Layered Pattern Authentication Scheme on Smartphone Resistant to Social Engineering Attacks

사회공학적 공격에 강인한 스마트폰 계층화 패턴 인증 기법

Abstract

In this paper, we propose a layered pattern authentication scheme resistant to social engineering attacks. Existing android pattern lock scheme has some weak points for social engineering attacks. Thus, the proposed scheme improves the existing pattern lock scheme. In our scheme, pattern is recorded by touch screen, however, it is different with existing schemes because of the layered pattern. During the pattern registration process, users register their own pattern with many layers. Thus, registered pattern is 3D shape. When the smudge attack is occurring, the attacker can see the shape of user pattern through the smudge on smartphone screen. However, it is described on 2D surface, so acquired pattern is not fully determine to users original 3D shape. Therefore, our scheme is resistant to social engineering attack, especially smudge attack.

1. 서 론

국내 스마트폰 뱅킹 사용자 수는 2010년 이후 급속히 증가하고 있는 추세이다. 스마트폰이 우리의 일상생활에 미치는 부분에 대해 알아보자면 우선 물품 구매 측면에서 스마트폰 이용자 5명 중 약 4명은 모바일 기기를 통해 소비재를 구입한 경험이 있으며 인당 평균 3개의 쇼핑 어플리케이션을 사용하고 있다. 스마트폰과 사용자의 긴밀성 차원에서 스마트폰 사용자의 주요 활동범위는 개인 프라이버시 및 정보와 밀접한 관련이 있어 스마트폰이 우리의 일상생활, 특히 개인의 사생활과 밀접하게 연관되어 있음을 알 수 있다. 이와 같이 우리의 생활 전반에 걸쳐 그 영향력이 급속도로 확장되고 있는 스마트폰과 이를 기반으로 하는 모바일 환경에서 사용자의 개인 정보 침해 관련 사고는 계속 증가할 것으로 예상되고 있다. 이에 따라 모바일 서비스 제공자는 서비스 사용자들에게 패스워드를 주기적으로 변경하고 복잡하게 할 것을 요구하고 있으나 최근의 인터넷 환경은 다수의 아이디와 패스워드를 필요로 하는 환경이므로 사용자는 사용의 편리성과 기억의 용이성을 위해 비밀번호를 짧고 추측하기 쉽게 만드는 경향이 있어 기존의 비밀번호 입력 방법과 같은 문자 패스워드 입력 기법은 보안상 취약점이 크다. 따라서 전통적인 방식의 비밀번호 기반 패스워드 입력 기법은 지양되는 추세이며 사용자의 편의성을 최대한 충족시키면서 공격의 복잡성을 향상시키는 방법으로 그래픽 기반 또는 생체 정보 기반의 사용자 인증 기법들이 각광을 받는 추세이다. 그런데, 최근 발생하고 있는 스마트폰의 보안취약점을 대상으로 하는 주요 공격기법들 중에서 엿보기 공격, 레코딩 공격, 스머지 공격은 모두 사회공학적 공격기법들의 범주에 해당하며 이러한 기법은 주로 알고리즘적 결함보다는 사용자의 실수 및 예측하지 못한 방식의 인간적인 직·간접으로 이루어지는 접촉을 통해 이루어지는 공격 기법이므로 전통적인 보안 방식으로는 알고리즘 차원에서 예방이 어렵고 그래픽 기반 또는 생체 정보 기반의 인증 기법들도 일부 문제점이 드러나 조속한 보완이 요구되고 있다. 특히 본 논문에서 언급한 스머지 공격은 스마트폰 사용자가 패턴정보를 입력한 후 시간이 지난 후에도 얼마든지 발생할 수 있는 타입의 공격으로 보안상 취약점이 더 크다고 할 수 있다. 이에 본 연구에서는 위에 언급한 사회공학적 공격기법들과 전통적인 무작위 공격 기법에 대응하는 레이어 기반 패턴 사용자 인증 기법을 제안한다.

