SSO 모듈 4- 온라인 보안 강화: 2FA, 그 한계, 그리고 SIM 스와핑의 위협 살펴보기

웹3에서는 강력한 보안 조치를 보장하는 것이 가장 중요합니다.

그중 하나가 2단계 인증(2FA)으로, 사용자 계정과 거래에 추가적인 보호 계층을 더합니다.

이 과정에서는 웹3에서 2FA의 작동 방식을 살펴보고, 그 한계를 검토하며, 날로 커지는 SIM 스와핑의 위협을 조명합니다.

웹3에서의 2FA 이해하기

2단계 인증은 사용자가 계정에 접근하기 위해 두 가지 서로 다른 인증 요소를 제공해야 하는 보안 메커니즘입니다.

목표는 비밀번호 도난과 같은 단순한 수법으로 자금이 순식간에 빠져나갈 위험을 줄여 자금을 최대한 안전하게 보호하는 것입니다.

이러한 인증 요소는 세 가지 범주로 나뉩니다:

1. 알고 있는 것: 비밀번호, PIN 또는 보안 질문이 포함됩니다.
2. 가지고 있는 것: 스마트폰이나 하드웨어 토큰처럼 시간에 민감한 코드를 생성하는 물리적 장치입니다.
3. 본인 자체: 지문이나 얼굴 인식과 같은 생체 데이터입니다.

web3 영역에서 2FA의 가장 일반적인 적용은 비밀번호(알고 있는 것)와 스마트폰 앱에서 생성된 시간에 민감한 코드(가지고 있는 것)를 결합하는 것입니다.

출처: Swoopnow

이 동적 코드는 몇 초마다 변경되므로 공격자가 비밀번호를 입수했더라도 무단 접근이 매우 어렵습니다.

2FA는 중앙화 거래소(CEX)의 표준 관행이며, KYC만큼 중요한 필수 과정입니다.

CEX는 종종 자체 “인증기”를 개발하며, 예를 들어 Binance Authenticator는 QR 코드와 16자리 키로 계정에 접근할 수 있게 합니다.

출처: Binance

2FA의 한계

효과적임에도 불구하고 2FA에는 몇 가지 한계가 있습니다:

1. 피싱 공격: 사용자가 가짜 웹사이트나 이메일을 통해 자격 증명을 노출하도록 속으면 2FA가 무단 접근을 완전히 막지 못할 수 있습니다.
2. 기기 의존성: 2FA를 단일 기기에 의존하면 단일 장애점이 생길 수 있습니다. 기기를 분실하거나 기술적 문제가 발생하면 사용자가 계정에 접근하지 못할 수 있습니다.
3. 사회공학: 숙련된 공격자는 고객 서비스 담당자를 조종해 사용자의 2FA를 새 기기로 이전하게 하여 무단 접근 권한을 얻을 수 있습니다. SIM 스와핑의 위협

web3 분야에서 SIM 스와핑은 중대한 위협으로 떠올랐습니다.

SIM 스와핑은 악의적인 행위자가 사용자의 이동통신사 설득하여 전화번호를 공격자가 통제하는 새 SIM 카드로 이전하게 하는 수법입니다.

이것이 달성되면 공격자는 SMS로 전송된 2FA 코드를 가로챌 수 있습니다.

출처: SimSwapLaw

web3 맥락에서 SIM 스와핑의 영향은 심각합니다.

공격자가 피해자의 전화번호를 장악하면 2FA를 우회하여 암호화폐 지갑, dApp 및 기타 민감한 계정에 접근할 수 있습니다.

이로 인해 많은 개인이 상당한 재정적 손실을 입었습니다.

2018년, 암호화폐 투자자 Michael Terpin은 23.8백만 달러에 달하는 SIM 스와핑 공격의 피해자가 되었습니다. 2021년 10월, Coinbase 공개했습니다 사이버 범죄자들이 2FA 시스템 침해로 인해 SIM 스와핑을 통해 최소 6,000명의 사용자로부터 암호화폐를 불법적으로 탈취했다는 점입니다.

“Web3의 인기가 높아지고 더 많은 사람이 업계로 유입되면서, 상대적으로 낮은 기술적 요구 사항 때문에 SIM 스와핑 공격 가능성도 커집니다.”라고 최근 블록체인 보안 기업 Slowmist의 CISO가 말했습니다. CoinTelegraph.

지난 몇 주간 암호화폐 업계에서 잇따른 SIM 스와핑 공격은 그 말이 사실임을 입증했습니다.

