새로운 웹 또는 앱 서비스를 이용할 때마다 아래와 같은 ‘SNS를 이용한 로그인 기능’을 사용해 보신 적이 있으실 텐데요,
이 기능을 활용하면 간단한 개인정보 수집에 대한 동의 시 원래 가지고 있던 카카오톡, 네이버, 구글 등의 계정 정보를 연동하여
간편하게 서비스에 가입하고 로그인할 수 있습니다.
▲ SNS를 이용한 로그인 기능 예시
이러한 SNS 로그인 기능이 SSO의 한 사례라고 하는데요, SSO란 과연 무엇일까요?
SSO란?
SSO는 Single Sign-On의 약자로, 사용자가 한 번의 인증 과정을 통해 다양한 서비스에 접근할 수 있도록 도와주는 기능입니다.
예전에는 여러 개의 웹사이트나 애플리케이션에 로그인하려면
각 서비스마다 가입한 개별 ID와 PW를 입력하여 로그인하는 번거로운 과정이 필요했습니다.
하지만 SSO를 사용하면 지정된 하나의 플랫폼에서 사용자 인증을 한 이후에는
정해진 시간 동안 로그인을 반복할 필요 없이 여러 서비스를 이용할 수 있습니다.
SSO가 구현되기 위해서는 3가지 구성 요소(사용자, IdP, SP)가 유기적으로 동작해야 하는데요,
기본적으로 SSO가 실행되는 과정은 아래와 같습니다.
(*리모트뷰도 이와 같은 과정으로 SSO 기능을 제공하고 있습니다.)
▲ SSO 구현 프로세스
*IdP(Identity Provider) : 사용자가 SP(서비스)를 이용하기 위한 인증 요청 시,
사용자 정보 확인 및 접근 권한을 제공하는 일종의 인증 대행 서비스 EX. IDaaS(Identity as a Service) 서비스
*SP(Service Provider) : 사용자가 이용하려는 웹 또는 앱 서비스 EX. 리모트뷰, 구글 워크스페이스 등
① 사용자가 리모트뷰와 같은 서비스 사용을 원하여 서비스 웹사이트에 로그인을 시도합니다.
② 서비스 웹사이트 로그인 시, 자동으로 사용자 인증 과정이 SSO 인증 대행 서비스인 IdP(Identity Provider) 페이지로 넘어갑니다.
③ IdP 페이지에서 사용자 인증(로그인)이 완료됩니다. (인증 대행)
④ IdP 페이지에서 사용자는 다시 서비스 웹사이트로 넘어오게 되며,
이때 인증 과정에서 사용된 사용자 정보(ID, PW, 이메일 주소 등)도 같이 서비스 측에 전달되게 됩니다.
⑤ 서비스 웹사이트에서도 로그인 처리가 완료되어 사용자는 서비스 이용이 가능합니다.
SSO를 이용하면 어떤 점이 좋을까요?
SSO를 이용함으로써 얻을 수 있는 대표적인 장점 3가지로 보안성, 생산성 그리고 사용자 경험 향상을 꼽을 수 있는데요,
이에 대해 조금 더 자세히 알아보겠습니다.
01 보안성 향상
SaaS, IaaS 등 외부 클라우드 시스템 이용량이 증가하면서
직원 한 사람당 이용하는 서비스별로 계정 및 비밀번호가 계속해서 늘어나고 있습니다.
이렇게 만들어진 다중 계정 및 다중 비밀번호를 개별적으로 전부 기억하고 관리하는 것은 쉽지 않은데요,
이럴 때 SSO를 사용하면 사용자는 하나의 인증 정보로 여러 서비스에 로그인할 수 있기 때문에
비밀번호 재사용 또는 비밀번호 분실로 인한 보안 위험을 줄일 수 있습니다.
02 생산성 향상
SSO는 기업 IT 관리자들의 작업 생산성 향상에 도움을 줄 수 있습니다.
관리자는 직원들이 이용하는 서비스마다 인증 시스템을 구축할 필요 없이 하나의 인증 정보(계정 및 비밀번호 한 쌍) 만으로
여러 서비스, 시스템 그리고 기타 중요 리소스에 접근하는 사용자들을 통제할 수 있습니다.
03 사용자 경험 향상
SSO는 로그인 프로세스를 간소화하여 사용자가 필요한 서비스를 이용하려 할 때마다 쉽게 접근할 수 있도록 합니다.
사용자는 별도의 로그인 페이지로 이동하지 않아도 되며,
여러 웹사이트 또는 애플리케이션에 일일이 로그인할 필요가 없기 때문에
SSO를 도입한 서비스는 사용자 경험 및 고객 만족도를 크게 향상시킬 수 있습니다.
올바르게 SSO 도입하는 방법
SSO를 이용하면 한 번의 인증으로 여러 서비스를 이용할 수 있어 편리할 뿐만 아니라
비밀번호 분실 및 관리에 대한 위험도 줄일 수 있습니다.
하지만 SSO는 최초 인증 과정을 통과하고 나면
사용자가 원하는 사이트나 서버에 자유롭게 접근할 수 있다는 보안상의 허점도 존재하는데요,
이를 보완하기 위한 방법으로 ‘제로 트러스트’가 활용되고 있습니다.
제로 트러스트는 ‘아무도 믿지 않는다’라는 원칙에 기반하여 사용자에 대해 철저한 신원 검증을 실시하는 보안 모델입니다.
SSO에 제로 트러스트를 대표하는 다단계 인증(MFA) 방식을 더하면
편리함을 유지하면서 보안성을 더욱 높일 수 있습니다.
보다 안전하게 SSO를 도입하기 위해서는 사용자가 최초 인증을 통과한 후에라도
신뢰할 수 없는 네트워크에서 중요 리소스에 접근하려는 경우, OTP 인증 또는 얼굴/지문 인식 등의 추가 인증을 요구하는 것이 필요합니다.
