[리뷰] FIDO2 보안키 구입! 사용 및 활용 후기

블로그 글 올리는게 슬슬 재밌어져서 뭐 올릴까 하다가 최근에 산 것들 위주로 하나씩 올려보기로 했다.

 

한 일주일에 FIDO2 보안키를 구입했다. FIDO1과의 차이는 사실 잘 모른다. FIDO1때는 관심이 없었어서...

 

다만 찾아보니 U2F라는게 뭔가 했더니 FIDO1의 프로토콜 중 하나라고 한다. 

 

제품 설명에 FIDO2 U2F 보안키라고 써있었는데 무슨 의미인지도 모르고 구입해버렸다.

 

모델명은 TrustKey사의 G310H다

 

사실 구입 이유는 딱히 없는데 굳이 만들자면 보안키 하나 쯤 있었으면 해서였다.

 

그렇다고 돈이 남아 도는건 아니고... (그랬으면 지금 글 쓰고있는 할배 맥북은 이미 보내주지 않았을까)

 

아무튼 용도를 정해두고 산건 아니고 사실상 충동구매라 구입하고나서 이걸로 무엇을 할 수 있을까 알아봤다.

 

보안키 셀카

위의 동그란 부분이 지문인식 부분이다. 뒷면에는 FIDO2와 U2F 인증을 받았다고 써있다.

 

애초에 개인(백수) 용도로 나온 물건이 아니다보니 얘를 도대체 어따 써먹어야할까 고민을 많이했다.

 

이것저것 시도도 해보고 했는데 결과적으로 일주일 정도 써본 결과 활용 가능한 곳은 대충 이정도 될 것 같다.

 

용도

• Windows Hello 지문 로그인
  나는 구형 맥북을 사용중이라 지문인식기가 없는데 이 보안키에 지문인식기가 달려있다보니 Windows Hello 지문인식을 사용할 수 있게 됐다. (맥북에서 윈도우 헬로라 흠..)
• 구글 로그인
  일단 가장 FIDO 기술을 선도하는건 역시 티탄 보안키를 만든 이력이 있는 구글! 구글 2단계 로그인에 휴대폰 대신 보안키를 사용할 수 있게 등록했다. 사실 휴대폰은 잃어 버릴수도 있고, 또 오래되다보니 폰이 꺼지는 경우가 많아서... 는 핑계고 그냥 한번 써보고싶었다. 아무튼 좋음! 또 보안키가 2개 있으면 구글 고급 보안도 설정할 수 있어서 내 소중한 구글 계정에 강력한 보안을 걸 수 있다.
• 페이스북 로그인
  사실 페이스북 안한지 3년은 된 것 같은데 보안키 한번 써보겠다고 오랜만에 로그인했다. 아니 사실 계정을 새로 팠다... 깨끗하게... 과거는 사진만 백업해두고 캐삭으로 청산해야겠다.
• GitHub 로그인
  놀랍게도 깃허브에서 FIDO를 지원한다. 심지어 파트너사.. 아마 마이크로소프트가 먹어서 그 영향을 받지 않았을까 하는 생각이 든다.
• MS 로그인
  뭐 윈도우 헬로도 되는데 당연히 MS도 FIDO 로그인을 지원한다.
• 1Password 로그인
  개인적으로 비밀번호 관리에 1Password를 사용중인데 1Password에서 보안키를 사용 가능하다. 실질적으로 쓸모는 없긴 한데 2단계 인증에 OTP 대신 사용 가능하게 되어있다. 단, 처음에 헤멨던 점이 OTP를 등록해야 보안키 메뉴도 활성화 되는 줄 모르고 보안키 2단계 인증은 기업 계정만 지원하나보다 하고 말았다가 혹시나 해서 OTP 먼저 등록 해봤는데 개인도 등록이 가능했다.
• 바이낸스 로그인
  암호화폐 거래소인 바이낸스도 둘러보니까 보안키를 지원한다. 심지어 얘는 세분화해서 출금시만 사용할지 로그인시만 사용할지 등등을 지정할 수 있다. 무시했는데 생각보다 보안에 신경쓰고 있었던 것 같다.
• 번외) AWS 로그인
  사실 내가 AWS를 안써서 써보진 않았지만 가능하다고 한다. 그리고 내가 알기로 요즘 FIDO를 이용해서 SSH 로그인도 가능한 것으로 아는데 그렇다면 GCP에서도 지원하지 않을까 하는 킹리적 갓심이 든다. 내가 TOTP까진 SSH에서 써봤으니 FIDO도 뭐 가능할 것 같다.

 

일단 순수 보안키 용도로 사용한다면 용도는 이정도가 될 것 같다. 많아보이지만 생각보다 별로 쓸데가 없다. 

