넥슨 데브캣스튜디오 서버엔진팀 김재석 개발자는 26일 열린 넥슨 개발자 컨퍼런스(NDC)에서 "디지털 신원 확인 101" 세션을 통해 최신 미국 국립표준기술연구소(NIST)의 디지털 신원 지침을 중심으로 신원 확인 방법에 대한 강연을 진행했다.

디지털에서 신원을 확인하는 것은 본인 인증과 관련된 것으로 사이트에 가입하고 로그인을 할때 내가 가입자임을 인증하기 위한 것이다. 이 과정을 통해 자격증명 서비스 공급자(CSP)에서 신원 확인이 되는 것이 로그인이다.

그는 가입보다 로그인이 훨씬 중요하다고 말한다. 가입은 한 번만 하지만 로그인은 매번 하기 때문에 사용자 경험 측면에서 더 중요하다는 것.

인증 수단은 청구자 신원 인증을 위해 청구자가 소지하고 조작하는 것으로, 여기에는 가입자가 알고 있는 것과 갖고 있는 것, 나타내는 것들을 활용할 수 있다.

인증 수단에는 여러가지가 있는데 먼저 외워쓰는 비밀(패스워드)이 있다. 일반적으로 개인식별번호나 사용자가 알고 있는 것을 사용하게 되는데 8자 이상을 요구하는 것이 보통이다. 

여기에는 순차-연속적이거나 유명한 단어를 사용하면 안되며 사용 상황에 따라 비밀 강도계를 통해 안전도 표시를 하곤 한다. 물론 임의로 바꾸도록 강요하면 안되지만 비밀이 노출됐다는 증거가 있으면 변경을 강제해야 한다. 그리고 최근에 국제 표준에서 변경된 부분은 비밀번호 붙여넣기가 가능해졌고 비밀번호 입력시 노출되도록 선택이 가능해졌다.

다음은 찾아쓰는 비밀이다. 보통 등기필증의 등기필정보가 이에 해당하는데, 한 번 사용한 비밀번호는 두 번 사용할 수 없는 부분만 해당한다. 이와 비슷한 수단으로 OTP가 있으며 버튼을 누르면 번호가 나오는 방식이 있고 OTP를 얻기 위해 다른 인증을 한 번 더 해야 하는 방식이 있다.

또한 대역외 장치가 있다. 가입자가 갖고 있는 것으로 휴대폰이 이에 해당하는데 장치의 소유를 증명해야 인증(SMS 인증이나 유심카드 인증)이 되는 것들과 QR코드나 앱 내의 자동생성 비밀번호가 해당하며 제한 시간 내에 이뤄지도록 하고 있다.

그리고 단일요소 암호화 소프트웨어는 공인인증서 등의 여러 디지털 인증서가 이에 해당하며, 단일요소 암호화 장치는 USB 형태로 꽂아 버튼을 누르면 인증되는 기기들이 해당한다. 그리고 다중요소 암호화 소프트웨어는 다중 암호가 포함된 인증서 방식으로 윈도우의 PIN 로그인이 이에 해당한다.

그리고 다중요소 암호화 장치는 두번째 요소가 활성화돼야 작동하는 방식으로, 신분증과 지문을 이용해 인증을 하는 개념이 해당한다. 이처럼 다양한 인증 수단을 통해 안전하고 원활한 서비스가 가능하다는 것이 그의 설명이다.

마지막으로 그는 "외워 쓰는 비밀은 해롭고 이를 자주 바꾸게 하면 더 해롭다. 보안 강도가 낮은데 자꾸 바꾸게 하면 귀찮은 가입자들은 점점 약한 비밀을 사용한다"라며 "적절한 인증수단으로 편의와 보안의 균형을 갖췄으면 좋겠다."는 말로 강연을 마무리했다.

박상범 기자  ytterbia@gamevu.co.kr

<저작권자 © 게임뷰, 무단 전재 및 재배포 금지>