질문 두 개가 반드시 서로 다른 인증 요소는 아니다.
비밀번호와 PIN은 두 자물쇠처럼 보여도 보통 둘 다 아는 것에 속한다. 다른 인증 요소는 가지고 있는 것 또는 신체적 특성에서 나올 수 있다. 비밀번호 하나가 알려졌다는 이유로 계정 진입에 필요한 모든 검사가 충족되지 않도록 하는 구분이다.
추가 검사는 다른 증거를 요구해야 한다.
질문보다 증거를 늘리자
비밀번호와 기기의 인증 앱 코드를 함께 쓰는 경우, 전자는 지식이고 후자는 소유의 증거다. 생체 확인으로 기기 내부 자격 증명을 활성화할 수도 있다. 실제 보호는 구현과 등록, 복구 방식에 달려 있으므로 로그인 화면 수만 세어서는 알기 어렵다.
오프라인 표는 비밀번호만 사용, 비밀번호와 수동 앱 코드, 예시 정책 아래의 출처 결합 자격 증명을 비교한다. 비밀번호와 PIN은 한 요소 범주, 비밀번호와 기기는 두 범주로 정했다. 선언한 개념 분류일 뿐 실제 로그인이나 서비스 평가는 하지 않았다.
비밀번호 도난은 여러 문제 중 하나다
비밀번호만 쓰는 모형에서는 그 값을 알면 필요한 비밀을 제공할 수 있다. 앱 코드 모형은 추가 증거를 요구한다. 모든 속임수를 막지 못해도 다중 요소 인증이 유용한 이유다. 오래된 비밀번호만 얻은 사람과 기기까지 통제하는 사람의 조건은 다르다.
수동 코드는 가짜 페이지가 요구해 실시간 로그인에 전달할 수 있다. SMS는 비밀번호만 도난당한 상황에 도움을 주지만 전화번호와 이동통신 계정에 의존한다. 앱 코드는 일부 의존성을 줄여도 외형이나 짧은 유효기간만으로 진짜 웹사이트에 결합되지는 않는다.
피싱 저항성을 따로 보는 이유
적절한 프로토콜을 사용하는 패스키와 보안 키는 인증을 요청한 서비스에 결합된다. 닮은 사이트가 진짜 서비스에서 쓸 응답을 얻는 일을 막는 데 도움이 된다. 입력란 하나를 더하는 것과 다른 성질이다. 설계와 정책에 따라 기기 잠금 해제 같은 로컬 사용자 확인도 요구할 수 있다.
표의 비밀번호와 패스키 조합은 정책 예시다. 모든 서비스가 둘 다 요구한다는 뜻은 아니며 패스키가 비밀번호를 완전히 대체하기도 한다. 다중 요소 요건 충족 여부는 인증기와 사용자 확인 조건에 달렸다. 표시 이름의 수보다 어떤 위협을 다루는지 살펴야 한다.
예상하지 못한 승인은 거절하자
로그인을 시작하지 않았는데 승인 요청이 오면 거절하고 확인한다. 알림을 조용하게 하려고 반복 요청을 승인하면 안 된다. 직접 시작한 경우에도 서비스와 상황이 맞는지 본다. 숫자 일치 같은 장치가 도움을 주지만 요청 자체도 이해하고 알아볼 수 있어야 한다.
이상하면 서비스를 별도로 열어 최근 활동과 세션을 살펴본다. 갑자기 연락한 사람에게 인증 코드를 주지 않는다. 지원, 복구, 기기 교체에는 별도 확인 절차가 있을 수 있다. 급박함을 만드는 사람이 제공한 설명보다 공식 절차를 따른다.
기기를 잃기 전에 준비하자
두 번째 요소는 필요한 기기나 증거가 없을 때 진입을 어렵게 한다. 자신이 기기를 잃어도 접근이 끊길 수 있다는 뜻이다. 지원되는 복구 방법과 적절한 예비 수단을 확인하고 새 수단이 작동하면 낡은 것은 제거한다. 같은 사고로 평소 경로와 예비 경로를 함께 잃지 않게 보관한다.
가장 강한 방법을 쓸 수 없어도 지원되는 두 번째 요소를 켜는 것은 의미 있는 개선이다. 가능하면 피싱 저항성이 있는 방법을 선택하되 복구와 기기 보안, 사용자 혼란이 사라졌다고 생각하지 말자. 정보 하나가 노출돼도 보호를 유지하는 쓸 수 있는 검증 연결이 목표다.
더 읽어 보기
NIST: Authentication and authenticator management ↗CISA: Turn on multifactor authentication ↗공식 문서와 함께 읽으면 좋은 자료입니다.