지식(비밀번호 등), 소유(스마트폰이나 IC 카드 등), 생체(지문이나 얼굴 등) 중 서로 다른 두 가지 이상의 요소를 조합하여 본인을 확인하는 인증. 비밀번호가 유출되어도 다른 요소가 없으면 로그인할 수 없다. MFA라고도 한다.
일본어 명칭: 多要素認証
다요소 인증(Multi-factor Authentication)은(는) 정보 보안 기초 등 1개 분야의 연습 문제 6개에 나와요.
분야: 정보 보안 기초
인증 요소는 본인만 알고 있는 것(지식. 비밀번호, PIN, 비밀 질문 등), 본인만 가지고 있는 것(소유. 스마트폰, IC 카드, 전용 인증 기기 등), 본인의 신체나 행동의 특징(생체. 지문, 얼굴, 정맥, 목소리 등)으로 나뉩니다. 다요소 인증에서는 서로 다른 종류의 요소를 조합하므로, 한 요소를 도난당해도 공격자는 다른 요소까지 손에 넣지 않는 한 로그인할 수 없습니다.
비밀번호와 비밀 질문의 조합은 두 번 확인하더라도 둘 다 지식 요소이므로 다요소 인증이 아닙니다(2단계 인증이라고 불리는 경우는 있습니다). 같은 종류의 요소는 같은 방법, 예를 들어 피싱으로 한꺼번에 도난당할 우려가 있기 때문입니다. 반대로 스마트폰의 지문 인증으로 단말 안의 키를 사용할 수 있게 하는 방식은 단말의 소유와 생체를 조합한 다요소 인증이 됩니다.
SMS로 보내지는 확인 코드나 앱이 표시하는 일회용 비밀번호는 비밀번호만의 인증보다 훨씬 안전하지만, 가짜 사이트에 그 자리에서 입력하게 하여 악용하는 공격(실시간 피싱)은 다 막을 수 없습니다. FIDO2의 패스키처럼 단말 안의 개인 키로 접속한 사이트에 결합된 서명을 만드는 방식은 가짜 사이트에서는 인증이 성립하지 않으므로 피싱에 강하다고 여겨지며, 2020년대 중반 시점에 이용이 확산되고 있습니다.
정답: A. 비밀번호를 입력한 뒤, 본인 스마트폰의 앱에 표시된 일회용 비밀번호를 입력한다
다요소 인증은 지식·소유·생체 중 서로 다른 두 가지 이상의 요소를 조합하는 인증입니다. 비밀번호(지식)와 본인 스마트폰에서 만들어지는 일회용 비밀번호(소유)의 조합은 서로 다른 두 요소를 사용하므로 다요소 인증입니다. 비밀번호가 유출되어도 공격자는 본인의 스마트폰을 가지고 있지 않으면 로그인할 수 없습니다. 비밀번호와 비밀 질문은 둘 다 지식 요소이므로, 2단계로 확인하더라도 다요소 인증이 아닙니다(2단계 인증이라고 불리는 경우는 있습니다). 같은 종류의 요소를 겹쳐도 같은 방법(예를 들어 피싱으로 속여 알아내는 것)으로 한꺼번에 도난당할 우려가 있습니다. 참고로 일회용 비밀번호도 가짜 사이트에 그 자리에서 입력하게 하여 악용하는 공격이 있으므로, 2020년대 중반 시점에는 가짜 사이트에서는 인증이 성립하지 않는 방식(FIDO2의 패스키 등)의 이용이 확산되고 있습니다.
2단계 인증은 확인하는 단계가 두 개 있다는 것을 나타내며, 요소의 종류는 묻지 않습니다. 다요소 인증은 지식·소유·생체 중 서로 다른 종류의 요소를 조합하는 것을 나타냅니다. 비밀번호 뒤에 SMS 코드를 입력하는 방식은 둘 다에 해당합니다.
좋지 않습니다. 다요소 인증은 한 요소가 뚫려도 보호하기 위한 구조이며, 각 요소가 강할수록 안전합니다. 비밀번호는 길고 추측하기 어려운 것으로 하고, 다른 서비스와 재사용하지 않는 것이 중요합니다.
다요소 인증은 지식·소유·생체 중 서로 다른 두 가지 이상의 요소를 조합하는 인증입니다.
다음 인증 방법 중 다요소 인증에 해당하는 것은?사전에 실린 단어나 재사용한 비밀번호는 무차별 대입보다 훨씬 빨리 찾아지므로, 길고 무작위인 비밀번호를 사용하고, 서비스 쪽에서는 느린 해시 방식, 로그인 시도 횟수 제한, 다요소 인증을 조합하는 것이 중요합니다.
8자 비밀번호를 모든 후보를 시도하는 무차별 대입로 찾는다. 초당 1×10^10개의 후보를 시도할 수 있을…소유 기반 인증은 카드를 잃어버리거나 도난당하면 다른 사람이 사용할 우려가 있으므로 PIN 등의 지식과 조합하여 사용하는 경우가 많으며, 이는 다요소 인증이 됩니다.
이용자를 확인하는 인증의 3요소(지식·소유·생체) 중 사원증 IC 카드를 사용하는 인증이 해당하는 것은?다만 IdP 계정이 탈취되면 연계된 모든 서비스에 침입당하므로 IdP에서의 다요소 인증이 특히 중요합니다.
싱글 사인온(SSO)에 대한 설명으로 올바른 것은?대책의 중심은 침입 입구가 되는 취약점에 대한 수정 적용, 원격 접속의 다요소 인증, 권한의 최소화, 그리고 네트워크에서 분리된 곳에 보관하는 백업입니다.
랜섬웨어에 대한 설명으로 올바른 것은?피싱(Phishing) 랜섬웨어(Ransomware) 공개 키 암호(Public-key Cryptography) 대칭 키 암호(Symmetric-key Cryptography) 디지털 서명(Digital Signature) 메시지 인증 코드(Message Authentication Code) 사회공학 기법(Social Engineering) 솔트(Salt) 제로데이 공격(Zero-day Attack) 최소 권한의 원칙(Principle of Least Privilege)