다양한 본인 인증 방법
먼저 국내에서 본인 인증을 진행하는 방법에는 어떤 것들이 있을까요?- 공동인증서 (구 공인인증서): 온라인 금융 거래, 전자정부 서비스 등에서 널리 사용되는 인증서로, 개인용과 기업용으로 구분됩니다.
- 금융인증서: 금융결제원에서 발급하며, 클라우드 기반으로 보관되어 사용이 편리하고 보안성이 높습니다.
- 민간 인증서: 카카오페이 인증, 네이버 인증, 패스(PASS) 인증 등 민간 기업에서 제공하는 인증 서비스로, 다양한 온라인 서비스에서 활용됩니다.
- 생체인증: 지문, 홍채, 얼굴 인식 등 생체 정보를 활용한 인증 방식으로, 스마트폰 등에서 주로 사용됩니다.
- OTP (One-Time Password): 일회용 비밀번호를 생성하여 사용하는 인증 방식으로, 금융 거래 시 추가 보안 수단으로 활용됩니다.
- DID (Decentralized Identifier): 블록체인 기술을 기반으로 한 분산 신원 인증 방식으로, 사용자가 자신의 신원 정보를 직접 관리할 수 있습니다.
민간 인증서 vs eKYC(비대면 본인 인증) 어떤 게 나을까?
민간 인증서와 eKYC 중 고민이 된다면 각 상황에 적합한 인증 방식을 추천합니다.
민간 인증서는 국내 플랫폼에서의 간편 인증에 적합하며, eKYC는 글로벌 확장과 보다 높은 수준의 보안을 요구하는 산업에 적합합니다.
하지만 최근에는 중국인들이 온라인 본인인증 서비스의 취약점을 악용하거나, 한국 계정을 구매하여 한국인인 척 티켓팅을 하는 사례가 발생하기도 했습니다.
위의 사례는 중국인이 본인확인 서비스 ‘패스(PASS) 인증’을 우회하여 한국인 명의로 예매를 시도하여 발생했습니다.
이외에도 PASS 인증만으로는 티켓을 구매하기를 원하는 ‘구매자’는 실제 예매 서비스를 이용하지 않더라도 서비스 계정을 보유하고 있는 암표상에게 인증 코드를 넘겨받는 방식으로 암표 거래가 이루어지기도 합니다.
- 문제점: PASS 인증은 휴대폰 번호를 기반으로 하기 때문에, 휴대폰이 도난당하거나 분실될 경우 인증이 악용될 수 있습니다.
- 예: 도난된 휴대폰에서 SMS 인증 코드를 탈취하거나 PASS 앱에 접근해 본인인증을 가장하는 경우에 해당됩니다.
- 문제점: 악성 문자 메시지를 통해 사용자의 정보를 탈취하여 인증 과정을 악용하는 사례가 발생합니다.
- 예: 사용자가 스미싱 링크를 클릭해 휴대폰 정보를 유출하면, 공격자가 해당 정보를 이용해 PASS 인증을 가장할 수 있습니다.
- 문제점: 사용자가 PIN 번호, 생체 인증 정보 등을 타인과 공유하거나 비밀번호를 쉽게 추측 가능한 형태로 설정할 경우 보안에 취약해집니다.
- 예: 타인이 사용자 대신 PASS 인증을 수행할 수 있는 경우에 해당됩니다.
- 문제점: 공격자가 사용자의 SIM 카드를 위조하거나 재발급 받아 휴대폰 번호를 도용하는 방식입니다.
- 예: 도용된 번호로 PASS 인증을 수행해 계정 접근권을 탈취하는 경우에 해당됩니다.
- 문제점: 사용자가 설치한 악성 앱이 PASS 앱 데이터를 탈취하거나, 해커가 통신사 서버를 공격해 인증 정보를 조작할 수 있습니다.
- 예: 악성 소프트웨어가 PASS 인증 과정에서 전송되는 데이터를 가로채거나 조작할 수 있습니다.
- 문제점: 네트워크 보안이 취약할 경우, 공격자가 인증 과정에서 송수신되는 데이터를 가로채 인증을 악용할 수 있습니다.
- 예: SMS 인증 코드를 중간에서 가로채 본인인증을 진행합니다.
eKYC의 프로세스 소개
- 다단계 인증(MFA): 단순 휴대폰 번호 인증이 아닌, 신분증 확인, 생체 인증, 비밀번호 입력 등의 다중 보안 레이어를 제공합니다.
- 실시간 검증: 스미싱 공격에서 유출된 정보로 인증 시도 시, 실시간 데이터 검증으로 의심스러운 활동을 탐지하고 차단할 수 있습니다.
- 생체 인증 기반 확인: SIM 정보뿐만 아니라 사용자 얼굴이나 지문 등의 생체 정보를 통해 SIM 스와핑 공격을 방지합니다.
- 사용자 데이터 검증: SIM 카드의 변경 여부를 실시간으로 감지하고, 추가 인증 절차를 요구하여 보안을 강화합니다.
- 암호화된 데이터 전송: eKYC는 모든 인증 데이터를 고도화된 암호화 기술로 전송하여 중간자 공격을 차단합니다.
- 플랫폼 기반 인증: 인증 코드 대신 플랫폼 내에서 신분증과 생체 데이터를 직접 확인하여 공격 표면을 줄입니다.
- 다양한 서비스 통합: eKYC는 금융, 블록체인, 정부 서비스 등 다양한 플랫폼과 통합이 가능하여 확장성을 제공합니다.
- 사용자 중심 데이터 관리: DID(분산 신원 인증)와 연계하여 사용자가 자신의 데이터를 직접 관리하고, 필요할 때만 공유할 수 있도록 지원합니다.
- GDPR 준수: eKYC는 글로벌 데이터 보호 규정을 준수하며, 사용자 데이터를 안전하게 관리합니다.