계정 로그인에 SMS 인증을 도입한 기업들, SIM 스왑 공격 책임론 대두

 (keydiscussions.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • SIM 스왑 공격은 통신사가 휴대전화 번호를 공격자 기기로 이전하게 만든 뒤 SMS 로그인·비밀번호 재설정 코드를 가로채는 방식이며, 기업이 이 취약한 경로를 인증 흐름에 넣은 선택이 핵심 쟁점임
  • SMS는 평문으로 전달되고 보안용 프로토콜이 아니어서, 비밀번호 재설정·계정 복구·온보딩·로그인에 쓰면 사용자의 디지털 안전이 전화번호 이전에 함께 넘어감
  • Apple, Google, Dropbox, PayPal, Block, Chase, Wells Fargo, Robinhood, Schwab, Bank of America 등 여러 서비스가 SMS를 로그인·복구·2FA에 사용하거나 사용해 왔고, Azure, AWS, Twilio, Google 같은 클라우드 사업자는 SMS 일회용 코드 서비스를 제공함
  • 더 나은 대안은 이메일 기반 재설정과 Authy·Google Authenticator 같은 인증 앱이며, SMS 2FA는 더 강한 옵션과 함께 제한적으로 쓰이더라도 계정 복구의 fallback이 되어서는 안 됨
  • 2024년 이후 AT&T, T-Mobile, Verizon 등 미국 주요 통신사가 Salt Typhoon 공격으로 장기간 침해된 상황까지 겹치며, SMS가 로그인 흐름에서 실질적 보안을 제공한다는 전제가 더 흔들림

SMS 기반 인증이 SIM 스왑 공격을 키우는 구조

  • SIM 스왑 공격은 공격자가 통신사에 피해자의 휴대전화 번호를 자신의 휴대전화로 포팅해 달라고 요청하는 방식임
    • 미국에서는 경쟁 촉진 목적의 번호 이동성 규정 때문에 통신사가 번호 이전을 쉽게 처리해야 함
    • 번호가 이전되면 공격자는 기업이 보내는 SMS 로그인 정보나 비밀번호 재설정 코드를 받아 계정에 접근할 수 있음
  • 통신사의 번호 보호가 취약하다는 비판은 타당하지만, 여러 기업도 그 취약한 연결고리 위에 미션 크리티컬 인증 흐름을 구축해 왔음
  • “T-Mobile, AT&T, Verizon 등이 내 번호를 포팅하도록 누군가 설득했다고 해서 내 디지털 안전까지 포팅되어서는 안 된다”는 문제의식이 중심에 있음

SMS는 인증 수단으로 설계되지 않았음

  • SMS는 암호화되지 않은 평문 메시지이며, 우편엽서처럼 중간에서 읽히거나 가로채질 수 있음
  • 보안 프로토콜이 아닌 SMS를 비밀번호 재설정, 계정 복구, 온보딩, 로그인에 쓰는 것은 구조적으로 부적합함
  • SMS 기반 2FA는 더 강한 2FA 옵션과 함께 제공될 때 약한 보안 시나리오 중 “가장 덜 나쁜” 경우로만 다뤄짐
    • 주된 비판 대상은 SMS 기반 비밀번호 재설정·사용자 온보딩·계정 복구임
  • 더 나은 선택지는 이메일 기반 비밀번호 재설정과 Authy, Google Authenticator 같은 인증 앱임
  • SMS가 계정 복구 fallback으로 남아 있으면 더 강한 2FA 구현도 약해질 수 있음

