다요소 인증

다요소 인증(多要素認證, multi-factor authentication, MFA) 또는 2요소 인증(two-factor authentication, 2FA)은 전자 인증 방식으로, 사용자가 두 가지 이상의 명확한 유형의 증거(또는 요소)를 인증 메커니즘에 성공적으로 제시한 후에야 웹사이트 또는 애플리케이션에 대한 접근이 허용된다. 다요소 인증은 단일 비밀번호가 노출되었을 수도 있는 승인되지 않은 제3자가 개인정보—개인 식별 정보 또는 금융자산이 포함될 수 있음—에 접근하는 것을 방지한다.

최근 몇 년 동안 다요소 인증의 사용이 증가했다. 다요소 인증을 우회할 수 있는 보안 문제로는 피로 공격, 피싱 및 SIM 스와핑이 있다.

다요소 인증이 활성화된 계정은 침해될 가능성이 현저히 낮다.

 인증 요소 

인증은 누군가가 컴퓨터 리소스(예: 컴퓨터 망, 장치 또는 애플리케이션)에 로그인하려고 할 때 발생한다. 이 리소스는 사용자에게 리소스에 알려진 사용자의 신원과 함께 해당 신원에 대한 사용자의 주장의 신뢰성을 증명하는 증거를 제공하도록 요구한다. 간단한 인증은 일반적으로 비밀번호와 같이 단 하나의 증거(요소)만을 요구하거나, 때로는 신용카드 번호 및 카드 확인 코드(CVC)와 같이 모두 동일한 유형의 여러 증거를 요구한다. 추가 보안을 위해 리소스는 두 가지 이상의 요소를 요구할 수 있다—두 가지 유형의 증거가 정확히 제공되어야 하는 경우에는 다요소 인증 또는 이중 인증이라고 한다.

신원을 증명하기 위해 여러 인증 요소를 사용하는 것은 무단 행위자가 접근에 필요한 모든 요소를 제공할 가능성이 낮다는 전제에 기반한다. 인증 시도에서 구성 요소 중 하나 이상이 누락되거나 잘못 제공되면 사용자 신원이 충분히 확실하게 설정되지 않아 다요소 인증으로 보호되는 자산(예: 건물 또는 데이터)에 대한 접근이 차단된 상태로 유지된다. 다요소 인증 방식의 인증 요소는 다음을 포함할 수 있다:

 사용자가 소유한 것: 보안 토큰(USB 스틱), 은행 카드, 키, 특정 번호로 연락할 수 있는 전화기 등 사용자가 소유한 물리적 개체.
 사용자가 아는 것: 비밀번호, PIN, 개인 차단 키(PUK) 등 사용자가 아는 특정 정보.
 사용자의 특성: 지문, 눈 홍채, 목소리, 타이핑 속도, 키 누름 간격 패턴 등 사용자의 물리적 특성(생체인증).

이중 인증의 예시는 ATM에서 돈을 인출하는 것이다. 물리적으로 존재하는 은행 카드(사용자가 소유한 것)와 PIN(사용자가 아는 것)의 올바른 조합만이 거래를 가능하게 한다. 다른 두 가지 예시는 사용자 제어 비밀번호에 일회용 비밀번호(OTP) 또는 사용자만이 소유한 인증기(예: 보안 토큰 또는 스마트폰)에 의해 생성되거나 수신된 코드를 보완하는 것이다.

인증기 앱은 SMS를 보내거나 다른 방법을 사용하는 대신, 무작위로 생성되고 지속적으로 갱신되는 코드를 표시하여 다른 방식으로 이중 인증을 가능하게 한다. 이 코드는 시간 기반 일회용 비밀번호(TOTP)이며, 인증기 앱에는 이러한 코드를 생성할 수 있는 키 자료가 포함되어 있다.

 지식 

지식 요소("사용자만이 아는 것")는 인증의 한 형태이다. 이 형태에서 사용자는 인증을 위해 비밀에 대한 지식을 증명해야 한다.

비밀번호는 사용자 인증에 사용되는 비밀 단어 또는 문자열이다. 이는 가장 일반적으로 사용되는 인증 메커니즘이다. 많은 다요소 인증 기술은 비밀번호를 인증의 한 요소로 사용한다. 변형에는 여러 단어로 구성된 더 긴 비밀번호(비밀구절)와 ATM 접근에 일반적으로 사용되는 짧고 순수하게 숫자만으로 구성된 PIN이 있다. 전통적으로 비밀번호는 암기해야 하지만, 숨겨진 종이나 텍스트 파일에 적어둘 수도 있다.

