2단계 인증은 꼭 켜야 하나요?
관리자 계정만큼은 반드시 켜세요. 비밀번호가 새어나가도 휴대폰 인증이 없으면 못 들어오니, 계정 탈취형 공격이 사실상 차단됩니다. 시놀로지는 앱(OTP) 방식 2단계 인증을 기본 지원합니다.
전 직원 강제는 불편이 커서, 관리자·임원 계정부터 적용하고 단계적으로 넓히는 걸 권합니다.
2단계 인증이 막는 것과 못 막는 것
막는 것은 비밀번호만으로 들어오는 공격입니다. 다른 사이트에서 유출된 비밀번호를 그대로 넣어 보는 시도, 흔한 조합을 자동으로 돌리는 무차별 대입, 직원이 피싱 메일에 비밀번호를 적어 준 경우까지, 비밀번호가 맞아도 휴대폰의 여섯 자리 숫자가 없으면 로그인 화면에서 멈춥니다. 나스 침해 사례의 상당수가 이 유형이라 관리자 계정 하나만 켜도 체감 효과가 큽니다.
못 막는 것도 분명히 있습니다. 나스 운영체제의 알려진 취약점을 노리는 공격은 로그인 화면을 거치지 않습니다. 이미 감염된 직원 PC에서 로그인된 상태를 이용하는 경우, 공유 폴더를 열어 둔 상태에서 랜섬웨어가 파일을 암호화하는 경우도 2단계 인증과 무관합니다.
그래서 2단계 인증은 단독이 아니라 묶음으로 봅니다. 운영체제 업데이트를 미루지 않는 것, 로그인 실패가 반복되는 주소를 자동 차단하는 것, 외부에 열린 포트를 필요한 것만 남기는 것, 스냅샷으로 이전 버전을 남기는 것까지 같이 가야 계정 탈취 이후의 단계도 막힙니다.
켜기 전에 준비할 세 가지: 백업 코드, 시계, 두 번째 관리자
가장 흔한 사고는 공격이 아니라 잠김입니다. 인증 앱이 깔린 휴대폰을 바꾸거나 잃어버리면 관리자 본인이 나스에 못 들어갑니다. 2단계 인증을 켤 때 화면에 나오는 백업 코드를 반드시 받아 인쇄해서 서류함처럼 나스 밖에 보관하십시오. 휴대폰 안에 사진으로 찍어 두는 것은 같이 잃어버리니 의미가 없습니다.
인증 앱의 숫자는 시각을 기준으로 만들어집니다. 나스의 시간이 실제와 몇 분 어긋나면 맞는 숫자를 넣어도 거부됩니다. 나스 시간 동기화(NTP)가 켜져 있는지 먼저 확인하십시오.
관리자 계정은 두 개를 두고 각각 다른 사람의 휴대폰으로 인증을 잡아 둡니다. 한 사람이 휴가 중이거나 퇴사해도 다른 관리자가 들어가 계정을 정리할 수 있습니다. 퇴사자의 관리자 계정은 그날 비활성화하는 것이 원칙입니다.
직원 계정까지 넓힐 때 불편을 줄이는 방법
직원들이 사무실 안에서만 나스를 쓴다면 외부 접속 자체를 막는 편이 인증을 강제하는 것보다 효과가 큽니다. 밖에서 들어올 길이 없으면 밖에서 비밀번호를 대입할 일도 없습니다. 외부에서 접속하는 계정만 골라 2단계 인증을 켜면 대상이 몇 명으로 줄어듭니다.
시놀로지에는 한 번 인증한 기기를 기억시키는 설정이 있어, 매일 쓰는 회사 PC에서는 처음 한 번만 숫자를 넣고 이후에는 비밀번호만으로 들어갑니다. 새 기기나 낯선 장소에서만 인증을 요구하니 실제 불편은 생각보다 작습니다.
휴대폰이 없는 직원이나 공용 계정은 억지로 앱 인증을 붙이기보다 읽기 전용 권한으로 줄이거나 계정을 개인별로 나누는 것이 먼저입니다. 어느 계정부터 켤지 판단이 어려우면 053-588-7119 로 현재 사용 방식을 말씀해 주시면 됩니다.