사용자 편의성 높이는 SSO... 간편한 만큼 자격증명 유출 시 피해도 커
넷앤드, HIWARE 통해 SSO 취약점 보완하고 제로 트러스트 실현
[보안뉴스 이상우 기자] 원격근무가 확산되면서 사용자의 단말 보안과 업무 시스템 접근 시 편의성 문제가 주요 이슈로 떠올랐다. 이에 대응하기 위한 다중인증 도입이 확산됐고, 많은 기업들이 SSO 인증을 선택해 적용하고 있다.
SSO(Single Sign-On)은 로그인을 통해 인증된 사용자는 추가적인 인증할 필요 없이 여러 시스템에 접속할 수 있도록 하는 인증 서비스다. 사용자는 계정 하나로 여러 시스템에 접속할 수 있어 매번 로그인과 로그아웃을 반복할 필요 없도록 시스템 접근을 간소화하고 여러 패스워드를 기억해야 하는 부담을 줄일 수 있다.
그러나 일부 PAM(Privileged Access Management) 벤더는 SSO를 사용할 경우 사용자 편리성은 제공할 수 있지만, 다중인증이 기본이 되어야 할 제로 트러스트가 결여되는 것이 치명적인 약점이라고 말한다. 사용자가 SSO 인프라에 로그인 후 다른 시스템에도 재 인증 필요 없이 접근 가능하다는 것은 곧 공격자가 사용자의 PC를 해킹하고, SSO를 통해 대상 시스템 접속 시 내려 받은 크리덴셜 키를 획득해 사용자가 권한을 가진 모든 시스템에 접근할 수 있게 된다는 뜻이다. 실제로 이런 취약점을 노리고 SSO 크리덴셜 키를 타깃으로 하는 사이버 공격이 급증하고 있다.
국내 보안 업체 넷앤드의 접근통제 시스템인 HIWARE는 SSO 기반 컨피덴셜 키(Confidential Key)를 통해 이러한 취약점을 보완하고 편의성과 제로 트러스트 보안을 동시에 실현한다. HIWARE는 사용자가 시스템 접근 시 사용하는 크리덴셜 키를 중계(proxy) 서버가 가지고 있으며, 사용자가 중계 서버를 통해 대상 시스템에 접속을 시도할 때마다 가상 크리덴셜 키를 생성해 인증을 한다. 그리고 이 가상 크리덴셜 키는 매 접근 세션마다 키 값이 새롭게 생성되므로 한번 사용된 기존 크리덴셜 키는 무효화된다. 따라서 공격자가 사용자의 기존 크리덴셜 키를 획득해 접근을 시도해도 접근이 불가능하다.
넷앤드 글로벌기술혁신팀 이재국 이사는 “HIWARE는 시스템에 접근 시 SSO가 제공하는 편의성을 유지하면서 동시에 매 접근마다 새로운 크리덴셜 키를 생성해 인증함으로써 제로 트러스트 보안을 실현할 수 있다”며, “향후 업무 환경의 비대면화·디지털화로 드러나고 있는 기존 시스템 보안관리 기술의 한계를 보완하기 위한 혁신 기술 개발 및 적용에 박차를 더할 계획”이라고 밝혔다.
[이상우 기자(boan@boannews.com)]
넷앤드, HIWARE 통해 SSO 취약점 보완하고 제로 트러스트 실현
[보안뉴스 이상우 기자] 원격근무가 확산되면서 사용자의 단말 보안과 업무 시스템 접근 시 편의성 문제가 주요 이슈로 떠올랐다. 이에 대응하기 위한 다중인증 도입이 확산됐고, 많은 기업들이 SSO 인증을 선택해 적용하고 있다.
[이미지=넷앤드]
SSO(Single Sign-On)은 로그인을 통해 인증된 사용자는 추가적인 인증할 필요 없이 여러 시스템에 접속할 수 있도록 하는 인증 서비스다. 사용자는 계정 하나로 여러 시스템에 접속할 수 있어 매번 로그인과 로그아웃을 반복할 필요 없도록 시스템 접근을 간소화하고 여러 패스워드를 기억해야 하는 부담을 줄일 수 있다.
그러나 일부 PAM(Privileged Access Management) 벤더는 SSO를 사용할 경우 사용자 편리성은 제공할 수 있지만, 다중인증이 기본이 되어야 할 제로 트러스트가 결여되는 것이 치명적인 약점이라고 말한다. 사용자가 SSO 인프라에 로그인 후 다른 시스템에도 재 인증 필요 없이 접근 가능하다는 것은 곧 공격자가 사용자의 PC를 해킹하고, SSO를 통해 대상 시스템 접속 시 내려 받은 크리덴셜 키를 획득해 사용자가 권한을 가진 모든 시스템에 접근할 수 있게 된다는 뜻이다. 실제로 이런 취약점을 노리고 SSO 크리덴셜 키를 타깃으로 하는 사이버 공격이 급증하고 있다.
국내 보안 업체 넷앤드의 접근통제 시스템인 HIWARE는 SSO 기반 컨피덴셜 키(Confidential Key)를 통해 이러한 취약점을 보완하고 편의성과 제로 트러스트 보안을 동시에 실현한다. HIWARE는 사용자가 시스템 접근 시 사용하는 크리덴셜 키를 중계(proxy) 서버가 가지고 있으며, 사용자가 중계 서버를 통해 대상 시스템에 접속을 시도할 때마다 가상 크리덴셜 키를 생성해 인증을 한다. 그리고 이 가상 크리덴셜 키는 매 접근 세션마다 키 값이 새롭게 생성되므로 한번 사용된 기존 크리덴셜 키는 무효화된다. 따라서 공격자가 사용자의 기존 크리덴셜 키를 획득해 접근을 시도해도 접근이 불가능하다.
넷앤드 글로벌기술혁신팀 이재국 이사는 “HIWARE는 시스템에 접근 시 SSO가 제공하는 편의성을 유지하면서 동시에 매 접근마다 새로운 크리덴셜 키를 생성해 인증함으로써 제로 트러스트 보안을 실현할 수 있다”며, “향후 업무 환경의 비대면화·디지털화로 드러나고 있는 기존 시스템 보안관리 기술의 한계를 보완하기 위한 혁신 기술 개발 및 적용에 박차를 더할 계획”이라고 밝혔다.
[이상우 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이상우기자 기사보기
[2024-09-29] 
