2단계 인증
도메인·결제·호스팅 계정을 만들 때 제일 먼저 켜요. 비밀번호 하나만 믿고 있다가 계정 하나가 털리면 서비스 전체를 잃어요.
쉽게 말하면
가게 금고를 생각해 보세요. 번호를 돌려서 여는 금고는 번호를 아는 사람이면 누구나 열 수 있어요. 그래서 중요한 금고는 번호를 맞춘 다음 열쇠까지 꽂아야 열리게 만들어요. 번호는 새어 나갈 수 있지만, 열쇠는 사장님 주머니에 있으니까요. 2단계 인증이 딱 이거예요. 비밀번호는 "아는 것"이고, 휴대폰은 "가진 것"이에요. 둘 다 있어야 문이 열려요.
켜 두면 로그인할 때 비밀번호 다음에 한 가지를 더 물어봐요. 보통은 휴대폰에 뜨는 여섯 자리 숫자예요.
이게 왜 중요하냐면, 비밀번호는 사장님 잘못 없이도 새요. 몇 년 전 가입한 사이트가 털리면 거기 쓴 비밀번호가 목록으로 유통되고, 누군가 그 목록을 다른 사이트에 자동으로 넣어 봐요. 그때 2단계 인증이 켜져 있으면, 비밀번호가 맞아도 휴대폰이 없어서 못 들어와요.
비밀번호가 어디선가 새는 순간 남의 계정이 돼요. 새는 걸 사장님이 막을 방법은 없어요.
비밀번호가 새도 휴대폰까지는 못 가져가요. 사고가 나도 여기서 끊겨요.
어디에 제일 먼저 켜야 하나
계정 전부에 한 번에 켜려고 하면 시작을 못 해요. 서비스의 목숨줄이 되는 계정부터 순서대로 켜면 돼요. 아래가 그 순서예요.
| 계정 | 털리면 무슨 일이 생기나 | 순서 |
|---|---|---|
| 업무 이메일 | 다른 모든 계정의 비밀번호를 여기로 재발급받을 수 있어요. 사실상 마스터키예요 | 1번 |
| 도메인 회사 계정 | 가게 주소가 남의 손에 넘어가요. 손님이 엉뚱한 사이트로 가고, 되찾는 데 오래 걸려요. 도메인에서 이어져요 | 2번 |
| 결제사 계정 | 정산 계좌를 바꿔치기당할 수 있어요. 돈이 직접 나가는 자리예요 | 3번 |
| 호스팅·배포 계정 | 서비스를 통째로 끄거나 지울 수 있어요. 호스팅 계정도 같은 무게예요 | 4번 |
| 내 서비스 관리자 화면 | 손님 명단과 주문 기록이 넘어가요. 손님에게 알릴 의무가 생길 수 있어요 | 5번 |
왜 이메일이 1번인가
다른 계정이 털리면 이메일로 되찾을 수 있어요. 그런데 이메일이 털리면 되찾기 메일이 전부 도둑에게 가요. 그래서 이메일에 2단계 인증을 켜는 것이 나머지 전부를 지키는 일이에요. 오늘 하나만 켠다면 무조건 이메일이에요.
켜는 방법은 세 가지예요
두 번째 확인을 무엇으로 하느냐에 따라 세 가지가 있어요. 어느 것이든 안 켠 것보다 훨씬 나아요. 고르다가 미루는 게 제일 나쁜 선택이에요.
| 방식 | 어떻게 확인하나 | 장점과 약점 |
|---|---|---|
| 문자 인증번호 | 휴대폰 문자로 숫자가 와요 | 설정이 제일 쉬워요. 다만 휴대폰 번호를 가로채는 수법이 있어서 셋 중에는 가장 약해요 |
| 인증 앱 | 휴대폰 앱이 30초마다 새 숫자를 만들어요 | 인터넷 없이도 되고 번호 가로채기가 안 통해요. 대부분의 사장님에게 이게 정답이에요 |
| 실물 보안 키 | USB처럼 생긴 열쇠를 꽂거나 대요 | 가장 강해요. 다만 사서 들고 다녀야 해서, 규모가 커진 뒤에 고려해도 늦지 않아요 |
- 1계정 설정에서 보안 메뉴를 찾아요. "2단계 인증", "이중 인증", "2FA" 중 하나로 적혀 있어요. 대부분의 도메인 회사·결제사·이메일에 있어요.
