OTP(One-Time Password, 일회용 비밀번호) [정보과학]

 

🔐 OTP(One-Time Password, 일회용 비밀번호)

OTP(One-Time Password, 일회용 비밀번호)는 단 한 번만 사용할 수 있는 비밀번호입니다.

은행, 증권사, 각종 전자상거래 플랫폼 등에서 로그인이나 금융 거래 시
추가 인증 수단(2차 인증)으로 사용되며, 고정된 비밀번호 대신
매번 새로운 비밀번호를 생성해 보안을 강화합니다.

 

📌 OTP의 특징

• 사용 후 재사용 불가
• 짧은 유효 시간 (예: 30초, 1분 등)
• 별도의 생성 기기나 앱 필요
• 탈취되더라도 유효 시간이 짧아 위험도 낮음

 

🧠 어떻게 작동하나?

 

OTP는 일반적으로 두 가지 방식으로 작동합니다:

방식	설명	예시
시간 기반( TOTP )	일정 주기마다 새로운 코드 생성	구글 OTP, MS Authenticator
이벤트 기반( HOTP )	사용자 동작(버튼 누름 등)에 따라 코드 생성	물리적 OTP 토큰

 

이런 코드는 사용자와 서버가 동일한 알고리즘과 키를 공유하면서
서로 독립적으로 비밀번호를 생성하고 비교하는 방식으로 인증됩니다.

 

🌍 다른 나라에서도 많이 쓰일까?

네, OTP는 전 세계적으로 광범위하게 사용되고 있습니다.

🌐 주요 사용 예시:

• 미국: 금융기관, AWS, 구글 계정 보안에 TOTP 방식 널리 사용
• 유럽: PSD2 규제 하에 강력한 고객 인증 수단으로 OTP 도입 권장
• 일본: 은행과 온라인 쇼핑몰에서 앱 기반 OTP 사용 증가
• 한국: 2000년대 초반부터 보안카드 대체 수단으로 OTP 도입.
  최근에는 모바일 OTP(간편 인증 앱)가 대세

 

🧾 OTP는 누가 만들었을까?

 

OTP 개념은 1980년대에 미국에서 처음 등장했습니다.

• 최초의 형태는 S/KEY라는 일회용 암호 시스템으로,
  Bellcore(벨커 코어 연구소) 소속의 Neil Haller와 Phil Karn이 1993년에 개발했습니다.
• 이후 RFC 1760 (S/KEY)와 RFC 4226 (HOTP)가 IETF(국제 인터넷 표준화 기구)에서 표준으로 채택되면서,
  OTP 기술이 공식적으로 인정받고 보급되기 시작했습니다.
• TOTP(Time-based One-Time Password)는 2011년 RFC 6238로 표준화되었고,
  구글, MS, 애플 등 주요 IT기업들이 이를 기반으로 OTP 앱을 보급하게 되었습니다.

 

📱 OTP의 진화: 물리적 → 디지털

형태	설명	예시
물리적 토큰	전용 OTP 생성기기 (카드형/USB형)	은행에서 배포
모바일 앱	스마트폰 앱으로 OTP 생성	Google Authenticator, PASS
하드웨어 보안키	USB 방식의 인증 장치	Yubikey, Feitian 등
간편 인증 연동	생체 인증 + TOTP 백엔드 연동	삼성패스, 카카오 인증 등

 

🔒 왜 중요한가?

고정된 비밀번호는 유출 시 큰 위험을 초래할 수 있지만, OTP는 단발성이고 시간제한이 있는 보안 코드라서
피싱, 스푸핑, 브루트포스 공격에 매우 강합니다.

이 때문에 2단계 인증(2FA) 또는 MFA(다요소 인증)의 핵심 요소로 자리잡고 있습니다.

 

 

✅ 기본 개념 정리

• 다요소 인증(MFA, Multi-Factor Authentication)

: 두 개 이상의 인증 수단을 조합한 더 넓은 개념으로,
보안 수준이 한층 더 강화됩니다.

• 2단계 인증(2FA, Two-Factor Authentication)

: 서로 다른 두 가지 인증 요소를 조합해 사용자의 신원을 확인하는 방식입니다.
예) 비밀번호 + OTP, 비밀번호 + 지문 인식

 

🔒 인증 요소의 3가지 범주

다요소 인증은 보통 다음 세 가지 범주 중 서로 다른 요소에서 최소 2개 이상을 선택합니다.

인증 요소	설명	예시
소유 기반 (Something You Have)	사용자가 소지하고 있는 물리적 또는 디지털 수단	OTP 생성기, 스마트폰, 인증서, 보안카드
지식 기반 (Something You Know)	사용자가 기억하고 있는 정보	비밀번호, PIN 번호, 보안문답
본인 기반 (Something You Are)	사용자의 생체 정보	지문, 얼굴 인식, 홍채, 음성

 

 

🔐 주요 인증 방식 비교

인증 방식	설명	장점	단점
비밀번호만 사용	전통적인 1단계 인증	간단	탈취 위험 큼
OTP (TOTP/HOTP)	시간 또는 이벤트 기반 일회용 비밀번호	보안 강화, 범용적	앱 설치 필요, 불편할 수 있음
SMS 인증	인증번호를 문자로 발송	익숙함, 별도 앱 불필요	스미싱, 문자 가로채기 위험
생체 인증	지문, 얼굴, 홍채 등으로 인증	빠르고 편리함	하드웨어 필요, 오류 가능성
FIDO2 / 생체+공개키 인증	비밀번호 없이 지문 등으로 인증 (WebAuthn 기반)	최고 수준 보안	아직 일부 플랫폼만 지원
보안키(USB 등)	Yubikey 등 하드웨어 기반 키로 인증	피싱 방지, 고보안	분실 시 불편, 초기 비용

 

 

🌍 실제 사용 예시

분야	인증 방식 예시
은행/금융	OTP 앱, 생체 인증, 공인/사설 인증서
전자상거래	휴대폰 인증 + 카드번호 6자리
기업 보안 시스템	OTP + 하드웨어 보안키
클라우드/개발툴	TOTP + 백업 코드, 생체 인증
일반 사용자 계정	비밀번호 + OTP 또는 생체인증

 

 

⚙️ 추천 조합: 실생활에 적합한 다요소 인증 구성

사용 목적	추천 인증 방식
일반 사용자	비밀번호 + OTP 앱 (Google Authenticator, PASS)
고보안 필요 (개발자, 관리직)	비밀번호 + 하드웨어 키 (Yubikey)
금융거래	생체 인증 + OTP or 인증서
노년층 또는 비숙련자	비밀번호 + SMS 인증 (단, 피싱 주의)

 

 

📈 알아두면 좋은 보안 동향

✅ 인증 기술의 트렌드

• "비밀번호 없는 로그인(Passkey)"이 보급 중
  → 지문/얼굴 + 공개키 기반 인증으로 대체 (FIDO2)
• 모바일 중심 인증
  → 스마트폰 OTP 앱, 생체 인증이 주류
• 하드웨어 보안키 도입 확산
  → 고위험 계정(개발자, 관리자)에 권장

⚠️ 주의할 점

• SMS 인증은 더 이상 안전하지 않음
  → 문자 가로채기, 스미싱 사례 다수
• 백업 수단 마련 필수
  → OTP 앱 초기화, 기기 변경 시 계정 복구 문제 발생
  → 복구 코드 또는 이메일 인증 등 별도 백업 등록 권장