마이크로소프트가 자사 인증앱에 '숫자 일치' 인증 기능을 출시했다. 마이크로소프트는 해당 기능을 통해 최근 유행하고 있는 다중인증(MFA) 피로 공격을 막을 수 있다고 설명했다.
마이크로소프트는 지난 25일(현지시간) 자사 인증 앱 '마이크로소프트 오센티케이터(Microsoft Authenticator)' 보안 기능에 '숫자 일치(Number matching)' 기능을 공식 출시했다고 밝혔다. 그동안 해당 기능은 퍼블릭 프리뷰 버전으로 제공됐다.
마이크로소프트는 2023년 2월 말에, 모든 오센티케이터 사용자가 숫자 일치 기능을 사용할 수 있도록 할 것이라고 밝혔다.
사용자는 오센티케이터 앱을 사용해 MFA 푸시 알림에 응답하면 번호가 나타난다. 해당 번호를 앱에 입력하면 승인이 완료된다.
마이크로소프트는 해당 기능을 통해 MFA 피로 공격을 통한 우발적인 승인을 막을 수 있다고 설명했다. MFA 피로 공격은 최근 많이 발생하고 있는 공격으로, 계정 소유자의 모바일 장치로 MFA 푸시 요청을 끊임없이 시도해 계정 소유자가 실수로 '승인' 버튼을 클릭하게 만드는 공격 방식이다.
최근 엔비디아, 삼성전자, LG전자, 마이크로소프트, 옥타 등 글로벌 대형 IT 기업을 연달아 해킹한 해커그룹 랩서스도 해당 공격 방식을 활용한 것으로 알려졌다.
마이크로소프트는 우발적인 승인을 줄이는 또 다른 방법으로 '추가 컨텍스트'를 제공한다.
인증자 알림에서 로그인하려는 사용자의 애플리케이션과 IP 주소를 기반으로 한 위치 정보를 함께 보여줘, 사용자가 로그인을 시도하는 사람이 자신인지 혹은 해커에 의한 것인지 쉽게 알 수 있도록 한다.
사용자경험(UX)도 업데이트됐다. 새로운 '설정(Configure)' 탭을 통해 다양한 기능을 활성화/비활성화할 수 있다.
또한 이제 오센티케이터는 iOS에서 앱 통신보안 기능인 '앱트랜스포트시큐리티(ATS)'를 사용한다. 마이크로소프트는 해당 보안 기능은 인증자와 웹 서비스 간의 개인정보 보호 및 데이터 무결성을 향상시킨다고 설명했다.
