멀티팩터 인증 솔루션 : 꼭 짚어야 할 6가지

Swivel Secure AuthControl Sentry® 가 얼마나 견고하고 유연한 솔루션인지에 대해 거의 자랑을 하지 않습니다만, 우리 스스로도 가끔 놀라곤 합니다. 무엇 때문일까요?

멀티팩터 인증 솔루션을 선택할 때 반드시 고려해야 할 사항 6가지를 소개 합니다.

1. 진정한 멀티 팩터 인증 솔루션이어야 합니다.

진정한 멀티 팩터 인증 솔루션은

첫번째 팩터 : 사용자가 가지고 있는 것 - 하드웨어 토큰 또는 모바일 응용 프로그램

두번째 팩터 : 사용자가 알고 있는 것 - PIN / Password

세번째 팩터 : 사용자 그 자체(신체 일부) - 지문등으로 구성됩니다.

그러나, 어떤 인증 솔루션들은 3 가지 요소 중 2 가지 즉, 투팩터만 지원함에도 불구하고 다중 요소 인증 솔루션으로 제안 및 판매하고 있습니다.

2. Man-in-the-Middle 공격에 안전 해야 합니다.

어떤 사용자가 어떤 응용 프로그램에 대한 액세스가 인증되면 그 인증 코드를 사용할 수 있는 시간이 최대 45 초까지 지속될 수 있습니다. 널리 알려져 있는 어떤 하드웨어 토큰의 경우 최대 2배까지도 지속될 수 있습니다. 이 기간 내에 'Man-in-the-middle'과 같은 공격을 포함한 무단 액세스가 발생할 수 있습니다. 즉, 일단 인증에 성공하면 네트워크에 액세스 할 수 있는 잠재적인 위협이 되며 막대한 피해를 초래할 수 있습니다.

3. One-time code는 말 그대로 한 번 밖에 사용할 수 없어야 합니다.

일반적으로 일회성 코드 (OTC)는 컴퓨터 또는 응용 프로그램 액세스에 대한 인증을 위해 하나의 장치에서만 일회적으로 사용되는 코드를 의미합니다. OTC는 휴대 전화와 같은 별도의 장치 또는 전통적인 방식인 하드웨어 토큰을 통해 제공 될 수 있습니다. 일회성코드란 이름에서 알 수 있듯이 OTC는 보안 목적으로 단 한 번만 사용하도록 설계되었습니다. 그러나 일부 인증 공급자의 경우에는 동일한 코드를 여러 장치에 동시에 제공하여 액세스에 대한 인증을 하게 합니다.

4. 데이터가 어디에 저장되고 어떻게 저장되는지 알아야 합니다.

오늘날 많은 조직들은 온프레미스, 클라우드 그리고 두가지가 혼합된 하이브리드 아키텍처를 지원하는 인증을 요구 합니다. 하지만 놀랍게도 단지 클라우드 아키텍처만을 지원하기는 솔루션들도 있습니다.

조직들이 데이터를 공유 퍼클릭 클라우드에 보관하는 데서 오는 위험성에 대해 깨닫기 시작했습니다. 그리고 온프레미스 /프라이빗 하이브리드 호스팅 환경으로 옮겨가기 시작했습니다. 이러한 구성으로 마이그레이션을 하게 되면 운영 비용이 다소 높아질 수 있겠지만, 보안성의 강화로 인한 이점에 비할 바는 못 됩니다.

예를 들어 만약 “local” 호스팅 서비스에 가입하였다면, 그것은 액세스 포인트가 다른 나라에 있고 데이터 또한 다른 나라에 있는 data center로 옮겨 간다는 것을 의미 합니다. 여러분의 데이터가 구조적으로 그리고 지리적으로 어디에 저장되게 되는지에 대해서 명확하게 알고 있어야 합니다.

5. 퍼블릭 클라우드 기반 다중 테넌시 및 다계층 아키텍처의 경우 데이터 보호옵션 선택시 제한을 받을 수 있습니다.

애플리케이션과 데이터의 종류에 따라 클라우드를 활용하는 것이 합리적인 선택이 될 수 있습니다. 그렇지만 대부분의 클라우드 인스턴스들은 다중 테넌트 및 다 계층 데이터 센터에 위치하게 되기 때문에 이로 인해 여러분의 데이터가 무결성, 보안성 그리고 운영상의 안정성에 영향을 줄 수 있는 여러 종류의 변수에 노출될 수 있다는 점을 인식하여야 합니다.

무엇보다 중요한 것은, 인증 소프트웨어가 설치되는 장소와 클라우드 인증 소프트웨어의 설계에 따라 보호할 수 있는 방법 선택시 제한을 받을 수 있고, 이것은 바로 시스템의 무결성에 영향을 줄 수 있기 때문입니다. 즉, 사용자 환경에 적합한 최적화 작업을 거치지 않고 공유 클라우드 서비스를 그대로 선택하게 되면 무결성, 공유 액세스 및 관리에 대한 통제력이 떨어지게 됩니다.

6. 현재 뿐만 아니라 미래의 애플리케이션들과 연동이 용이해야 합니다.

조직이 성장하고 진화함에 따라 조직의 요구사항 또한 달리집니다. 다중 요선 솔루션 또한 이를 유연하게 지원할 수 있는 지를 신중하게 검토하여야 합니다. 즉, 조직이 성장해 나가면 통합 또는 연동해야 할 애플리케이션도 함께 늘어나기 때문에 인증 솔루션 또한 연동과 통합이 용이하는 구조를 갖추고 있어야 합니다.

그러나 통합/연동 기능에 제약이 있는 솔루션들이 의외로 많습니다. 대개 이들은 다른 회사들과의 제휴나 소유권과 연관된 문제들 때문에 연동할 수 있는 소프트웨어와 하드웨어 장치들이 제한적인 경우가 많습니다.

이에 반해… AuthControl Sentry® 는 다음과 같은 특징을 가지고 있습니다.