본 논문의 구성은 다음과 같다. 2장에서 본 논문의 관련연구로서 공격 기법들을 나열하고, 이에 대한 기제안된 인증 기법들을 설명하며, 3장에서 제안하는 인증 기법을 설명한다. 여기에서는 제안하는 인증 기법의 패턴 등록 및 인증에 대해 등록 방법 및 절차와 인증 방법의 순서로 서술한다. 그리고 4장에서는 제안한 기법을 기존의 인증기법들과 보안 안전성과 사용자 편의성의 두 항목으로 비교하여 성능을 평가하고 5장에서 결론을 맺는다.

 

2. 관련연구

2.1 공격 기법

사용자들이 자주 사용하는 스마트폰 암호화 방법에 대한 공격 수단으로 자주 이용되는 공격 기법으로써 텍스트 기반 패스워드에 대응하는 무작위 대입공격(Brute Force Attack)[1], 사회공학적 공격 기법의 한 분류로써 전문지식 없이 누구나 사용 가능한 공격기법인 엿보기 공격(Shoulder-Surfing Attack)[2], 엿보기 공격의 발전된 형태로서 엿보기 주체가 사람의 동공이 아닌 기계적인 수단 즉, CCTV 스마트폰 카메라, 고화질 영상 녹화 장비 등을 활용하는 레코딩 공격(Recording Attack)[3], 그리고 그래픽 기반 사용자 인증 기법에 대한 공격 수단 특히, 안드로이드 기반 스마트폰의 기본 사용자 인증수단인 패턴 인증에 대한 공격으로 스마트폰 화면에 남겨진 패턴 흔적으로 사용자 패턴정보를 유추할 수 있는 스머지 공격(Smudge Attack)[4] 등이 있다.

2.1.1 무작위 대입공격

무작위 대입공격(Brute Force Attack)[1]은 사전의 단어 및 무작위로 조합된 가능한 모든 정보를 대입하여 패스워드를 찾는 공격기법으로써 패스워드의 길이가 짧을수록 이 공격에 의해 패스워드가 노출될 가능성이 급격히 높아진다. 여기에 최근의 컴퓨터 기술 발전은 이러한 공격 기법이 비교적 짧은 시간안에 이루어질 수 있도록 하였다. 이 방법에 대한 대응수단은 패스워드 생성시 유의미한 문자 및 그래픽 정보를 지양하고 상호 연관성이 없는 문자 또는 그래픽 정보들의 조합 및 패스워드 입력 자릿수를 증가시키는 것이다. 그러나 사용자가 기억할 수 있는 패스워드는 그 자릿수에 한계가 있고, 상호간 무의미한 문자의 나열은 사용자의 혼동을 초래한다. 따라서 이 공격에 대한 효과적인 대응 수단은 사용자가 기억해야 하는 정보를 최소화 시키면서도 무작위 공격이 어려운 경우의 수를 증가시키는 것이다.

2.1.2 엿보기 공격

엿보기 공격(Shoulder-Surfing Attack)[2] 의 경우 스마트폰 단말을 공격자가 직·간접적인 수단을 동원하여 사용자의 비밀정보를 취득하는 형태의 공격을 말한다. 이 공격은 스마트폰 단말에 대한 직접적인 공격에 해당하므로 스마트폰 단말 차원에서 대응하여야 한다[5].

그러나 최근 출시되는 스마트폰은 그 스크린 사이즈가 약 5인치 이상으로 엿보기 공격에 점점 더 취약해지고 있다. 게다가, 최근의 엿보기 공격은 공격자의 직접적인 관찰을 통한 것이라기보다 고화질 영상장비를 이용한 레코딩 공격의 성향을 띄는 추세에 있으므로 이에 대한 대비 또한 필요하다. 즉, 안전하게 동작하는 보안 기법의 설계를 위해서는 반드시 화면에 표시되는 정보가 곧 개인 비밀정보의 누출로 직결되지 않도록 하는 방법의 개발에 있다.

