윈도우 - 캐시 로그인과 생체 인증

캐시 로그인/캐시된 로그온 정보?

보안을 하는 사람들이라면 한번쯤은 들어보았을 단어이다.

요약해보면 보통 기업에서는 로그인 정보를 로컬에 가지고 있지 않고, 서버, 즉 도메인 인증 시스템에서 관리한다.

이때  캐시 로그인이란, 도메인 로그온 환경에서 사용자가 도메인 서비스에 연결이 되지 않을 때, 특정 횟수 동안 도메인 연결 없이 기존에 로그인한 정보를 토대로 시스템에 로그인을 허용하는 것을 말한다.

즉, 네트워크를 이용할 수 없는 상황을 대비해 기존에 로그인이 성공한 계정 정보를 로컬 시스템에 캐시해 두었다가 이를 통해 일정 횟수 동안 패스워드가 맞다면, 도메인 연결이 되지 않아도 로그인을 할 수 있다.

이는 보안상으로 볼 때는 좋지 않으나, 사용자 입장에서 네트워크가 불가능 할 때(여행중이거나, 인터넷 연결 불가등) 시스템에 접근할 수 있는 편의성을 제공한다.

 

윈도우에서는 이러한 캐시 로그인을 레지스트리를 통해서 관리하고 있으며,

아래 값을 조절하여 캐시된 로그인 허용 건수를 조절할 수 있다.

0을 기입하면, 캐시된 로그인을 허용하지 않게 된다.

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\Current Version\Winlogon\
이름: CachedLogonsCount
형식: REG_SZ
값: 0 - 50

하지만 사용자 편의성이 증가한 만큼 보안적으로는 로그인 정보를 로컬에서 가지고 있기 때문에, 좋지 않은 설정이라고 할 수 있다. 그래서 보통 사용자가 1차적으로 사용하는 디바이스와 내부 시스템에서 사용하는 계정을 분리하여 관리하면 사용자 불편을 취소화 하면서 보안성을 높일 수 있어 메리트가 크다.

 

특히 요즘 사용자 디바이스의 경우 다양한 인증을 제공하고 있고, 여기에 본인 인증 용도로 활용되는 생체 인증을 지원하는 디바이스가 많아지고 있어 비밀번호 없이 로그인이 가능하기 때문에 이러한 니즈는 더욱 효과적이라고 할 수 있다.

다양한 추가 인증 장치를 제공한다