기업들이 SMS를 인증 흐름에 넣은 방식

  • Apple은 2018년에 iPhone에서 SMS passcode 자동 입력 기능을 발표해 SMS가 비밀번호 재설정과 계정 로그인에 쓰이는 흐름을 강화함
    • Apple 계정 재설정에 SMS가 쓰일 수 있는 시나리오가 있음
    • Apple 개발자 계정의 2단계 인증에도 SMS나 전화가 사용됨
    • Apple의 네이티브 2FA 구현은 SMS fallback 때문에 약해진다고 평가됨
  • Google은 2019년에 Android용 SMS autofill 기능으로 일회용 코드 자동 입력을 제공함
  • 클라우드 제공업체와 메시징 인프라 사업자는 SMS 코드 산업을 형성함
    • Azure, AWS, Twilio, Google 등이 SMS 일회용 코드 관련 서비스를 제공함
    • 근본적으로 깨진 기술을 보안 솔루션으로 판매한다는 비판을 받음
  • 금융·결제 서비스에서도 SMS 재설정, SMS 로그인, SMS 2FA, SMS 계정 복구가 널리 쓰임
    • 예시로 Wells Fargo, Cash App, Robinhood, Schwab, PayPal, Bank of America가 거론됨
    • 이런 SMS 옵션은 “본인 확인” 수단으로 제공되지만, SIM 스왑 공격자에게도 유리한 구조가 됨
  • 음식 주문 서비스, 소셜 네트워크, 데이터 저장 서비스 등에서도 SMS가 계정 재설정의 기본 수단으로 쓰이는 경우가 많음
    • Dropbox처럼 비활성화 방법이 있더라도 사용자가 서비스별로 직접 opt-out해야 함
    • 여러 서비스는 opt-out을 제공하지 않음

편리함보다 보안 설계 책임이 앞섬

  • 사용자는 SMS 재설정의 취약성을 이해하지 못할 수 있으며, 이를 판단하는 일이 사용자의 역할이어서는 안 됨
  • SMS는 이메일 재설정이나 Authy 같은 2FA 앱보다 편리해 사용자에게 선호될 수 있음
  • iPhone의 SMS 자동 입력은 iOS의 좋은 기능으로 칭찬받기도 하지만, 편리함이 보안성을 보장하지는 않음
  • 보안 시스템이 안전한지 판단하고 설계하는 책임은 기술 기업에 있음
  • 고객 안전과 보안을 우선한다고 말하면서도 SMS 기반 인증을 유지하면 고객을 노출된 상태로 두게 됨

프로토콜 개선과 규제만으로는 부족함

  • SHAKEN/STIR 같은 전화 프로토콜 강화 노력은 완전 채택과 엄격한 집행 수준까지 가지 못했고, SMS 비밀번호 재설정 코드를 계속 보내는 명분이 되기 어려움
  • 더 강한 전화 프로토콜이 도입되더라도 SIM 스왑 공격 자체를 막지는 못함
  • EU의 Sim Verify 이니셔티브는 SMS에 의존하는 기업이 SIM이 최근 포팅됐는지 확인할 수 있는 방안으로 거론됨
  • 미국에서 이런 변화가 가까운 시일 내 도입될지는 불확실하며, SHAKEN/STIR 전개 경험은 변화가 오래 걸릴 수 있음을 보여줌
  • NIST가 2023년 10월 기준 SMS나 전화 통화를 사용자 식별에 쓰는 것에 대해 강한 지침을 냈다는 Hacker News 댓글도 있음

2024년 이후 더 나빠진 통신사 리스크

  • 업데이트에서는 AT&T, T-Mobile, Verizon 같은 미국 주요 통신사가 Salt Typhoon 공격으로 수개월간 침해를 겪었다고 정리함
  • 이 통신사들은 수많은 로그인 흐름, 계정 재활성화, 비밀번호 재설정에 쓰이는 암호화되지 않은 SMS를 전달함
  • 미국 통신사 침해와 SIM 스왑 공격의 지속성을 함께 보면, SMS가 로그인 흐름의 어떤 부분에서도 실질적 보안을 제공한다는 생각을 버려야 함
  • Google은 Gmail에서 제한적으로 SMS의 약점을 인정하고 벗어나기 시작한 사례로 거론됨
  • Chase, Block/Square, Apple 등은 여전히 로그인 프로세스 일부에 SMS를 의존하는 사례로 남아 있음

