TL;DR

  • Intelligent MFA(지능형 다중 인증)는 로그인 맥락과 위험 신호를 평가해 추가 인증이 필요한지 결정함.
  • 익숙한 기기·네트워크·시간대에서 이뤄지는 로그인과 낯선 기기·의심스러운 IP 주소에서 발생하는 로그인은 위험도가 다르며, 정적 MFA는 두 상황을 똑같이 처리함.
  • 위험 엔진은 여러 신호를 종합해 LOW·MEDIUM·HIGH로 분류하고, 애플리케이션 정책은 그 위험도와 사용자의 행동에 따라 대응을 정함.
  • 계정 이메일 변경, 비밀번호 재설정, 지급 방식 추가, 개인정보 내보내기처럼 민감한 작업에는 로그인 이후에도 단계별 인증(step-up authentication)을 적용할 수 있음.
  • 기억된 기기는 로그인 맥락을 보태는 신호일 뿐 영구적인 통과권이 아니며, 현재 세션의 높은 위험 신호가 기기 신뢰보다 우선해야 함.

모든 로그인에는 맥락이 있음

  • Intelligent MFA는 위험 신호를 사용해 로그인에 추가 인증이 필요한지 판단하며, 신호를 함께 평가해 LOW·MEDIUM·HIGH 위험도로 분류함.
  • 익숙한 기기와 안전한 네트워크, 평소와 같은 시간대, 최근 계정 변경이 없는 상황은 낮은 위험으로 볼 수 있음. 반면, 의심스러운 IP 주소에서 나타난 새 기기가 같은 계정의 수천 마일 떨어진 로그인 직후 접속하면 다른 위험 맥락임.
  • 단일 신호만으로 공격을 입증할 수는 없음. 사용자는 새 휴대전화를 구매하거나 여행할 수 있고, 한동안 사용하지 않은 계정에 다시 접속할 수도 있으며, 보안팀이 바라는 것보다 비밀번호를 오래 유지하기도 함.
  • 중요한 것은 신호의 조합임. 낯선 기기만으로는 문제가 아닐 수 있지만, 오래된 비밀번호와 장기간 사용되지 않은 계정이 함께 나타나면 위험도가 달라짐.
  • 위험 엔진은 여러 단서를 함께 평가해 해당 로그인에 어느 정도 신뢰를 부여할지 결정함.

위험 점수는 시작에 불과함

  • 로그인이 LOW·MEDIUM·HIGH로 분류된 다음에는 애플리케이션이 그 정보를 바탕으로 무엇을 할지 결정해야 하며, 여기서 정책이 중요해짐.
  • 낮은 위험의 로그인은 일반적으로 추가 인증 없이 진행해야 함. 이미 정상적인 로그인으로 보이는 상황에서 다시 인증을 요구하면 보안을 의미 있게 개선하지 못한 채 불편만 더할 수 있음.
  • 여러 신호가 계정 탈취를 가리키는 높은 위험 세션에는 추가 인증을 요구하는 것이 합리적인 대응임.
  • 중간 위험도에서는 서비스와 상황에 따라 판단이 달라짐. 스트리밍 서비스는 중간 위험 로그인을 허용할 수 있지만, 금융 애플리케이션은 같은 기준에서 인증을 요구할 수 있음.
  • 같은 제품 안에서도 계정 조회와 지급 방식 변경은 서로 다른 수준의 대응이 필요할 수 있음.
  • 적절한 기준은 고객이 하려는 작업과 세션 사용자가 공격자로 밝혀졌을 때 발생할 결과에 따라 달라짐.
  • Intelligent MFA는 위험 신호를 제공하고, 정책은 그 신호에 따른 조치를 결정함.

일부 작업에는 추가 확인이 필요함

  • 로그인은 세션에서 일어나는 여러 순간 가운데 하나에 불과함.
  • 고객이 인증에 성공한 뒤 계정 이메일 변경, 비밀번호 재설정, 지급 방식 추가, 개인정보 내보내기처럼 결과가 더 중대한 작업을 시도할 수 있음.
  • 최초 로그인이 정상적으로 보였더라도 이런 순간에는 새 인증을 요구할 수 있음.
  • 단계별 인증(step-up authentication)을 적용하면 고객은 애플리케이션의 일반적인 기능을 평소처럼 이용하면서 민감한 작업을 할 때 추가 신원 확인을 거침.
  • 계정 탈취는 의심스러운 로그인으로 시작되지 않을 수 있으므로 단계별 인증이 중요함. 기존 세션을 확보한 공격자는 실제 계정 소유자를 차단하는 데 도움이 되는 설정으로 곧바로 이동할 수 있음.
  • 해당 작업 앞에 추가 확인 절차를 두면 피해가 발생하기 전에 공격을 막을 기회를 확보함.

기억된 기기는 불편을 줄여야지 위험을 지워서는 안 됨

  • ‘이 기기 기억하기’는 재방문 고객에게 MFA의 번거로움을 줄이는 간단한 방법임.
  • 사용자가 기기 인증에 성공하면 해당 신뢰 기록을 다음 로그인 때 추가 신호로 활용할 수 있음. 알려진 하드웨어는 몇 분 전에 처음 나타난 기기보다 더 신뢰할 만한 단서임.
  • 다만 기기에 대한 신뢰에는 한계가 있어야 함. 몇 달 전에 기억된 기기가 현재 세션에 관한 다른 모든 정보보다 자동으로 우선해서는 안 됨.
  • 기억된 기기에서 갑자기 높은 위험의 로그인이 발생하면 위험 점수가 기기 신뢰보다 우선해야 함.
  • 기억된 기기는 맥락을 보태는 데 유용하지만 영구적인 통과권이 되어서는 안 됨.

더 나은 질문부터 시작함

  • 정적 MFA는 두 번째 인증 요소가 필요하다는 가정에서 출발함. Intelligent MFA는 먼저 해당 로그인이 실제로 얼마나 위험해 보이는지 질문함.
  • 이 질문에 제대로 답하려면 맥락을 파악할 수 있을 만큼 충분한 신호, LOW·MEDIUM·HIGH 위험도의 명확한 기준, 애플리케이션에서 고객이 실제로 수행할 수 있는 작업을 반영한 정책이 필요함.
  • 이런 요소가 갖춰지면 인증의 정밀도가 높아짐. 일상적인 로그인은 불필요한 불편 없이 진행하고, 의심스러운 활동에는 추가 인증을 요구하며, 결과가 중대한 작업은 필요에 따라 다시 확인할 수 있음.
  • Intelligent MFA의 핵심 가치는 마찰을 기본값으로 적용하는 대신 의도적으로 조정할 방법을 제공한다는 점임.
  • 현재 MFA 정책이 신뢰할 수 있는 기기를 사용하는 익숙한 고객과 지구 반대편에서 발생한 의심스러운 로그인을 똑같이 처리한다면, 인증 정책을 재검토할 시점일 수 있음.