다단계 인증(MFA)이란 무엇인가요?

다단계 인증(MFA)은 사용자가 시스템이나 애플리케이션에 접근하거나 거래를 완료하기 위해 다양한 인증 단계를 거쳐야 하는 보안 프로세스입니다. 

다른 신원 확인 방식과 달리, MFA는 추가 정보를 요구함으로써 두 번째 보안 계층을 추가합니다. 

이는 물론, 사기꾼들이 비밀번호를 가지고 있더라도 접근을 어렵게 만듭니다.

SaaS 기업은 보안 및 개인 정보 보호를 강화하기 위해 민감한 정보를 처리할 때 MFA 구현을 신중하게 고려해야 합니다. 

MFA는 신원 확인 시 특정 데이터 범주에 중점을 둡니다:

• 지식 요소: 사용자가 알고 있는 정보(예: 비밀번호 또는 PIN).

• 소유 요소: 사용자가 가지고 있는 물품(예: 스마트폰, 하드웨어 토큰 또는 인증 앱).

• 내재 요소: 지문, 얼굴 인식 또는 음성 패턴을 포함한 생체 특성.

• 위치 또는 상황적 요인: 지리적 위치, IP 주소 또는 네트워크 평판과 같은 신호.

인증 과정에서 여러 요인을 결합하면 보안이 강화됩니다.

MFA는 다음과 같은 이점을 제공합니다: 

• 더 강력한 계정 보호: 유출된 비밀번호만으로는 접근이 불충분합니다.

• 침해 위험 감소: Microsoft는 MFA가 99% 이상의 계정 침해 공격을 차단할 수 있다고 보고합니다.

• 개선된 접근 제어: MFA는 사용자 및 시스템 전반에 걸쳐 일관된 정책 기반 인증을 강제합니다.

• 비즈니스 영향 감소: 침해로 인한 금전적 손실, 다운타임 및 평판 손상을 방지합니다.

• 비밀번호 의존도 감소: 비밀번호 재사용 및 크리덴셜 스터핑 공격에 대한 노출을 제한합니다.
  

MFA는 약간의 불편함과 구현 비용을 발생시킬 수 있지만, 대부분의 조직에서는 보안 이점이 이러한 단점을 충분히 상회합니다.

비밀번호는 여전히 많은 MFA 워크플로우에서 첫 번째 인증 단계입니다. 취약하거나 재사용된 비밀번호는 해킹 및 사회 공학적 공격의 위험을 증가시키며, 특히 사용자들이 사이버 범죄자들에 의해 로그인 요청을 승인하도록 압력을 받는 MFA 피로 상황에서는 더욱 그렇습니다.

강력하고 고유한 비밀번호는 애초에 침해될 가능성을 줄여주고, MFA의 효율성을 강화합니다. 

기업 환경에서 MFA는 다음과 같이 작동합니다:

1. 사용자는 사용자 이름과 암호를 입력합니다.
2. 시스템은 기기, 위치 및 행동과 관련된 컨텍스트를 고려합니다.
3. 사용자는 인증 앱 코드, 생체 인식 스캔 또는 하드웨어 토큰과 같은 두 번째 인증 요소를 제공하도록 요청받습니다. 
4. 액세스는 성공적인 확인 후에만 부여됩니다.

SaaS 기업들은 기본 장치가 손상되거나 사용할 수 없는 경우를 대비하여 목록에 추가 인증 방법을 추가하는 것을 고려해야 합니다.

MFA 시스템은 새롭거나 알 수 없는 장치를 식별하기 위해 다음을 포함한 다양한 방법을 활용합니다.

• 장치 지문 인식
• IP 분석
• 위치 기록
• 활동 모니터링. 

로그인 시도에 새로운 위치나 비정상적인 기기가 사용될 때 경고를 발생시키는 것이 바로 이러한 방식들입니다. 이러한 방식은 기기 다양성이 높은 원격 및 클라우드 애플리케이션에 유용합니다.

적응형 MFA는 더 높거나 낮은 수준을 설정하기 위해 위험 평가에 의존합니다 인증 수준. 다음과 같은 더 높은 수준의 인증을 유발할 수 있는 많은 신호가 있습니다:

• 비정상적인 위치
• 불가능한 이동
• 비정상적인 행동 또는 네트워크
• 의심스러운 네트워크. 

위험도가 낮은 상황은 마찰을 최소화하여 진행될 수 있지만, 위험도가 높은 상황은 더 많은 요소를 요구하거나 차단됩니다. 이 방식은 더 나은 보안을 제공하며 일반 사용자에게 불필요한 MFA 요청을 제거합니다.

네. MFA의 강도는 사용된 기준에 따라 달라집니다. 

• SMS 기반 코드는 가장 낮은 수준의 보호를 제공하며 SIM 스와핑에 취약합니다.
• 인증 앱 및 하드웨어 토큰 더 높은 수준의 보증을 제공합니다
• 생체 인식 요소 (에서 사용되는 3D Secure) 제대로 구현되기만 한다면 최고 수준의 보안을 제공합니다. 

SaaS 기업들은 데이터의 민감도 또는 보호되는 시스템에 따라 MFA(다단계 인증)의 강도를 고려하고, 보안 요구사항과 사용자 경험의 균형을 맞춰야 합니다.