- 2방식을 골라요. 인증 앱이 있으면 앱으로, 아직 없으면 일단 문자로 켜요. 나중에 앱으로 바꾸면 돼요.
- 3화면의 네모난 코드를 인증 앱으로 찍어요. 그 순간부터 앱이 그 계정의 숫자를 만들기 시작해요.
- 4복구 코드를 종이에 적어 보관해요. 켜는 과정에서 한 번만 보여 주는 예비 열쇠예요. 휴대폰을 잃어버렸을 때 이걸로 들어와요.
- 5로그아웃했다가 다시 들어와 봐요. 숫자를 물어보면 제대로 켜진 거예요.
복구 코드는 종이가 좋아요
복구 코드를 휴대폰 메모장에 저장하면, 휴대폰을 잃어버리는 순간 코드도 같이 잃어요. 종이에 적어서 집이나 금고에 두세요. 인터넷으로 훔칠 수 없는 곳이 예비 열쇠의 자리예요.
실제로 이런 일이 생겨요
장면 하나 · 휴대폰을 바꾼 다음 날
“폰을 새로 샀는데 도메인 회사에 로그인이 안 돼요. 인증 앱이 새 폰에 없어요.”
인증 앱은 폰을 바꿀 때 자동으로 안 따라와요. 옛 폰이 아직 손에 있으면 앱의 이사 기능으로 옮기면 되고, 이미 없앴다면 종이에 적어 둔 복구 코드로 들어가서 새 폰을 다시 등록해요. 폰을 바꾸기 전에 인증 앱 옮기기를 일정에 넣어 두면 이 장면 자체가 안 생겨요.
장면 둘 · 밤에 온 문자
“로그인 인증번호 [382914]. 본인이 아니면 무시하세요. 이런 문자가 왔는데 저는 로그인한 적이 없어요.”
누군가 사장님 비밀번호를 이미 알고 있다는 신호예요. 2단계 인증이 그 사람을 문 앞에서 막은 거고요. 번호는 절대 아무에게도 알려 주지 말고, 그 계정 비밀번호를 바로 바꾸세요. 다른 곳에 같은 비밀번호를 썼다면 그쪽도요. 이어지는 대처는 사고가 났을 때에 있어요.
두 번째 장면에는 함정이 하나 더 있어요. "인증번호를 불러 달라"는 전화나 문자는 전부 사기예요. 정상적인 회사는 어떤 경우에도 그 숫자를 묻지 않아요.
자주 묻는 것
- Q. 로그인할 때마다 숫자를 넣어야 하나요? 너무 귀찮을 것 같아요
- 대부분의 서비스는 "이 기기 기억하기"를 눌러 두면 같은 컴퓨터에서는 한동안 다시 안 물어봐요. 실제로 번거로운 건 처음 켜는 날 하루 정도예요. 낯선 기기에서 들어올 때만 물어보니까, 그게 바로 도둑을 거르는 순간이에요.
- Q. 비밀번호를 길고 어렵게 쓰면 2단계 인증은 없어도 되지 않나요?
- 아니에요. 비밀번호는 사장님이 아니라 가입한 사이트가 털려서 새는 경우가 많아요. 아무리 길어도 통째로 새면 소용이 없어요. 긴 비밀번호와 2단계 인증은 서로 대신하는 게 아니라 같이 쓰는 거예요. 비밀번호 쪽 이야기는 비밀번호 관리하기에 있어요.
- Q. 문자로 받고 있는데 인증 앱으로 꼭 바꿔야 하나요?
