two-factor authentication
이 태그가 달린 문서 3건
7pay 부정 사용 사건(2019) — 2단계 인증 없는 결제 앱은 왜 탈취되었나
출시 다음 날에는 계정 탈취가 시작되어 약 808명·약 3,862만 엔의 부정 사용이 발생했습니다. 핵심은 인증 설계의 결함으로, ① 2단계 인증이 없어 ID＋비밀번호만으로 로그인할 수 있었고, ② 비밀번호 재설정의 새 비밀번호를 '등록되지 않은 이메일 주소'로도 보낼 수 있어 단편적인 개인정보만으로 계정을 빼앗을 수 있었습니다. 당신의 환경에서는 중요한 작업에 2단계 인증을 필수화하고, 비밀번호 재설정은 등록된 경로로만 제한하며, 크리덴셜 스터핑을 상정한 탐지·잠금을 갖추고, 출시 전에 인증 흐름을 제3자가 리뷰해 대비하세요.
2단계 인증(2FA)이란? — 2단계 검증과의 차이와 방식별 강약
2단계 인증(2FA)은 '알고 있는 것(비밀번호)'에 '가지고 있는 것·본인 자체(코드·키·생체)'라는 다른 범주의 증명을 더해 본인 확인을 강하게 하는 구조. 흔히 혼동되는 2단계 검증(두 번 확인)과는 엄밀히 다른 개념으로, 비밀번호 + SMS 코드는 사실상 같은 범주의 두 단계에 가깝다. 강도는 방식으로 결정되며 SMS/이메일 < 인증 앱(TOTP) < 패스키/물리 키(FIDO2). 본 사이트의 입장은, 먼저 무엇이든 2FA를 켜는 것, 그 위에서 피싱에 넘길 수 없는 방식으로 옮겨가는 것.
일회용 비밀번호(OTP)란? — TOTP/HOTP/SMS의 차이와 한계
일회용 비밀번호(OTP)는 한 번 쓰면 무효가 되는 짧은 수명의 일회성 코드. 인증 앱의 TOTP(시간 기반), HOTP(카운터 기반), SMS-OTP(SMS 전송)가 있다. 고정 비밀번호의 유출·재사용에 강하고 2단계 인증의 '가지고 있는 것'으로 자주 쓰인다. 다만 한계가 있어 중간자 피싱(AiTM)에서는 OTP도 가짜 사이트를 거쳐 중계되어 돌파될 수 있다. 진정한 피싱 저항성은 도메인에 묶인 패스키. OTP는 '없는 것보다 훨씬 낫지만 종점은 아니다'.