 소유 

소유 요소("사용자만이 가지고 있는 것")는 수세기 동안 자물쇠의 열쇠 형태로 인증에 사용되어 왔다. 기본 원칙은 열쇠가 자물쇠와 열쇠 사이에 공유되는 비밀을 구현한다는 것이며, 동일한 원리가 컴퓨터 시스템의 소유 요소 인증에도 적용된다. 보안 토큰은 소유 요소의 한 예이다.

연결이 끊긴 토큰은 클라이언트 컴퓨터에 연결되지 않는다. 일반적으로 내장된 화면을 사용하여 생성된 인증 데이터를 표시하며, 사용자가 수동으로 입력한다. 이 유형의 토큰은 주로 해당 특정 세션에만 사용할 수 있는 OTP를 사용한다.

연결된 토큰은 사용할 컴퓨터에 물리적으로 연결되는 장치이다. 이러한 장치는 데이터를 자동으로 전송한다. USB 토큰, 스마트카드 및 무선 태그를 포함하여 여러 유형이 있다. 2015년부터 주류 브라우저 지원이 시작되면서 FIDO 얼라이언스와 월드 와이드 웹 컨소시엄(W3C)에서 지원하는 FIDO2 지원 토큰이 점점 인기를 얻고 있다.

소프트웨어 토큰(또는 소프트 토큰)은 컴퓨터 서비스 사용을 승인하는 데 사용될 수 있는 이중 인증 보안 장치의 한 유형이다. 소프트웨어 토큰은 데스크톱 컴퓨터, 랩톱, PDA 또는 휴대 전화와 같은 범용 전자 장치에 저장되며 복제될 수 있다. (자격 증명이 전용 하드웨어 장치에 저장되어 물리적 장치 침입 없이는 복제될 수 없는 하드웨어 토큰과 대조된다). 소프트 토큰은 사용자가 상호 작용하는 장치가 아닐 수도 있다. 일반적으로 X.509v3 인증서가 장치에 로드되어 이 목적을 위해 안전하게 저장된다.

다요소 인증은 물리적 보안 시스템에도 적용될 수 있다. 이러한 물리적 보안 시스템은 접근 제어로 알려져 있으며 일반적으로 그렇게 불린다. 다요소 인증은 일반적으로 접근 제어 시스템에, 첫째로 식별 자격 증명으로 사용되는 물리적 소유물(예: 키 fob, 키카드 또는 장치에 표시된 QR 코드)을 사용하고, 둘째로 얼굴 생체 인식 또는 망막 스캔과 같은 신원 유효성 검사를 통해 배포된다. 이러한 형태의 다요소 인증은 일반적으로 얼굴 인증 또는 얼굴 인식으로 불린다.

 고유 

고유 요소("사용자 특성")는 사용자와 관련된 요소이며, 일반적으로 생체인증 방법으로, 지문, 얼굴 인식, 화자 인식 또는 홍채 인식을 포함한다. 키스트로크 다이나믹스와 같은 행동 생체 인식도 사용될 수 있다.

 위치 
점점 더, 사용자의 물리적 위치와 관련된 네 번째 요소가 중요해지고 있다. 기업 네트워크에 유선으로 연결되어 있는 동안 사용자는 핀 코드만으로 로그인할 수 있다. 반면 사용자가 네트워크 외부 또는 원격으로 작업하는 경우, 소프트 토큰에서 코드를 입력하는 것과 같은 더 안전한 다요소 인증 방법이 필요할 수 있다. 사용자 위치에 따라 다요소 인증 방법과 빈도를 조정하면 원격 작업에서 흔히 발생하는 위험을 피할 수 있다.

네트워크 접근 제어 시스템은 장치가 연결된 특정 네트워크(예: 와이파이 대 유선 연결)에 따라 네트워크 접근 수준이 달라질 수 있는 유사한 방식으로 작동한다. 이를 통해 사용자는 사무실을 이동하며 각 사무실에서 동적으로 접근을 받을 수 있다.

 휴대폰 기반 인증 
문자 메시지를 통한 이중 인증은 1996년 AT&T가 양방향 호출기를 통해 코드 교환을 기반으로 거래를 승인하는 시스템을 설명하면서 개발되었다.

