Windows RDP(MSTSC) 외부 접속 시 Google OTP(2FA) 적용 방법: multiOTP 활용 가이드

외부에서 원격 데스크톱(RDP)을 통해 내부 PC나 서버에 접속할 때, 아이디와 비밀번호만 사용하는 방식은 무차별 대입 공격(Brute-force)에 매우 취약합니다. 이를 보완하기 위해 오픈소스 솔루션인 multiOTP를 사용하여 Google Authenticator(OTP) 인증을 추가하는 방법을 소개합니다.

1. 개요 및 준비사항

multiOTP는 Windows 로그인 과정에 개입하여 2차 인증을 요구하는 Credential Provider 솔루션입니다. 로컬 모드로 설치할 경우 별도의 인증 서버 없이 개별 PC에서 독립적으로 작동합니다.

사전 준비

• 대상 운영체제: Windows 10/11 Pro, Windows Server 2016 이상
• 필수 런타임: Microsoft Visual C++ Redistributable 2015-2022 (x64)
• 스마트폰 앱: Google Authenticator 또는 Microsoft Authenticator

2. multiOTP 설치 및 주요 설정

공식 홈페이지에서 multiOTP Credential Provider를 다운로드하여 설치를 진행합니다. 설치 과정 중 다음과 같은 핵심 설정을 확인해야 합니다.

서버 연결 설정 (Server Configuration)

• No remote server, local multiOTP only: 별도의 중앙 관리 서버를 운영하지 않는다면 반드시 이 항목을 체크하여 로컬 모드로 동작하게 합니다.

로그인 동작 옵션 (Login Options)

• Disable 2FA prompt for multiOTP without2FA users: 처음 설치 시에는 체크(Enable)하는 것을 권장합니다. 본인 계정의 OTP 등록이 완전히 확인된 후 보안 강화를 위해 해제하는 것이 안전합니다.
• Timeout before asking 2FA again on unlock: 값을 '0'으로 설정하여 잠금 해제 시마다 항상 OTP를 확인하도록 합니다.

인증 적용 범위 선택

• Logon / Unlock: 외부 원격 접속 시에만 OTP를 사용하려면 'Only Remote'를 선택합니다. PC 본체에서 직접 로그인할 때도 적용하려면 'Local and Remote'를 선택합니다.

3. 사용자 등록 및 OTP 연동 절차

설치가 완료되었다면 관리자 권한으로 명령 프롬프트(CMD)를 실행하여 다음 과정을 수행합니다. 본 예시에서는 계정명을 bigstar로 가정합니다.

1단계: multiOTP 폴더 이동

DOS

 

cd "C:\Program Files\multiOTP"

2단계: 사용자 계정 생성

Windows 로그인 계정명과 동일한 이름으로 데이터를 생성합니다.

DOS

 

multiotp.exe -fastcreatenopin studyworld

3단계: QR 코드 생성 및 앱 등록

스마트폰 앱에 등록하기 위한 QR 코드 이미지 파일을 생성합니다.

DOS

 

multiotp.exe -qrcode studyworld my_otp_qr.png

생성된 my_otp_qr.png 파일을 열어 Google Authenticator 앱에서 스캔하여 등록합니다. 등록 후에는 보안을 위해 해당 이미지 파일을 반드시 삭제하십시오.

4단계: 인증 테스트 (필수)

실제 로그아웃 전, 앱의 숫자가 시스템과 일치하는지 확인합니다. (숫자가 123456인 경우)

DOS

 

multiotp.exe studyworld 123456

결과값이 0 (OK: Token valid)으로 출력되어야 정상적으로 설정된 것입니다.

4. 주의사항 및 관리 팁

계정 잠김 대비

설정 오류나 스마트폰 분실에 대비하여, OTP가 적용되지 않은 별도의 관리자 계정을 생성해 두거나 물리적으로 접근하여 안전 모드로 진입할 수 있는 환경을 확보해야 합니다.

독립적 운영

multiOTP 로컬 설치 방식은 PC마다 독립적으로 작동합니다. 관리해야 할 PC가 여러 대라면 각 PC마다 개별적으로 사용자 등록 및 QR 코드 스캔 과정을 거쳐야 합니다.

보안 권장 사항

2FA 적용과 더불어 RDP 기본 포트(3389) 변경, 네트워크 수준 인증(NLA) 활성화, IP 화이트리스트 설정을 병행하면 더욱 강력한 보안 환경을 구축할 수 있습니다.