믿었던 생체인식 보안, 아직 보완할 점 많네요

홍채인식, 일부만 활용해 해킹 당해

얼굴인식, 쌍둥이 제대로 식별 못 해

아이폰 지문인식은 4년 전에 털려

HSBC는 “사람마다 지문이 다르듯 목소리도 고유하다”며 지난해 음성 인증 거래 시스템을 도입했다.영국 BBC의 댄 시먼스 기자는 자신의 HSBC 계좌에 “제 목소리가 비밀번호입니다(My voice is my password)” 말로 음성 인증 서비스를 등록했지만 댄의 쌍둥이 동생이 댄의 목소리를 흉내 내면서 “My voice is my password”라고 또박또박 말하자 HSBC의 모바일 뱅킹 보안시스템은 “웰컴”이라는 답변과 함께 뚫렸다. 이 장면이 담긴 BBC의 영상은 이달 중순 큰 화제가 됐다.

삼성전자의 최신 스마트폰 갤럭시S8의 홍채인식 기능이 홍채를 찍은 사진을 활용한 방법에 간단히 뚫리는 것으로 알려지자 생체 인증의 보안성에 관심이 높아지고 있다. 그간 삼성전자는 “내 몸이 곧 공인인증서인 시대가 온다”며 다양한 생체인증 방식을 개발해 스마트폰에 적용해 왔다. 갤럭시S8과 S8플러스는 얼굴인식·지문·홍채의 3가지 생체인증 방식을 지원한다.

전문가들은 보안 강도가 홍채, 지문, 얼굴인식 순으로 높다고 설명해왔다. 홍채에는 12만6400개의 고유 패턴이 있어 지구 상에 같은 사람이 없을 정도로 고유성이 뛰어나지만 문제는 제조업체들이 이런 고유 패턴 중 일부만 활용한다는 점이다. 익명을 요구한 한 전문가는 “홍채의 고유 패턴을 50%만 활용해도 인증 장치는 뚫기가 힘든데 패턴 인식률이 낮은 상태에서 다소 성급히 상용화했다”고 지적했다.

지문은 보안성이 더 떨어진다. 이번에 갤럭시S8의 홍채인식을 뚫은 독일 해커들은 이미 2013년 아이폰5S의 지문인증을 뚫었다. 아이폰 화면 표면에서 지문을 채취한 뒤 투명 시트에 채취한 지문을 프린트했다. 그런 후 손가락에 이 시트를 붙이고 홈버튼에 갖다 대는 방식으로 보안 장벽을 넘어섰다.

갤럭시S8에 첫 적용된 안면 인증 역시 쌍둥이나 외모가 매우 닮은 사람의 얼굴을 식별하지 못하는 약점이 있다.

소비자들도 스마트폰 잠금과 금융 결제 과정에서 생체인증, 비밀 번호 등 최소 두가지 이상의 보안 절차를 걸어놓는 편이 좋다. 

갤럭시s8 홍채 인증 너무 어이없이 뚫리고 말았습니다.

결국 소비자들이 자신의 인증 정보에 대한 보안에 신경 써야만 하는데 전문가들은 2가지 이상 인증수단을 이용하라고만 합니다.

이번 갤s8의 홍채 인증 해킹을 보고 느낀 건 너무 빠르게 기술들을 적용하는건 아닌지 하는 겁니다. 좀더 테스트를 해야만 하는데 스마트폰 시장이 레드오션이 되는 바람에 그런 단계가 없이 무조건적인 신기술 적용만 하는 듯 합니다.

결국 보안은 소비자들의 몫으로 돌려지게 된듯 합니다.