안녕하세요! 최근 G마켓 해킹사건, 중국 해커의 정부•공공기관 해킹으로 계정 탈취 방어에 대한 관심이 더욱 높아지고 있습니다.
근래에 ID/PW 체계를 변경하고 보다 강력한 사용자 인증으로 전환하기 위해 우리나라도 작년부터 국정원 보안적합인증, 금융기관 생체인증 의무 도입을 가속화를 진행중에 있습니다.
이러한 추세에 발맞추어 옥타코는 늘 현업에서 노력하시는 보안분야 의사결정자, 실무자, 경영자 분들을 위해 생체인증을 활용한 보안인증 도입에 대한 전반적인 내용을 고찰하는 특집 섹션을 준비해 보았습니다.

3부로 나누어서 매 2주 간격으로 소식을 전달해 드릴 예정이오니 많은 관심 부탁드립니다.

첫번째 섹션으로 생체인증별 보안성을 중심으로 성능기준, 특징 등에 대해 알아보려 합니다.
생체인증의 기본 원리는 사람마다 고유한 신체의 특징점을 활용하여 식별 코드를 생성하고 이를 암호화한 뒤 인증 시 등록한 생체인증과 매칭이 되면 인증하게 되는 구조로 되어 있습니다.
가장 보편화된 생체인증 방식으로는 지문, 얼굴, 홍채, 정맥 등이며, 이 4가지 생체인증 방식의 보안성에 대하여 생체인증별 특성, 보안성, 위•변조 특성 등 다양한 관점에서 검토해 보고자 합니다.

지문인증은 크게 광학식, 정전용량식, 초음파방식 3가지 방식으로 나눌 수 있습니다.
광학식 지문인증은 빛의 반사를 이용하여 이미지를 스캔하는 방식입니다. 인식을 위해 카메라가 필요하며 주로 출입관리, 도어락 등 물리보안 영역에서 주로 사용되는 방식입니다.
정전용량식 지문인증은 전압의 차이를 이용하는 방식으로 센서와 피부사이에 전류를 흘려주면 전압이 생기는데 이런 차이를 이용해 지문 모양을 구분하는 방식입니다. 주로 스마트폰에 탑재되면서 스마트폰 화면 잠금 및 삼성페이 등과 같은 온라인 인증에 보편적으로 사용하는 방식입니다. 최근에는 지문 FIDO 보안키 출시로 PC 로그인 및 업무 인증을 위한 제품 및 솔루션의 방식으로도 소개되고 있습니다.
초음파방식 지문인증은 빛 대신 음파를 이용해서 지문 융선의 높낮이를 측정하여 지문을 인식하는 방식입니다. 최근 갤럭시 스마트폰에 일부 모델에 적용되고 있습니다.

홍채인증은 개인마다 다른 홍채의 모양과 색깔, 망막 모세혈관 형태 등을 분석해 사람을 식별하는 인증 기술입니다.
근거리에서 홍채 이미지를 스캔해야 되기 때문에 홍채전용 카메라가 있어야 되며, 주로 공항, 중요보안시설 등의 특수한 환경의 물리보안 출입관리 영역에서 사용되고 있습니다.
갤럭시 노트8에 탑재되어 잠금 화면 용도로 사용되다 지금은 서비스를 중단한 상태입니다.

얼굴인증은 카메라로 얼굴 이미지를 검출한 뒤 눈과 코 등 얼굴의 특징점을 이용해 등록된 이미지와 인증 이미지의 유사도를 비교, 검증하여 사용자를 식별하는 기술입니다.
얼굴인증에서 사용하는 2D 카메라는 주로 스마트폰 잠금 화면, 2D 적외선 카메라는 물리보안 출입인증, 3D 카메라는 애플 FaceID 등에 적용되어 있습니다.

정맥 인식은 적외선 카메라를 사용하여 얇은 피부 아래의 정맥 패턴을 촬영 후 패턴을 분석하는 방식입니다.
주로 물리보안의 출입관리에 사용되며, 일본에서는 주로 ATM 기기에 활용되고 있습니다. 정맥인증은 손등, 손바닥, 손가락 등 인식 부위에 따라 손등정맥, 장정맥, 지정맥 기술로 구분됩니다.

