보안 키: PIN 없이 사이트별 제어 가능

단순한 수도꼭지의 함정

보안 키를 손에 쥐고 있으면 모든 가능한 공격 경로를 차단했다고 생각하게 됩니다. 하지만 이에 따르면 CISA 공식 문서, 피싱보안 로그인은 신원 확인의 황금기로 여겨집니다.

대부분의 사용자가 모르는 사실은 주요 제조업체의 기기는 간단한 터치만으로 바로 사용할 수 있다는 점입니다. 기술 설명서에 따르면, 유비코기본적으로 PIN 번호가 설정되어 있지 않습니다. 따라서 누군가 열쇠를 찾거나 훔치면 즉시 접근할 수 있습니다.

이 기능은 FIDO2 프로토콜의 사용자 존재 감지 수준에 해당합니다. 키는 누가 키를 만졌는지 제어하는 ​​것이 아니라, 단순히 사람이 기기 앞에 있었는지 여부를 확인하는 역할을 합니다.

PIN 번호는 누가 정하나요?

PIN을 수동으로 설정하더라도 로그인 시 PIN을 요구하는 것이 보편적인 것은 아닙니다. tokenxnumx 문서상으로 결정권은 전적으로 사용자에게 서비스를 제공하는 웹사이트 또는 서비스에 있습니다.

로그인 시 서비스는 userVerification이라는 매개변수를 설정합니다. 이 값이 '권장하지 않음'으로 설정되어 있으면 PIN 입력 기능이 활성화되어 있더라도 시스템에서 PIN을 요구하지 않습니다.

Yubico의 Enhanced PIN 시리즈나 Token2의 R3.3 펌웨어처럼 일부 제조업체는 처음부터 PIN을 필수로 요구합니다. 그 외의 경우에는 보안 설정이 사용자에게 달려 있습니다.

나만의 규칙을 정하는 방법

웹사이트 선택 단계를 건너뛰는 한 가지 방법은 alwaysUV(항상 사용자 인증 필요) 기능을 활성화하는 것입니다. 이 설정을 사용하면 서비스에서 요구하는 내용과 관계없이 키에서 PIN을 입력하도록 강제할 수 있습니다.

에 따르면 유비코 명령어 가이드해당 관리 도구를 사용하여 명령줄을 통해 개입할 수 있습니다. Nitrokey와 같은 다른 제조업체들도 최신 소프트웨어 버전에 이 기능을 점차 통합하고 있습니다.

하지만 거의 언급되지 않는 심각한 위험이 있습니다. PIN을 8번 연속으로 잘못 입력하면 FIDO 표준에 따라 자동으로 재설정되어 저장된 모든 자격 증명이 삭제되고 서비스 이용이 차단됩니다.

TechNoid의 의견

활성화된 PIN이 없는 보안 키를 구입하는 것은 금고를 사놓고 문을 열어두는 것과 같습니다. 제조업체들은 사용자 경험을 위해 보안을 희생하면서까지 더 강력한 인증 절차를 거치지 않고 바로 사용할 수 있는 키를 출하하는 실수를 저지릅니다.

Αν επενδύεις σε φυσική ασφάλεια, μην εμπιστεύεσαι τις εργοστασιακές ρυθμίσεις. Μπες αμέσως στο λογισμικό διαχείρισης της συσκευής σου, όρισε ένα αξιόπιστο PIN, ενεργοποίησε το alwaysUV όπου υποστηρίζεται και —το κυριότερο— αγόρασε οπωσδήποτε ένα δεύτερο κλειδί για 백업. Μια αποτυχημένη προσπάθεια ανάκτησης χωρίς εφεδρεία σημαίνει ψηφιακή απομόνωση.