2.1.3 레코딩 공격

레코딩 공격(Recording Attack)[3]은 공격자의 직접적인 엿보기 공격에서 전자적인 장비 즉, 고화질 CCTV또는 카메라 등과 같은 영상 녹화 장비를 활용하여 사용자의 비밀정보 입력행위를 녹화 및 재생하여 비밀정보를 취득하는 방법으로 기존의 스마트폰에 대한 엿보기 공격 성공률 약 68%[6]보다 높은 공격 성공률을 보인다는 점에 있어서 매우 강력한 공격기법으로 인식되고 있으나 현재 이 공격에 대응하는 기법[7-9]은 그리 많지 않다.

2.1.4 스머지 공격

스머지 공격(Smudge Attack)[4]은 터치스크린 기반 입력 장치를 내장한 기기, 주로 스마트폰에서 취약한 점으로 보고되는 공격이다. 이 공격 기법은 주로 패턴기반 사용자 인증 소프트웨어를 사용하는 안드로이드 기반 스마트폰에서 사용자가 자신의 고유의 패턴을 입력하기 위해 터치스크린에 사용자의 손가락을 이용하여 패턴을 그릴 때 다음의 Fig. 1과 같이 사용자 지문의 유분이 스마트폰 스크린에 남아 패턴 흔적을 남기며, 이 정보를 취득한 공격자는 사용자의 패턴을 복원하여 패스워드를 유추하는 방법이다.

Fig. 1.Password pattern and imprinted finger direction on smartphone touch screen.

또한 최근의 연구[10]에 의하면 사용자가 사용하는 잠금패턴은 아래의 Fig. 2와 같이 평균 5개의 점을 이용한 패턴으로 가짓수가 제한되어 실제 9개 점을 이용한 패턴이 가지는 가짓수 389112개 대비 8776개로써 약 2.3%의 사용률을 보여 보안상 매우 취약할 수 있다.

Fig. 2.Users rate comparison graph according to the pattern length (number of spots).

2.2 인증 기법

2.2.1 DAS

DAS(Dynamic Authentication System)[11]는 스마트폰 또는 ATM기를 이용한 입출금시 발생할 수 있는 엿보기 공격에 대응하는 기법으로 기존의 키패드를 보완하여 키패드의 숫자를 매 키 입력마다 무작위 재배치하며 무작위 배치된 숫자 정보는 숫자보기 버튼을 누른 상태에서만 볼 수 있도록 하고 실제 키입력시는 화면에 숫자 정보가 표시되지 않도록 하여 엿보기 공격에 대한 안전성을 높였다. 다음의 Fig. 3은 DAS 기법의 비밀키 입력 절차[12]를 설명한 것이다. 그러나 이 기법은 레코딩 공격과 같은 영상기록 장비를 사용한 공격은 고려하지 않았으며 최근의 엿보기 공격은 영상장비를 동원하여 공격을 시도하는 경향이 있어 보안상 안전하지 않으며 스머지 공격과 조합시 화면의 비밀정보와 사용자가 선택한 정보의 흔적이 남게 되어 레코딩 공격에서 취득한 정보와 취합하여 재생하면 사용자의 비밀 정보를 취득할 수 있다.

Fig. 3.DAS entry sequence for hidden password.

2.2.2 PIN-Entry

PIN-Entry[13]는 PIN 입력 방법중 하나로써 하나의 비밀문자를 입력하기 위해서는 네 단계의 배경색 확인 절차가 필요하다. 예를 들어 다음의 Fig. 4와 같이 3을 입력하기 위해서는 처음의 3의 배경색인 white를 선택하고 다음 단계에서는 검은색을, 그 다음은 흰색을, 마지막 단계에서는 검은색을 선택하여 3을 확정한다.

