정보의 중요성을 과소평가하는 것이 매우 이상합니다.), 사기꾼에게 상당한 가치를 가져다 줄 수 있으며 회사에 문제를 일으킬 수 있습니다.

강력한 기업 인증을 사용하세요. 다양한 시스템이 범죄자에게 가장 매력적인 표적이 됩니다. 여기에는 회계 프로그램이나 기업 데이터 웨어하우스와 같은 내부 및 인터넷 연결 시스템이 포함됩니다. 강력한 인증을 통해 공격자가 무단으로 액세스하는 것을 방지하고 악의적인 활동을 저지른 직원을 정확하게 확인할 수 있습니다.

강력한 인증이란 무엇입니까?

강력한 인증을 사용하는 경우 사용자의 진위 여부를 확인하기 위해 여러 가지 방법이나 요소가 사용됩니다.

• 지식 요소: 사용자와 사용자의 인증된 주체 사이의 공유 비밀(예: 비밀번호, 보안 질문에 대한 답변 등)
• 소유권 요소: 사용자만이 가지고 있는 장치(예: 모바일 장치, 암호화 키 등)
• 무결성 요소: 사용자의 신체적(종종 생체 인식) 특성(예: 지문, 홍채 패턴, 음성, 행동 등)

여러 요소를 해킹해야 할 필요성은 공격자의 실패 가능성을 크게 증가시킵니다. 다양한 요소를 우회하거나 속이려면 각 요소에 대해 개별적으로 여러 유형의 해킹 전술을 사용해야 하기 때문입니다.

예를 들어, 2FA “비밀번호 + 스마트폰”을 사용하면 공격자는 사용자의 비밀번호를 보고 스마트폰의 정확한 소프트웨어 복사본을 만들어 인증을 수행할 수 있습니다. 그리고 이것은 단순히 비밀번호를 훔치는 것보다 훨씬 더 어렵습니다.

그러나 2FA에 비밀번호와 암호화 토큰을 사용하는 경우 여기에서는 복사 옵션이 작동하지 않습니다. 토큰을 복제하는 것은 불가능합니다. 사기꾼은 사용자로부터 은밀하게 토큰을 훔쳐야 합니다. 사용자가 시간의 손실을 인지하고 관리자에게 알리면 토큰이 차단되고 사기꾼의 노력은 물거품이 됩니다. 소유권 요소가 범용 장치(스마트폰)가 아닌 특수한 보안 장치(토큰)의 사용을 요구하는 이유입니다.

세 가지 요소를 모두 사용하면 이 인증 방법을 구현하는 데 비용이 많이 들고 사용하기가 매우 불편해집니다. 따라서 일반적으로 세 가지 요인 중 두 가지가 사용됩니다.

이중 인증의 원리에 대해 자세히 설명합니다. 여기에, 'XNUMX단계 인증 작동 방식' 블록에서 확인하세요.

강력한 인증에 사용되는 인증 요소 중 적어도 하나는 공개 키 암호화를 사용해야 한다는 점에 유의하는 것이 중요합니다.

강력한 인증은 기존 암호 및 기존 MFA를 기반으로 하는 단일 요소 인증보다 훨씬 강력한 보호 기능을 제공합니다. 키로거, 피싱 사이트 또는 사회 공학 공격(피해자를 속여 비밀번호를 공개하도록 하는 경우)을 사용하여 비밀번호를 감시하거나 가로챌 수 있습니다. 또한 비밀번호 소유자는 도난에 대해 아무것도 알 수 없습니다. 기존 MFA(OTP 코드, 스마트폰 또는 SIM 카드 바인딩 포함)도 공개 키 암호화를 기반으로 하지 않기 때문에 매우 쉽게 해킹될 수 있습니다(그런데 사기꾼이 동일한 사회 공학 기술을 사용하여 사용자에게 일회용 비밀번호를 제공하도록 설득한 사례가 많이 있습니다.).

다행스럽게도 강력한 인증과 기존 MFA의 사용은 작년부터 소비자 및 기업 애플리케이션 모두에서 주목을 받고 있습니다. 소비자 애플리케이션에서 강력한 인증의 사용이 특히 빠르게 증가했습니다. 2017년에는 기업의 5%만이 이를 사용했다면, 2018년에는 이미 16배 더 많은 2%였습니다. 이는 공개 키 암호화(PKC) 알고리즘을 지원하는 토큰의 가용성이 증가한 것으로 설명할 수 있습니다. 또한 PSDXNUMX 및 GDPR과 같은 새로운 데이터 보호 규정의 채택에 따라 유럽 규제 기관의 압력이 증가하면서 유럽 외부에서도 큰 영향을 미쳤습니다(러시아를 포함해).