2023년 6월 이후, 30개 이상의 암호화폐 프로젝트가 SIM 스와핑 공격의 표적이 되었으며, 이 공격은 Twitter 계정을 탈취해 지갑 드레이너를 게시하는 데 사용됩니다. 단 한 번의 공격에서 최소 $765K 상당의 NFT가 도난당했으며, Gutter Cat Gang Twitter 계정이 해킹당했습니다. through sim swapping.

출처: Matt Medev, NFT Now 공동 창립자 겸 CEO 및 EIC

위협 완화

SIM 스와핑과 관련된 위험에 대응하고 web3의 보안을 강화하기 위해 몇 가지 조치를 취할 수 있습니다:

1. 인증 앱: Google Authenticator나 Authy 같은 전용 2FA 앱을 사용하면 오프라인으로 코드가 생성되어 SIM 스와핑에 대한 취약성이 줄어듭니다.
2. 휴대폰 번호 외에 인증 시스템을 사용할 생각이 없다면:

• 최소한 휴대폰 번호를 가능한 한 적은 사람에게만 공개하고, Linkedin을 포함한 소셜 미디어에는 절대 공개하지 않아야 합니다. 또한 휴대폰 번호를 찾는 데 사용될 수 있는 이름, 주소, 생년월일 같은 개인 정보도 보호해야 합니다.
• 구현할 수 있는 최선의 전략은 오직 본인 인증만을 전담하는 SIM을 보유하는 것입니다. 해당 SIM의 전화번호는 본인 외 누구에게도 공개되지 않아야 합니다.

3. 하드웨어 토큰: YubiKey 같은 하드웨어 기기는 2FA 코드를 생성하는 물리적 수단을 제공하며 SIM 스와핑에 영향을 받지 않습니다.

4. 다중 서명 지갑: 다중 서명 지갑을 사용하면 추가 보안 계층이 더해져 거래를 승인하기 위해 여러 기기나 당사자가 필요합니다.

5. 거래 2FA: Nefture에서는 모든 거래를 알려주고, 검증을 요청하며, 관련된 잠재적 위험을 알려주는 2FA 거래 시스템을 개발했습니다.

거래를 모니터링하고 잠재적 위험을 실시간으로 식별하는 고급 알고리즘을 통해 거래 패턴, 블록체인 데이터, 과거 데이터를 분석하여 이상 징후, 사기 활동, 의심스러운 행동을 탐지함으로써, 사용자는 참여하려는 각 거래에 관련된 위험을 미리 경고받고 실시간으로 적절한 조치를 취할 수 있습니다.

결론적으로, 2FA는 web3 환경에서 보안을 크게 강화하지만, 그 한계와 SIM 스와핑의 다가오는 위협은 무시할 수 없습니다.

최대한의 보호를 보장하려면 사용자는 인증 앱과 하드웨어 토큰 사용과 같은 모범 사례를 채택해야 합니다.

web3가 계속 진화함에 따라, 새로운 위협과 취약점에 대응하기 위해 우리의 보안 조치도 함께 진화해야 합니다.

요약

축하합니다! 모듈 4 - Web3 보안 강화: 2FA, 그 한계, SIM 스와핑의 위협 탐구를 완료했습니다

학습 내용을 복습해 봅시다:

Web3의 2FA: 2단계 인증(2FA)은 계정 접근 시 두 가지 서로 다른 인증 요소를 사용하는 보안 방식입니다.

• 유형:
• 지식 (예: 비밀번호)
• 소유 (예: 시간 기반 코드를 생성하는 스마트폰)
• 존재 (예: 지문).
• 적용: web3에서는 비밀번호와 스마트폰에서 생성되는 동적 코드를 함께 사용하는 방식이 일반적입니다.

중앙화 거래소(CEX)와 2FA: CEX는 2FA를 폭넓게 사용합니다. 예를 들어 Binance는 QR 코드와 키를 사용하는 자체 “인증기”를 운영합니다.

2FA의 한계:

• 피싱 공격에 취약합니다.
• 기기 의존성: 기기를 분실하거나 오작동하면 사용자가 접속하지 못할 수 있습니다.
• 사회공학: 공격자가 조작적 수법으로 2FA를 우회할 수 있습니다.

SIM 스와핑:

• 위협: 공격자가 이동통신사를 속여 피해자의 전화번호를 이전한 뒤 SMS로 전송되는 2FA 코드를 가로챕니다.
• 영향: 2FA를 우회하면 지갑, dApp, 민감한 계정에 무단 접근이 가능해집니다.
• 주요 사례: 2018년 투자자 Michael Terpin이 $23.8 million을 도난당했고, 2021년에는 Coinbase의 2FA 시스템 침해로 6,000명의 사용자가 영향을 받았습니다.

이 글은 다음의 후원으로 제공됩니다: