미국 정부가 은행 거래 등 온라인 서비스에서 2차 인증 방식으로 널리 쓰이는 휴대폰 문자메시지(SMS) 방식을 권고 기술 목록에서 제외한다.
미국 국립표준기술원(NIST, The National Institute of Standards and Technology)은 3년 만에 개정되는 '디지털 인증 가이드라인'(Digital Authentication Guideline)의 차기 버전에 이같은 내용을 반영하기로 결정했다.
SMS를 통한 2단계 인증을 권고 기술서 제외하는 이유를 명확히 밝히지는 않았지만 악성 코드에 감염된 스마트폰의 SMS를 해커가 리다이렉트 시키거나, 잠금화면에서 SMS의 내용을 미리 보여 주는 등 본인 확인 수단으로 쓰기에는 충분한 보안성을 제공하지 못한다는 지적이 있었으며, NIST는 인터넷전화(VoIP) 음성이나 메시지 등으로 본인 확인을 하는 것도 해킹 가능성이 있어 적합하지 않다고 지적했다.
한편, NIST의 결정이 강제 사항은 아니지만 표준 가이드라인처럼 여겨지고 있는 상황인만큼 SMS를 2차 인증 방식으로 사용 중인 업계에서 이를 대응할 수단 개발과 도입에 나설 것으로 예상되며, 2차 인증 수단으로 SMS 방식을 도입한 국내 사이트에 어떤 영향을 미칠지 귀추가 주목된다. |
