임효인 기자
 |
| 진승헌 ETRI 인공지능데이터보안연구실 책임연구원 |
기존의 패스워드 인증 방식은 보안에 취약하다는 근본적인 문제가 있다. 사용자는 일반적으로 단순한 패스워드를 쓰거나 동일한 패스워드를 여러 서비스에 재사용하는 경향이 있으며, 이는 해커들에게 쉬운 공격 표적이 된다. 예를 들어, 사용자를 속여 패스워드를 탈취하는 피싱 공격(Phishing), 무작위로 패스워드를 반복 시도하는 무차별 대입 공격(Brute Force), 그리고 유출된 정보로 다른 서비스까지 공격하는 크리덴셜 스터핑 공격(Credential Stuffing) 등이 대표적이다. 이에 대한 해결책으로 등장한 패스워드리스 인증은 크게 생체 인증, 하드웨어 보안키, 일회용 코드(OTP) 및 푸시 인증 등으로 구분된다. 생체 인증은 지문이나 얼굴 인식 등 개인 고유의 생체 정보를 활용해 인증하는 방식으로, 애플의 Face ID처럼 사용자 편의성을 높이며 강력한 보안을 제공한다. 하드웨어 보안키는 USB 형태의 기기를 컴퓨터나 스마트폰에 꽂는 방식으로 인증하며, 구글과 마이크로소프트는 직원의 로그인 보안을 강화하기 위해 이러한 하드웨어 보안키를 사용 중이다. 일회용 코드 및 푸시 인증은 로그인 시 이메일이나 스마트폰 앱으로 실시간 코드를 전송하거나 사용자가 직접 승인 버튼을 누르는 방식으로, 네이버와 카카오가 이미 이를 활용하고 있다.
패스워드리스 인증은 보안성을 높일 뿐 아니라 사용자 경험 개선 측면에서도 매우 효과적이다. 사용자는 복잡한 패스워드를 외우거나 주기적으로 변경하는 번거로움에서 벗어날 수 있으며, 로그인 과정이 생체 인증이나 하드웨어 보안키와 같은 간단한 동작으로 대체돼 빠르고 편리해진다. 또한, 기업으로서는 패스워드 관리 업무, 패스워드 분실 등으로 인한 고객 지원 비용과 같은 불필요한 운영 비용을 줄일 수 있으며, 인증 과정이 단순해짐에 따라 고객 만족도와 서비스 이용률을 높이는 부가적 이점까지 기대할 수 있다. 그러나 패스워드리스 인증도 완벽한 해결책은 아니다. 생체 인증의 경우 생체 정보가 한 번 유출되면 변경할 수 없다는 치명적인 문제가 있다. 또한 최근 발전하고 있는 딥페이크 기술로 인해 얼굴 인식을 우회하는 공격 사례도 등장해 이에 대응하기 위한 실시간 라이브니스 감지(Liveness Detection)와 같은 보안기술 도입이 필수적이다. 하드웨어 보안키 역시 분실 시 복구가 어렵다는 단점이 존재하며, 이를 보완하기 위한 키 백업이나 클라우드 저장 방식과 같은 시스템 구축이 요구된다.
패스워드리스 인증은 이미 글로벌 기업들이 중심이 되어 빠르게 확산되고 있으며, 국내 기관들도 점차 이를 채택할 것으로 예상된다. 또한 최근들어 인공지능(AI) 기술을 결합해 사용자의 행동을 분석해 추가적인 인증을 요구하는 지능형 인증기술로 빠르게 발전하고 있다. 그러나 패스워드리스 인증의 확산에도 몇 가지 현실적인 장애가 존재한다. 특히 금융권이나 공공기관은 이미 패스워드와 함께 SMS 문자나 모바일 앱을 통한 2차 인증(2FA)과 같은 추가적인 인증 방식을 널리 사용하고 있어, 새로운 인증 방식을 도입하는 데 상대적으로 신중할 수 있다. 이에 따라 기관 간 서로 다른 인증 방식이 혼재될 가능성이 크며, 이러한 혼란을 최소화하기 위해 모든 기관이 쉽게 적용할 수 있는 통일된 기준과 가이드라인 마련이 요구된다. 결국, 패스워드리스 인증은 보안성과 사용자 편의성을 동시에 충족하는 효과적인 대안이지만, 생체 정보보호, 보안키 관리, 표준화 문제 등 아직 해결해야 할 과제가 남아 있다. 앞으로 기술적 발전과 정책적 지원을 통해 패스워드리스 인증이 널리 보급된다면, 더욱 안전하고 편리한 디지털 세상을 만들 수 있을 것이다. 진승헌 ETRI 인공지능데이터보안연구실 책임연구원
중도일보(www.joongdo.co.kr), 무단전재 및 수집, 재배포 금지
