경계형 방어와 제로 트러스트의 차이: 신뢰의 전제·인증 빈도·원격 접속 비교

정답: A. 비밀번호를 입력한 뒤, 본인 스마트폰의 앱에 표시된 일회용 비밀번호를 입력한다

다요소 인증은 지식·소유·생체 중 서로 다른 두 가지 이상의 요소를 조합하는 인증입니다. 비밀번호(지식)와 본인 스마트폰에서 만들어지는 일회용 비밀번호(소유)의 조합은 서로 다른 두 요소를 사용하므로 다요소 인증입니다. 비밀번호가 유출되어도 공격자는 본인의 스마트폰을 가지고 있지 않으면 로그인할 수 없습니다. 비밀번호와 비밀 질문은 둘 다 지식 요소이므로, 2단계로 확인하더라도 다요소 인증이 아닙니다(2단계 인증이라고 불리는 경우는 있습니다). 같은 종류의 요소를 겹쳐도 같은 방법(예를 들어 피싱으로 속여 알아내는 것)으로 한꺼번에 도난당할 우려가 있습니다. 참고로 일회용 비밀번호도 가짜 사이트에 그 자리에서 입력하게 하여 악용하는 공격이 있으므로, 2020년대 중반 시점에는 가짜 사이트에서는 인증이 성립하지 않는 방식(FIDO2의 패스키 등)의 이용이 확산되고 있습니다.

정답: A. 한 번의 인증으로 연계된 여러 서비스를 다시 로그인하지 않고 사용할 수 있게 하는 구조로, 편의성이 높아지는 한편 그 인증이 뚫리면 많은 서비스에 영향을 주므로 다요소 인증과 조합하는 것이 바람직하다

싱글 사인온(SSO)에서는 이용자가 인증을 수행하는 구조(IdP, ID 제공자)에 한 번 로그인하면 그 결과가 연계된 각 서비스에 안전한 형태로 전달되어, 서비스마다 다시 로그인하지 않고 사용할 수 있습니다. 대표적인 방식으로 SAML과 OpenID Connect가 있습니다. 각 서비스에 비밀번호를 넘기지 않으므로 관리할 비밀번호가 줄고, 퇴직자의 계정을 한 곳에서 정지할 수 있는 등 관리 면에서도 이점이 있습니다. 다만 IdP 계정이 탈취되면 연계된 모든 서비스에 침입당하므로 IdP에서의 다요소 인증이 특히 중요합니다. 비밀번호 재사용은 한 서비스에서 유출된 비밀번호로 다른 서비스에도 침입당하는(크리덴셜 스터핑, 비밀번호 리스트 공격) 원인이 되는 것으로, SSO와는 다른 것입니다.

정답: C. 이용자나 프로그램에는 업무에 필요한 최소한의 권한만 주고, 평소 작업은 관리자가 아닌 계정으로 한다

최소 권한의 원칙은 이용자, 프로그램, 서비스의 계정에 역할을 수행하는 데 필요한 최소한의 권한만 준다는 생각입니다. 권한을 좁혀 두면 계정이 탈취되거나, 악성코드가 동작하거나, 조작을 잘못했을 때에도 피해가 미치는 범위를 작게 할 수 있습니다. 예를 들어 평소의 메일이나 웹 열람은 일반 권한의 계정으로 하고, 관리자 권한은 필요한 작업을 할 때만 사용합니다. 정보에 대해서도 업무상 알 필요가 있는 사람만 접근할 수 있게 하는 '알 필요가 있는 사람에게만 알린다(Need to Know)'는 생각이 있습니다. 이동이나 퇴직 시에 불필요해진 권한을 즉시 취소하는 것도 중요합니다.