2단계 인증이 중요한 이유는 무엇인가요?

비밀번호만으로는 충분하지 않은 이유

강력한 비밀번호도 도난당할 수 있습니다. 가짜 로그인 페이지에 입력한 비밀번호를 빼앗길 수도 있고, 같은 비밀번호를 쓰던 다른 서비스에서 정보가 유출될 수도 있습니다. 그러면 공격자는 해당 비밀번호를 다른 계정에서도 시도할 수 있습니다. 2단계 인증은 비밀번호를 알아도 추가 확인을 거쳐야 계정에 접근할 수 있게 합니다. 영국 국립사이버안보센터(NCSC)는 강력한 비밀번호를 사용하는 경우에도 중요한 계정에 2단계 인증을 활성화할 것을 권장합니다.

주요 이메일 계정부터 시작하세요. 다른 서비스의 비밀번호 재설정 링크를 이 이메일로 받는 경우가 많기 때문입니다. 그런 다음 금융 계정, 업무 도구, 클라우드 스토리지, 소셜 미디어 계정을 보호하세요. 계정을 탈취당하면 개인 문서가 노출되거나 업무가 중단되거나 누군가가 사용자의 이름으로 친구와 고객에게 연락할 수 있습니다.

2단계 인증 코드의 작동 방식

2단계 인증은 서로 다른 종류의 증거 두 가지로 본인을 확인합니다. 비밀번호와 인증 앱 코드를 함께 쓴다면, 본인이 알고 있는 정보인 비밀번호와 본인이 가진 인증 앱을 이용하는 것입니다. 이 앱에는 해당 계정의 비밀 키가 저장되어 있습니다. 다중요소 인증(MFA)은 이렇게 둘 이상의 인증 요소를 사용하는 방식을 통칭합니다.

시간 기반 일회용 비밀번호, 즉 TOTP는 비밀 설정 키와 현재 시간으로 계산하며, 짧은 시간 동안만 유효한 코드입니다. 인증 앱을 이용한 2FA를 켜면 서비스에서 이 키를 제공합니다. 보통 QR 코드에 키가 담겨 있습니다. Sign In은 이 키로 기기에서 직접 코드를 생성하고, 서비스는 자체적으로 보관한 키로 코드가 맞는지 확인합니다. TOTP 사양인 RFC 6238에 설명된 대로 코드는 일반적으로 30초마다 변경됩니다.

설정 키는 개별 코드보다 훨씬 중요합니다. 키를 복사한 사람은 이후의 코드를 생성할 수 있습니다. 설정 키와 QR 코드는 다른 사람이 볼 수 없도록 안전하게 보관하세요. 지원 메시지로 전송하거나, 스크린샷을 공유하거나, 채팅에 붙여넣지 마세요.

2FA 인증 앱으로 Sign In을 선택하는 이유

저희는 일반적인 iPhone 사용자에게 가장 안전한 비밀 키 보관 방식은 사용자가 직접 통제할 수 있게 관리하는 데서 시작한다고 생각합니다. 기기에서 코드를 생성하고, 저희 서버에는 인증용 비밀 키를 저장하지 않으며, 사용자가 선택한 경우에만 안전하게 동기화한다는 원칙으로 저희 인증 앱 Sign In을 제작했습니다.

코드가 기기에서 생성됩니다. 계정 설정을 마치면 Sign In은 인터넷 연결 없이도 코드를 생성할 수 있습니다.
저희 서버에는 인증 데이터를 보관하지 않습니다. 설정 키, 계정 이름, 생성된 코드는 Sign In의 서버로 전송되거나 저장되지 않습니다. 저희 서버에 인증용 비밀 키를 모아 두지 않으므로 공격자가 저희 서버에서 그 키들을 가져갈 수 없습니다.
Sign In 계정이 필요하지 않습니다. 별도의 계정을 만들지 않고도 앱을 사용할 수 있습니다.
백업은 사용자의 선택입니다. 앱에 등록한 계정을 기기에만 보관하거나 개인 iCloud 키체인을 통해 동기화를 활성화하세요.

