타이탄 시큐리티 키, 구글의 하드웨어 보안 키
구글이 2단계 인증용 하드웨어 보안 키, 타이탄 시큐리티 키(Titan Security Key)를 선보였다. USB나 블루투스로 연결하여, 기존 휴대폰이나 OPT 기기로 하던 추가 인증을 수행한다.
구글은 1년 전 직원들의 계정 보호 수단으로 도입했는데, 그간 8만5천여 직원 가운데 피싱 등으로 계정을 침해당한 경우가 하나도 없었다. 그래서 앞으로는 일반 사용자용으로 판매를 계획 중이다.
하드웨어 보안 키는 YuBiCo의 유비키처럼 이미 사용되고 있다. 그러나 지원하지 않는 사이트도 많고, 휴대폰과 달리 별도의 기기를 휴대해야 하기 때문에 보급이 잘 되지 않고 있다.
보안성은 휴대폰의 SMS를 이용한 방식보다 좋다. 구글의 보안 감독관은 "피싱 사이트에서 암호 탈취 > 해커 즉시 로그인 > SMS 인증 메시지 발송 > 피싱 사이트에서 인증 번호 입력을 요구하여 탈취 > 계정 탈취 완료" 라는 시나리오를 제시했다. 이런 공격은 실제로 행해지고 있다.
하드웨어 키를 사용하면 이런 식의 공격은 불가능하다. 그러나 세션 쿠키를 탈취하는 등 OTP조차도 우회하는 공격 방법이 몇 가지 나와 있는데, 여기에는 별 수 없을 것이다.
2단계 인증이나 하드웨어 키는 상당히 효과적인 방어 수단이다. 그러나 역시 허점도 있으므로 과신하지는 말아야 한다.
관련 자료
참고 자료
구글은 1년 전 직원들의 계정 보호 수단으로 도입했는데, 그간 8만5천여 직원 가운데 피싱 등으로 계정을 침해당한 경우가 하나도 없었다. 그래서 앞으로는 일반 사용자용으로 판매를 계획 중이다.
하드웨어 보안 키는 YuBiCo의 유비키처럼 이미 사용되고 있다. 그러나 지원하지 않는 사이트도 많고, 휴대폰과 달리 별도의 기기를 휴대해야 하기 때문에 보급이 잘 되지 않고 있다.
보안성은 휴대폰의 SMS를 이용한 방식보다 좋다. 구글의 보안 감독관은 "피싱 사이트에서 암호 탈취 > 해커 즉시 로그인 > SMS 인증 메시지 발송 > 피싱 사이트에서 인증 번호 입력을 요구하여 탈취 > 계정 탈취 완료" 라는 시나리오를 제시했다. 이런 공격은 실제로 행해지고 있다.
하드웨어 키를 사용하면 이런 식의 공격은 불가능하다. 그러나 세션 쿠키를 탈취하는 등 OTP조차도 우회하는 공격 방법이 몇 가지 나와 있는데, 여기에는 별 수 없을 것이다.
2단계 인증이나 하드웨어 키는 상당히 효과적인 방어 수단이다. 그러나 역시 허점도 있으므로 과신하지는 말아야 한다.
관련 자료
참고 자료
댓글
댓글 쓰기