인증 앱(Authenticator App)

인증 앱이란?

인증 앱은 시간 기반 또는 카운터 기반 일회용 비밀번호(one-time passwords, OTP)를 생성하는 모바일 앱 또는 브라우저 확장 프로그램이다. 이러한 앱은 최종 사용자에게 2단계 인증(two-factor authentication, 2FA)을 위한 보안 인증 요소를 제공한다.

인증 앱의 작동 방식

인증 앱은 공유된 비밀 키와 시간 기반 또는 카운터 기반 알고리즘을 사용하여 일회용 비밀번호(OTP)를 생성한다. 비밀 키는 초기 설정 과정에서 설정되며 네트워크를 통해 전송되지 않는다.

설정 후 사용자가 서비스에 로그인할 때, 사용자 아이디, 비밀번호, OTP를 입력하라는 메시지가 표시된다. 일부 인증 앱은 로그인 프로세스가 시작되면 자동으로 OTP를 제공하고, 일부 인증 앱은 사용자가 직접 OTP를 생성하도록 한다.

사용자가 일회용 비밀번호를 제출하면 서비스에서 내부 데이터베이스와 대조하고 예상 OTP를 계산하여 사용자의 자격 증명을 확인한다. 자격 증명이 유효하고 두 개의 OTP가 일치하면 사용자가 인증된다.

인증 앱 설정을 위한 세 가지 단계

인증 앱을 설정하려면 다음 세 단계를 따르면 된다:

인증 앱을 사용하는 이유

인증 앱은 데스크톱 브라우저 확장 프로그램으로 추가하거나 앱 스토어에서 다운로드하여 스마트폰 또는 태블릿에 로컬로 설치할 수 있다. 덕분에 다양한 운영 체제(OS) 플랫폼에서 2FA를 지원한다.

일반적으로 인증 앱은 SMS 기반 OTP보다 더 안전한 것으로 간주된다. 인증 앱은 셀룰러 네트워크를 통해 코드를 전송할 필요 없이 사용자 디바이스에서 로컬로 코드를 생성한다. 따라서 전송 중에 OTP가 가로채질 위험이 없다.

인증 앱 예시

최고의 인증 앱이 무엇인지 궁금하다면, 그 답은 특정 요구 사항과 선호도에 따라 달라진다.

구글 인증(Google Authenticator) 앱은 사용자 친화적이고 다용도로 사용할 수 있어 2FA 코드를 생성하는 데 가장 널리 사용되는 앱 중 하나다. 구글 플레이 및 애플 스토어에서 다운로드하거나 크롬(Chrome), 파이어폭스(Firefox) 또는 엣지(Edge) 브라우저의 확장 프로그램으로 추가할 수 있다.

구글 인증 앱은 무료로 사용할 수 있지만, 구글 계정이 필요하다. 이 인증 앱은 기술 전문가가 아닌 사용자에게도 유용한데, 구글 인증 앱 설치 및 사용 방법에 대한 쉬운 설명이 많은 기술 웹사이트와 유튜브(YouTube)에 있기 때문이다.

다른 인기 있는 인증 앱은 다음과 같다:

• Microsoft Authenticator: 2단계 인증이 필요한 Microsoft 계정 및 서비스와 통합된다. Android 및 iOS용 기본 모바일 앱이 있다.
• Authy: Google Authenticator를 대체할 수 있으며, 멀티 디바이스 동기화 및 백업/복구 기능으로 유명하다.
• 1Password: 비밀번호 관리자 앱에 선택적 인증 기능이 포함되어 있다.
• FreeOTP: 시간 기반 OTP와 카운터 기반 OTP를 모두 지원하는 오픈 소스 앱이다. 기술 전문가가 아닌 사용자에게는 어려울 수 있다.

인증 앱은 비밀번호 관리자와 다른가?

그렇다. 인증 앱은 2단계 인증 코드를 생성하는 데 중점을 두지만 비밀번호 관리자는 비밀번호를 저장하고 관리하는 데 중점을 둔다. 하지만 일부 비밀번호 관리자에는 인증 앱이 통합되어 있다.

통합 인증 앱은 모든 인증 요소를 한 곳에 보관하고 자동 입력 기능에 액세스할 수 있도록 하여 로그인 프로세스를 간소화할 수 있다.

인증 앱은 안전한가?

그렇다. 인증 앱은 안전한 것으로 간주된다. 위협 행위자가 일회용 비밀번호를 가로챘다고 해도, 공유된 비밀 키 없이는 사용할 수 없다. 또한 위협 행위자가 사용자의 일반 비밀번호나 비밀번호 구문을 알아내더라도 인증 앱에서 생성한 코드가 없으면 작동하지 않는다.

공격자가 인증 앱을 성공적으로 탈취할 가능성은 낮지만 불가능한 것은 아니다. 예를 들어, 공격자가 최종 사용자의 디바이스를 손상시키고 인증 앱을 사용하여 OTP를 생성할 수 있다. 이러한 시나리오를 방지하기 위해 많은 인증 앱은 장치 바인딩 또는 생체 인증과 같은 선택적 기능을 제공하여 다단계 인증(MFA)을 활성화한다.

인증 앱의 장단점

인증 앱을 사용하면 보안을 크게 강화할 수 있지만, 디바이스 관리 및 복구 프로세스와 관련하여 문제가 발생할 수 있다.

결론

인증 앱은 2단계 인증 및 비밀번호 없는 인증에 널리 사용된다.

일부 사이버 보안 전문가들은 OTP를 생성할 수 있는 휴대용 USB 보안 토큰을 포함하도록 인증 앱의 정의를 넓혀야 한다고 주장한다.

비평가들은 하드웨어 토큰이 인증자 앱만큼의 유연성을 제공하지 못한다고 주장한다. 예를 들어, 대부분의 인증 앱은 무료이며 여러 계정에 대한 OTP를 저장하고 관리할 수 있다. 반면, 하드웨어 보안 토큰은 구매해야 하며 토큰 당 페어링할 수 있는 계정 수가 제한되어 있는 경우가 많다.

자주 묻는 질문