OTP 인증 방식과 Mobile-OTP·스마트OTP의 보안 구조

일회성 비밀번호가 인증에 쓰이는 방식

OTP(One-Time Password)는 한 번 사용한 뒤에는 다시 유효하지 않은 비밀번호를 만드는 인증 수단이다. 금융거래, 기업 시스템 접속, 정부 서비스처럼 인증 강도가 필요한 영역에서 주로 활용되며, 도난이나 유출 위험이 있는 정적 비밀번호를 보완하기 위해 사용된다.

OTP 생성 방식은 시간 정보를 기준으로 하는 방식과 이벤트 발생 횟수를 기준으로 하는 방식으로 나뉜다.

시간 정보와 비밀키를 함께 쓰는 TOTP

시간 동기화 방식인 TOTP는 OTP 장치와 인증 서버가 같은 시간 정보와 비밀키를 공유하는 구조다. 장치와 서버가 각각 같은 알고리즘으로 값을 만들고, 사용자가 입력한 값이 서버의 계산 결과와 일치하는지 확인한다.

⤢✕

카운터 값을 기준으로 하는 HOTP

이벤트 동기화 방식인 HOTP는 장치와 서버가 동일한 카운터 값 및 비밀키를 유지한다. OTP를 생성하고 인증에 성공하면 카운터가 증가하며, 서버는 같은 조건으로 만든 값과 사용자 입력값을 비교한다.

⤢✕

토큰과 애플리케이션으로 나뉘는 구현

하드웨어 OTP는 물리적 토큰에서 OTP를 생성한다. 전용 디바이스를 사용하므로 높은 보안성을 제공하지만, 배터리 수명 문제와 휴대의 불편함, 분실 위험이 따른다. RSA SecurID와 Yubikey 등이 대표적 제품이다.

소프트웨어 OTP는 스마트폰 앱이나 PC 프로그램으로 구현한다. 별도 장비가 필요 없어 편리하지만, 단말기가 해킹될 경우 보안 위협이 생길 수 있다. Google Authenticator와 Microsoft Authenticator 등이 이 방식에 속한다.

Mobile-OTP가 확장한 인증 환경

스마트폰 보급은 모바일 환경에서 동작하는 OTP 솔루션의 필요성을 키웠다. Mobile-OTP는 앱 기반으로 구현해 별도 장치 없이 인증할 수 있으며, USIM·마이크로SD·앱 방식으로 발전했다. 다만 스마트폰을 분실했을 때의 보안 위협까지 함께 고려해야 한다.

⤢✕

마이크로SD에 OTP 생성 기능을 담는 방식

마이크로SD OTP는 OTP 생성 전용 칩을 마이크로SD 카드에 내장한 형태다. 스마트폰의 마이크로SD 슬롯에 장착하고 전용 앱과 연동해 OTP를 생성한다. 하드웨어 OTP와 소프트웨어 OTP의 장점을 결합하려는 방식이다.

하드웨어 기반이므로 소프트웨어 해킹으로부터 상대적으로 안전하며, 별도 기기를 들고 다니지 않아도 된다. 배터리를 교체할 필요가 없다는 점도 특징이다. 반면 마이크로SD 슬롯이 없는 기기에서는 사용할 수 없고, 카드를 잃어버리면 보안 위험이 생긴다. 일부 최신 스마트폰이 마이크로SD 슬롯을 제공하지 않는 점과 상대적으로 높은 제조 비용도 제약이다.

⤢✕

스마트OTP가 결합하는 단말 보안 기능

스마트OTP는 기존 OTP 방식의 한계를 보완하기 위해 개발된 차세대 OTP 솔루션이다. 모바일 앱을 기반으로 하면서 스마트폰의 고유 정보와 결합해 보안성을 높이고, 클라우드 연동으로 다중 디바이스를 지원할 수 있다.

생체인증과 연계한 다중 인증을 지원하며, 앱 위변조와 루팅·탈옥을 감지하는 기능을 포함한다. 푸시 알림을 통한 인증, 클라우드 기반 백업 및 복구, QR코드 스캔을 이용한 등록 절차도 지원한다.

⤢✕

OTP 인증 과정에서 다뤄야 할 위협

OTP 자체만으로 인증 과정의 모든 위험이 사라지지는 않는다. 중간자 공격(MITM)은 인증 통신을 가로채며, 피싱은 가짜 사이트에서 OTP 입력을 유도한다. 사회공학적 공격으로 사용자를 속여 OTP 정보를 얻으려는 시도와 OTP 생성에 쓰이는 비밀키인 시드값 유출도 고려 대상이다.

OTP와 다른 인증 수단을 함께 쓰는 다중 인증(MFA), 중요 거래에 별도 확인 절차를 두는 거래 확인 메커니즘, 이상 인증 시도를 감지·차단하는 이상거래탐지(FDS) 연계가 대응 수단이 된다. 키는 암호화하고 안전한 저장소에서 관리해야 하며, 피싱과 사회공학적 공격을 인지할 수 있도록 사용자 교육도 필요하다.

생체인증과 패스키로 이어지는 변화

OTP는 지문과 얼굴인식 같은 생체인증, 사용자 위치와 행동 패턴을 반영하는 컨텍스트 기반 인증과 결합하는 방향으로 발전하고 있다. 블록체인을 활용한 위변조 방지 인증, 스마트워치와 스마트링 같은 웨어러블 디바이스를 이용한 인증 확장도 제시된다. FIDO 표준 기반의 패스키(Passkey) 기술과 연계해 passwordless 인증 환경으로 전환하려는 흐름도 이어진다.

⤢✕

국내에서의 활용 범위

국내 금융권은 인터넷뱅킹과 모바일뱅킹의 2차 인증수단으로 OTP를 광범위하게 도입하고 있다. 공공기관에서는 행정시스템과 민원서비스 인증에 적용하며, 기업은 VPN 접속과 그룹웨어 로그인 등 내부 시스템 접근 통제에 활용한다. 최근에는 하드웨어 OTP에서 모바일 OTP로의 전환이 가속화되는 경향이 있다.

A은행은 마이크로SD OTP와 앱 기반 OTP를 병행 제공해 고객 선택권을 강화했다. B증권사는 스마트OTP로 인증 과정을 간소화하고 사용자 경험을 개선했으며, C공공기관은 클라우드 기반 OTP 관리 시스템을 구축해 운영 효율성을 높였다. D기업은 생체인증과 OTP를 결합한 다중인증체계를 구축해 보안성을 강화했다.

OTP는 하드웨어 토큰에서 모바일 앱, 마이크로SD, 스마트OTP로 형태를 바꾸며 보안성과 편의성의 균형을 추구해 왔다. 조직은 인증 환경과 요구사항에 맞춰 방식을 선택하고, 사용자 경험과 보안성 사이의 조건을 함께 설계해야 한다.