Fig. 4.Illustrates the entry sequence for digit “3”[14]

이 방법 또한 레코딩 공격시 화면의 정보가 노출되며 스머지 공격과 조합하여 공격시 취약점이 존재하므로 보안상 안전하지 않다.

2.2.3 PassFaces

PassFaces[15]는 사람의 얼굴 이미지를 패스워드로 사용하는 기법이며 사용자와 기기 상호간의 인증을 포함한다. 이 기법은 사용자 인증시 다음의 Fig. 5와 같이 사전에 선정된 사람 얼굴 이미지를 등록 순서대로 선택하여 인증에 사용한다.

Fig. 5.Passfaces registration & authentication process.

이 방법은 레코딩 공격시 인물 사진 정보가 그대로 노출되며 스머지 공격시 사용자가 선택한 이미지의 흔적이 남으므로 두공격을 조합하여 재생하면 사용자의 보안 정보를 쉽게 취득할 수 있으므로 보안상 안전하지 않다.

2.2.4 MagiSign

MagiSign[16]는 지자기 센서를 통해 사인을 인식하여 인증하는 기법으로 생체인증 기법 중 행위 기반인지에 해당하며 사용자는 자성이 있는 토큰을 이용해 모바일 기기의 상단 즉, 허공에 사인행위를 하고 이를 모바일 기기의 지자기 센서를 통해 3축 자기장 세기 변화를 측정하여 패턴을 인식한다. 이를 통해 사용자의 인증이 이루어지는 기법이나, 사용자 인증에 토큰과 같은 부가적인 장비가 필요하다.

2.2.5 M.Transkey

M.TransKey [17]는 가상 키패드 기법이며 다음의 Fig. 6과 같이 쿼티 키보드의 키 사이에 무작위로 공백을 추가하여 각 키의 위치가 바뀌게 한다.

Fig. 6.Secure keypad layout.

그러나 이는 기존의 연구[18-19]에서 취약점이 존재함을 확인했으며 비록 공백이 임의의 위치에 존재한다고 하여도 쿼티 키보드라는 고정된 형태라는 점, 그리고 사용자가 해당 점보를 직접 터치스크린을 통해 입력해야 한다는 점은 엿보기 공격, 레코딩 공격 및 스머지 공격을 통해 비교적 높은 확률로 사용자의 보안정보를 취득할 수 있어 보안상 안전하지 않다.

 

3. 제안 방법

제안하는 방법은 사용자의 패턴 입력에 n개의 패턴 레이어를 이용하며, 최대 n 개의 패턴 레이어를 추가하여 패턴을 입체적으로 등록하여 인증하는 방법이다. 이 방법은 기존의 패턴 기반 인증 기법과 유사하나 패턴 등록 및 인증 과정에서 차이가 있으며 이로 인해 기존의 방법이 갖는 취약점인 무작위 공격, 엿보기 공격, 레코딩 공격에 대해 강인하고 특히, 스머지 공격에 대해 보안상 안전하다는 장점을 갖는다.

3.1 제안 방법의 패턴 구조

제안하는 방법의 입력 패턴의 구조는 다음의 Fig. 7과 같다.

Fig. 7.Layered pattern structure. (a) structure with depth, (b) structure view from the top, and (c) top view with layer information.

위와 같이, 제안하는 방법의 패턴은 3차원적인 구조를 갖는다. 따라서 패턴을 등록하거나 사용자 인증에 3차원적인 정보를 입력할 수 있는 수단이 필요하다. 본 연구에서 우리는 이러한 수단으로 스마트폰 옆면의 볼륨 조절키를 이용하였다. 볼륨 조절키는 대부분의 스마트폰에서 차용하고 있어 범용성을 만족하며 음량 증가와 감소인 +키와 –키로 레이어의 상하 이동이 가능하며 버튼을 누르는 동작에 최소의 손가락 움직임만을 요구하므로 엿보기 공격에 대응할 수 있다.