이 설계의 보안상 이점은 분명합니다. 인증용 비밀 키가 보관되는 곳을 줄일 수 있습니다. 기기 보안과 사용하는 서비스의 보안은 여전히 중요합니다. 각 서비스는 인증 코드를 검증하는 데 필요한 정보를 자체적으로 보관합니다. 저희 개인정보 처리방침에서는 선택적으로 사용하는 서비스 로고 불러오기 기능을 비롯해 Sign In의 데이터 보관 및 처리 방식을 설명합니다.

원할 때 켜는 안전한 iCloud 키체인 동기화

앱에 등록한 계정을 여러 기기에서 사용하고 싶다면 Sign In의 계정 백업을 켜세요. 이 선택 기능은 Apple의 안전한 키체인 동기화 시스템인 개인 iCloud 키체인을 이용해 동일한 Apple 계정에 로그인된 iOS 기기 간에 계정 정보를 동기화합니다. Sign In은 저희 서버에 사본을 업로드하지 않습니다.

Apple은 표준 iCloud 데이터 보호를 사용하는 경우에도 비밀번호 및 키체인 데이터가 종단간 암호화된다고 설명합니다. 이 키체인 보호를 받기 위해 고급 데이터 보호(ADP)를 별도로 켤 필요는 없습니다. 또한 Apple은 Apple도 사용자의 iCloud 키체인 내용을 읽을 수 없다고 명시하고 있습니다.

동기화할 때는 코드 생성에 필요한 계정 비밀 키가 보호된 상태로 전송됩니다. 각 기기는 이 키로 현재 유효한 코드를 직접 계산합니다. 이를 통해 비밀 키를 Sign In 서버에 넘기지 않고도 여러 기기를 편리하게 사용할 수 있습니다.

Sign In이 인증 데이터를 보관하는 위치
위치	보관 및 처리 방식
사용자의 기기	앱에 등록한 계정 정보가 저장되며, 코드도 기기에서 직접 생성됩니다.
사용자의 iCloud 키체인	계정 백업을 켜면 Apple의 종단간 암호화로 보호되는 계정 정보가 동기화됩니다.
Sign In의 서버	인증용 비밀 키, 계정 이름, 생성된 코드는 저장되지 않습니다.

계정 백업은 언제든지 끌 수 있습니다. 백업을 꺼도 이미 동기화된 사본이 자동으로 삭제되는 것은 아닙니다. 저장된 사본은 해당 앱과 iCloud 설정에서 따로 관리하세요. 동기화와 복구의 가능 여부는 Apple의 서비스 및 계정 설정에 따라 달라집니다.

인증 코드, 패스키 또는 SMS 중 무엇을 선택해야 할까요?

서비스에서 지원하는 방법을 선택하되, 각 방법이 제공하는 보호 기능을 이해하는 것이 중요합니다.

인증 코드: 서비스가 TOTP를 지원하는 경우 저희는 Sign In을 추천합니다. 인터넷 연결 없이 코드를 생성할 수 있으며, 문자 메시지를 받거나 전화번호를 사용할 수 있어야 하는 것도 아닙니다.
패스키 및 FIDO 보안 키: 인증을 실제 서비스와 연결하므로 피싱에 강합니다. 서비스에서 지원한다면 특히 중요한 계정에 사용하세요. FIDO Alliance에서 패스키의 작동 원리를 설명합니다.
SMS 또는 문자 메시지: 더 강력한 인증 수단을 쓸 수 없을 때 유용한 추가 보호 수단입니다. 다만 전화번호가 탈취되거나 메시지가 가로채일 위험이 있습니다. 기기에서 직접 생성하는 코드는 이런 위험을 피할 수 있습니다.

코드 기반 2FA는 여전히 피싱의 대상이 될 수 있습니다. 공격자가 가짜 웹사이트에서 비밀번호와 현재 코드를 받아 곧바로 실제 로그인에 사용할 수 있기 때문입니다. NIST의 인증 지침에서는 일회용 코드와 피싱에 강한 인증 방식을 구분하고 전화 네트워크의 위험을 설명합니다. 로그인하려는 실제 서비스에서만 코드를 입력하고, 예고 없이 전화해 온 사람에게 코드를 알려 주지 마세요.

