비밀번호 편집하기 (부분)

== 다중 인증 ==
'''다중 인증'''({{llang|en|multi-factor authentication}}, MFA)은 비밀번호 외에 다른 인증 요소를 추가로 요구하는 방식이다.

인증 요소는 보통 다음 세 가지로 나뉜다.

{| class="wikitable"
! 요소 !! 의미 !! 예시
|-
| 지식 요소 || 사용자가 알고 있는 것 || 비밀번호, PIN
|-
| 소유 요소 || 사용자가 가지고 있는 것 || 휴대폰, 보안 키, OTP 기기
|-
| 생체 요소 || 사용자 신체 특성 || 지문, 얼굴, 홍채
|}

비밀번호만 쓰면 지식 요소 하나에 의존한다. 다중 인증을 켜면 공격자가 비밀번호를 알아내더라도 추가 요소가 필요해진다. 그래서 계정 탈취 가능성을 크게 줄일 수 있다.

=== 다중 인증의 종류 ===
대표적인 다중 인증 방식은 다음과 같다.

{| class="wikitable"
! 방식 !! 설명 !! 보안성
|-
| SMS 인증 || 문자로 인증번호를 받는 방식 || 없는 것보다는 낫지만 SIM 스와핑, 문자 탈취 위험이 있다.
|-
| 이메일 인증 || 이메일로 코드를 받는 방식 || 이메일 계정이 털리면 함께 위험해진다.
|-
| TOTP 앱 || 인증 앱에서 시간 기반 코드를 생성하는 방식 || 일반적으로 SMS보다 안전하다.
|-
| 푸시 인증 || 앱에서 로그인 승인 알림을 받는 방식 || 편리하지만 피로 공격에 주의해야 한다.
|-
| 하드웨어 보안 키 || USB, NFC, 블루투스 보안 키를 사용하는 방식 || 매우 강력하다.
|-
| 패스키 || 공개키 기반의 비밀번호 없는 로그인 방식 || 피싱 저항성이 강하다.
|}

=== 다중 인증도 완벽하지 않다 ===
다중 인증은 강력하지만, 모든 공격을 막는 마법은 아니다. SMS 인증은 번호 이동 사기나 SIM 스와핑에 취약할 수 있고, 푸시 인증은 사용자가 실수로 승인할 수 있다. TOTP 코드도 실시간 피싱 사이트에 입력하면 탈취될 수 있다.

따라서 중요한 계정에는 가능하면 다음 순서를 고려한다.

# 패스키 또는 하드웨어 보안 키
# 인증 앱 기반 TOTP
# 푸시 인증
# SMS 인증
# 이메일 인증

물론 어떤 다중 인증이든 비밀번호만 쓰는 것보다는 대체로 낫다. 다만 금융, 이메일, 클라우드, 개발자 계정처럼 중요한 계정은 피싱 저항성이 높은 방식을 우선하는 것이 좋다.