생체 인증은 미래의 인증 기술로 여겨집니다. 지문 스캐너에 손가락을 스캔하면 결제가 완료됩니다. 카드 정보를 입력하거나 OTP를 입력할 필요가 없습니다. 망막을 스캔하면 출석이 기록됩니다. 카드를 긁거나 비밀번호를 입력할 필요도 없습니다. 휴대폰에 대고 말하기만 하면 음성 패턴을 기반으로 잠금이 해제됩니다. 복잡한 PIN이나 패턴도 필요 없습니다. 하지만 정말 그렇게 안전할까요?
생체 인증은 어떻게 작동하나요?
장애 지점이나 침해 지점을 이해하려면 생체 인증 시스템의 작동 방식을 이해하는 것이 중요합니다. 인증 시스템은 주로 서로 통신하는 네 개의 하위 모듈로 구성됩니다.
센서 : 생체 정보를 스캔하여 디지털 형태로 변환하는 장치입니다. 예를 들어 지문이나 망막 스캐너, 얼굴 인식용 카메라 등이 가장 널리 사용되는 센서입니다.
특징 추출기: 디지털 형식에서 해당 생물학적 특징의 핵심적인 구별 가능한 특징을 식별하고 추출합니다. 이 부분은 지문이나 망막 패턴 등을 식별합니다.
매처: 이 모듈은 스캔된 피처를 데이터베이스에 저장된 피처와 비교하여 가장 일치하는 피처를 찾습니다. 일반적으로 여러 가지 이유로 100% 일치를 얻는 것은 불가능합니다. 매처는 발견된 일치 비율에 따라 작동합니다. 중요 시스템의 경우 70%에서 최대 95%까지 일치할 수 있습니다. 이를 통해 일치 여부에 대한 긍정적 또는 부정적 결정이 내려지고, 이는 인증 결정으로 다운스트림 애플리케이션으로 전송됩니다.
템플릿 데이터베이스: 이 데이터베이스는 실제 사용자의 특징 스캔 정보를 저장하여 대조합니다. 데이터 양은 시스템 사용자에 따라 달라질 수 있습니다. 예를 들어, 지문 기반 출퇴근 기록 시스템에서는 데이터베이스에 모든 직원의 지문 스캔 정보가 저장되지만, 스마트폰에서는 스마트폰 사용자에 대한 기록이 하나만 저장됩니다.
이러한 각 모듈과 모듈 간 통신은 해킹에 취약합니다.
침해는 어떻게 발생합니까?
각 모듈은 다른 모듈과 함께 해킹되어 시스템을 속여 긍정적인 인증을 생성하고 다운스트림 애플리케이션에 접근할 수 있습니다. 이러한 시스템을 해킹하는 가장 널리 사용되는 몇 가지 메커니즘은 다음과 같습니다.
1. 센서 침해: 가능하긴 하지만, 이 부분은 가장 뚫기 어려운 부분이라고 알려져 있습니다. 해커는 스캔 대상 기능을 위조하여 센서에 스캔을 요청합니다. 드물기는 하지만, 사용자의 손가락을 잘라 스캔에 사용하는 사례도 있습니다. 대부분의 기술 개발이 이 부분에서 이루어집니다. 스캔이 상세할수록 인증 결정이 더 정확해집니다.
더 읽기 : 데이터 침해가 스타트업에 미치는 영향
2. 템플릿 데이터베이스: 여기에는 참조 기능 스캔 또는 접근 권한이 있는 사용자의 기능 스캔 데이터가 저장됩니다. 여기서 침해는 두 가지 방식으로 발생합니다.
- 첫 번째 공격에서는 해커의 생체 정보가 데이터베이스에 삽입됩니다. 그러면 해커는 일반 사용자처럼 스캐너에 접근하여 보호된 시스템에 접근할 수 있습니다.
- 두 번째 유형의 해킹은 데이터베이스를 해킹하여 기존 사용자의 특징 레코드를 획득하는 것입니다. 그런 다음, 이를 이용하여 가짜 생체 인식 특징을 생성하여 센서에 제공하거나, 훨씬 더 쉬운 방법으로 해킹된 특징을 매처 모듈 자체에 제공합니다. 두 번째 방법은 보호된 시스템(예: 출입문 시스템)에 물리적으로 접근할 필요가 없을 때 선호됩니다.
3. 매처: 이것 역시 해킹의 주요 대상이며, 두 가지 방법으로 수행할 수 있습니다.
- 첫 번째, 더 간단하고 효과적인 방법은 매처의 출력을 해킹하여 긍정적인 인증 결과로 바꿔서 다운스트림 애플리케이션으로 전달하는 것입니다.
- 두 번째, 다소 까다로운 방법으로는 매칭 알고리즘을 변경하여 낮은 일치율에서도 긍정적인 인증을 생성하도록 하는 것입니다. 일치율은 5% 또는 1% 정도로 낮을 수 있습니다. 이 경우 모든 스캔이 긍정적으로 인증된 것으로 통과됩니다. 여기서 위험은 거의 모든 스캔이 긍정적으로 통과하기 때문에 해킹이 빠르게 탐지될 수 있다는 것입니다.
4. 모듈 간 통신: 이런 종류의 해킹에서는 두 모듈 간의 통신을 가두고 해커의 데이터로 대체하여 다음 모듈이 긍정적인 일치에 대한 원하는 결과를 생성하도록 합니다.
생체 인증 시스템은 다른 IT 시스템과 마찬가지로 해킹을 통해 데이터를 훔치거나 변경하거나 동작을 변경할 수 있습니다. 따라서 다른 IT 시스템과 마찬가지로 방화벽, 게이트웨이, 접근 관리 시스템을 사용하여 보호해야 합니다. 그래야만 생체 인증 시스템의 진정한 성능을 발휘할 수 있습니다.
귀사의 IT 보안 파트너로서, 시크라이트 지능형 사이버 위협으로부터 포괄적인 엔드포인트 보안을 제공합니다. 자세한 내용은 당사 웹사이트를 방문하세요. 웹 사이트 or