 

이외에도 GitLab에서 활용한다든지 사파리를 쓸때 많은 사이트에서 FIDO 로그인을 지원한다고 하는데... 난 안써봐서 할말이 없다.

주의사항

 

그리고 추가로 일반적인 버튼식 보안키와 지문인식 보안키를 비교한다면 구입전에 알아둬야 할 사항이 있다.

 

사실 지문인식기로 사용이 가능한 점은 매우 좋다. 그런데 문제는 항상 돈이다.

 

가격차이가 꽤 많이나는데 그걸 감수하면서까지 지문인식을 지원하는 보안키를 사야하느냐는 문제다.

 

경험해본 바에 의하면 지문인식기가 없는 경우가 아니라면 굳이 지문인식 보안키를 사용할 이유는 없을 것 같다.

 

사이트마다 보안 정책이 다 달라서 굳이 지문인식 기능이 없어도 되는 경우가 많다는 게 가장 큰 문제다.

 

사실 FIDO2가 더 보급되고 프로토콜이 잘 정립되면 나아질 문제라고 생각이 든다.

 

(구글이 노력은 하고 있지만 아직 시기상조인듯...)

 

그래도 구글의 경우 일단 지문인식 보안키를 지원한다. 그래서 다른 지문을 찍으면 로그인이 불가능하다.

 

그런데 문제는 다른 사이트들이다. 대부분의 사이트들이 보안키를 지원하긴 하는데 지문인식 보안키를 지원하지 않는 경우가 대다수라 등록되지 않은 지문을 찍어도 일반 보안키처럼 동작하는 경우가 많다.

 

물론 그 보안키가 없으면 안되니 보안상 큰 문제는 없겠지만 지문인식 기능이 필요하냐는 의문이 드는게 사실...

 

대표적인 사이트가 GitHub다. 사실 난 처음에 내 보안키가 이상한 줄 알았는데 사이트 보안 정책이 그러하다면 (사실 정책적으로 일부러 그렇게 한거보단 구현을 안하거나 못한거겠지..) 지문인식 기능을 사용할 수 없다고 한다.

 

추가로 쓸 수 있는 기능은 OTP와 파일 암호화 기능이다. 제조사에서 제공하는 프로그램을 깔면 윈도우와 맥에서 OTP기능을 사용할 수 있고 윈도우에서 파일 암호화(파일 숨김)기능을 사용할 수 있다. 특히 파일 암호화를 지원한다는 점은 꽤 좋은 것 같다. 다만, 프로그램이 조금 불안정하고 어쩌다 보면 지문을 초기화하는 경우가 있는데 이런 경우 암호화 되어있는 파일은 사실상 못찾는다고 봐야한다.

 

OTP 기능은 그냥 보통 사이트에서 흔히 쓰이는 구글 OTP를 의미한다.

 

OTP 프로그램에서 보안키를 이용해 로그인하고 OTP키를 등록하면 구글 OTP처럼 여러 자리의 인증번호가 뜬다. TOTP와 HOTP를 모두 지원하는데 구글 OTP는 TOTP와 HOTP를 모두 지원하므로 보통 구글 OTP를 지원하는 사이트은 물론이고 구버전(HOTP)과 신버전(TOTP) OTP 모두를 지원한다고 보면 된다. 다만 제조사의 OTP 프로그램에 약간의 버그가 있어서 가끔씩 OTP 값이 제대로 안나올때가 있는데 (특히, 동시에 여러 사이트의 OTP를 사용하려는 경우) 시간이 지나거나 껐다키면(?) 해결된다. 

 

사실 그냥 폰에서 구글 OTP 쓰는게 더 편하다.

마무리

여튼 보안키 구입에 후회는 없다. 다만 지문인식 보안키를 살바에 차라리 보안키 두개를 살껄 그랬나..? 하는 약간의 아쉬움은 있다.

 

* 왜 보안키를 두개씩이나? 왜냐하면 구글 고급 보안에는 보안키가 2개 필요하기 때문...

 

그래도 뭐 지문인식기 없는 노트북과 데스크탑에 날개를 달아준 것 같아서 그건 좋은 것 같다.

 

아 그리고 참고로 은행 보안토큰과 FIDO 보안키는 다르다!

 

난 보안토큰으로 쓸수있는 기대를 갖고 또 신한은행 사이트에 접속했다가 빠꾸먹어서 슬펐다. 

 

은행에서 요구하는 보안토큰은 조달청 나라장터(?)에서 판다는데 개인이 사는 물건은 아닌 것 같다... (그만한 돈도 없고..)

 

그런 보안토큰 따위 대신 나에겐 렛저 콜드월렛이 있다구 ^0^

 

[리뷰] 암호화폐 콜드월렛 Ledger Nano X 구입 리뷰 1편! 렛저를 알아보자