📎

인증과 인가의 이해

여러분은 매일 수많은 서비스에 로그인하면서 인증과 인가를 경험하고 있습니다.
  • 인증(AuthN)은 "당신이 누구인가요?"를 확인하는 과정입니다.
      • → ID/PW 입력이나 지문 인증이 대표적인 예시죠.
  • 인가(AuthZ)는 "당신이 무엇을 할 수 있나요?"를 결정하는 과정입니다.
      • → 예를 들어 관리자 계정만 접근할 수 있는 설정 메뉴가 좋은 예입니다.

인증의 3가지 핵심 요소

보안 전문가들은 인증을 위해 세 가지 주요 요소를 활용합니다. 마치 문을 열기 위해 여러 개의 열쇠를 준비하는 것처럼 말이죠.
요소
설명
일상 속 예시
지식정보
사용자만 아는 정보
비밀번호, PIN번호처럼 머릿속에 저장된 정보
소지정보
사용자가 소유한 물품
OTP 토큰이나 보안카드 같은 물리적 도구
생체정보
사용자의 고유 생체 특징
지문이나 얼굴인식 같은 신체적 특징
요즘은 이 중 2가지를 조합하는 2단계 인증(2FA)이 점점 보편화되고 있습니다.

현대적인 인증 방식 비교

각 인증 방식에는 고유한 장단점이 있습니다. 상황에 맞게 선택하는 것이 중요하죠.
방식
장점
주의할 점
SMS 인증
사용이 간편함
SIM 스왑 공격에 취약할 수 있음
소셜 로그인
별도 가입 필요 없음
연동된 소셜 계정이 해킹당하면 위험
FIDO
높은 보안성
기기 분실 시 대비 필요
WebAuthn
브라우저에서 바로 사용 가능
아직 모든 브라우저에서 지원되지 않음

비밀번호 공격 유형과 현명한 대처법

해커들은 다양한 방법으로 비밀번호를 공격합니다. 하지만 효과적인 대응책이 있습니다.

주의해야 할 공격 유형

  • 브루트 포스: 모든 조합을 시도하는 무차별 공격
  • 사전 공격: 'password123'처럼 흔한 문자열을 이용
  • 리버스 브루트 포스: ID를 바꿔가며 동일 비밀번호 시도

효과적인 보안 조치

  1. 다중 인증 적용: 비밀번호 + SMS 인증처럼 여러 단계를 거치게 합니다.
  1. 계정 잠금 정책
      • 3회 실패 → 경고
      • 5회 실패 → CAPTCHA 요청
      • 6회 이상 → 30분 잠금
  1. 강력한 비밀번호: 12자 이상 + 특수문자 조합을 권장

로그인 정보 보호를 위한 실전 팁

일상에서 쉽게 적용할 수 있는 보안 조치들은 다음과 같습니다.
주의할 상황
간단한 대응법
웹 분석 서비스 데이터 유출
중요 입력 필드는 태깅에서 제외
브라우저 저장 정보 노출
HttpOnly 쿠키 사용 + XSS 필터링
토큰 유출 위험
JWT 토큰 유효기간을 30분 이하로 설정
SameSite=Strict 설정을 추가하면 CSRF 공격을 효과적으로 막을 수 있습니다.
 
기술이 발전함에 따라 인증 방식도 진화하고 있습니다.
  • 패스키(Passkey): 애플/구글/MS가 함께 개발한 비밀번호 없는 인증
  • 행위 기반 인증: 사용자의 타자 습관이나 마우스 움직임으로 본인 확인
하나의 보안 수단에만 의존하지 말고, 여러 계층의 보호 장치를 마련하는 "다중 방어(Defense in Depth)”가 현명한 방법입니다. 특히 리버스 브루트 포스 공격에 대비해 IP 차단과 이상 로그인 패턴 모니터링을 함께 적용하는 것이 좋습니다.