Hacker News 댓글의 사용자 피해 사례

  • SMS 수신이 안 되는 지역을 여행 중이면 계정에서 잠길 수 있음
  • Bank of America처럼 SMS 2FA를 켜야 어떤 2FA든 활성화할 수 있는 은행 사례가 문제로 거론됨
  • 번호를 바꿔 Viber에서 잠기거나, Citibank가 계정 전화번호 변경에 SMS 인증을 요구하는 사례도 있음
  • 통신사가 SMS 로밍 요금을 부과하면 사용자는 취약한 보안 수단에 비용을 지불하게 됨
  • 선불 잔액을 충전하지 않아 SIM이 차단되면 SMS를 받지 못하고, SMS를 강제하는 서비스 접근에도 문제가 생김
  • EU 은행권에서 일한 댓글 작성자는 SMS가 미국보다 비싸 널리 자리 잡지 않았고, SMS 2FA는 보안 침해와 사용자 잠금 모두에 취약하다고 평가함

전화번호 기반 신원 확인에서 벗어나야 하는 이유

  • 딥페이크 시대에는 견고한 신원 확인 서비스가 더 중요해짐
  • AI 기반 가짜 신분증 서비스가 대중화되고, 금융회사와 ISP 등이 사용해 온 음성 지문 식별도 딥페이크 오디오와 집요한 공격자 앞에서 유용하지 않을 수 있음
  • SMS처럼 암호화되지 않고 SIM 스왑에 취약한 신원 확인 수단에서 벗어나야 함
  • 랜섬웨어도 IT가 직면한 큰 문제이며, SIM 스왑 공격은 기업 네트워크 침해의 중요한 벡터로 거론됨
  • SMS 로그인을 줄이면 랜섬웨어 문제 일부를 완화할 수 있다는 연결이 제시됨

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • SMS 쓰레기가 쏟아지기 전에는 TOTP 코드를 1Password가 어떤 기기, 어떤 위치에서도 자동 입력해 줬음
    이제는 계속 휴대폰을 꺼내야 하고, 그 번호가 필요 없더라도 여행하려면 국제 로밍을 내거나 SMS 전달을 설정해야 함. 보안이라니 좋기도 하다
    전화번호가 현실 신원으로 언제든 복구 가능하다는 논리라면, 전 세계 모든 회사에 내 번호를 뿌리게 하지 말고 인증 앱을 SMS에 연결하게 하면 됨

    • 문제는 인증 앱으로는 광고 푼돈에 팔 수 있는, 비교적 안정적인 사이트·앱 간 식별자를 얻을 수 없다는 데 있음
    • 비밀번호 관리자에 TOTP 코드 생성기까지 넣으면 인증 요소 수가 다시 1개로 줄어드는 것 아닌가?
    • 이동통신사를 바꾸면 같은 번호를 유지할 수 있을지 믿기 어렵고, MVNO 간 번호 이동도 들쭉날쭉했으며 해외여행도 하므로 모든 곳에 Google Voice 번호를 씀
      그런데 멍청한 회사들이 전화번호를 요구하면서 Google Voice 사용을 막고 있음
    • 복구 난이도를 직접 고를 수 있는 인증·신원 서비스가 있었으면 좋겠음
      정부 발급 신분증 제시, 지문 확인, 실제 빠른 DNA 검사까지 비용에 맞게 선택하고, 사망이나 무능력 상태가 됐을 때 계정 수혜자도 지정할 수 있으면 함
      궁극적인 신원 확인을 이메일, Google 계정, SMS에 의존하는 현재 방식은 황당함. 셋 다 안전하지 않거나, 임의 차단 위험이 있거나, 복구가 어렵거나, 실제 신원을 확인하지 않아 스팸에 취약함
    • 인도에서는 매달 충전하지 않으면 SIM 카드가 작동을 멈추고, 2개월 뒤 번호가 차단되며, 90일 뒤에는 번호가 해지되어 재사용됨
      흔한 반론은 WhatsApp이 번호가 90일간 미사용이면 비밀번호 재설정 등을 막으니 괜찮다는 식임
      그러고 나면 은행에 휴대폰 번호 변경을 서면 신청하면 되니 괜찮다는 식으로 이어짐