이 숫자를 좀 더 자세히 살펴보겠습니다. 보시다시피 다단계 인증을 사용하는 개인의 비율은 전년 대비 11%나 증가했습니다. 푸시 알림, SMS 및 생체 인식의 보안을 믿는 사람들의 수가 변하지 않았기 때문에 이는 분명히 비밀번호 애호가를 희생하여 발생했습니다.

하지만 기업용 이중 인증을 사용하면 상황이 그리 좋지 않습니다. 첫째, 보고서에 따르면 직원 중 5%만이 비밀번호 인증에서 토큰으로 전환되었습니다. 둘째, 기업 환경에서 대체 MFA 옵션을 사용하는 사람의 수가 4% 증가했습니다.

분석가 역할을 맡아 해석해 보겠습니다. 개인 사용자의 디지털 세계의 중심에는 스마트폰이 있습니다. 따라서 대부분의 사람들이 생체 인증, SMS 및 푸시 알림, 스마트폰 자체의 애플리케이션에서 생성된 일회용 비밀번호 등 장치가 제공하는 기능을 사용하는 것은 놀라운 일이 아닙니다. 사람들은 일반적으로 익숙한 도구를 사용할 때 안전과 신뢰성에 대해 생각하지 않습니다.

이것이 바로 원시적인 "전통적인" 인증 요소를 사용하는 사용자의 비율이 변하지 않은 이유입니다. 그러나 이전에 비밀번호를 사용한 사람들은 자신의 위험이 얼마나 큰지 이해하고 새로운 인증 요소를 선택할 때 가장 최신의 안전한 옵션인 암호화 토큰을 선택합니다.

기업시장의 경우 어떤 시스템에서 인증이 이루어지는지 이해하는 것이 중요합니다. Windows 도메인에 대한 로그인이 구현되면 암호화 토큰이 사용됩니다. 2FA에 사용할 수 있는 가능성은 이미 Windows와 Linux 모두에 내장되어 있지만 대체 옵션은 길고 구현하기 어렵습니다. 비밀번호에서 토큰으로 5%가 마이그레이션되는 것은 이 정도입니다.

그리고 기업 정보 시스템에서 2FA 구현은 개발자의 자격에 따라 크게 달라집니다. 그리고 개발자가 암호화 알고리즘의 작동을 이해하는 것보다 일회용 비밀번호 생성을 위해 기성 모듈을 사용하는 것이 훨씬 쉽습니다. 결과적으로 Single Sign-On 또는 Privileged Access Management 시스템과 같이 보안이 매우 중요한 애플리케이션에서도 OTP를 두 번째 요소로 사용합니다.

기존 인증 방식에는 많은 취약점 존재

많은 조직이 기존 단일 요소 시스템에 계속 의존하고 있는 반면, 기존 다단계 인증의 취약점은 점점 더 명백해지고 있습니다. 일반적으로 SMS를 통해 전달되는 XNUMX~XNUMX자 길이의 일회용 비밀번호는 가장 일반적인 인증 형식으로 남아 있습니다(물론 비밀번호 요소를 제외하고). 그리고 대중 언론에서 "XNUMX단계 인증" 또는 "XNUMX단계 인증"이라는 단어가 언급되면 거의 항상 SMS 일회용 비밀번호 인증을 언급합니다.

여기서 저자는 약간 착각했습니다. SMS를 통해 일회용 비밀번호를 전달하는 것은 결코 이중 인증이 아닙니다. 이는 가장 순수한 형태의 XNUMX단계 인증의 두 번째 단계로, 첫 번째 단계에서는 로그인 정보와 비밀번호를 입력합니다.

2016년에 NIST(National Institute of Standards and Technology)는 SMS를 통해 전송되는 일회용 비밀번호의 사용을 제거하기 위해 인증 규칙을 업데이트했습니다. 그러나 이러한 규정은 업계의 항의로 인해 상당히 완화되었습니다.

그럼 줄거리를 따라가 볼까요? 미국 규제 당국은 오래된 기술로는 사용자 안전을 보장할 수 없다는 점을 올바르게 인식하고 새로운 표준을 도입하고 있습니다. 온라인 및 모바일 애플리케이션(뱅킹 애플리케이션 포함) 사용자를 보호하기 위해 고안된 표준입니다. 업계에서는 진정으로 신뢰할 수 있는 암호화 토큰 구매, 애플리케이션 재설계, 공개 키 인프라 배포 등에 얼마나 많은 돈을 지출해야 할지 계산하고 있으며 "뒷다리로 힘차게 성장"하고 있습니다. 한편으로는 사용자들이 일회용 비밀번호의 신뢰성을 확신했고, 다른 한편으로는 NIST에 대한 공격이 있었습니다. 그 결과, 기준이 완화되었고, 해킹 횟수와 비밀번호(및 은행 애플리케이션에서 발생한 자금) 도용 횟수가 급격히 증가했습니다. 그러나 업계는 돈을 쏟아부을 필요가 없었습니다.

