로그인 보안의 원리: 문자 인증, 신뢰 기기 30일, 로그인 시도 제한

업무 전화 앱의 계정에는 고객과의 통화 기록, 녹음, 문자가 모여 있습니다. 그래서 로그인은 비밀번호 하나에만 기대지 않고 여러 겹으로 지킵니다. 제로콜은 처음 보는 기기에서 문자 인증번호를 한 번 더 묻고, 인증한 기기는 30일 동안 신뢰하며, 15분 안에 비밀번호를 5번 틀리면 잠시 로그인을 막습니다. 비밀번호 자체는 되돌릴 수 없는 일방향 암호화로 저장합니다. 이 글에서는 각 장치가 어떤 위험을 막는지 원리로 정리합니다.

비밀번호만으로는 왜 부족할까

비밀번호는 '아는 것' 한 가지로 본인을 확인합니다. 그런데 다른 사이트에서 유출된 비밀번호를 그대로 넣어 보는 공격, 흔한 비밀번호를 차례로 넣어 보는 공격처럼 비밀번호만 알아내면 통과되는 방법이 많습니다. 그래서 보안에서는 '아는 것'에 '가진 것'을 더하는 2단계 인증을 권합니다. 휴대폰으로 받은 인증번호는 그 휴대폰을 가진 사람만 볼 수 있으므로, 비밀번호가 새어 나가도 다른 사람이 로그인하기 어렵게 만듭니다.

문자 인증과 신뢰 기기 30일

제로콜 로그인은 전화번호와 비밀번호를 넣는 것으로 시작합니다. 보안을 위해 문자 인증번호를 요구하는 경우가 있는데, 이때 받은 번호를 '인증번호' 칸에 넣고 '인증하고 로그인'을 누르면 됩니다. 인증에 성공한 기기는 30일 동안 다시 묻지 않습니다. 매번 인증번호를 받는 불편을 줄이면서도, 처음 보는 기기에서는 반드시 한 번 더 확인하는 방식입니다. '재발송'은 30초가 지나야 다시 누를 수 있어 인증 문자가 연달아 쏟아지는 것도 막습니다.

신뢰 기기는 일반적으로 인증에 성공한 기기에 식별용 토큰을 남겨 두고, 다음 로그인 때 그 토큰을 확인해 '이미 확인한 기기'인지 판단하는 방식으로 작동합니다. 제로콜 개인정보 처리방침에도 자동으로 수집되는 정보로 '신뢰 기기 식별 토큰'이 적혀 있습니다. 인증 문자는 처리방침상 네이버클라우드의 문자 발송 서비스로 보냅니다.

15분 안에 5번 틀리면 잠시 제한하는 이유

비밀번호를 무작위로 맞혀 보는 공격(무차별 대입)은 시도 횟수가 많을수록 성공 확률이 올라갑니다. 일정 시간 안의 실패 횟수를 세고, 넘으면 잠시 막는 것만으로도 이런 공격은 사실상 의미가 없어집니다. 제로콜은 15분 안에 비밀번호를 5번 틀리면 잠시 로그인을 제한하고, 버튼에 남은 시간을 표시합니다. 본인이라면 기다렸다가 다시 시도하거나 '비밀번호를 잊으셨나요?'로 재설정하면 됩니다.

비밀번호를 되돌릴 수 없게 저장하는 일방향 암호화

제로콜 보안 정책과 개인정보 처리방침은 비밀번호를 복호화가 불가능한 일방향 암호화 방식으로 저장한다고 밝히고 있습니다. 일방향 암호화는 입력을 넣으면 정해진 결과가 나오지만, 결과를 보고 원래 입력을 거꾸로 알아낼 수는 없는 함수(해시 함수 등)를 쓰는 방식입니다. 로그인할 때는 입력한 비밀번호에 같은 함수를 적용해 저장값과 같은지만 비교합니다.

이렇게 하면 서버 운영자도 회원의 원래 비밀번호를 알 수 없고, 만에 하나 저장값이 새어 나가도 바로 비밀번호로 쓸 수 없습니다. 비밀번호를 잊었을 때 알려 주는 대신 새로 정하게 하는 것도 이 때문입니다. 제로콜의 비밀번호 재설정은 이름과 전화번호를 넣고 문자로 받은 6자리 인증번호를 확인한 뒤 새 비밀번호를 두 번 입력하는 순서입니다.

사장님이 할 수 있는 계정 보안 습관

• 다른 사이트와 다른 비밀번호 쓰기: 제로콜 비밀번호는 8~20자이며 영문·숫자·특수문자를 모두 넣어야 합니다.
• 인증번호는 아무에게도 알려 주지 않기: 인증번호를 묻는 전화나 문자는 의심해야 합니다.
• 직원마다 자기 계정 쓰기: 계정을 나눠 써야 누가 무엇을 했는지 기록이 남고, 퇴사자 계정만 정리할 수 있습니다. 직원 초대는 zerocall.kr/blog/zerocall-invite-staff-roles 를 참고하세요.
• 쓰지 않는 기기는 로그아웃: 로그아웃한 기기는 전화와 알림도 받지 않습니다.

전송 구간 암호화와 저장 데이터 보호는 zerocall.kr/legal/security 에서 더 확인할 수 있습니다. 정리하면, 로그인 보안은 '아는 것'과 '가진 것'을 함께 확인하고, 반복 시도를 막고, 비밀번호 자체는 되돌릴 수 없게 보관하는 세 가지 원리로 움직입니다.