  • 계정의 중요한 동작에 SMS를 쓰는 건 끔찍함

    1. 휴대폰은 잃어버리거나 도난당할 수 있음
    2. 사람들은 나라를 옮겨 살기도 함
    3. SMS 공격이 있음
    4. 전화번호는 재사용됨
    5. 사용자는 유료 휴대폰 요금제를 유지해야 함
      제발 계정을 전화번호에 묶지 말아야 함
      수정: 일회성 알림 등을 말하는 게 아니라는 점을 명확히 하려고 첫 줄을 바꿨음
      1. 정의상 2단계 인증 기기가 도난당하면 어차피 망한 것임. Authenticator도 끝임. SMS는 적어도 통신사에 연락해서 같은 번호를 되찾을 수 있음
      2. 로밍이 있음. 해외에서 문자 수신은 무료인 경우가 많음
      3. 맞음
      4. 맞지만, 데이터만이라도 유지한다면 활성 상태로 두기는 쉬움
      5. 맞지만, 설정을 잘하면 거의 돈이 안 듦. 유럽과 태국 SIM 카드를 연 5달러 미만으로 유지하고 있고, Google Voice 번호는 2009년부터 무료임
        Authenticator와 Passkeys를 쓰는 편이 더 좋다는 데는 동의하지만, SMS의 장점까지 부정하진 말아야 함
    • 휴대폰이 개인의 신원이 되어 가는 게 정말 큰 문제라고 봄
      커플이 서로 휴대폰을 쓰고 비밀번호를 아는 경우를 자주 보는데, 누군가를 그렇게까지 믿을 수 있을지 모르겠음. 친어머니에게도 비밀번호를 줄 것 같지 않고, 어머니가 못 믿을 이유를 준 적도 없음
      최악은 이게 선택이 아니라는 점임. 서비스들이 그냥 갑자기 SMS를 2단계 인증으로 쓰기 시작함
      전화번호를 바꾸면 어떻게 해야 할지 모르겠음. 이전 번호를 통제할 수 없어 계정에 못 들어가면 새 번호로 어떻게 바꾸나? 업데이트해야 한다고 생각도 못 한 계정에서 어느 날 갑자기 2단계 인증을 요구하면? 전반적으로 정말 나쁜 시스템임
    • 인터넷 제공업체나 전력 회사가 정전 알림 문자를 선택적으로 받게 해 주고 주기적으로 업데이트해 주는 건 좋음. STOP으로 중지할 수 있다면 괜찮음
      2주 캠핑 중 고향 주에 심한 폭풍이 지나갔고, 전기가 5일간 끊겼음. SMS 알림이 아니었다면 몰랐을 것이고, 돌아오자마자 냉장고와 냉동고를 바로 비울 수 있었음
    • 이메일을 항상 수집한다면 괜찮다고 봄
      전화가 탈취되어도 이메일은 남아 있음
      최종 사용자 입장에서 실제 사용 편의성도 있음. 이런 문제가 1%에게만 생겨도 수십억 명에게는 문제가 없을 수 있음. 싸고 편함. 휴대폰이 메시지를 받고 자동 입력해 줌
      이메일 확인하려고 앱을 바꾸거나 할 필요가 없음. 이메일이 탈취되지 않는 한 계정은 항상 복구 가능함. 이메일을 잃으면 안타깝지만, 어차피 그런 일은 생기고 그래서 비밀번호를 주기적으로 바꾸고 다중 인증을 설정해야 함
      보안은 절대 100%가 될 수 없음. 그건 헛된 일임. 가능한 한 많은 사람에게 작동하도록 충분히 편리하고 충분히 안전해야 함
      HN 밖의 거의 모든 사람은 신경도 안 쓰고 이해하지도 않음. 그럴 필요도 없음. 앱을 써서 할 일을 하고 넘어가면 됨
      백엔드는 괴짜들이 처리하면 됨
    • Revolut이 전화번호 연결을 강제하던 게 늘 섬뜩했음

  • 아르헨티나에서 Movistar 이용자에게 Payoneer SMS 관련 큰 문제가 있었음. HN에 올려 보려 했지만 묻혔음
    스페인어로 된 통찰력 있는 트윗 [1]의 번역은 대략 이렇다:
    “Payoneer 미스터리가 풀렸다.
    #PayoneerHacked

    • 공격자는 Movistar 고객에게 2단계 인증을 보내는 데 쓰는 SMS 게이트웨이를 침해했다. 플랫폼들은 비용을 아끼려고 이것을 쓴다
    • 공격자는 Payoneer에서 Movistar 번호로 지나가는 2단계 인증 메시지를 봤지만, 비밀번호 변경과 거래를 하려면 Payoneer 사용자의 이메일을 알아야 했다
    • 그래서 각 전화번호 뒤의 이메일을 알아내려고 피싱 사이트를 만들었고, 거기서 오직 이메일만 가져갔다. 이메일 + 전화번호 + 침해된 SMS 게이트웨이에서 실시간으로 접근한 2단계 인증으로 비밀번호를 바꾸고 계정에 들어가 송금할 수 있었다. Movistar 휴대폰으로 도착하는 2단계 인증을 계속 읽고 있었기 때문이다
    • 그래서 피해자들은 밤중에 실제 2단계 인증 SMS가 여러 번 오는 것을 봤고, 그 사이 계정이 비워졌다
    • Payoneer 고객이 피싱에 걸렸더라도 평소라면 2단계 인증 하나만 털렸을 뿐, 로그인·계정 추가·송금에 필요한 모든 것을 털린 건 아니었을 것이다. 이 필요 조건 때문에 SMS 게이트웨이 침해가 있었다는 점이 드러난다
    • 피해자들은 보안 스택의 마지막 구간이 침해되어 돈을 잃었다
      조심하라. Facebook, Twitter 등도 SMS 비용을 아끼려고 같은 게이트웨이를 공유한다
      새벽에 피해자에게 도착한 SMS 스크린샷을 남긴다. 피해자는 어떤 피싱에도 이것을 공유할 수 없었고, 이 SMS들이 계정을 비우는 데 필요했다
      언론에서 뭘 읽든… 과일은 많고 샐러드는 잔뜩인데 소스는 적다. 원문은 여기 있다
      협조해 준 모두에게 감사한다”
      [1] https://twitter.com/julitolopez/status/1748440685743587811
    • 더 미친 부분은 Payoneer가 이메일 주소 소유를 증명할 필요 없이, SMS로 보낸 재설정 코드만으로 계정 비밀번호 재설정을 허용했다는 것임

  • “[고객들은] [SMS 재설정이] 이메일 재설정보다 더 편리하다고 느낀다”는 말이 있는데, 개인적으로 Google 계정에 전화 인증으로 로그인해야 할 때마다 짜증남
    책상에서 일어나 휴대폰을 찾아야 하고, 휴대폰이 다른 방에 있을 때도 있음. 그래야 코드가 담긴 전화나 메시지를 받을 수 있음
    비교하면 TOTP가 훨씬 편함. KeePassXC에 코드를 저장해 두기 때문에 책상에서 일어날 필요가 없음

  • 전화번호를 잃어버렸을 때도 정말 별로임
    기본 Google 계정에 수년째 로그인하지 못하고 있음. 사용자 이름, 비밀번호, 복구 이메일 주소가 있고 모든 이메일도 내게 전달되지만, 계정에 연결된 전화번호가 더 이상 없으니 명백히 침입자로 취급됨

