[배은] 아이디 도용과 사용자 인증 및 권한

한국정보보호진흥원 개인정보침해사고센터는 최근 민원예보를 통해 장기휴면ID 도용으로 인한 피해를 경고하고 나섰다.

장기간 사용하지 않는 휴면ID를 도용해 유료서비스 이용 후 결제 대금을 ID 소유주에게 떠넘기는 사례가 급증하고 있다는 이유에서였다.

물론 사용하지 않는 웹사이트 ID는 회원탈퇴 후 개인정보가 삭제되도록 하는 것이 바람직하다. 그러나 개인들마다 너무 많은 사이트에 가입돼 있어 일일이 관리하기가 쉽지 않은 실정이다.

그렇다면 여기에서 필요한 보안관리 요소는 무엇일까. 정확한 사용자 인증(Authentication)과 적절한 권한 설정이 해답이다. 특정 사용자만을 유일하게 식별할 수 있다면 본인이 아닌 제 3자의 ID 도용으로 인한 피해는 줄일 수 있기 때문이다.

인증에는 어떤 종류가 있을까. 또 어떤 절차에 따라 인증을 하게 되는 것일까.

인증의 수준과 유형은 식별자 형태, 접속방법, 요청된 인증, 인증범위 등에 의존한다. 가장 쉬운 것은 알고 있는 것에 대한 인증을 들 수 있다. 인증자와 사용자는 아이와 비밀번호를 사전에 정하고 이에 대한 공유를 통해 사용자는 인증자에게 다가갈 수 있다.

그러나 개인정보침해사고센터가 지적한 것처럼 아이디와 비밀번호는 도용에 취약하다. 이 때문에 보안 전문가들은 추측하기 어려운 비밀번호 사용과 잦은 비밀번호 변경을 권고하고 있다. 거래내역 등 중요한 정보를 다루는 금융 기관의 경우에는 한번만 사용하는 일회용 비밀번호를 도입해 사용하고 있다.

최근에는 사용자 자체에 대한 인증연구도 활발히 이뤄지고 있다. 지문 뿐 아니라 망막, 홍채, 정맥, 얼굴형태 인식 등 인증 방법도 다양해지고 있다.

인증외에 사용자에게 적절한 권한을 부여하는 것도 아이디 도용을 막는 방법이 될 수 있다. 권한을 분리하고 각자에게 적절한 권한을 설정함으로써 권한 변경시 사용자에 대한 확인을 강화할 수 있기 때문이다.

권한이란 인증된 사용자에게 이용할 수 있는 자원이 무엇인지를 정의한 것으로 적절한 권한 설정은 관리자와 사용자의 책임을 강화시켜 준다.

ID도용 피해가 잇따르면서 기업이나 조직에서 사용자에 대한 적절한 인증과 권한분리는 최대 당면 과제로 떠오르고 있다. 최근 제정된 개인정보보호법도 기업들에게 정보보호 관리 강화를 강도높게 요구하고 있다.

그렇다면 기업과 조직에서는 이떤 방법으로 사용자 인증 및 권한에 대한 정보보호 관리를 해야 하는 것일까.

우선 인증 정보를 위해서는 기업은 인증서버를 효율적으로 운영해야 한다.

인증서버는 조직의 모든 정보를 통제하는 시스템으로 동일함을 입증하는 핵심 기능을 수행한다. 특히 인증정보시스템과 감시 시스템은 하나로 통합돼 있어야 정보 관리가 용이하다. 또 시스템은 인증된 정보를 추적하고 기록하는 능력을 갖고 있어야 한다.

적절한 권한 분리는 기능을 얼마나 잘 정의하느냐의 문제다. 권한 분리는 사용자마다 사용할 수 있는 특권을 차별화 시킨다. 기업이나 조직에서는 기능적인 권한 분리를 위해 표에 설명된 것처럼 6개의 기능을 적절하게 조합해 사용하고 있다.

또 권한을 설계함에 있어 자원마다 기준을 정한뒤 적용하는 자원기준 부여나 사용자 특권에 따라 권한을 부여하는 역할기준 부여 등 적절한 방법을 도입할 수 있을 것이다.

[표] 적절한 권한 분리