생체 인증 방식으로 비밀번호 보안방식의 단점 보완 가능
하지만 단독으로 쓰기엔 아직 일러

[보안뉴스 홍나경 기자] 기업들은 오래 전부터 자신의 제품 사용자를 위해서 튼튼한 보안성과 사용편의성을 동시에 제공하고자 노력해왔다. 그러나 그 균형을 맞추는 게 여간 어려운 일이 아니라 아직도 누구나 고개를 끄덕일만큼 좋은 방법이 등장하지는 않고 있다. 다만 패스워드만으로 보안을 하는 것이 충분하지 않다는 것에는 모두가 동의하고 있는 듯 하다.



그리하여 등장한 것 중 하나가 바이오메트릭스, 즉 생체 인증 방식이다. 다만 아직도 안정성에 대한 합의가 완전히 이루어진 것이 아니라 막상 도입을 하려면 여러 가지 고민이 생긴다. 특히 CISO들 입장에서 생각할 것이 많을 수밖에 없는데, 이에 도움을 주고자 다음 세 가지 팁을 공유한다.

1. 생체 인증 데이터는 개인 식별이 가능한 중요한 정보
보안에 너무 취약한 비밀번호 방식이라고는 하지만 아직까지 필요한 기술임은 분명하며, 현재도 널리 사용되고 있다. 생체 인증 방식은 이에 대한 강력한 대체제로 각광받고 있으며, 보안이 특히 중요한 곳에서는 이미 널리 쓰이고 있다. 생체 인증 방식을 도입하고 자주 사용하는 CISO들이 자주 간과하는 것이 있는데, 생체 인증에 필요한 생체 데이터 그 자체도 매우 중요하다는 사실이다. 미국에서는 여러 주마다 생체 정보 자체의 보호에 관한 법률이 마련되어 있다. 생체 인증 방식을 도입하려면 해당 지역이나 산업에 적용되는 법률을 먼저 파악해야 한다.

또한 생체 인증 방식을 도입하려는 기업 임원들은 이 소중한 개인 식별 정보를 어디에 어떻게 저장해 보관할 것인지도 철저히 계획해야 한다. 워크스테이션에 설치된 지문 인식기는 네트워크를 통해 생체 인증을 하는 것보다 덜 위험하다. 토큰화 된 생체 인증 정보는 그냥 저장된 것보다 더욱 안전하다. 기업들은 데이터 도용을 방지하기 위해 암호화 솔루션과 물리적 보안 장치를 통해서 생체 인증 데이터를 갖고 있는 기기들을 보호하는 데 더 신경을 써야 한다. 또한, 클라이언트 기계 안에 믿을 만한 플랫폼 모듈을 도입하는 등의 방식을 이용하는 것도 좋다.

2. 비밀번호 보안도 계속해서 필요
비록 생체 인식 인증법의 등장 덕분에 사용자들이 비밀번호 사용에 전적으로 의지할 필요가 없게 되긴 했으나 아직 생체 인식 인증법이 비밀번호 보안 방식을 완전히 대체하기에는 한계가 있다. 법적이고 윤리적인 논란은 무시하더라도 생체 정보는 일단 한 번 침해되면 복구 및 대체하는 게 불가능하다는 문제가 해결되지 않고 있기 때문이다. 비밀번호는 한번 침입을 당하더라도 다시 다른 것으로 변경이 가능하지만 지문, 망막과 같은 생체 인식 데이터는 다른 것으로 대체가 불가능하다.

동시에 생체 인식 인증 방식을 100% 믿을 수 있는 것도 아니다. 비밀번호 인증 시스템이 다름 기능과 잘못 얽혀 오류를 만드는 예는 현재 하나도 없다. 하지만 비교적 신기술인 생체 인증 기술의 경우, 다른 기능과 충돌하여 오류를 일으키기도 한다. 즉 안정성 측면에서 비밀번호 인증 방식이 압도적으로 우세하다. 그래서 생체 인식 인증 시스템을 도입해도 비밀번호 인증 방식을 완전히 없앤 곳은 찾기 힘들다. 비밀번호 시스템이 완전히 사라질 것을 기대하는 건 금물이다.

3. 생체 인식 인증 방식에 대한 대안책을 포함할 것
생체 인식 인증 방식을 도입하려 계획 중인 기업들은 오로지 생체 인식 인증 방식만으로 모든 것을 보호할 생각을 버려야 한다. 반드시 대안책도 같이 마련해야 한다. 또한, 생체 인식 데이터를 보호하기 위해 반드시 높은 수준의 인증 서버들을 구비하는 데에도 투자를 병행해야 한다. 여기에 아직까지 이 기술에 오류가 적지 않다는 것도 감안해야 한다. 그래서 예를 들자면 지문 인식과 안면 인식 방식을 상호보완적으로 사용하는 등 여러 가지 방법이 고안되고 있다.

생체 인식은 아직 만능해결책이 아니다. 다만 생체 인식 기술을 가미한 적절한 전략을 구사해 보안을 강화시킬 수는 있다. 현재 가상 이상적인 도입 방법은 다중 인증 방식 중 하나로 생체 인식을 활용하는 것이다. 이를 통해 더 빠르고 편한 방식으로 강력한 보안을 제공 할 수 있다. 그리고 돈을 충분히 들여 인프라 자체를 튼튼하게 만들어놓는 선행작업이 반드시 전제되어야 한다.

글 : 토드 티보도(Todd Thibodeaux)
[국제부 홍나경 기자(hnk726@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>