많은 다요소 인증 공급업체는 휴대 전화 기반 인증을 제공한다. 일부 방법에는 푸시 기반 인증, QR 코드 기반 인증, 일회용 비밀번호 인증(이벤트 기반 및 시간 기반) 및 SMS 기반 확인이 포함된다. SMS 기반 확인은 일부 보안 문제에 취약하다. 전화기가 복제될 수 있고, 여러 전화기에서 앱이 실행될 수 있으며, 휴대폰 유지보수 담당자가 SMS 문자를 읽을 수 있다. 무엇보다도 휴대폰 자체가 일반적으로 침해될 수 있어, 더 이상 휴대폰이 사용자만이 소유한 것이 아니게 된다.

사용자가 소유한 것을 포함하는 인증의 주요 단점은 사용자가 물리적 토큰(USB 스틱, 은행 카드, 열쇠 등)을 거의 항상 가지고 다녀야 한다는 것이다. 분실 및 도난은 위험 요소이다. 많은 조직에서는 악성 소프트웨어 및 데이터 도난 위험 때문에 USB 및 전자 기기를 건물 안팎으로 반입하는 것을 금지하며, 가장 중요한 기기에는 동일한 이유로 USB 포트가 없다. 물리적 토큰은 일반적으로 확장성이 좋지 않아, 일반적으로 새 계정 및 시스템마다 새 토큰이 필요하다. 이러한 종류의 토큰을 조달하고 이후 교체하는 데는 비용이 든다. 또한, 유용성과 보안 사이에는 본질적인 충돌과 피할 수 없는 절충점이 존재한다.

휴대폰과 스마트폰을 포함하는 2단계 인증은 전용 물리적 장치의 대안을 제공한다. 인증을 위해 사람들은 장치에 대한 개인 액세스 코드(즉, 개별 사용자만 아는 것)와 일반적으로 4~6자리 숫자로 구성된 일회성 유효한 동적 암호 코드를 사용할 수 있다. 암호 코드는 SMS를 통해 모바일 장치로 보낼 수도 있고 일회성 암호 코드 생성기 앱으로 생성할 수도 있다. 두 경우 모두 휴대폰을 사용하는 이점은 사용자가 항상 모바일 장치를 가지고 다니는 경향이 있기 때문에 추가 전용 토큰이 필요 없다는 것이다.

SMS 인증의 인기가 높음에도 불구하고, 보안 옹호자들은 SMS 인증을 공개적으로 비판했으며, 2016년 7월 NIST의 초안 가이드라인은 이를 인증 형태로 폐지할 것을 제안했다. 1년 후 NIST는 최종 가이드라인에서 SMS 인증을 유효한 인증 채널로 복원했다.

일찍이 2011년에 Duo Security는 모바일 앱을 통한 다요소 인증용 푸시 알림을 제공하고 있었다. 2016년과 2017년에 각각 구글과 애플은 푸시 알림을 통한 사용자 2단계 인증을 대안적인 방법으로 제공하기 시작했다.

모바일로 전달되는 보안 토큰의 보안은 전적으로 모바일 사업자의 운영 보안에 달려 있으며, 국가 보안 기관의 도청 또는 SIM 복제에 의해 쉽게 침해될 수 있다.

장점:

 (보통) 항상 가지고 다니는 모바일 기기를 사용하므로 추가 토큰이 필요 없다.
 지속적으로 변경되므로 동적으로 생성되는 암호 코드는 고정된 (정적) 로그인 정보보다 안전하다.
 솔루션에 따라 사용된 암호 코드는 유효한 코드가 항상 사용 가능하도록 자동으로 교체되므로, 전송/수신 문제가 로그인을 방해하지 않는다.

단점:

 사용자는 여전히 피싱 공격에 취약할 수 있다. 공격자는 실제 웹사이트와 동일하게 보이는 스푸핑된 웹사이트로 연결되는 문자 메시지를 보낼 수 있다. 공격자는 이어서 인증 코드, 사용자 이름 및 비밀번호를 얻을 수 있다.
 휴대폰은 항상 사용 가능하지 않을 수 있다. 분실되거나 도난당할 수 있으며, 배터리가 방전되거나 다른 이유로 작동하지 않을 수 있다.
 인기가 높아지고 있음에도 불구하고, 일부 사용자는 모바일 기기를 소유하고 있지 않을 수 있으며, 자택 PC에서 특정 서비스를 이용하기 위한 조건으로 모바일 기기 소유를 요구받는 것에 불쾌감을 느낄 수 있다.
 휴대폰 수신이 항상 가능하지 않다. 특히 도시 외곽의 넓은 지역은 통신 범위가 부족하다.
 SIM 복제는 해커에게 휴대폰 연결에 대한 접근 권한을 제공한다. 이동통신사 회사에 대한 사회공학 공격으로 인해 범죄자에게 중복 SIM 카드가 전달된 사례가 있다.
 SMS를 이용한 휴대폰 문자 메시지는 안전하지 않으며 IMSI-캐처에 의해 가로채일 수 있다. 따라서 제3자가 토큰을 훔쳐 사용할 수 있다.
 계정 복구는 일반적으로 휴대폰 이중 인증을 우회한다.
 최신 스마트폰은 이메일과 SMS를 모두 받는 데 사용된다. 따라서 휴대폰이 분실되거나 도난당하고 비밀번호나 생체 인식으로 보호되지 않는 경우, 휴대폰이 두 번째 요소를 받을 수 있으므로 이메일이 키인 모든 계정이 해킹될 수 있다.
 이동통신사는 사용자에게 메시징 요금을 청구할 수 있다.

 법규 및 규제 
결제 카드 산업(PCI) 데이터 보안 표준, 요구 사항 8.3은 네트워크 외부에서 카드 데이터 환경(CDE)으로 시작되는 모든 원격 네트워크 접근에 다요소 인증 사용을 요구한다. PCI-DSS 버전 3.2부터는 사용자가 신뢰할 수 있는 네트워크 내에 있더라도 CDE에 대한 모든 관리자 접근에 다요소 인증 사용이 요구된다.

 유럽 연합 
제2차 지불 서비스 지침은 2019년 9월 14일부터 유럽 경제 지역 내 대부분의 전자 결제에 대해 "강력한 고객 인증"을 요구한다.

 인도 
인도에서는 인도 준비은행이 직불카드나 신용카드를 이용한 모든 온라인 거래에 대해 비밀번호 또는 SMS로 전송되는 일회용 비밀번호를 사용하여 이중 인증을 의무화했다. 이 요건은 2016년에 발급 은행과 선택적으로 연동하여 2,000 루피 이하의 거래에 대해 해제되었다. 우버와 같은 공급업체는 이 이중 인증 출시를 준수하도록 결제 처리 시스템을 수정해야 한다고 은행으로부터 명령받았다.

 미국 
미국 연방 공무원 및 계약자를 위한 인증 세부 사항은 국토안보부 대통령 지시 12호(HSPD-12)에 정의되어 있다.

연방 정부 시스템 접근에 대한 IT 규제 표준은 중요한 IT 자원에 접근하기 위해 다요소 인증 사용을 요구한다. 예를 들어, 관리 작업을 수행하기 위해 네트워크 장치에 로그인할 때 그리고 특권 로그인으로 컴퓨터에 접근할 때 그렇다.

NIST 특별 발행물 800-63-3은 다양한 형태의 이중 인증을 논의하고, 다양한 수준의 보증이 필요한 비즈니스 프로세스에서 이를 사용하는 방법에 대한 지침을 제공한다.

2005년 미국 연방 금융 기관 검사 위원회는 금융 기관에 위험 기반 평가를 수행하고, 고객 인식 프로그램을 평가하며, 온라인 금융 서비스에 원격으로 접근하는 고객을 안정적으로 인증하기 위한 보안 조치를 개발하도록 권고하는 지침을 발표했으며, 이는 사용자의 신원을 확인하기 위해 하나 이상의 요소(특히 사용자가 아는 것, 가지고 있는 것, 그리고 사용자 자체)에 의존하는 인증 방법 사용을 공식적으로 권장했다. 이 발표에 따라 수많은 인증 공급업체들이 챌린지 질문, 비밀 이미지 및 기타 지식 기반 방법을 "다요소" 인증으로 부적절하게 홍보하기 시작했다. 그 결과 발생한 혼란과 이러한 방법의 광범위한 채택으로 인해, 2006년 8월 15일 FFIEC는 보충 지침을 발표했으며—이는 정의상 "진정한" 다요소 인증 시스템은 정의된 세 가지 인증 요소의 개별적인 인스턴스를 사용해야 하며, 단일 요소의 여러 인스턴스만을 사용해서는 안 된다고 명시했다.

이 방법의 신뢰성을 고려할 때, 일부 국가에서는 민감한 정보의 도난을 방지하기 위해 의료와 같은 특정 산업에서 다요소 인증이 의무화되어 있다. 예를 들어, 미국에서는 캘리포니아 소비자 프라이버시법과 건강 보험 이동성 및 책임법 모두 개인 및 의료 데이터 보호를 위한 표준을 수립하며, 안전한 접근 및 규제 준수를 보장하기 위한 다요소 인증 구현을 지원하는 조항을 포함하고 있다.

 보안 취약점 
지지자들에 따르면, 다요소 인증은 피해자의 비밀번호만으로는 도둑이 정보에 영구적으로 접근할 수 없게 되므로, 온라인 신원 도용 및 기타 온라인 사기 발생률을 크게 줄일 수 있다고 한다. 그러나 많은 다요소 인증 방식은 여전히 피싱, 맨 인 더 브라우저, 그리고 중간자 공격에 취약하다. 웹 애플리케이션의 이중 인증은 특히 SMS 및 이메일에서 피싱 공격에 취약하며, 이에 대한 대응으로 많은 전문가들은 사용자들에게 검증 코드를 누구와도 공유하지 않도록 조언하고, 많은 웹 애플리케이션 제공업체는 코드 포함 이메일 또는 SMS에 주의 사항을 명시한다.

다요소 인증은 ATM 스키밍, 피싱, 악성 소프트웨어와 같은 현대적 위협에 대해 효과적이지 않을 수 있다.

2017년 5월, 독일의 모바일 서비스 제공업체인 O2 텔레포니카는 사이버 범죄자들이 SS7 취약점을 악용하여 SMS 기반 2단계 인증을 우회하고 사용자의 은행 계좌에서 무단 인출을 했다는 사실을 확인했다. 범죄자들은 먼저 계좌 소유자의 컴퓨터를 트로이 목마에 감염시켜 은행 계좌 자격 증명과 전화번호를 훔치려 했다. 그 다음 공격자들은 가짜 통신 제공업체에 대한 접근 권한을 구매하고 피해자의 전화번호를 자신들이 통제하는 휴대폰으로 리디렉션했다. 마지막으로 공격자들은 피해자의 온라인 은행 계좌에 로그인하여 계좌에 있는 돈을 범죄자들이 소유한 계좌로 인출하도록 요청했다. SMS 암호 코드는 공격자들이 통제하는 전화번호로 라우팅되었고, 범죄자들은 돈을 이체했다.

 피로 공격 

다요소 인증을 무력화하는 점점 더 일반적인 접근 방식은 사용자가 결국 많은 로그인 요청에 굴복하여 하나를 수락할 때까지 사용자에게 많은 로그인 요청을 폭격하는 것이다. 이를 다요소 인증 피로 공격(MFA 피로 공격 또는 MFA 폭격)이라고 하며, 사회공학을 이용한다. 다요소 인증 애플리케이션이 최종 사용자에게 푸시 알림을 보내도록 구성된 경우, 공격자는 사용자가 최소 한 번은 수락을 클릭하기를 바라면서 로그인 시도를 폭주시킬 수 있다.

2022년 마이크로소프트는 인증 앱으로 다요소 인증 피로 공격에 대한 완화책을 배포했다.

2022년 9월, 우버 보안은 Lapsus$의 일원이 다요소 피로 공격을 사용하여 침해했다. 2024년 초, 소수의 애플 소비자들은 해커가 애플의 "비밀번호 찾기" 페이지의 속도 제한과 캡차를 우회하여 발생한 다요소 인증 피로 공격을 경험했다.

 구현 

많은 다요소 인증 제품은 사용자가 다요소 인증 시스템을 작동시키기 위해 클라이언트 소프트웨어를 배포해야 한다. 일부 공급업체는 네트워크 로그인, 웹 접근 크리덴셜, 그리고 VPN 연결 크리덴셜을 위해 별도의 설치 패키지를 만들었다. 이러한 제품의 경우, 보안 토큰 또는 스마트카드를 사용하기 위해 클라이언트 PC에 네다섯 개의 다른 소프트웨어 패키지를 푸시해야 할 수 있다. 이는 버전 제어를 수행해야 하는 네다섯 개의 패키지와 비즈니스 애플리케이션과의 충돌 여부를 확인해야 하는 네다섯 개의 패키지를 의미한다. 접근이 웹 페이지를 사용하여 운영될 수 있다면, 위에서 설명한 오버헤드를 단일 애플리케이션으로 제한할 수 있다. 하드웨어 토큰 제품과 같은 다른 다요소 인증 기술의 경우, 최종 사용자가 소프트웨어를 설치할 필요가 없다. 일부 연구는 부실하게 구현된 다요소 인증 복구 절차가 공격자가 악용할 수 있는 새로운 취약점을 초래할 수 있음을 보여주었다.

다요소 인증에는 여러 단점이 있어 많은 접근 방식이 널리 퍼지지 못하고 있다. 일부 사용자는 하드웨어 토큰이나 USB 플러그를 관리하는 데 어려움을 겪는다. 많은 사용자는 클라이언트 측 소프트웨어 인증서를 스스로 설치하는 데 필요한 기술이 부족하다. 일반적으로 다요소 솔루션은 구현을 위한 추가 투자와 유지보수 비용이 필요하다. 대부분의 하드웨어 토큰 기반 시스템은 독점적이며, 일부 공급업체는 사용자당 연회비를 청구한다. 하드웨어 토큰의 배포는 물류적으로 어렵다. 하드웨어 토큰은 손상되거나 분실될 수 있으며, 은행이나 대기업과 같은 대규모 산업에서 토큰 발행을 관리해야 한다. 배포 비용 외에도 다요소 인증은 종종 상당한 추가 지원 비용을 수반한다. 2008년 미국 신용 협동조합 120개 이상을 대상으로 한 설문조사에서 2단계 인증과 관련된 지원 비용이 보고되었다. 보고서에 따르면, 가장 높은 지원 비용이 발생한다고 보고되었다.

다요소 인증 방식의 배포에 대한 연구에 따르면, 이러한 시스템의 채택에 영향을 미치는 요소 중 하나는 다요소 인증 시스템을 배포하는 조직의 사업 분야이다. 예를 들어, 미국 정부는 정교한 물리적 토큰 시스템(그 자체로 강력한 공개 키 기반 구조로 뒷받침됨)을 사용하며, 민간 은행은 고객 소유 스마트폰에 설치된 앱과 같이 더 접근하기 쉽고 저렴한 신원 확인 수단을 포함하는 다요소 인증 방식을 선호하는 경향이 있다. 조직이 선택할 수 있는 다양한 시스템이 존재함에도 불구하고, 다요소 인증 시스템이 조직 내에 배포되면, 사용자들은 필연적으로 시스템의 존재와 사용에 적응하고 시간이 지남에 따라 관련 정보 시스템과의 일상적인 상호 작용 프로세스의 일반적인 요소로 받아들이기 때문에 시스템은 유지되는 경향이 있다.

다요소 인증이 완벽한 보안의 영역에 있다는 인식이 있지만, 로저 그라임스(Roger Grimes)는 제대로 구현되고 구성되지 않으면 다요소 인증도 쉽게 무력화될 수 있다고 말한다.

 특허 

2013년 김 닷컴은 2000년 특허에서 2단계 인증을 발명했다고 주장했으며, 잠시 모든 주요 웹 서비스에 소송을 제기하겠다고 위협했다. 그러나 유럽 특허청은 AT&T가 보유한 이전 1998년 미국 특허를 근거로 그의 특허를 취소했다.

 같이 보기 
  인증 요소
 전자 인증
 신원 관리
 다자 권한 부여
 상호 인증
 대역 외
 신뢰 인증
 신원 위협 탐지 및 대응

 각주 

 더 읽어보기 



 외부 링크 

 TwoFactorAuth.org - TwoFactorAuth.org - (2FA) 및 모든 관련 정보에 대한 심층 온라인 리소스
 공격자들이 RSA 서버를 침해하고 4천만 명의 직원이 사용하는 2단계 인증 토큰의 보안을 손상시키는 데 사용될 수 있는 정보를 훔쳤다 (register.com, 2011년 3월 18일)
 은행들은 2006년 말까지 2단계 인증을 사용할 것이다, (slashdot.org, 2005년 10월 20일)
 마이크로소프트, 비밀번호 폐기, 마이크로소프트가 향후 윈도우 버전에서 비밀번호를 2단계 인증으로 대체할 준비 중 (vnunet.com, 2005년 3월 14일)

분류:인증 방법
분류:컴퓨터 접근 제어