U2F와 UAF 보안 표준 비교

U2F(Universal Second Factor)는 추가 외부 하드웨어(USB, 팔찌...)를 사용하는 2계층 인증 보안 표준으로, 이메일이나 전화번호를 통해 코드를 보내는 것보다 안전성이 높습니다. 오늘 LuckyTemplates는 이 새로운 형태의 보안에 대한 기본 사항을 배우고 이를 UAF 표준(Apple 및 Samsung 장치의 지문 센서와 유사)과 비교하는 데 도움이 될 것입니다.

U2F를 소개합니다

2계층 보안은 중요한 온라인 계정을 보호하는 데 도움이 되는 기본적인 방법입니다. 이메일 계정, 클라우드 스토리지 계정, 온라인 뱅킹 계정 또는 회사 내부 웹사이트에 로그인하기 위한 계정일 수 있습니다. 일반적으로 2계층 보안을 지원하는 애플리케이션이나 서비스에서는 다음 단계에 따라 로그인해야 합니다.

• 로그인해야 하는 웹사이트/서비스를 열고 평소대로 사용자 이름과 비밀번호를 입력하세요.
• 그 후 인증 코드는 SMS, 이메일, 전화로 코드 읽기, 일부 전문 앱 등 다양한 방법으로 전송됩니다.
• 인증 코드가 있으면 계속해서 해당 코드를 웹사이트/서비스에 입력하여 성공적으로 로그인할 수 있습니다.

기본적으로 두 번째 보안 계층은 로그인 정보가 모두 공개된 경우에도 계정에 대한 무단 액세스를 방지합니다. 예를 들어, 은행 웹사이트 접속을 위한 사용자명과 비밀번호를 알고 있는 사람은 인증코드가 휴대폰이나 이메일로만 전송되기 때문에 인증코드를 알 수 없습니다. 결과적으로 그는 여전히 해당 웹사이트 외부에 갇혀 더 이상 아무것도 할 수 없으며 기껏해야 몇 가지 잔액 세부 정보를 볼 수 있지만 송금 거래를 할 수는 없습니다.

물론, 그 사람이 휴대폰도 훔쳤거나 이메일 계정에 로그인하는 방법을 알고 있었다면 이야기는 달라졌을 것입니다. 오늘날 많은 사람들이 많은 웹사이트와 온라인 서비스에 동일한 이메일 비밀번호를 사용하므로 악당이 여전히 메일함에 액세스하여 2중 보안 코드를 얻을 수 있습니다. 이 시점에서 2중 보안 메커니즘의 장점은 완전히 사라진다.

마찬가지로 휴대폰에서도 2중 보안 코드를 보기 위해 SMS를 훔치고 열어보기가 매우 쉽습니다. 도둑질을 하지 않더라도 잠금 화면에 알림이 표시되면 악당이 휴대폰으로 전송된 인증 코드를 볼 수 있습니다. 이렇게 간단하지만 굉장히 위험한 일이잖아요?

U2F는 이러한 한계를 해결하기 위해 탄생했습니다. U2F는 HARDWARE를 사용하여 인증 코드를 만들기 때문에 누군가가 사서함을 해킹하거나 휴대폰을 가져가도 더 이상 걱정할 필요가 없습니다. 로그인은 해당 하드웨어가 있는 상태에서 이루어져야 하며, 원격으로 해킹되거나 침입할 수 없으므로 많은 위험을 줄일 수 있습니다. 현재 가장 인기 있는 U2F 하드웨어는 USB 메모리 펜입니다. 크기가 매우 작아 어디든 쉽게 휴대할 수 있습니다. 앞으로는 반지, 목걸이, 팔찌, 열쇠 및 기타 수십 가지 형태의 U2F 장치를 만드는 회사가 더 많아질 것입니다.

U2F 는 Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America 등 기타 대기업을 포함하는 FIDO ( Fast IDentity Online ) 라는 연합에 의해 개발되었습니다 . 올해 6월 현재 FIDO에는 다양한 국가에서 온 200명의 회원이 있습니다. FIDO는 현재 하드웨어부터 소프트웨어까지 U2F를 홍보하는 데 매우 적극적이며 앞으로는 모든 곳에서 나타날 것입니다.

작동 원리

Gmail과 같은 온라인 서비스에 로그인해야 하는 경우에도 평소와 같이 사용자 이름과 비밀번호를 입력해야 합니다. 다음 단계에서는 U2F 호환 USB 드라이브를 컴퓨터에 고정하라는 메시지가 표시됩니다. Chrome 브라우저는 장치의 존재를 즉시 감지하고 암호화 기술을 사용하여 장치에서 데이터를 검색합니다( USB 드라이브의 버튼을 눌러야 함 ). Chrome은 데이터가 올바른지 계속 확인하고 모든 것이 정상이면 Gmail에 로그인됩니다.

첫 번째 단계에서 여전히 사용자 이름과 비밀번호를 입력해야 하는 이유는 누군가가 키를 훔쳐 귀하의 계정에 침입하는 것을 방지하기 위한 것입니다. 이는 "2 클래스"이기 때문에 또한 사실입니다. 그렇지 않으면 1 클래스와 동일합니다.

