2단계 인증
이 태그가 달린 문서 3건
GitHub 2단계 인증(2FA) 설정: 인증 앱, 패스키, 복구 코드, 그리고 휴대폰을 잃어버렸을 때 할 일
GitHub에서 2단계 인증(2FA)을 설정하고 잠김을 피하는 가이드. GitHub는 2023년 3월부터 GitHub.com에 코드를 기여하는 사용자에게 그룹별로 2FA를 의무화하고 있다. 대상이 되면 45일의 등록 기간과 7일의 유예 기간이 주어지고, 그 뒤에는 2FA를 켤 때까지 GitHub.com을 쓸 수 없다. GitHub Docs는 TOTP 인증 앱을 주 방법으로, 패스키나 보안 키를 백업으로 권장한다(패스키, 보안 키, GitHub Mobile은 TOTP나 SMS를 설정한 뒤에만 추가할 수 있다). 본 사이트의 견해: GitHub 2FA에서 흔한 실패는 계정 탈취가 아니라 스스로 잠기는 것이며, 2FA 수단과 복구 방법을 모두 잃은 계정은 GitHub Support도 복구할 수 없다. 16개의 복구 코드를 비밀번호 관리자에 저장하고, 같은 날 두 번째 방법을 등록하라. 그 김에 만료되는 fine-grained 토큰으로 옮기고, 승인된 앱과 SSH 키를 정리하고, 푸시 보호와 Dependabot 알림을 확인하라.
일회용 비밀번호(OTP)란? — TOTP/HOTP/SMS의 차이와 한계
일회용 비밀번호(OTP)는 한 번 쓰면 무효가 되는 짧은 수명의 일회성 코드다. 인증 앱의 TOTP(시간 기반), HOTP(카운터 기반), SMS-OTP가 있다. 고정 비밀번호의 유출·재사용에 강하고 2단계 인증의 '가지고 있는 것'으로 자주 쓰인다. 다만 중간자 피싱(AiTM)에서는 OTP도 가짜 사이트를 거쳐 중계되어 뚫릴 수 있다. 강한 피싱 저항성은 도메인에 묶인 패스키에서 나온다. OTP는 '없는 것보다 훨씬 낫지만 마지막 단계는 아니다'.
2단계 인증(2FA)이란? — 2단계 검증과의 차이와 방식별 강약
2단계 인증(2FA)은 '알고 있는 것(비밀번호)'에 '가지고 있는 것' 또는 '본인 자체'(코드, 키, 생체)라는 다른 범주의 증명을 더해 본인 확인을 강하게 하는 구조다. 2단계 검증(두 번 확인하지만 반드시 다른 범주는 아님)과는 엄밀히 다르다. 강도는 방식으로 결정되며 SMS/이메일 < 인증 앱(TOTP) < 패스키/보안 키(FIDO2) 순이다. 이 사이트의 입장은 먼저 모든 계정에서 어떤 형태로든 2FA를 켜고, 그다음 중요한 계정을 피싱 사이트에 넘길 수 없는 방식으로 옮기는 것이다.