CISO협의회에서 발표된 생체인증 국제표준 동향

DualAuth 우종현 대표는 CISO협의회 워크숍에서 ‘패스워드리스에 대한 이해와 적용사례 – ITU-T 국제표준 동향과 금융권 적용사례’를 주제로 발표하고, 자격 증명 탈취를 원천적으로 막는 패스워드리스 인증 기술을 소개했다.

우종현 대표는 사이버 공격의 대부분이 자격 증명 탈취에서 시작된다며, 패스워드리스 인증이 이를 해결할 핵심 보안 수단이라고 강조했다. 이어 기존 대안의 한계도 짚었다. 생체 인증 센서 방식은 단말마다 센서가 필요해 기기에 종속되고, QR 코드 인증은 피싱 공격에 취약하다는 것이다.

해법으로는 ITU-T에서 국제표준으로 채택된 대역 외 상호 인증 기술을 제시했다. 온라인 서비스가 먼저 AutoPassword를 제시하고 사용자가 스마트폰에서 이를 확인해 승인하는 방식으로, 서버와 사용자가 동시에 서로를 검증한다. 서버와 사용자가 공유하는 비밀값이나 사용자의 기억에 의존하지 않기 때문에 탈취될 정보 자체가 남지 않는다.

도입에 대한 현실적인 우려에 대해 우종현 대표는 이 기술이 이미 금융기관과 정부 기관에서 사용되고 있다고 설명했다. 또한 무료로 제공되는 AutoOTP를 통해 더 많은 기관과 서비스가 부담 없이 기술을 도입할 수 있다고 밝혔다.