보안 강화

.
데이터 해킹은 골치 아픈 문제로 이어집니다. 누군지도 모르는 해커가 피해자의 계정을 사용해 소셜 미디어에서 사용자의 이름으로 트롤링하거나 사기성 이메일을 전송한 사례가 있으며, 온라인 은행 계좌에서 돈이 사라진 경우도 있었습니다. 피해가 발생하기 전까지는 계정이 해킹당했다는 사실을 알아차리지 못하는 경우가 많습니다.

데이터 도난이 재발하는 이유는 대부분의 사용자가 온라인 환경에서 자신을 보호하는 수단으로 비밀번호 하나에만 지나치게 의존하기 때문입니다. 사람들은 수백만 개의 사용자 이름과 비밀번호 조합이 포함된 온라인 목록이 있다는 사실을 모릅니다. 전문가들은 이러한 목록을 '패스워드 덤프'라고 부르는데, 이 목록은 수많은 데이터 도난 성공 사례에서 수집된 데이터를 취합해 만들어집니다. 많은 사람은 여러 곳에서 동일한 비밀번호를 사용하기 때문에, Google 계정이 실제로 해킹당하지 않았더라도 Google 계정의 로그인 데이터가 이러한 '패스워드 덤프'에서 발견될 수 있습니다. 끊임없이 우리를 위협하는 또 다른 문제는 피싱입니다. 피싱이란 겉보기에는 신뢰할만한 이메일 또는 웹사이트를 통해 비밀번호나 기타 정보를 얻고자 하는 사기성 시도를 말합니다.

그래서 Google과 같은 기업들은 사용자가 로그인 시 서로 다른 2가지 요소(예: 비밀번호와 문자 메시지를 통해 수신한 코드 조합)를 입력해야 하는 2단계 인증을 사용하여 온라인 계정의 보안을 강화하도록 권장합니다. 이러한 인증 방식은 이제 매우 흔히 사용되고 있으며, 특히 은행 및 신용카드 회사에서 많이 사용됩니다.

보안 전문가는 보안 요소의 기본 유형을 세 가지로 구분합니다. 첫 번째는 정보('사용자가 아는 것')입니다. 예를 들어 사용자는 문자 메시지를 통해 코드를 받아 입력하거나 보안 질문에 답해야 합니다. 두 번째는 신용카드와 같이 인증에 사용할 수 있는 실제 사물('사용자가 갖고 있는 것')입니다. 세 번째는 생체 인식 데이터('사용자의 일부')로, 스마트폰 사용자가 지문으로 화면을 잠금 해제하는 것이 여기에 해당합니다. 모든 2단계 인증 전략은 이중 2가지 요소를 조합하여 사용합니다.

Google에서는 다양한 종류의 2단계 인증을 지원합니다. 사용자는 기존의 비밀번호 방식과 더불어 일회성 보안 코드를 입력하는 옵션을 이용할 수 있습니다. 이 코드는 문자 메시지나 음성 통화를 통해 받거나 Android 및 iOS(Apple 모바일 운영체제)에서 실행되는 Google OTP 앱에서 생성 가능합니다. 또한 사용자는 Google 계정에 신뢰할 수 있는 기기 목록을 제공할 수 있습니다. 사용자가 목록에 포함되어 있지 않은 기기에서 로그인을 시도하면 Google에서 보안 경고를 전송합니다.

Google은 지난 3년 동안 사용자에게 보안 키라고 하는 실물 보안 토큰을 사용하는 옵션도 제공했습니다. 보안 키는 기기에 연결하는 USB, NFC, 블루투스 동글입니다. 보안 키 인증 절차는 FIDO 협의회에서 개발한 유니버설 이중 인증(U2F)이라고 하는 개방형 인증 표준에 기반을 두고 있습니다. Google은 Microsoft, Mastercard, PayPal과 같은 기업들과 함께 FIDO 협의회에 속해 있습니다. U2F 표준에 따른 보안 토큰은 다양한 제조업체를 통해 저렴한 가격으로 구매할 수 있습니다. 보안 키의 효과는 매우 컸습니다. 보안 키가 도입된 이후 데이터 도난 위험이 현저히 감소했습니다. 이론적으로 온라인 계정의 해킹은 전 세계 어디서나 발생할 수 있지만, 해커가 피해자의 계정에 액세스하려면 해당 로그인 세부정보는 물론 실물 보안 토큰까지 가지고 있어야 합니다. Google을 비롯한 여러 기업이 이미 이러한 보안 토큰을 지원하고 있습니다.

물론 2단계 인증에는 단점도 있습니다. 문자 메시지 코드 옵션을 이용하는 경우 새로운 기기에서 로그인할 때 반드시 휴대전화를 소지하고 있어야 합니다. USB와 블루투스 동글은 분실의 위험도 있습니다. 그러나 이러한 단점은 그리 큰 문제는 아니며, 2단계 인증 요소를 사용함으로써 보안이 얼마나 강화되는지 생각해보면 충분히 감수할 만합니다. 보안 키를 잃어버린 사용자는 계정에서 분실한 토큰을 삭제하고 새로운 토큰을 추가할 수 있습니다. 처음부터 보조 보안 키를 등록하고 안전한 곳에 보관해 두는 방법도 있습니다.

자세한 내용은 g.co/2step을 참고하세요.

일러스트레이션: Birgit Henne