Sign In으로 첫 번째 계정 보호하기

서비스의 보안 설정을 여세요. 2단계 인증 또는 2단계 확인 설정에서 인증 앱 옵션이 제공되는지 확인하고 선택하세요.
Sign In에 설정 키를 추가하세요. 다른 화면에 표시되는 QR 코드의 경우 Add → Scan QR Code를 사용하세요. 같은 휴대폰에서 설정할 때는 서비스가 제공하는 수동 입력용 키로 Add → Enter Setup Key를 선택한 다음 Add Account를 누르세요.
서비스의 웹사이트나 앱에서 설정을 마치세요. Sign In의 현재 코드를 입력하고 2FA가 활성화되었는지 확인하세요. Sign In에 계정을 추가하는 것만으로는 서비스 설정이 완료되지 않습니다.
서비스의 복구 코드를 저장하세요. 휴대폰을 사용할 수 없을 때 접근할 수 있는 안전한 곳에 보관하세요.

서비스별 정확한 단계를 보려면 Google 2FA 가이드, Instagram 2FA 가이드를 참고하거나 모든 설정 가이드를 둘러보세요. iPhone용 인증 앱이 필요한 경우 App Store에서 Sign In을 다운로드하세요.

휴대폰을 잃어버리기 전에 미리 대비하세요

원할 때 켤 수 있는 iCloud 키체인 동기화는 여러 기기에서 계정에 계속 접근하는 데 도움이 됩니다. 하지만 각 서비스의 복구 수단을 대신하지는 않습니다. 복구 코드는 그 코드로 로그인할 계정과 별도로 보관하고, 휴대폰을 잃어버려도 확인할 수 있는지 점검하세요.

강력한 암호로 기기를 보호하고, 소프트웨어를 업데이트하세요. Apple 계정의 복구 수단도 항상 사용할 수 있도록 관리하세요. 이전 휴대폰의 데이터를 지우기 전에 새 기기에서 계정과 코드가 작동하는지 확인하세요. 저희 서버에는 비밀 키가 저장되지 않으므로 저희가 비밀 키를 찾아 드리거나 개인 iCloud 백업을 복구해 드릴 수 없습니다.

2FA 및 Sign In에 관해 자주 묻는 질문

계정마다 다른 강력한 비밀번호를 써도 2FA가 필요한가요?

네. 비밀번호로 로그인하고 서비스에서 2FA를 지원한다면 사용하는 것이 좋습니다. 계정마다 다른 비밀번호를 쓰면 한 곳에서 유출된 비밀번호 때문에 다른 계정까지 위험해지는 일을 막을 수 있으며, 2FA는 해당 비밀번호가 도난당했을 때 별도의 확인 단계를 추가합니다. 패스키는 사용 가능한 경우 피싱에 강한 또 다른 로그인 방법을 제공합니다.

Sign In은 내 2FA 코드를 저장하나요?

Sign In은 기기에 저장된 인증용 비밀 키로 코드를 직접 생성합니다. 저희는 해당 비밀 키, 계정 이름 또는 생성된 코드를 서버에 저장하지 않습니다. 계정 백업을 활성화하면 앱에 등록한 계정은 개인 iCloud 키체인을 통해서도 동기화됩니다.

iCloud 동기화 없이 Sign In을 사용할 수 있나요?

네. 앱에 등록한 계정 백업은 선택 사항입니다. 이를 활성화하지 않고도 기기에서 코드를 생성할 수 있습니다. 기기를 잃어버려도 다른 방법으로 로그인할 수 있도록 각 서비스의 복구 코드를 저장해 두세요.

인증 코드는 인터넷 연결 없이도 작동하나요?

네. 설정 후 Sign In은 저장된 비밀 키와 기기의 시계를 사용하여 TOTP 코드를 생성합니다. 로그인하려는 웹사이트나 서비스에는 일반적으로 계속 인터넷 연결이 필요합니다. 기기의 날짜와 시간을 정확하게 유지하세요.

출처 및 추가 읽을거리

이 가이드는 2단계 인증에 관한 NCSC 지침, TOTP에 관한 RFC 6238, NIST의 인증 지침, 그리고 FIDO Alliance의 패스키 개요를 바탕으로 작성되었습니다. Apple의 암호화에 대한 설명은 iCloud 데이터 보안 개요 및 iCloud 키체인 개인정보 처리방침에서 확인할 수 있습니다. Sign In의 데이터 처리 방식은 저희 개인정보 처리방침에 설명되어 있습니다.