Chrome에서 정보를 인증하는 과정에서는 실제로 사용자의 안전을 보장하기 위해 많은 일이 진행됩니다. 먼저, 브라우저는 https 프로토콜을 통해 실제 웹사이트와 통신하고 있는지 확인합니다. 이렇게 하면 가짜 웹사이트에서 2계층 보안을 사용하는 상황을 방지할 수 있습니다. 다음으로, 브라우저는 USB 드라이브에서 가져온 코드를 웹사이트로 직접 전송하므로 이론적으로 공격자는 데이터가 전송되는 동안 이 코드를 얻을 수 없습니다.

U2F의 구성에 따르면 평소처럼 전체 비밀번호를 입력하는 것 외에도 웹사이트에서는 짧은 PIN 코드를 입력한 다음 USB 장치의 버튼을 눌러 계속 로그인할 수 있는 옵션을 제공할 수도 있습니다. 이렇게 하면 암호 기억을 단순화할 수 있을 뿐만 아니라 서비스를 사용하는 동안 더 많은 시간을 절약할 수 있습니다(입력해야 하는 문자 수가 적기 때문).

U2F를 지원하는 웹사이트는 어디인가요?

이 글을 쓰는 시점에는 U2F를 공식적으로 지원하는 웹사이트, 서비스, 소프트웨어가 많지 않습니다. Chrome은 현재 U2F를 통합하는 유일한 브라우저이며 Windows, Mac, Linux 및 Chrome OS에서 사용할 수 있습니다. Firefox와 Edge는 통합되고 있지만 언제 완료될지는 알 수 없습니다. U2F를 사용한 일부 웹사이트에는 Google, Dropbox 및 Github의 웹사이트가 포함됩니다. 앞으로는 U2F를 지원하는 더 많은 주요 웹사이트를 볼 수 있기를 바랍니다.

그리고 위에서 언급했듯이 U2F를 사용하려면 특별한 USB 드라이브를 사용해야 하며, 가지고 있는 USB 드라이브를 바로 가져갈 수는 없습니다. 이러한 드라이브는 Google, Amazon에서 찾을 수 있으며 FIDO U2F 보안 키라 는 키워드를 사용하여 검색할 수 있으며 가격은 몇 달러에서 수십 달러까지 다양합니다. 현재 이러한 유형의 USB는 베트남 시장에서 판매되지 않습니다.

U2F USB 드라이브를 이미 구입했다면 Google의 2계층 보안 구성 페이지로 이동하여 웹 지침에 따라 사용을 시작할 수 있습니다.

UAF는 어떻습니까?

UAF( Universal Authentication Framework )는 FIDO 자체 개발한 또 다른 로그인 표준이지만 비밀번호가 필요하지 않습니다. 이것이 바로 UAF를 비밀번호 없는 경험(passwordless experience)이라고도 부르는 이유입니다 . UAF에는 사용자 장치에 상주하며 로컬로 전송되지 않는 인증 방법이 필요합니다. 로컬 인증 방법의 예로는 지문 센서, 홍채 센서, 얼굴 인식, 음성 인식을 위한 마이크 사용 등이 있습니다. 온라인 서비스에 등록한 후 사용자는 로그인해야 할 때마다 센서에 손가락을 스캔하거나 얼굴을 카메라에 가까이 대면 됩니다.

Apple이 Touch ID 센서를 사용하여 App Store에 로그인하는 방식이나 Samsung이 Note 4, Note 5, S6, S6 Edge의 지문 센서를 사용하여 사용자를 돕는 방식으로 UAF를 상상할 수 있습니다. 비밀번호를 입력하지 않고 구매하세요. 인증해야 할 때마다 센서에 손가락을 대기만 하면 다른 모든 작업이 자동으로 수행됩니다.

UAF는 표준화되어 있다는 점에서 Apple 및 Samsung의 솔루션과 다릅니다. 따라서 모든 웹 사이트나 애플리케이션은 처음부터 이를 수행할 필요 없이, 플랫폼이나 운영 체제에 의존하지 않고도 이러한 유형의 보안을 빠르고 쉽게 구현할 수 있습니다. 이는 UAF가 더욱 매력적으로 변하고 더 많은 서비스에서 사용될 뿐만 아니라 대규모로 더 많은 사용자에게 다가가는 데 도움이 될 것입니다.

UAF를 사용하면 로컬 보안과 함께 PIN 또는 비밀번호 조합을 사용할 수도 있지만, 그러면 경험은 더 이상 진정한 비밀번호 없는 환경이 아니라 2계층 보안으로 전환됩니다.

지문이나 음성 샘플과 같이 UAF 표준을 인증하는 데 사용되는 데이터는 항상 귀하의 장치에만 존재하며 신중하게 암호화됩니다. 이러한 민감한 데이터는 해커에 의해 도난당할 위험이 있으므로 외부 세계에 노출되어서는 안 됩니다.

• USB 플래시 보안 앱으로 USB 보안 강화
• DNS 하이재킹과 이를 방지하는 방법에 대해 알아보세요!
• 이론 - 랜섬웨어란 무엇인가?

행운을 빌어요!