사이버 공격과 방어의 실무
공격자가 직원의 비밀번호를 입수하고 로그인을 수십 번 반복하여, 직원의 스마트폰에 승인을 요구하는 알림을 대량으로 보냈다. 직원은 귀찮아져서 그만 '승인'을 눌러 버렸다. 이 공격에 대한 대책으로 가장 적절한 것은?
- A알림 소리를 작게 하여, 승인을 요구하는 알림이 대량으로 와도 직원이 신경 쓰지 않고 업무를 계속할 수 있게 한다
- B비밀번호의 최소 글자 수를 늘리면, 공격자로부터 승인을 요구하는 알림이 와도 직원이 승인해 버릴 위험은 없어진다
- C화면에 표시된 번호를 앱에 입력하게 하는 방식이나 대량 요청의 제한을 도입하고, 기억에 없는 알림을 보고하게 한다
정답과 해설 보기
정답: C. 화면에 표시된 번호를 앱에 입력하게 하는 방식이나 대량 요청의 제한을 도입하고, 기억에 없는 알림을 보고하게 한다
이러한 공격은 MFA 피로 공격(푸시 폭탄)이라고 불리며, 알림의 '승인'을 누르기만 하면 인증이 끝나는 방식의 약점을 파고듭니다. 번호를 대조하는 방식에서는 로그인 화면에 표시된 번호를 입력하지 않으면 승인할 수 없으므로, 스스로 로그인하지 않은 사용자는 승인할 수 없습니다. 짧은 시간에 대량의 요청이 오면 멈추기, 알림에 위치나 앱 정보를 표시하기, 기억에 없는 알림을 보고하게 하기 같은 대책을 조합합니다. 보다 근본적으로는 FIDO2의 패스키처럼 가짜 사이트나 타인의 로그인에는 사용할 수 없는, 피싱에 강한 방식으로 옮겨 갑니다.