2.1 인증대상 및 방식

① 중요기능이나 리소스에 대해서는 인증 후 사용 정책 적용

② 안전한 인증방식 사용하여 인증우회나 권한 상승이 발생 예방

③ 중요기능에 대해 2단계(2factor)인증을 적용

① 분석단계에 분류된 중요기능에 대해 “인증 후 사용” 정책이 반드시 적용

• 시스템 설계 시 중요기능을 분류

• 식별된 중요기능에 대해 일괄적으로 인증을 요구(시스템 구성)

  • 직접적으로 기능과 인증을 매핑시켜 처리하는 컴포넌트 개발

  • 인증기능을 제공하는 프레임워크 또는 라이브러리를 활용(중앙집중식 인증)

    • Java : Spring Security

    • ASP.NET : .NET Framework

    • Php : Zend Framework, Symfony

② 인증정보는 서버 측에 저장하여 인증이 필요한 기능이나 리소스에 접근을 시도할 때 서버에서 인증 여부 확인

(ㄱ) 일회용 패스워드 사용 시

• 일회용 패스워드 적용 시 타서비스나 시스템과의 연동 보장

  • 일회용 패스워드를 도입 시 규칙

    • 시각정보, 이벤트정보, 질의‐응답 방식으로 취득한 정보를 이용해 생성

    • 시각정보 기반의 연계정보는 특정시간 동안만 유효

    • 이벤트/질의‐응답 방식을 사용 시 연계정보를 추측할 수 없도록 보호방안 제공

  • 일회용 패스워드 설정사항

    • 시간적 제한을 설정(금융영역에서는 30~60초).

    • 6자리 이상의 숫자 및 문자로 구성

    • OTP발생기와 인증서버에서 동일한 정보를 생성

③ 중요기능에 대해 멀티 디바이스(SMS, ARS 등)를 이용한 추가인증이나, 바이오정보(지문, 홍채 등)를 이용한 전자서명 인증기술을 이용한 2단계 인증을 고려

• 2단계인증의 종류 : 2개 이상의 인증기법을 사용하도록 설계

  • Type1(패스워드/PIN 등 지식기반인증)

  • Type2(토큰/스마트카드 등 소유기반인증)

  • Type3(지문/홍채 등 생체기반인증)