3.2 제안 방법의 패턴 등록 및 인증 방법

다음의 Fig. 8은 제안하는 방법의 패턴 등록 과정과 인증 방법을 나타낸다.

Fig. 8.Layer pattern registration and input process. (a) pattern registration process, and (b) input process on touch screen.

위와 같이, 제안하는 방법은 사용자 인증을 위한 초기 패턴 등록과, 이후 사용을 위한 패턴 인증의 과정으로 구분된다. 우선 새로운 패턴을 등록하고자 하는 사용자는 기존의 방법과 같이 첫 번째 레이어에다 그려 넣어 등록할 수도 있으며, Fig. 8의 (a)와 같이 레이어를 분할하여 등록할 수도 있다. 이때 레이어의 수는 무한하며 사용자 임의로 정의할 수 있고, 레이어 간 이동도 임의의 점에서 자유롭게 이동이 가능하다. 패턴 등록시 레이어의 이동은 터치 스크린의 슬라이드 및 볼륨 조절 버튼을 사용한다.

이렇게 등록된 패턴은 레이어가 한 개일 경우 기존의 패턴을 이용한 사용자 인증과 동일하게 사용할 수 있다. 그러나 레이어가 다수일 경우 추가적인 정보 입력이 필요하게 되므로 스마트폰의 볼륨조절 버튼을 이용하여 레이어 이동 정보를 입력한다. 위의 Fig. 8과 같이 패턴이 3개 레이어에 나누어 입력되어 있는 경우, 사용자는 Fig. 8(b)의 각 레이어 의 화살표 지점에서 스마트폰 볼륨조절 버튼을 눌러 다음 레이어로 패턴정보가 이동함을 알린다. 이때 인증을 위한 패턴정보 입력화면은 레이어 패턴을 등록할 때와 다르게 기존의 패턴인증을 위한 화면과 동일한 구성을 갖고 있어 레이어 이동여부를 알 수 없으나 사용자 오 입력 방지를 위해 사용자의 버튼 입력횟수와 대응하는 진동센서의 동작을 통해 스마트폰을 손에 쥐고있는 사용자가 레이어 이동을 알 수 있게 하였다.

따라서 패턴 정보를 입력하는 사용자는 3장의 레이어에 기록된 패턴을 그려 사용자를 인증하는 것이나, 이를 엿보는 공격자 또는 스머지 공격을 통한 공격으로써는 스마트폰 스크린의 2D정보밖에 취득할 수 없으므로 공격이 불가능하게 된다. 또한 이는 무작위 공격 및 레코딩 공격에서도 공격을 어렵게 하는 요소가 된다.

다음의 Fig. 9는 제안하는 방법의 패턴 입력 방법을 확장하여 설명한 것이다.

Fig. 9.Other layer pattern registration methods. (a) n-layer shift before the pattern drawing, and (b) n-layer shift during the pattern drawing.

Fig. 8의 입력 방법 외에도 패턴정보를 등록할 때, 위의 Fig. 9와 같이 패턴 정보가 없는 레이어를 넣을 수 있다. Fig. 9(a)는 패턴 정보를 입력하기 전 n개의 빈 레이어 정보를 넣음으로써 공격자로 하여금 몇 번째 레이어에서부터 패턴이 시작되는지 알기 어렵도록 하는 방법이며, Fig. 9(b)는 패턴을 등록하는 과정에서 레이어 사이에 n개의 레이어 정보를 등록함으로써 공격자로 하여금 패턴 사이의 레이어 정보를 알기 어렵도록 하는 방법이다. 이 두 가지 방법은 복잡도 향상을 위해 서로 혼용하여 사용할 수 있으며, 이때 공격의 복잡도는 기존의 패턴 기반의 n승수로 증가한다.

