2단계 인증

일반적인 세 가지 요소는 사용자가 아는 것, 사용자가 가진 것, 사용자 자체이며, 진짜 두 번째 요소는 첫 번째 요소와 다른 범주에서 와야 합니다. 계정 탈취에 관한 Google의 연구에 따르면 기기 내 알림은 대량 피싱 시도의 99%와 표적형 시도의 90%를 차단했고, 문자로 발송된 코드는 96%와 76%를 막아냈습니다. 거래소에서는 이 모든 것이 계정을 보호할 뿐, 코인은 결코 보호하지 않습니다.

작동 방식

2단계 인증은 로그인을 두 개의 독립적인 주장으로 바꾸며, 그 가치 전체는 두 요소가 실제로 얼마나 독립적인지에 달려 있습니다.

앱에서 생성하는 코드(TOTP). 표준은 RFC 6238이며, 2005년의 오래된 HOTP 방식 위에서 2011년 5월에 공개되었습니다. 설정할 때 서비스는 보통 160비트인 공유 비밀을 담은 QR 코드를 보여 줍니다. 그다음부터 휴대폰과 서버 모두 해당 비밀과 현재 30초 시간 단계에 대한 HMAC를 계산하고, 이를 여섯 자리로 잘라 비교합니다. 코드를 생성하기 위해 네트워크로 오가는 것은 없으며, 이것이 문자 메시지를 무력화할 SIM 스왑에서도 앱이 살아남는 이유입니다.

사람들이 놓치는 결과는 그 비밀이 복사 가능하다는 점입니다. 설정용 QR 코드를 스크린샷으로 찍으면 두 번째 요소는 이제 사진이 동기화되는 곳 어디에나 존재합니다. TOTP 비밀을 비밀번호와 같은 비밀번호 관리자 항목에 저장하면 마스터 비밀번호 하나로 보호되는 코드 두 개가 되며, 이는 변장한 단일 요소일 뿐입니다.

문자 메시지로 받는 코드. 코드는 전화망을 거쳐 이동하며, 통신사 직원이 속지 않거나 매수되지 않는지에 달려 있습니다. NIST의 SP 800-63B는 공중 전화망으로 전송되는 일회용 코드를 제한된 인증 수단으로 분류하며, 이는 이를 사용하는 서비스가 위험을 인정해야 함을 뜻합니다. 문자 메시지 코드는 그래도 없는 것보다 훨씬 낫습니다.

보안 키와 패스키(FIDO2, WebAuthn). 여기서는 인증기가 웹사이트마다 키 쌍을 생성하고, 개인 키를 보관하며, 사이트의 오리진을 포함한 챌린지에 서명합니다. 서명은 다른 어떤 도메인에도 쓸모가 없으므로, 위장 로그인 페이지는 재사용할 수 있는 것을 아무것도 수집하지 못합니다. WebAuthn은 2019년 3월에 W3C 권고안이 되었고 모든 주요 브라우저가 지원합니다. 패스키는 자격 증명이 하드웨어 한 대에 고정되지 않고 기기 간에 동기화된다는 점만 다른 같은 프로토콜입니다.

복구는 아무도 설정하지 않는 네 번째 요소입니다. 계정이 여전히 이메일과 문자 메시지로 재설정될 수 있다면 완벽한 보안 키도 별 의미가 없습니다. 공격자는 로그인이 아니라 복구 경로를 공격해야 한다는 것을 압니다.

비트코인을 구매할 때 이것이 중요한 이유

2단계 인증은 계정을 보호하며, 계정은 회사에 대한 청구권입니다. 이 구분을 이 페이지의 다른 모든 내용보다 앞에 두어야 합니다.

사용하는 모든 거래소에서 다음 순서로 설정하십시오. 길고 고유한 비밀번호를 고르십시오. 거래소가 지원하면 보안 키를 등록하고, 그렇지 않으면 인증 앱을 등록하며, 문자 메시지는 절대 주 요소로 쓰지 마십시오. 그런 다음 보통 별도 페이지인 계정 복구 설정을 열어 재설정 수단에서 전화번호를 제거하십시오. 백업 코드를 종이에 인쇄해 집에 화재가 나도 닿지 않을 곳에 두십시오. 마지막으로 출금 주소 화이트리스트를 추가해 탈취된 세션으로 목적지를 임의로 만들 수 없게 하십시오.

