보안 토큰은 사용자의 신원을 확인하거나 접근 권한을 부여하기 위해 사용되는, 물리적 장치 또는 소프트웨어 기반의 인증 정보를 생성·제공하는 도구를 의미한다. 일반적으로는 두 가지 주요 분야에서 사용된다.
1. 인증·접근 제어 분야
정의
컴퓨터 시스템, 네트워크, 온라인 서비스 등에 대한 접근을 보호하기 위해 사용자가 입력하는 비밀번호 외에 추가적인 인증 요소를 제공한다. 보안 토큰은 일회용 비밀번호(One‑Time Password, OTP)나 암호화된 인증 데이터를 생성하여, 인증 서버와의 상호 검증에 활용된다.
종류
| 구분 | 특징 | 예시 |
|---|---|---|
| 하드웨어 토큰 | 물리적인 전자기기(키 체인, 스마트 카드 등)로, 버튼을 눌러 OTP를 표시하거나 NFC·블루투스로 전송한다. | RSA SecurID, YubiKey |
| 소프트웨어 토큰 | 스마트폰·PC 등에서 실행되는 애플리케이션 형태로, 시간 기반(TOTP) 또는 이벤트 기반(HOTP) OTP를 생성한다. | Google Authenticator, Microsoft Authenticator |
| 모바일 토큰 | 스마트폰에 설치된 전용 앱 또는 운영체제 기능을 이용해 OTP를 제공한다. 푸시 알림 기반 인증도 포함한다. | 삼성 Pass, 애플 인증기 |
| 생체·다중인증 결합 토큰 | 지문·안면 인식 등 생체 정보와 결합하거나, 다중 인증(MFA) 시스템의 일부분으로 활용된다. | 지문 센서가 내장된 보안 키 |
표준 및 프로토콜
- OTP (One‑Time Password): RFC 4226 (HOTP), RFC 6238 (TOTP) 등에 정의된 알고리즘을 사용한다.
- FIDO (Fast Identity Online): FIDO U2F, FIDO2/WebAuthn 등으로 하드웨어·소프트웨어 토큰의 상호 운용성을 제공한다.
- PKI (Public Key Infrastructure): 보안 토큰이 공개키·비밀키 쌍을 저장·관리하는 경우, X.509 인증서를 활용한다.
보안상의 장점
- 비밀번호만 사용하는 단일 인증에 비해 피싱·크리덴셜 스터핑 공격에 대한 저항력이 높다.
- 토큰이 물리적으로 분실·도난될 경우, 토큰 자체에 비밀번호나 PIN을 설정함으로써 2차 보호가 가능하다.
한계·위험
- 토큰 자체의 손상·배터리 고장·소프트웨어 버그 등으로 인증이 불가능할 수 있다.
- 물리적 분실 시 복구·재발급 절차가 필요하다.
2. 금융·블록체인 분야
정의
블록체인 기반 자산 토큰 중에서, 기존 증권(주식·채권·펀드 등)의 권리·가치를 디지털 형태로 나타낸 것을 보안 토큰이라고 부른다. 영어 “security token”을 직역한 용어이며, 전통 금융 규제(예: 증권법)의 적용을 받는다.
주요 특징
- 법적 효력: 해당 토큰은 증권으로 간주되므로, 발행·거래 시 증권법 및 관련 규제(예: 미국 SEC, 한국 금융위원회)의 허가·보고 절차가 필요하다.
- 투명성·분할 가능성: 블록체인에 기록되므로 소유권·거래 이력이 투명하게 관리되며, 소액 단위로 분할하여 투자할 수 있다.
- 자동화된 권리 행사: 스마트 계약을 통해 배당·이자 지급·의결권 행사 등을 자동화할 수 있다.
활용 사례
- 부동산 소유권을 토큰화한 프로젝트
- 스타트업이 주식 형태의 토큰을 발행하여 자금을 모집하는 Security Token Offering (STO)
규제 현황(대한민국)
2023년 현재, 한국 금융당국은 “증권형 토큰”에 대해 기존 증권과 동일한 규제를 적용하고 있으며, 증권거래소·핀테크 기업 등이 시범 운용을 진행 중이다. 구체적인 법령·지침은 지속적으로 개정되고 있다.
3. 관련 용어
- 인증 토큰: 보안 토큰과 동의어로 사용되기도 하며, 특히 소프트웨어 기반 OTP를 가리키는 경우가 많다.
- 액세스 토큰: OAuth 등 인증 프로토콜에서 발급되는 문자열 형태의 토큰으로, 보안 토큰과는 구분된다.
- 스마트 카드: 보안 토큰의 일종으로, 칩에 암호화 키·인증서 등을 저장한다.
4. 참고 및 외부 링크
- RFC 4226 – HOTP: An HMAC‑Based One‑Time Password Algorithm
- RFC 6238 – TOTP: Time‑Based One‑Time Password Algorithm
- FIDO Alliance – 인증 표준
- 한국금융위원회, “증권형 토큰에 관한 가이드라인”(2023)
이 문서는 현재까지 확인된 공신력 있는 자료를 바탕으로 작성되었으며, 향후 기술·규제 변화에 따라 내용이 업데이트될 수 있다.