사용자 인증 유형(지식·소유·특성)

핵심 정리

사용자 인증은 지문·홍채·정맥 등으로 자신의 신분을 확인하는 과정이다. 인증은 권한 부여보다 앞서며, 접근 통제의 첫 관문이다. 시스템은 이 과정을 통해 접속한 사람이 주장하는 신원과 실제 사용자가 일치하는지 판단한다. 인증 수단은 지식·소유·특성이라는 세 기준으로 나뉜다. 지식 기반 인증은 비밀번호나 PIN처럼 본인만 아는 정보로 확인하고, 소유 기반 인증은 본인이 가진 토큰으로 확인하며, 특성 기반 인증은 신체적 특징을 이용해 확인한다.

특성 기반 인증의 대표적인 방식은 생체 인증이다. 생체 인식 정보는 신체적 특징과 행동적 특징으로 분류한다. 생체인식에는 생체적·행동적 특징의 보편성·유일성·영속성·획득성이 요구된다. 사람을 가려내는 수단으로 쓰려면 해당 특징이 네 요건을 모두 갖추어야 한다.

세 방식은 각각 다른 약점을 가진다. 지식 기반 인증은 정보가 유출되면 효력을 잃고, 소유 기반 인증은 토큰을 잃어버리면 인증할 수 없다. 특성 기반 인증은 신체적 특징이 쉽게 바뀌지 않으므로, 한 번 노출되면 바꾸기 어렵다. 그래서 실무에서는 하나의 방식에만 의존하지 않고 둘 이상을 함께 쓰는 다중 인증을 활용한다. 아래 표는 세 방식의 확인 근거와 대표 사례를 비교한다.

자세히

접근 통제와 위장 공격 대응

정보시스템과 개인정보·중요정보에 대한 사용자 접근에는 안전한 인증절차를 적용해야 하며, 필요하면 강화된 인증방식을 적용해야 한다. 접근 통제는 누가 어떤 자원에 접근할 수 있는지를 정하는 체계이고, 인증은 그 판단의 출발점이다. 정당한 사용자로 위장하는 공격은 인증 등 암호학적 기술로 대응할 수 있다. 위장 공격은 인증을 우회하려는 시도이므로, 인증 절차를 튼튼하게 갖춰야 막을 수 있다.

영지식 증명은 비밀정보를 노출하지 않고도 그 비밀정보를 소유하고 있음을 증명하는 방식이다. 비밀번호 자체를 상대에게 드러내지 않는다는 점에서, 비밀번호를 그대로 전달하는 지식 기반 인증과 성격이 다르다.

지식 기반 비밀번호와 계정 관리

이용자 비밀번호는 2종류 이상 조합 10자리 이상 또는 3종류 이상 조합 8자리 이상으로 구성해야 한다. 두 기준은 선택지이므로 어느 한쪽만 충족해도 된다. 조합 종류가 많으면 길이 기준이 짧아진다는 점도 함께 알아 두어야 한다.