인증

식별·인증·인가

접근 통제는 보통 아래 순서로 진행된다. 각 단계가 묻는 질문이 다르다.

"패스워드로 사용자를 확인한다"는 인증이다. 식별은 신원을 밝히는 단계일 뿐 검증하지 않는다.
인증은 상대가 누구인지를 확인하는 것이고, 데이터를 암호화하는 것은 내용을 남이 못 보게 하는 기밀성 수단이다. 둘은 다른 보안 요구사항이다.
거래 사실을 나중에 부인하지 못하게 하는 것은 부인 방지이며 전자서명으로 해결한다.
관련 문서: AAA, 접근통제

구분	인증 수단	비고
지식 기반	비밀번호	안전한 비밀번호 작성규칙 및 주기적 변경 필요 비밀번호 도용, 무작위 대입 공격 등에 대한 대응 필요 시스템 설치 시 제품 등에서 제공하는 디폴트 계정 및 비밀 번호 사용정지 또는 변경 필요
소유 기반	인증서(PKI)	개인키의 안전한 보관 필요(안전한 보안매체에 보관 권고)
	OTP	OTP토큰, 모바일OTP 등 다양한 방식 존재
	기타	스마트 카드 방식 물리적 보안토큰 방식 등
생체 기반	지문, 홍채, 얼굴 등	생체 정보의 안전한 관리 필요 ※ 참고 : FIDO(Fast Identity Online)
기타 방식	IP주소	특정 IP주소에서만 해당 ID로 접속할 수 있도록 제한하는 방식
	MAC주소	단말기의 MAC주소를 기반으로 등록된 단말기에서만 접속할 수 있도록 제한하는 방식
	기기 일련번호	특정 PC 또는 특정 디바이스(스마트폰 등)에서만 접속할 수 있도록 제한하는 방식
	기타	위치 정보, 디바이스 이용 패턴 등

구분	설명
로그인 실패횟수 제한	계정정보 또는 비밀번호를 일정횟수 이상 잘못 입력한 경우 접근 제한 ※ 개인정보의 안전성 확보조치 기준 제5조제6항
접속 유지시간 제한	접속 후 일정시간 이상 업무처리를 하지 않은 경우 자동으로 시스템 접속 차단(세션 타임아웃 등) ※ 개인정보의 안전성 확보조치 기준 제6조제5항 ※ 개인정보의 기술적·관리적 보호조치 기준 제4조제10항
동시 접속 제한	동일 계정으로 동시 접속 시 접속차단 조치 또는 알림 기능 등
불법 로그인 시도 경고	국외 IP주소 등 등록되지 않은 IP주소에서의 접속 시 차단 및 통지 주말, 야간 접속 시 문자 알림 관리자 등 특수권한 로그인 시 알림 등