인증 앱 사용의 보안 위험

인증 코드 동기화는 클라우드 계정(예: Google 계정 또는 Apple ID)을 통해 2FA 토큰을 백업하고 여러 기기에서 접근할 수 있도록 하는 기능입니다. Google Authenticator를 비롯한 많은 앱이 이 기능을 기본값으로 제공하며, 인증 앱이 설치된 기기를 분실했을 때를 대비한 편리한 백업 수단으로 홍보하고 있습니다. 

하지만 이 편의성은 보안을 대가로 얻어진 것입니다.

악의적인 공격자가 고객님의 Google, Apple, Microsoft 계정에 접근하면 동기화된 2FA 코드에도 접근할 수 있습니다. 이 경우 공격자가 암호를 재설정하고 고객님이 인증 앱을 사용하는 모든 계정에 로그인할 수 있어 2FA의 목적이 완전히 무력화됩니다.

또한 클라우드 계정에 접근 가능한 모든 기기가 잠재적인 침투 경로가 됩니다. 기기가 많을수록 위험도 커집니다. 이러한 보안 위험으로 인해 Kraken은 Google Authenticator의 클라우드 동기화를 비활성화할 것을 권장합니다.

구글 OTP

1. Google Authenticator를 여세요.
2. 오른쪽 상단의 프로필 사진 또는 이니셜을 탭하세요.
3. '계정 없이 사용'을 탭하거나 클라우드 백업을 끄세요.
4. 선택 내용을 확인하세요.

암호 키(Passkey)는 Kraken이 피싱 방지를 위해 기존 이중 인증 코드를 대체하는 인증 수단입니다. FIDO2 기술을 사용해 기기에 안전하게 저장되며, 인증 앱과 달리 외부로 이전하거나 노출할 수 없습니다. 암호 키는 가장 안전한 이중 인증 방식 중 하나로 꼽힙니다.

접근성:

• 여러 이중인증(2FA) 방법을 활성화하면 이중인증(2FA) 기기를 사용할 수 없는 경우에도 계정 접근 문제가 발생하는 것을 방지할 수 있습니다.
• 패스키는 인증 및 로그인 절차를 더욱 빠르고 원활하게 합니다.
• 여러 패스키를 활성화하면 어떤 패스키를 사용할지 일일이 선택할 필요가 없으며, 로그인 시 일치하는 패스키로 자동 인증됩니다.
• 스텝업 2FA가 필요한 경우(예: 계정 변경 시) 활성화된 이중 인증 방식 중 원하는 것을 선택할 수 있습니다.

강화된 보안:

• 기기에 내장된 FIDO2 규격 인증기를 활용하여 안전한 자격 증명 또는 토큰을 생성하세요.
• 여러 패스키 옵션을 사용하면 고가의 단일 하드웨어 보안 키(예: Yubikey) 없이도 피싱 방지 FIDO2 이중인증(2FA)을 사용할 수 있습니다.
• 여러 패스키를 사용하면 고가의 단일 하드웨어 보안 키(예: Yubikey) 없이도 피싱 방지 이중인증(2FA)을 구현할 수 있습니다.