- 급하지 않아요. 문자도 안 켠 것보다 훨씬 강해요. 다만 휴대폰 번호를 통신사에서 가로채는 수법이 실제로 있어서, 시간이 날 때 1번 계정인 업무 이메일부터 인증 앱으로 바꿔 두면 좋아요.
- Q. 직원에게 계정을 나눠 줄 때는 어떻게 하나요?
- 직원마다 자기 계정을 만들고 각자 자기 휴대폰으로 2단계 인증을 켜게 해요. 계정 하나를 여럿이 쓰면 인증 숫자를 서로 불러 주게 되는데, 그 순간 2단계 인증의 의미가 사라져요.
- Q. 서비스에 넣는 API 키에도 2단계 인증을 거나요?
- API 키는 프로그램이 쓰는 열쇠라 숫자를 넣는 단계가 없어요. 대신 그 키를 발급해 주는 계정에 2단계 인증을 켜는 거예요. 키 자체를 지키는 법은 API 키에서 다뤄요.
확인해 보세요
오늘 시간이 10분뿐이에요. 어느 계정에 2단계 인증을 먼저 켤까요?
하나 더
결제사라며 전화가 와서 "본인 확인을 위해 방금 문자로 간 인증번호를 불러 달라"고 해요. 어떻게 할까요?
직접 해보기
내 계정의 로그인 방식을 확인해 보세요
바이브캠퍼스 계정에 지금 어떤 방식으로 들어와 있는지 눈으로 확인해 보세요. 그리고 오늘 업무 이메일 하나만 골라서 2단계 인증을 켜 보세요. 10분이면 끝나요.
내 계정 열기더 깊이 (안 읽어도 괜찮아요)
여섯 자리 숫자는 어디서 오나 · 인증 앱을 등록할 때 화면의 네모난 코드를 찍는 순간, 그 계정과 사장님 휴대폰이 같은 비밀 씨앗을 나눠 가져요. 그 뒤로는 서로 통신하지 않아도, 씨앗과 현재 시각을 섞어서 30초마다 같은 숫자를 각자 만들어요. 서버는 자기가 만든 숫자와 사장님이 넣은 숫자가 같은지만 봐요. 그래서 비행기 모드에서도 숫자가 뜨고, 30초가 지나면 옛 숫자는 못 써요.
금고 비유가 다른 점 하나 · 금고 열쇠는 훔치면 그대로 쓸 수 있지만, 인증 숫자는 30초짜리라 훔쳐도 금방 죽어요. 대신 다른 약점이 있어요. 사장님을 속여서 그 30초 안에 숫자를 받아내는 것, 즉 사람을 노리는 거예요. 그래서 기술이 아니라 "그 숫자는 아무에게도 말하지 않는다"는 습관이 마지막 방어예요.
비밀번호 없는 로그인으로 가는 중이에요 · 요즘은 지문이나 얼굴로 로그인하는 방식이 퍼지고 있어요. 기기 안의 열쇠로 확인하기 때문에 훔칠 비밀번호 자체가 없고, 방식 안에 두 번째 확인이 이미 들어 있어요. 다만 모든 서비스가 지원하기까지는 몇 년이 걸려서, 그동안 사장님이 할 일은 그대로예요. 중요한 계정에 2단계 인증을 켜 두는 것이요.
이것만 기억하세요
- ·2단계 인증은 "아는 것"에 "가진 것"을 더하는 잠금이에요. 비밀번호가 새도 여기서 끊겨요
- ·업무 이메일, 도메인, 결제사, 호스팅 순서로 켜요. 오늘 하나만 켠다면 이메일이에요
- ·방식은 인증 앱이 정답이지만, 고르다 미루지 말고 문자라도 지금 켜요
- ·복구 코드는 종이에 적어 보관해요. 휴대폰을 바꾸기 전에 인증 앱부터 옮겨요
- ·인증 숫자를 물어보는 전화와 문자는 전부 사기예요. 절대 불러 주지 않아요