보안 질문

보안 질문(security question)은 공유 비밀의 한 형태로 인증자로 사용된다. 이는 일반적으로 은행, 케이블 회사 및 무선 통신 사업자가 추가 보안 계층으로 사용한다.

 역사 
금융기관은 적어도 20세기 초부터 고객을 인증하기 위해 질문을 사용해왔다. 1906년 미국 은행가 협회의 한 섹션 회의 연설에서 볼티모어 은행가 윌리엄 M. 헤이든은 고객 서명 기록을 보완하기 위한 보안 질문 사용에 대해 설명했다. 그는 고객의 출생지, "거주지", 어머니의 결혼 전 성, 직업, 연령을 기입할 수 있는 새 은행 계좌 개설에 사용되는 서명 카드를 설명했다.

헤이든은 이러한 항목 중 일부가 종종 비어 있었고 "거주지" 정보는 주로 고객과 연락하는 데 사용되었지만, 어머니의 결혼 전 성은 "강력한 신분 확인"에 유용하다고 언급했다. 그는 고객의 가족이 아닌 사람이 고객 계좌에서 돈을 인출하려고 시도하는 경우는 드물다고 보았지만, 어머니의 결혼 전 성은 가족 외에는 거의 알려지지 않았고 계좌를 개설하는 사람들조차 "이 질문에 종종 준비되지 않았다"는 점에서 확인에 유용하다고 말했다.William M. Hayden (1906), Systems in Savings Banks, The Banking Law Journal, volume 23, page 909. 마찬가지로, 현대적인 관행에 따라 신용카드 제공자는 분실된 카드의 재발급 전에 고객의 어머니의 결혼 전 성을 요청할 수 있다.

2000년대에 보안 질문은 인터넷에서 널리 사용되었다. 셀프 서비스 비밀번호 재설정의 한 형태로서 보안 질문은 정보기술 헬프 데스크 비용을 줄여주었다. 보안 질문을 온라인에서 사용할 수 있게 함으로써, 키로깅 및 무차별 대입 추측 공격 뿐만 아니라 피싱에도 취약해진다. 또한, 인간 고객 서비스 담당자는 부정확한 보안 답변을 적절하게 처리할 수 있지만, 컴퓨터는 덜 능숙하다. 따라서 사용자는 제공한 답변의 정확한 철자와 때로는 대소문자까지 기억해야 하며, 이는 더 많은 답변이 기록되어 물리적 도난에 노출될 위험을 초래한다.

 적용 
소셜 미디어의 보편성으로 인해 많은 오래된 전통적인 보안 질문은 더 이상 유용하거나 안전하지 않다. 보안 질문은 암호 메커니즘의 또 다른 형태일 뿐이다. 따라서 보안 질문은 다른 사람과 공유해서는 안 되며, 소셜 미디어 웹사이트에서 쉽게 얻을 수 있는 정보를 포함해서도 안 된다. 동시에 간단하고 기억하기 쉬우며 추측하기 어렵고 시간이 지나도 변하지 않아야 한다. 모든 질문이 모든 사람에게 적합하지는 않다는 것을 이해하고, RSA(미국 네트워크 보안 제공업체, EMC 코퍼레이션의 한 부서)는 은행에 150가지 질문을 제공한다.

많은 사람들이 보안 질문의 유용성에 의문을 제기해 왔다.Robert Lemnos, Are Your "Secret Questions" Too Easily Answered?, MIT Technology Review, May 18, 2009 (retrieved 21 May 2015)Victor Luckerson, Stop Using This Painfully Obvious Answer For Your Security Questions, Time Magazine, 21 May 2015 (retrieved 21 May 2015)Elie Bursztein, New Research: Some Tough Questions for ‘Security Questions’, 24th International World Wide Web Conference (WWW 2015), Florence, Italy, May 18 - 22, 2015; Google Online Security Blog, 21 May 2015 (retrieved 21 May 2015) 보안 전문가 브루스 슈나이어는 보안 질문이 개인에 대한 공개적인 사실이므로 해커가 암호보다 추측하기 쉽다고 지적한다. 이를 아는 사용자들은 질문에 가짜 답변을 만들고, 그 답변을 잊어버려 목적을 달성하지 못하고 투자할 가치가 없는 불편함을 초래한다.

 같이 보기 
 인지 암호
 지식 기반 인증
 비밀번호 피로

 각주 

분류:인증 방법
분류:은행업 기술
분류:컴퓨터 접근 제어