이후 SMS OTP의 본질적인 약점은 더욱 분명해졌습니다. 사기꾼은 다양한 방법을 사용하여 SMS 메시지를 손상시킵니다.

• SIM 카드 복제. 공격자가 SIM 사본을 생성합니다. (이동통신사 직원의 도움을 받거나 독립적으로 특수 소프트웨어 및 하드웨어를 사용하여)). 그 결과, 공격자는 일회용 비밀번호가 포함된 SMS를 받게 됩니다. 특히 유명한 사례 중 하나는 해커가 암호화폐 투자자인 Michael Turpin의 AT&T 계정을 해킹하고 암호화폐로 약 24만 달러를 훔칠 수도 있었습니다. 결과적으로 Turpin은 SIM 카드 복제로 이어지는 약한 검증 조치로 인해 AT&T에 잘못이 있다고 밝혔습니다.
  

  놀라운 논리. 그렇다면 그것은 정말로 AT&T만의 잘못일까요? 아니요, 통신판매점 판매원이 SIM 카드를 중복 발급한 것은 의심할 바 없이 이동통신사의 잘못입니다. 암호화폐 거래소 인증 시스템은 어떤가요? 왜 강력한 암호화 토큰을 사용하지 않았나요? 구현에 돈을 쓰는 것이 아쉽습니까? 마이클 자신이 책임이 있지 않습니까? 왜 그는 인증 메커니즘을 변경하거나 암호화 토큰을 기반으로 XNUMX단계 인증을 구현하는 거래소만 사용하지 않았습니까?

  진정으로 신뢰할 수 있는 인증 방법의 도입이 지연되는 이유는 사용자가 해킹하기 전에 놀라울 정도로 부주의하고 해킹 후에는 자신의 문제를 오래되고 "유출된" 인증 기술이 아닌 다른 누구에게나 탓하기 때문입니다.

• 악성 코드. 모바일 악성 코드의 초기 기능 중 하나는 문자 메시지를 가로채서 공격자에게 전달하는 것이었습니다. 또한 브라우저 가로채기(man-in-the-browser) 및 가로채기(man-in-the-middle) 공격은 감염된 노트북이나 데스크톱 장치에 일회용 비밀번호를 입력할 때 이를 가로챌 수 있습니다.
  

  스마트폰의 Sberbank 애플리케이션이 상태 표시줄에 녹색 아이콘을 깜박이면 전화기에서도 "악성 프로그램"을 찾습니다. 이 이벤트의 목표는 일반적인 스마트폰의 신뢰할 수 없는 실행 환경을 적어도 어떤 방식으로든 신뢰할 수 있는 환경으로 바꾸는 것입니다.
  그런데 스마트폰은 무엇이든 할 수 있는 완전히 신뢰할 수 없는 장치로서 이를 인증에 사용하는 또 다른 이유입니다. 하드웨어 토큰만, 보호되며 바이러스와 트로이 목마가 없습니다.

• 사회 공학. 사기꾼은 피해자가 SMS를 통해 OTP를 활성화했다는 사실을 알게 되면 은행이나 신용 조합 등 신뢰할 수 있는 기관으로 가장하여 피해자에게 직접 연락하여 방금 받은 코드를 제공하도록 피해자를 속일 수 있습니다.
  

  예를 들어, 저는 인기 있는 온라인 벼룩시장에서 물건을 팔려고 할 때 개인적으로 이러한 유형의 사기를 여러 번 접했습니다. 나를 마음껏 속이려는 사기꾼을 나 자신도 놀렸다. 그러나 아쉽게도 저는 사기꾼의 또 다른 피해자가 "생각하지 않고" 확인 코드를 제공하고 큰 금액을 잃은 방법을 뉴스에서 정기적으로 읽었습니다. 그리고 이 모든 것은 은행이 애플리케이션에서 암호화 토큰 구현을 처리하고 싶지 않기 때문입니다. 결국 무슨 일이 생기면 내담자는 “책임을 져야 한다”.

대체 OTP 전달 방법은 이 인증 방법의 일부 취약점을 완화할 수 있지만 다른 취약점은 여전히 ​​남아 있습니다. 독립 실행형 코드 생성 응용 프로그램은 도청에 대한 최선의 보호 기능을 제공합니다. 악성 코드라도 코드 생성기와 직접 상호 작용하는 경우는 거의 없기 때문입니다(진지하게? 보고서 작성자가 원격 제어를 잊었나요?), 그러나 브라우저에 입력하면 OTP를 가로챌 수 있습니다(예를 들어 키로거를 사용하는 경우), 해킹된 모바일 애플리케이션을 통해; 소셜 엔지니어링을 사용하여 사용자로부터 직접 얻을 수도 있습니다.
장치 인식과 같은 다양한 위험 평가 도구 사용(합법적인 사용자에게 속하지 않은 장치에서 트랜잭션을 수행하려는 시도 감지), 위치정보(방금 모스크바에 있었던 사용자가 노보시비르스크에서 작업을 수행하려고 합니다.) 및 행동 분석은 취약점을 해결하는 데 중요하지만 두 솔루션 모두 만병통치약은 아닙니다. 각 상황과 데이터 유형에 대해 위험을 신중하게 평가하고 어떤 인증 기술을 사용해야 하는지 선택해야 합니다.

어떤 인증 솔루션도 만병통치약은 아니다

그림 2. 인증 옵션 표

인증	요인	기술	주요 취약점
비밀번호 또는 PIN	지식	문자, 숫자 및 기타 여러 문자를 포함할 수 있는 고정 값	가로채기, 염탐, 도난, 탈취 또는 해킹될 수 있습니다.
지식기반 인증	지식	합법적인 사용자만이 알 수 있는 답변에 대해 질문하세요.	소셜 엔지니어링 방법을 사용하여 가로채기, 포착, 획득 가능
하드웨어OTP(예)	소유	일회용 비밀번호를 생성하는 특수 장치	코드를 가로채서 반복하거나 장치를 도난당할 수 있습니다.
소프트웨어 OTP	소유	일회용 비밀번호를 생성하는 애플리케이션(모바일, 브라우저를 통해 접근 가능, 이메일로 코드 전송)	코드를 가로채서 반복하거나 장치를 도난당할 수 있습니다.
SMS OTP	소유	SMS 문자 메시지를 통해 전달되는 일회용 비밀번호	코드를 가로채서 반복할 수도 있고, 스마트폰이나 SIM 카드를 도난당할 수도 있고, SIM 카드가 복제될 수도 있습니다.
스마트 카드(예)	소유	인증을 위해 공개 키 인프라를 사용하는 암호화 칩과 보안 키 메모리가 포함된 카드	물리적으로 도난당할 수 있음(그러나 공격자는 PIN 코드를 모르면 장치를 사용할 수 없습니다. 여러 번 잘못된 입력 시도가 있을 경우 장치가 차단됩니다.)
보안 키 - 토큰(예, 다른 예시)	소유	인증을 위해 공개 키 인프라를 사용하는 암호화 칩과 보안 키 메모리가 포함된 USB 장치	물리적으로 도난당할 수 있음(단, PIN 코드를 모르면 공격자가 기기를 사용할 수 없으며, 여러 번 잘못된 입력 시도 시 기기가 차단됨)
장치에 연결	소유	특정 장치가 사용되고 있는지 확인하기 위해 종종 JavaScript를 사용하거나 쿠키 및 Flash 공유 객체와 같은 마커를 사용하여 프로필을 생성하는 프로세스입니다.	토큰은 도난(복사)될 수 있으며, 공격자가 자신의 장치에서 합법적인 장치의 특성을 모방할 수 있습니다.
행동	고유	사용자가 장치 또는 프로그램과 상호 작용하는 방식을 분석합니다.	행동은 모방될 수 있다
지문	고유	저장된 지문은 광학적 또는 전자적으로 캡처된 지문과 비교됩니다.	이미지를 도용하여 인증에 사용될 수 있습니다.
눈 스캔	고유	홍채 패턴 등 눈의 특성을 새로운 광학 스캔과 비교	이미지를 도용하여 인증에 사용될 수 있습니다.
얼굴 인식	고유	얼굴 특징을 새로운 광학 스캔과 비교	이미지를 도용하여 인증에 사용될 수 있습니다.
음성 인식	고유	녹음된 음성 샘플의 특성을 새로운 샘플과 비교합니다.	기록을 도난당하여 인증에 사용하거나 에뮬레이션할 수 있음

출판물의 두 번째 부분에서는 첫 번째 부분에 제시된 결론과 권장 사항의 기반이 되는 숫자와 사실 등 가장 맛있는 것들이 우리를 기다리고 있습니다. 사용자 애플리케이션과 기업 시스템에서의 인증은 별도로 논의됩니다.

곧 뵙겠습니다!

출처 : habr.com