다단계 인증 (MFA)
MFA란 무엇인가요?
다단계 인증 (MFA)는 로그인 과정에서 추가적인 보호 계층을 제공하는 보안 방식입니다. 사용자는 디지털 아이덴티티를 증명하기 위해 여러 가지 자격 증명을 제공해야 합니다.
인증 (Authentication)에는 두 가지 주요 유형이 있습니다:
- SFA/1FA (단일 요소 인증): 기본 로그인 방식으로, 일반적으로 사용자명/이메일/전화번호와 비밀번호 또는 소셜 로그인이 필요합니다.
- MFA/2FA (다단계 인증/이중 인증): MFA는 계정에 접근하기 위해 최소 두 가지 이상의 서로 다른 인증 방법을 요구하여, 무단 접근에 대한 방어를 효과적으로 강화합니다.
인증 요소는 아이덴티티를 검증하는 수단입니다. 다양한 속성에 따라 선택할 수 있는 여러 요소가 있습니다:
| 유형 | 의미 | 인증 요소 (Logto 지원) |
|---|---|---|
| 지식 | 사용자가 아는 것 | 비밀번호, 이메일 인증 코드, 백업 코드 |
| 소유 | 사용자가 가진 것 | SMS 인증 코드, 인증 앱 OTP, 하드웨어 OTP (보안 키) |
| 고유성 | 사용자의 특성 | 지문, 얼굴 인식 등 생체 정보 |
MFA 흐름에서는 두 번째 인증 단계가 첫 번째와는 다른 속성 유형(지식/소유/고유성)을 사용해야 합니다. 예를 들어, 첫 번째 요소로 "비밀번호(지식)"를, 두 번째 요소로 "인증 앱 OTP(소유)"를 사용하는 것은 다양한 공격 벡터를 효과적으로 완화할 수 있습니다.
왜 MFA가 필요한가요?
MFA는 특히 B2B 및 B2E 서비스에서 필수적인 보안 조치입니다. 오늘날의 디지털 환경에서 여러 이유로 널리 채택되고 있습니다:
- 계정 해킹: 무단 계정 접근은 여전히 심각한 보안 위협입니다. 그러나 MFA는 강력한 보호를 제공하여, 특히 비밀번호 유출로 인한 계정 해킹의 99.9%를 효과적으로 차단합니다. 이는 패스워드리스 로그인, 강력한 비밀번호 정책, 비밀번호 관리자, 공격 방지 대책 등과 함께 비용 효율적인 보안 강화 수단입니다.
- SaaS 도입: 많은 기업들이 직원 보호와 민감한 회사 데이터 및 자산 보안을 위해 MFA를 도입하고 있습니다. LastPass의 설문조사에 따르면, 전 세계 기업의 57%가 현재 MFA를 사용하고 있으며, 이는 전년 대비 12% 증가한 수치입니다.
- 규제 준수: MFA는 조직이 GDPR, NIST 등 데이터 보호 규정을 준수하는 데 도움을 주어, 사용자 데이터의 보안을 보장합니다.
Logto 지원
Logto는 복잡한 설정 없이 원클릭 토글로 MFA 활성화 과정을 간소화합니다. 인증 요소 활성화 빠른 가이드로 시작해 보세요.
지원되는 MFA 요소:
- 패스키 (WebAuthn): 보안 키 또는 생체 인증을 사용하여 패스워드리스 경험을 제공합니다.
- 인증 앱 OTP: Google Authenticator, Authy와 같은 인증 앱에서 생성된 시간 기반 일회용 비밀번호(TOTP)를 사용합니다.
- SMS 인증: SMS 메시지로 일회용 코드(인증 코드)를 전송하여 인증합니다.
- 이메일 인증: 이메일 메시지로 일회용 코드(인증 코드)를 전송하여 인증합니다.
- 백업 코드: 비상 접근을 위한 일회용 백업 코드를 생성합니다.
관련 MFA 기능:
- 신뢰할 수 있는 기기: 사용자가 신뢰하는 브라우저에서 시간 제한 및 취소 가능한 자격 증명으로 반복적인 MFA 프롬프트를 건너뛸 수 있도록 합니다. 사용자는 적격한 로그인 또는 회원가입 흐름 마지막에 별도의 이 기기 신뢰하기 페이지에서 직접 선택할 수 있습니다.