보안

이중 인증 방식, 수정해야 하나?

Ellen Messmer | Network World 2012.06.29
이중 인증 방식을 수정해야 할까? 이번 주, 이중 인증 방식이 효과적이지 않다는 비판이 제기됐다. 특히 1회성 패스워드와 스마트카드와 관련된 토큰 방식이 그렇다. 
 
이중 인증의 문제점을 지적한 연구원들은 이중 인증 방식이 보안 보호 대책으로 과거의 입지를 회복하려면 발전이 필요하다고 강조했다.
 
맥아피와 가디언 애널리틱스가 발표한 '오퍼레이션 하이 롤러 해부(Dissecting Operation High Roller)'은 이중 인증 방식에 단점이 있다고 지적했다. 이 보고서는 국제 범죄조직이 어떻게 원격 서버로 자동 프로세스를 이용해 기업과 개인의 은행 계좌에서 수백만 달러를 송금하는 사기행각을 벌였는지, 그 방법을 설명했다. 그리고 은행 계좌 접속에 쓰이는 이중 인증 토큰은 피해자의 컴퓨터를 몰웨어로 파괴한 사기꾼들을 막지 못 했을 뿐 더러, 사용자가 명령한 인증 프로세스를 범죄 과정에 자동으로 통합해 이용하기까지 했다.
 
가디안 애널리틱스의 사이버 위협 담당 연구원인 라이언 쉐스로비티오프와 함께 이번 보고서를 공동 저술한 맥아피의 첨단 연구 및 위협 정보 담당 데이브 마커스 이사는 "이런 공격을 다른 곳에서 본 적이 없다"고 언급했다. 
 
두 보안 업체는 지난 겨울 유럽 은행과 고객들을 공격한 사이버범죄를 조사하는 과정에서 이와 같은 사실을 발견한 것으로 전했다. 
 
이 사건의 사기꾼들은 이중 인증 정보를 최대한 이용해 계정을 탈취할 수 있는 프로세스를 설계했다. 마커스는 "이들은 이중 인증에 의존하는 사이버 공격 기술을 개발했다"고 밝혔다.
 
이 범죄자들은 감염된 장치에 로그인한 개인의 인증 자격을 가져와, 칩 앤 핀 정보를 자동 해킹 프로세스에 이식해, 불법 송금을 실행하는 프로세스를 개발했다. 마커스는 "토큰 정보 수집이 이런 사이버 공격 과정에 포함되어 있다"고 설명했다.
 
이는 맥아피와 가디언 애널리틱스가 이번 주 발표한 보고서에서 "범죄자들은 물리적 장치를 이용하는 이중 인증 방식을 공격하는 방법을 찾아내며 돌파구를 마련했다. 금융 기관들은 이런 발전된 형태의 사이버 공격을 심각하게 받아들여야 한다. 특히 사용하고 있는 기법이 다른 물리적 보안 장치의 형태에도 사용될 수 있음을 인식해야 한다"고 주장한 이유다.
 
마커스는 이중 인증 사용을 멈춰야 된다거나, 이중 인증 방식이 본질적으로 많은 문제를 가지고 있다고 주장하지 않았다. 마커스는 "칩 앤 핀 방식은 아주 탄탄한 방어 수단이지만, 유럽에서 일어난 범죄는 이중 인증 방식의 설계 방식에 개선이 필요하다는 점을 시사하고 있다"고 덧붙였다.
 
PIN그리드(PINgrid)라는 이중 인증 기술을 개발한 영국 보안업체 윈프라소프트의 스티브 호프 이사 또한 혁신적인 방법이 필요한 시기라는 점에 동의했다. 당장 기업 고객에게 무언가 조치를 취하라는 의미는 아니지만, 제기된 문제를 해소할 수 있도록 이중 인증에 대한 새로운 방식을 제안할 가능성도 있다는 의미다.
 
호프는 "현재 이중 인증 방식은 트랜잭션과 아무런 관련이 없다"면서, "이중 인증에 있어 근본 문제는 트랜잭션과 계정 코드 인증과 직접 연동되지 않아서일 수도 있다"고 설명했다. 현재 두 프로세스는 분리되어 있다. 그러나 정교한 공격을 막기 위해서는 통합이 가능해야 한다. 호프는 "지금 당장은 멜웨어가 우위에 있다"고 언급했다.
 
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.