By LILY HAY NEWMAN, WIRED US

계정 로그인을 할 때 패스워드가 전혀 필요 없는 시대가 다가오려면 멀었으나 이제 마이크로소프트 계정에는 패스워드가 사라진다. 9월 15일(현지 시각), 마이크로소프트가 이미 패스워드가 없는 로그인 기능을 제공 대상을 기업 고객에서 모든 사용자로 확대한다고 발표했다.

다음 몇 주간 마이크로소프트는 마이크로소프트 인증(Microsoft Authenticator) 앱과 윈도 운영체제의 생체 인증 기반 헬로 로그인 서비스 지원 배포를 시작할 계획이다. 이제 패스워드 없는 로그인 기능을 사용하기 위해 로그인 설정을 해 지문이나 얼굴 인식 등 생체 인증 기능이나 하드웨어 인증 토큰, 휴대폰 혹은 이메일에 전송되는 검증 토큰을 기존 패스워드 대체 수단으로 이용할 수 있다. 새로운 로그인 방식은 이전과 같이 새로운 로그인 시스템과 마이크로소프트 계정 소유자 10억여 명이 오피스365와 원드라이브 등 마이크로소프트 서비스에 접근하도록 한다.

마이크로소프트 보안 및 규정 준수, 신원, 관리 부사장인 바수 자칼(Vasu Jakkal)은 “사이버 공격 건수 증가의 원인은 신원과 패스워드 탈취이다. 보안 옹호 기업인 마이크로소프트는 사이버 공격 보안 대응에 어려움이 있었다. 패스워드가 없어진 현재 보안 수준이 강화될 것이며 로그인도 훨씬 더 수월해질 것이다. 강력한 보안 조치이다“라고 말했다.
 
패스워드 제거 계획은 (개인을 확인할 수 있는) 생체 인증 정보나 사용자가 보유한 하드웨어 보안 키를 사용해 계정 주인이 맞다는 사실을 확인한다. 다시 말해, 사용자의 신원을 인증하는 것이다. 반면, 패스워드는 계정 접속을 시도하는 사용자가 아는 것을 이용한다. 타인이 로그인 정보를 알게 되거나 추측할 때 문제가 된다. 그러나 패스워드 제거 계획은 사용자 스마트폰에 전송하는 보안 코드를 이용해도 사용자가 알고 있는 정보 확인보다는 사용자가 보유한 것을 이용해 인증한다. 특정한 일시적인 시간에 사용자의 스마트폰에 접근해야 하기 때문이다.

마이크로소프트가 선보인 로그인 개념 변화 덕분에 패스워드 제거 계획이 여러모로 이전보다 더 보안 수준이 훌륭하지만, 대부분 수십 년 동안 사용해온 패스워드에 익숙해졌다. 이 때문에 마이크로소프트의 패스워드 제거 계획이 보안을 지원하는지 확신하기 어렵다. 별도로 시간을 투자해 패스워드 매니저를 설정했다면, 어찌 되었든 여러 강력한 보안 수단이 완전히 사라지는 것처럼 느낄 수도 있다. 패스워드가 없는 로그인은 너무 쉽게 사용할 수 있어 기존 패스워드 입력 방식보다 보안 수준이 낮다고 느낄 수도 있다. 패스워드가 없는 로그인 과정에는 단순히 안면 인식 기능을 위해 웹캠을 응시하거나 USB 포트에 유비키(YubiKey)를 장착하기만 하면 되기 때문이다.

마이크로소프트 내부에서도 패스워드 입력 방식에 몇 가지 보안 단계를 추가하는 대신 패스워드 자체를 제거한 대체 구조 설계와 구축을 완료하는 데 수년이 걸렸다.

마이크로소프트 최고 정보 보안 관리자인 브렛 아스놀트(Bret Arsenault)는 “2017년에 처음으로 다중 인증 방식 대신 패스워드를 제거한 로그인 방식 도입을 논의하기 시작했다. 당시 회의실에 앉아 패스워드 제거 계획이 마케팅을 고안할 정도로 가치가 있는가 고민했다. 그리고, 패스워드 제거에 성공한 뒤 차별화를 둘 방법도 고민했다. 순간 로그인 방식 변경과 관련된 생각이 불현듯 머릿속을 스쳐 지나갔다”라고 말했다.

마이크로소프트는 기업용 배포를 통해 패스워드 없는 로그인 기능을 사용하는 고객사 2억여 곳을 두고 있다고 밝혔다. 마이크로소프트 이외에 다른 테크 업계 대기업도 패스워드를 사용하지 않는 대체 로그인 방식을 제공하고 있다. 그러나 윈도와 오피스365를 기업 고객과 개인 고객 모두 보편적으로 사용한다는 사실을 고려하면, 마이크로소프트의 이번 결정이 특히 큰 영향력을 지닐 것이다.

마이크로소프트의 패스워드를 영구적으로 제거하고자 한다면, 마이크로소프트 인증 앱을 다운로드하고 앱을 마이크로소프트 계정과 연결하라. 그다음에 account.microsoft.com에 접속하고 ‘로그인’을 선택한 뒤 ‘강화 보안 옵션(Advanced Security Options)’을 찾아라. ‘추가 보안(Additional Security)’ 옵션에서 ‘패스워드리스 계정(Passwordless Account)’을 찾고 ‘활성화하기(Turn on)’를 선택하라. 이후 명령에 따라 인증 앱에서 변경 사항을 승인하면 된다.

패스워드 제거 과정이 완전히 끝났다. 패스워드 제거 과정을 번복하고자 한다면, 패스워드 추가 옵션으로 돌아가면 된다. 그런데 패스워드를 다시 사용하고자 하는 이가 있을까?

아스놀트는 “모든 사용자가 패스워드를 싫어한다고 생각할 수 있다. 그러나 패스워드 기능을 매우 좋아하는 한 집단이 있다. 바로 사이버 범죄 집단이다”라고 언급했다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
You Can Now Ditch the Password on Your Microsoft Account