    • Google은 이 면에서 정말 형편없음. 복구 이메일 주소조차 제대로 쓰지 않음
      유일한 해법은 원래 “집” 위치처럼 보이는 IP 대역으로 돌아가서 작동하길 기도하는 것임. 계정 접근이나 복구를 허용하지 않는 게 좋은 일이라고 생각한 Google 내부 사람에게 하고 싶은 말이 많음
    • 여행 중일 때도 마찬가지임. 해외에서 계정에서 로그아웃됐고 SNS 접근이 없었던 적이 있음
    • 전화번호를 써도 다른 방법을 백업으로 쓸 수 있으니 괜찮다고 말하는 사람이 많은데, Google이 가진 모든 정보를 다 요구했다는 이런 이야기를 꽤 많이 읽었음
    • EU는 통합 디지털 신원 지갑을 갖게 될 예정임. 이미 적격 전자서명도 있음
      내 나라의 신분증에는 공개키 암호화를 쓰는 칩이 있음. Google 계정을 국가 신원에 영구적으로 연결하게 해 주면 문제가 해결될 것임, 적어도 EU 거주자에게는
      그러면 YubiKey 하나만 잃어버릴 걱정 없이 쓸 수 있고, 누가 훔쳐 가도 계정을 되찾을 수 있음
    • 이건 버그라고 확신함. 복구 이메일이 있으면 SMS 인증 필요를 없애야 함
      그런데 Google에는 헬프데스크도, 버그를 신고할 방법도 없음. 부끄러운 줄 알아야 함, Google

  • 회사들이 내 Google Voice 번호를 “인증에 사용할 수 없다”거나 더 노골적으로 “유효한 전화/휴대폰 번호가 아니다”라고 우길 때가 제일 싫음
    어떤 회사들은 처음에는 이 번호로 가입을 허용해 놓고, 가입 후 어느 시점에 정책을 바꿨음. 보통은 계정에서 잠겨 나서야 알게 됨
    다행히 대부분은 앞으로 피하면 되는 매장 앱이나 결제 서비스였음. 내 거래를 소중히 여기지 않는 게 분명하니까. 하지만 언젠가 내 은행이 똑같이 해서 계정에서 잠가 버릴까 걱정됨

    • 사용자 전화번호를 이익을 위해 빨아들이는 일이 널리 퍼진 이유는 간단함
      모두가 휴대폰을 가지고 있고, 대부분은 번호를 거의 바꾸지 않으며, 많은 사람은 사회보장번호보다 전화번호를 더 쉽게 내줌
      그들은 계정 보안이나 사용자가 통제하는 유효한 번호인지에는 관심이 없음. 사용자를 고유하게 식별하고, 이미 사용자 데이터를 가장 비싸게 사는 광고 기술 회사 데이터베이스에 들어 있는 번호를 원할 뿐임
    • Google Voice 경험상, Google Voice를 허용하지 않는 것은 사람들에게 도움이 될 수 있는 긍정적인 신호로 봄
      왜 Google Voice를 쓰지 말아야 하는지 이 글의 다른 댓글에 조금 써 두었음: https://news.ycombinator.com/item?id=39270503
      내 경험이 모두에게 해당하지는 않겠지만, “무료” Google Voice에 의존하는 것은 여전히 위험하다고 봄
    • Viber가 나에게 그렇게 했음. 내 Viber 계정은 2012년부터 있었는데, 휴대폰을 바꿀 때야 알게 됨