위에서 살펴본 바와 같이 생체인증 기술은 주로 물리보안의 출입관리 영역에서 사용되어지다가 스마트폰 시대에 들어서면서 사용자 인증 수단으로 발전되고 있습니다.
이러한 생체인증의 성능 및 검증을 위한 표준화 지표는 ISO/IEC JTC 1/SC 37에 소개되어 있습니다. 대표적인 생체인증 성능 지표는 아래와 같습니다.

FAR (False Accept Rate) 타인일치율
– 인증하려는 사용자와 등록된 사용자가 다름에도 불구하고 동일한 사용자로 잘못 판정하여 타인을 수락하는 오류의 비율

FRR(False Rejection Rate) 본인불일치율
– 인증하려는 사용자와 등록된 사용자가 동일함에도 불구하고 다른 사용자로 잘못 판정하여 본인을 거부하는 오류의 비율

EER(Equal Error Rate) 동일 오류율
– FAR과 FRR이 일치하는 시점의 에러율

FTE(Failure To Enroll rate) 등록 실패율
– 생체인증 시스템에 사용자가 등록 시 등록 실패하는 경우의 비율

FTA(Failure To Acquire rate) 획득 실패율
– 생체인증 시스템에서 사용자의 등록 혹은 인증 시 생체정보를 획득하는데 실패하는 비율

인터넷 진흥원의 바이오인식정보시험센터 K-NBTC의 표준규격에 따르면 FAR과 FRR이 일치하는 시점의 에러율인 EER(동일오류율)의 기준은 다음과 같습니다.

여기서 생체인증 수단을 검토하는 분들을 위한 꿀팁을 드리자면, 생체인증의 성능 표준에 익숙하지 않은 보안 담당자들은 실무에서 주로 FAR이나 FRR 만 수치만 보고 판단하는 경향이 많습니다. 예를 들어 홍채는 1/100만의 확률로 동일인을 검증할 수 있다는 FAR 수치만 보면 굉장히 타인 오류율이 낮아 보이지만 실제로는 FRR 값이 설정된 EER 수치를 봐야 정확한 성능 검증 지표를 확인할 수 있습니다. FRR이 1% 일때 FAR이 1/80,000의 수치가 나왔다면 본인 인증이 잘못된 경우가 1% 일 때 타인을 인증할 확률이 1/80,000이라고 이해하시면 도움이 됩니다. 이 경우 FAR과 FRR이 일치하는 시점의 에러율이 지문의 경우 2% 이상이면 KISA 기준으로 탈락, 1% 이하면 성공 이런식으로 판단을 하게 됩니다.

따라서! 보안 실무자들은 FAR, FRR, EER을 같이 봐야지만 도입을 검토하는 생체인증에 대한 성능을 정확히 확인할 수 있습니다. 가능하다면 벤더사에게 FAR, FRR, EER 등에 대한 성능 검증 자료를 요구하는 것이 객관적 데이터로 검증 가능하다고 할 수 있습니다.

실제 업계에서 일반적으로 통용되는 생체인증별 성능기준은 아래와 같습니다.

생체 인증에서 인식하는 성능 및 결과만큼 중요한 것이 생체인증의 위•변조 방어력 테스트입니다.
생체 인증의 위•변조 방어 능력에 대한 대표적인 성능 기준은 아래와 같습니다.

SDR (Spoof Detection Rate) 위조 검출률
– 위조 바이오인식 등록 및 인증에 대해 위조로 판단하는 비율
위조 검출률 = (위조 판단수 / 총 위조 입력 횟수)

SAR (Spoof Acceptance Rate) 위조 허용률
– 위조 바이오인식 등록 및 인증에 대해 실제로 판단하는 비율
위조 허용률 = (실제 판단 수 / 총 위조 입력 횟수)

K-NBTC의 위•변조 방어력 기준에 따르면 현재 생체인증 중 위•변조 성능 검증 기준을 가지고 있는 것은 지문밖에 없으며 다른 생체인증 방법은 현재 위•변조 테스트 표준이 없는 상황입니다.

지문의 경우 실리콘, 젤라틴, 전도성 고무, 점토 등으로 위조지문을 만들어 인증 테스트한 경우 위조지문의 허용률이 7% 미만인 경우 우수, 20%미만인 경우 보통으로 적합여부를 인증해 주고 있습니다.

