A.8.5
안전한 인증
기술적 통제확인사항 5증적 6사례 5
통제 목적
접근하려는 정보 및 시스템의 중요도와 위험 수준에 부합하는 인증 기술과 절차를 적용하여, 접근을 요청하는 사용자/개체가 주장하는 신원이 실제와 일치하는지 검증하도록 요구하는 통제입니다. 인증 강도를 자산 등급과 위험에 맞게 설정하여 자격증명 탈취, 추측, 재사용으로 인한 비인가 접근 위험을 줄이는 것을 목적으로 합니다.
주요 확인사항
- 접근 대상 정보/시스템의 중요도와 위험에 따라 인증 수단(지식/소유/생체 기반)을 차등 적용하고 있는가?
- 특권 계정, 원격 접근, 중요 시스템 접근 등 고위험 접근에 다중인증(MFA)을 적용하고 있는가?
- 로그인 실패 시 지연, 시도 제한, 적절한 잠금 등으로 반복 시도를 통제하고 오류 메시지의 정보 노출을 제한하는가? CAPTCHA는 이러한 통제의 보조수단으로만 사용하는가?
- 비밀번호 검증용 해시, 복원이 필요한 비밀정보의 암호화와 접근통제 등 유형에 맞는 저장 보호 및 안전한 전송을 적용하는가?
- 안전한 로그온 절차(입력값 마스킹, 세션 시간초과, 접속 경고 문구 등)를 구성하고 인증 이벤트를 기록하고 모니터링하는가?
이행 지침
- 자산 등급과 위험 평가 결과에 따라 인증 요소를 선정하고, 고위험 접근에는 다중인증을 적용합니다.
- 비밀번호 입력은 기본적으로 가리되, 사용자가 원할 때 잠시 표시하는 기능은 주변 노출 위험을 고려하여 제공할 수 있습니다. 전송 경로는 TLS 등으로 보호하고 평문 전송을 금지합니다.
- 검증용 비밀번호는 고유 솔트와 적절한 연산 비용을 적용한 비밀번호 전용 해시로 보관합니다. 일반 해시만으로 충분하다고 보지 않으며, 복원이 필요한 서비스 비밀정보나 개인키에는 별도의 암호화/접근통제를 적용합니다.
- 반복된 로그인 실패에는 잠금, 지연, 알림을 적용하고, 오류 메시지에는 아이디와 비밀번호 중 무엇이 틀렸는지 표시하지 않습니다.
- 유휴 세션을 자동 종료하고, 중요 작업 수행 시 재인증을 요구하며, 접속 위치/기기/행위 등 상황 기반의 적응형 인증을 검토합니다.
- 고위험 접근에는 피싱과 재전송에 강한 인증을 검토합니다. FIDO2나 인증서 기반 방식도 실제 구성에서 검증자/서비스 식별자에 결합되는지 확인하고, 인증서가 있다는 사실만으로 피싱 저항성을 판단하지 않습니다(A.5.17 연계).
증적자료
- 등급/위험별 인증 수단을 규정한 인증 정책/표준
- 특권/원격/중요 접근에 대한 다중인증 설정 화면
- 계정 잠금/로그인 시도 제한 설정 화면
- 비밀번호 해시 방식/솔트/연산 비용, 복원형 비밀정보 보호 및 전송 암호화 설정 증적
- 접속 경고 문구, 세션 시간초과 설정 화면
- 인증 성공/실패 로그 및 이상 인증 모니터링/알림 기록
부적합 사례
- 관리자 콘솔/특권 계정에 단일 비밀번호만으로 접근이 가능하고 다중인증이 적용되지 않은 경우
- 로그인 오류 메시지가 아이디 또는 비밀번호 중 무엇이 틀렸는지 구체적으로 노출하는 경우
- 계정 잠금/시도 제한이 없어 무제한 로그인 시도(무차별 대입)가 가능한 경우
- 자격증명이 평문(HTTP)으로 전송되거나 평문 또는 취약한 해시로 저장된 경우
- 여러 사용자가 하나의 특권 계정을 공유하여 개별 인증이 이루어지지 않는 경우