  • 반론을 하자면, SMS 로그인과 계정 복구는 사용자 경험이 좋고, 통신사들이 전체적으로 수준을 올려야 함

    • 전혀 아니고, 다루기 정말 짜증남
      데스크톱 컴퓨터를 쓰고 있는데, FIDO나 다른 진짜 2단계 인증을 지원하기 싫다고 로그인할 때마다 휴대폰으로 보내지 말아야 함
      노트북에는 지문 인식기가 있고, 휴대폰에는 Face ID가 있고, USB에는 YubiKey가 있음. 그걸 쓰면 됨
    • 11일 전에 2단계 요소로서의 SMS에 대해 쓴 댓글이 있는데, 일반적인 경우에도 적용됨: https://news.ycombinator.com/item?id=39130032
      이메일이 확실히 더 나음. 주된 이유는 이메일 제공자가 사용자가 통제하는 곳이거나, 우리 같은 괴짜의 커스텀 도메인처럼, 혹은 Google 같은 크고 비인격적인 주체이기 때문임. 전화번호 제공자처럼 공격자가 바꾸기 쉬운 대상이 아님
      신원 제공업체에서 일하고 있고, 특히 사용자 경험 관점에서 이 기능을 지원해 달라는 사람이 꽤 있음
      위에서 말한 것처럼 전화번호 제공자에게도 책임이 있어야 함. 전화번호를 오프라인과 온라인의 전역 식별자로 밀어붙이는 흐름이 계속된다면, 통신사들은 전화번호 변경에 더 많은 요건을 요구해야 함
    • 글에서 인용하면:
      “수년 동안 업계 사람들은 늘 이런 식으로 말했다. ‘SMS 기반 인증을 제공하는 것이 전체적으로 고객 보안에 더 낫다. 단점은 있지만 다른 방법, 예컨대 훨씬 더 안전한 이메일 확인보다 편리하기 때문이다.’ 이에 대해 나는 말한다. ‘당신이 뭔데 고객에게서 보안을 빼앗는가?’”
      또:
      “SIM 스왑 공격과 관련한 분노의 상당 부분이 통신사로 향한 것은 이해할 만하다. 실제로 통신사들은 고객 전화번호 보안을 형편없이 하고 있고, 그 결함에 책임이 있을 수 있다. 하지만 핵심은 이렇다. 통신사 보안은 언제나 나빴고, 심지어 법제도 때문에 나빠진 측면도 있는데, 다른 회사들은 여전히 그 약한 고리 위에 임무 핵심 시스템을 구축하기로 선택했다.”
      또:
      “SMS는 보안이 나쁘지만 신규 고객 가입, 예컨대 Uber의 온보딩, 비밀번호 재설정을 거의 마찰 없이 처리하게 해 준다. 회사들은 경쟁사들이 이 기법을 도입한 것에 맞춰야 한다고 느꼈다.”
      이 마지막 부분은 WordPress 글 업데이트 중 안타깝게 덮어써졌고, 다시 추가했음
    • 더 이상 소유하지 않는 번호로 SMS를 보내는 건 정말 훌륭한 사용자 경험임
    • 모두가 휴대폰을 가지고 있거나 원하지도 않고, 자기 삶의 통제권을 이동통신사에 넘기고 싶어 하지도 않음

  • SMS가 끔찍한 다중 인증 요소라는 데는 동의함
    하지만 사람들에게 앱을 설치하라고 요구하는 건 엄청난 부담이라서 퍼졌음. 게다가 사람들은 복구 코드도 절대 저장하지 않음
    Authy를 쓰고 코드를 백업할 수는 있지만, 그건 거의 “기술자용” 영역임
    결국 평범한 보통 사람에게 현실적인 유일한 해법은 SMS임. 이동통신사가 SIM 스왑을 더 어렵게 만들게 해야 함

    • 유럽의 카드 발급 은행들은 모두 해냈음
      그곳에서는 SMS가 다행히 충분히 비싸서 은행들이 일회용 비밀번호 요소로 쓰기엔 경제성이 낮고, 결제 인증에는 단독으로 쓰기에는 너무 안전하지 않다고 판단되어 두 번째 요소가 필요해졌음
      그 결과 은행들은 더 안전하거나 더 인체공학적인 방식을 제공하게 됨. 예를 들어 은행 전용 인증 앱, 국제 여행 중처럼 인터넷이나 셀룰러 신호가 없어도 동작하는 경우가 많음, 하드웨어 인증기, WebAuthN 등이 있음
      “SIM 스왑을 더 어렵게 만들자”가 아니라, 금융회사들이 수준을 올려 보안 침해와 사용자 잠금 모두에 취약하지 않은 방식을 제공해야 함
    • 내 은행은 Symantec VIP를 설치하게 했음. 별로였음
      세금 신고에는 MyGovID가 필요함. 이것도 별로임
    • Google Authenticator는 이제 Google 계정에 동기화됨
    • iOS 내장 비밀번호 관리자는 운영체제 안에서 바로 TOTP 2단계 인증을 지원하므로 별도 앱이 필요 없음

