보안 강화를 위해 다음과 같은 하드웨어 보안 키를 추천합니다. 유비코의 유비키와 구글의 타이탄 보안 키입니다. 하지만 최근 두 회사 모두 하드웨어 결함으로 인해 일부 키를 리콜했다는 소식이 있어 약간의 우려가 생깁니다. 무슨 문제였을까요? 이 보안 키들은 여전히 안전할까요?
하드웨어 보안 키란 무엇인가?
구글의 타이탄 보안 키, 유비코의 유비키와 같은 물리적 보안 키는 U2F의 개선된 버전인 WebAuthn 표준을 기반으로 계정을 보호합니다. 이는 2단계 인증의 한 형태로, 사용자가 입력하는 코드가 아닌 USB 포트에 삽입하거나 NFC, 블루투스를 통해 무선으로 통신하는 물리적 장치를 이용합니다.
이러한 키를 하드웨어 보안 토큰으로 사용하여 구글, 페이스북, 드롭박스, 깃허브 등 다양한 계정에 로그인할 수 있습니다. 특히 구글의 고급 보호 프로그램을 이용하면, 계정 로그인 시 물리적 보안 키가 필수로 요구되기도 합니다.
구글과 유비코가 키를 회수한 이유는?
유비코와 구글은 최근 하드웨어 결함으로 인해 일부 보안 키를 리콜해야 했습니다. 이는 언론의 주목을 받았습니다.
유비코의 경우, 문제는 일반 소비자용 제품이 아닌 YubiKey FIPS 시리즈 장치에서만 발생했습니다. 유비코의 보안 권고에 따르면, 이 키들은 전원 공급 후 충분한 무작위성을 확보하지 못해 암호화가 취약해질 수 있다고 합니다. 이러한 장치는 정부 기관 및 계약자용으로 설계되었으며, 법적으로 요구되지 않는 한 FIPS 버전을 권장하지 않습니다. 유비코는 이러한 취약점을 악용한 사례는 아직 발견되지 않았지만, 선제적으로 해당 장치를 교체하고 있습니다.
구글의 타이탄 보안 키 문제는 더 심각했습니다. 특히 블루투스 LE를 이용하는 타이탄 보안 키의 블루투스 버전은 구글에서 “잘못된 구성”으로 인해 문제가 발생했다고 발표했습니다. 해당 결함을 악용할 경우, 사용자의 30피트 이내에 있는 공격자가 보안 키를 사용하여 로그인을 시도하거나, 사용자의 컴퓨터를 속여 다른 블루투스 동글과 페어링하도록 만들 수 있습니다. 이 취약점은 구글의 타이탄 키를 제조하는 회사인 페이탄(Feitan)의 보안 키에도 영향을 미쳤습니다.
마이크로소프트 또한 윈도우 업데이트를 통해 취약한 구글 타이탄 및 페이탄 키가 블루투스를 통해 Windows 10 및 Windows 8.1과 페어링되는 것을 차단했습니다.
유비코는 블루투스 키를 출시한 적이 없습니다. 구글이 타이탄 키를 발표했을 때, 유비코는 자체 BLE(블루투스 저에너지) 키 출시를 고려했지만, “BLE는 NFC 및 USB와 동일한 수준의 보안을 제공하지 않는다”고 밝혔습니다. 구글의 어려움은 블루투스 대신 USB와 NFC에 집중한 유비코의 접근 방식이 옳았음을 입증하는 것처럼 보입니다.
구글과 유비코는 해당 키를 모두 무료로 회수 및 교체했습니다.
이 키들을 여전히 추천할까요?
결함과 리콜에도 불구하고, 물리적 보안 키를 여전히 권장합니다. 유비코의 경우, 특히 정부 기관을 위한 특정 제품 라인에서 무작위성 문제가 있었지만, 해당 제품들은 교체되었습니다. 구글은 블루투스 관련 문제에 직면했지만, 이는 30피트 이내의 공격자에게만 악용될 수 있는 문제였습니다. 결함 있는 블루투스 타이탄 키조차도 원격 공격으로부터는 여전히 강력한 보안을 제공합니다.
이러한 키들은 여전히 높은 수준의 보안 표준을 충족합니다. 유비코와 구글 모두 결함을 선제적으로 공개하고 영향을 받은 하드웨어에 대해 무료 교체를 제공했다는 점은 매우 긍정적입니다. 일반 소비자를 위한 표준 USB 또는 NFC 기반 보안 키에는 이 문제가 발생하지 않았습니다.
이러한 키의 가장 큰 문제점은 모든 이중 인증 방식이 가지는 한계와 같습니다. 대부분의 온라인 서비스에서는 SMS와 같은 보안 수준이 낮은 방법을 사용해 보안 키를 우회할 수 있습니다. 전화 포트 아웃 공격을 통해 계정에 접근하는 공격자는 물리적 키를 사용하더라도 계정에 접근할 수 있습니다. 구글의 고급 보호 프로그램과 같이 매우 높은 수준의 보안 서비스만이 사용자를 보호할 수 있습니다.