출입관리에 쓰이는 지문의 경우, 대다수가 카메라를 사용하는 광학식 방식이며, 영화에서 흔히 등장하는 컵에서 지문을 떠서 사용하는 경우 위조지문으로 인증이 통과될 수 있습니다. 이러한 단점을 보완하고자 물리 보안 업체들은 손가락온도, 패턴 등을 사용하여 위조지문에 대한 방어력을 보완하고 있습니다. 사이버보안에서 가장 많이 쓰이는 지문인증은 스마트폰 지문을 활용한 온라인 인증입니다. 요즘에는 카카오뱅크, 토스 및 은행 앱으로 인증할 때 가장 많이 사용하고, 일부 앞선 회사들은 사내 업무 인증에도 스마트폰 지문을 사용하고 있습니다.

얼굴인식의 경우 물리보안 출입관리 분야에서 2D 적외선 카메라를 사용하여 위•변조를 상당 부분 방어해 주지만, 2D 일반 카메라를 쓰는 경우에는 손쉽게 위•변조 이미지에 해킹 당할 수 있습니다. 그러한 이유로 갤럭시 스마트폰에서도 얼굴인식은 잠금화면 용도로만 사용하고 실제 인증서비스에는 사용을 권장하지 않고 있습니다. MS Windows Hello에도 얼굴인식이 탑재되어 있지만 적외선 센서가 달려있지 않은 노트북 카메라에서는 사용을 할 수 없게 되어 있습니다. Windows Hello 얼굴인식을 사용하려면 적외선이 적용된 카메라만 가능하게 되어 있습니다. 아이폰에 있는 FaceID는 3D 카메라로 인식을 하여 지문과 동등하거나 그 이상의 성능을 보여주어 온라인 서비스 인증용으로 사용되는 케이스도 있습니다.

홍채인식과 정맥인식이 위•변조에 가장 강력한 대응 능력을 가지고 있는 것으로 인정받고 있으나 실제 정밀한 표본을 만들어 해킹을 시도하는 경우 무력화된 케이스가 보고되어 있기도 합니다. 홍채인식과 정맥인식은 지문, 얼굴인식에 비해 주로 물리보안에서 사용되고 있으며, 상대적으로 비싼 가격대로 인해 보편화된 시장 보다는 특수 목적 시장에 주로 사용되고 있습니다.

위에서 생체인증별 작동원리 및 성능기준, 위•변조 기준과 사례 등에 대해 알아보았는데요, 이제는 사이버 보안 시장에서 생체인증을 도입하기 위해 검토되어야 할 보안성에 대해서 알아보겠습니다.

사이버보안 분야에서 생체인증이 주로 사용될 수 있는 분야는 아래와 같습니다.

PC 로그인 인증, 회사 업무 네크워크 시스템 인증(그룹웨어, ERP, CRM 등), 재택근무 인증, 클라우드 SaaS 인증, 대고객 인증, 금융권 인증, 특수권한 인증 등

실무적으로 사이버 보안 생체인증 검토 시 확인해야 될 보안성에 대해 나열하면 아래와 같습니다.
현재까지 생체인증 솔루션들이 대부분 물리보안에 사용되었고 사이버보안에서는 FIDO 생체인증이 주로 사용되고 있어 일반적 비교의 제약사항이 있다는 점을 참고해서 보시면 좋을 것 같습니다.

살펴본 바와 같이 생체인증 솔루션은 주로 물리보안 출입관리 영역 위주로 사용되어 왔고, 사이버보안 인증에서는 주로 스마트폰을 사용한 대고객 인증을 시작으로 이제 일반 업무 영역 및 인프라 인증까지 확산되는 추세입니다.

물리보안 영역과는 다르게 사이버 보안 분야 생체인증 도입 시 보안성에 대해 검토한 결과 물리보안용 생체인증과 사이버보안용 생체인증의 요구사항이 상이하여, 도입 검토 시 생체인증 솔루션이 사업목적에 부합하는지에 대한 면밀한 검토가 필요할 것으로 보입니다.

간단히 사이버 보안 생체인증 도입 시 검토할 보안성에 대해 간단히 정리해 보았습니다. 보다 자세한 내용을 알고 싶은 분은 옥타코에 문의 주시면 상담이 가능하니 참고 부탁드리겠습니다. 적용 케이스들이 다양하여 일부 기술자료에서 다른 의견이 있을 수 있음을 참고하셔 봐주시면 좋을 것 같습니다.

다음편에서는 사이버보안 생체인증 도입 시 검토가 필요한 도입비용 및 유지보수, 효율화 방안 등에 대해 알려 드리도록 하겠습니다.