그다음 사각지대를 다루십시오. API 키는 로그인을 완전히 우회하며, 그와 함께 방금 설정한 모든 요소도 우회합니다. 거래 봇, 포트폴리오 추적기, 또는 한때 읽기 권한을 요청했던 세무 도구가 만료되지 않는 키를 보유하고 있을 수 있습니다. 보유한 모든 거래소 계정의 API 항목을 검토하고, 알아보지 못하는 키는 삭제하며, 어떤 키에도 출금 권한을 허용하지 말고, 거래소가 허용하는 곳에서는 키를 고정 IP 주소에 묶으십시오.

이 사이트에서 리뷰한 거래소들은 제공하는 기능이 다릅니다. Kraken과 Coinbase는 하드웨어 보안 키와 패스키를 지원합니다. Bitstamp, Binance, Bitpanda는 최소한 인증 앱을 지원합니다. 정기 구매를 중심으로 만들어진 River와 Swan은 거래 API 대신 계정 수준의 통제에 의존하며, 이는 노출 범주 하나를 통째로 없애 줍니다. 이런 차이 중 어느 것도 최종 목표를 바꾸지 않습니다. 구매한 뒤에는 방어할 로그인이 없는, 사용자가 관리하는 지갑으로 출금하십시오.

하드웨어 지갑은 2단계 인증으로 보호되지 않으며 보호될 필요도 없습니다. 그에 해당하는 것은 정해진 횟수만큼 잘못 입력하면 데이터가 지워지는 기기 PIN과, 선택 사항인 패스프레이즈입니다.

측정 결과가 실제로 보여 주는 것

Google은 New York University와 University of California San Diego와 함께 Google 계정에 대한 실제 탈취 시도를 연구해 그 결과를 2019년 5월에 발표했습니다.

수치는 절대값이 아니라 순위로 읽을 가치가 있습니다. 자동화된 봇에 대해서는 시험한 모든 방법이 100%를 차단했습니다. 대량 피싱에 대해서는 기기 내 알림이 99%, 문자 메시지 코드가 96%를 차단했습니다. 사람이 특정 계정을 직접 겨냥하는 표적형 공격에 대해서는 기기 내 알림이 90%를 유지했고 문자 메시지 코드는 76%로 떨어졌습니다.

마지막 수치를 주의 깊게 읽으십시오. 집요한 공격의 약 4분의 1이 세계에서 가장 널리 쓰이는 두 번째 요소를 통과했습니다. Google이 자사 직원에게 내린 답은 85,000명이 넘는 직원에게 물리적 보안 키를 요구하는 것이었고, 그 뒤 회사는 피싱으로 인한 계정 탈취가 확인된 사례가 없다고 보고했습니다.

비트코인 보유자에게 실용적으로 옮기면 이렇습니다. 어떤 두 번째 요소든 없는 것보다 낫고, 앱은 문자 메시지보다 낫고, 보안 키는 피싱이라는 범주를 줄이는 것이 아니라 없애는 유일한 선택지입니다.

2단계 인증 vs 패스프레이즈

하드웨어 지갑의 패스프레이즈는 흔히 비트코인에 대한 2단계 인증으로 묘사되지만, 이 비유는 사람들에게 돈을 잃게 만드는 지점에서 깨집니다. 2단계 인증은 회사의 서버가 수행하는 확인이며, 재설정될 수 있고 이의를 제기할 수 있으며 지원을 받을 수 있습니다. BIP39 패스프레이즈는 키 유도 자체에 대한 입력입니다. 다른 패스프레이즈는 완전히 다른 키 집합을 만들어 내며, 다른 집합이 존재한다는 기록은 어디에도 없습니다. 아무도 이를 확인할 수 없고, 아무도 복구할 수 없으며, 지원 대기열도 없습니다. 거래소의 두 번째 요소를 잊으면 복구 요청을 제출하면 됩니다. 패스프레이즈를 잊으면 스물네 개의 시드 단어를 모두 여전히 보유하고 있더라도 코인은 영구히 사라집니다.