  • 같은 논리를 다른 곳에도 적용해 보자
    비밀번호 로그인을 도입한 회사는 포스트잇 절도에 책임져야 함
    이메일 2단계 인증을 도입한 회사는 이메일 계정 절도에 책임져야 함
    이 논리가 성립하는지 모르겠음. 이런 일을 반복해서 봄. 법을 어기지 않고, 법 집행에도 협조 가능한 주체가 있는데, 법을 따르지 않는 범죄 주체가 그 고객을 공격함. 손가락을 튕겨 정부가 절도 범죄를 두 배, 세 배로 불법화하게 만들 수 없으니, 사람들은 대체로 무고한 쪽을 붙잡고 그들의 삶을 더 어렵게 만들려 함
    깊게 숨 쉬고 놓아줘야 함. 죄지은 사람 대신 무고한 사람을 처벌하는 데 무해한 수준이란 없음
    이상하고 미친 소리처럼 들리겠지만, SIM을 바꾼 사람이 SIM 스왑 공격의 책임을 져야 함. 뭐라고? 범죄자를 탓하라고? 과감한 입장이지만 맞는 말임

    • SMS 2단계 인증과 예시들의 차이는, 전자는 안전하게 쓰는 것이 말 그대로 불가능하다는 점임
      내가 알기로 미국 소비자용 이동통신사 중 무단 SIM 스왑 같은 일을 막는 적절한 보호 장치를 구현한 곳이 없음
      SMS 2단계 인증을 구현하는 회사라면 이 사실을 알아야 하고, 깊이 결함 있는 2단계 인증 시스템을 알면서도 “더 안전하다”고 소비자에게 팔았다면 실패했을 때 책임을 져야 함
      SMS 2단계 인증이 빨리 죽을수록, SMS 2단계 인증만 구현한 낡은 웹사이트들도 실제로 안전한 방식을 구현할 수밖에 없어짐
    • 23andMe 사건을 보며 비슷하게 생각했음
      더 잘했어야 할 수는 있지만, 그들을 “처벌”하려는 시도는 사후입법처럼 느껴짐. 새 규제를 만들고 향후 사건을 처벌해야지, 이번 사건을 처벌할 일은 아닌 듯함
    • 통신사도 책임져야 함
    • 그건 허수아비 오류임. 포스트잇에 쓰지 않는 건 통제할 수 있음
      SIM 스왑 공격은 통제할 수 없음

  • 온라인 서비스 제공자 입장에서는 SMS 사용이 완전히 말이 됨
    다음 두 목표는 매우 비슷하지만 별개임

    1. 계정 소유 증명: 행동을 시도하는 사람이 계정을 소유했는가
    2. 정당하지 않은 사용자가 만드는 계정 수 제한
      SMS는 2번에 매우 효과적임. 100개의 다른 전화번호에 접근할 수 있는 사람은 거의 없기 때문임
      휴대폰 번호를 갖는 일은 보통 주소, 여권, 사회보장번호 같은 것을 요구하는 개인 절차를 포함. 넘어야 할 절차가 있음
      회사들이 SMS에 의존하는 이유는 고객확인 절차를 통신사에 외주화할 수 있기 때문임. 계정 소유 증명에 가장 최적이거나 안전한 해법이라서 쓰는 게 아님
      계속 불평하는 사람들은 규제 또는 금융 서비스에 관련된 회사에서 이런 인증 결정을 해 본 적이 없는 게 분명함
    • 그 요점은 계정 탈취와 완전히 별개임
      계정 생성에는 전화번호를 요구하면서도, 그 번호로 보낸 SMS만으로 계정을 탈취할 수 있게 허용하지 않을 수 있음
    • 회사들이 왜 그러는지 정확히 이해한다고 해서 기뻐해야 하는 건 아니지 않나
      같은 논리라면 회사가 사용자를 추적하고 개인정보를 팔아도 정당화할 수 있음. 돈을 벌고, 돈을 버는 건 사업 운영의 중요한 부분이니까
    • “100개의 다른 전화번호에 접근할 수 있는 사람은 거의 없다”는 말과 달리, SMS 인증 제공업체는 널려 있음
      인증당 50센트 같은 아주 적은 금액을 내면 수십·수백 개 전화번호를 쓸 수 있음. 조금이라도 의지가 있는 사람은 막지 못함
답변달기