 

4. 성능 평가

우리는 제안한 기법을 기존의 기법과 안전성 및 사용자 편의성 측면에서 비교 및 평가하기 위해 기존의 구글 패턴락을 포함한 관련연구에 언급된 5가지 기법들을 안전성 측면에서 무작위, 엿보기, 레코딩, 그리고 스머지 공격에 대해 비교하였고, 사용자 편의성 측면에서 입력 오류율, 입력속도, 처리속도, 그리고 사용자 직관성을 기준으로 하여 상호 비교하였다. 비교는 안드로이드 스마트폰에 내장된 구글의 패턴락 기법(3×3 기준)을 기준으로(Moderate)하였으며, 이 패턴락 기법에 비해 안전성 및 편의성의 높고 낮음을 표기하였다.

4.1 안전성 비교

다음의 Table 1은 가능한 공격 기법들 중 무작위 공격, 엿보기 공격, 레코딩 공격, 그리고 스머지 공격에 대한 안전성을 상호 비교한 것이다.

Table 1.L: Low, M: Moderate, H: High

위의 Table 1에 의하면, 구글의 패턴락 기법은 다른 사용자 인증 기법들에 비해 4가지 유형의 공격 및 혼합 공격에 대해 보안 안전성이 낮은 경향을 보인다. DAS의 경우, 무작위 공격은 키의 자릿수에 비례하여 공격 복잡도가 증가하므로 구글 패턴락에 비해 높은 수준의 안전성을 보인다. 그러나 엿보기 및 레코딩 공격은 사용자 비밀정보가 고스란히 노출될 위험이 있으며 레코딩 공격에 의해 알아내지 못한 사용자의 터치스크린 입력정보의 경우 스머지 공격의 조합으로 비밀정보의 취득 가능성이 있다. PIN-Entry의 경우, 무작위 공격에 대해 DAS와 유사한 수준이며 색정보 입력의 조합으로 인해 엿보기 공격의 난도가 높아지나, 레코딩 공격의 경우 공격자가 영상 재생을 통해 역산하는 과정을 거쳐 사용자의 비밀정보를 쉽게 취득 할 수 있다. 또한 스머지의 조합으로 레코딩 공격시 미처 취득하지 못한 정보에도 흔적 조사를 통해 공격이 더욱 정교해질 수 있다. PassFaces의 경우, 기존의 데이터베이스에서 추출된 3개의 인물사진정보의 조합으로 사용자를 인증하는 방식으로 3개의 정보가 갖는 자리수의 특성상 무작위 공격에 대한 취약성이 존재한다. 또한 모바일 장비를 사용시 터치스크린으로 사진정보를 선택하므로 엿보기 공격에 사진정보의 노출 가능성이 존재하며 더욱 발전된 공격인 레코딩 공격시 사용자 비밀정보의 누출을 피할 수 없으나, 스머지 공격에 대해서는 사진정보의 특성상 위치의 변화가 있으므로 패턴락보다 안전하다. MagiSign의 경우 생체 행위 정보에 기반한 인증으로 무작위 공격에 강인하나, 사용자의 인증 행위정보가 스마트폰 화면에 그대로 노출되면 엿보기 및 레코딩 공격에 취약하게 된다. 3축 기반 행위정보데이터로 인해 스머지 공격에 강인하나 앞의 레코딩 공격에 취약하므로 레코딩과 스머지 공격의 조합에도 취약하다. M.Transkey의 경우 패스워드 길이에 의해 무작위공격에 대한 암호학적 강도가 결정되며 이 기법의 주요 기능인 임의 공백 삽입도 기존 연구에서 밝힌 것과 같이 높은 확률적 키 적합성이 있어 안전하다고 할 수 없다. 또한 가상키보드 입력에서 제공하는 사용자 편의기능인 입력문자 표시기능으로 인해 엿보기 및 레코딩 공격 모두에 취약하다. 또한 스크린에 사용자의 입력 흔적이 남게 되므로 레코딩과 스머지 공격의 조합에도 취약하다. 제안하는 기법의 경우 레이어의 증가는 곧 암호학적 강도의 증가를 의미하므로 이에 의해 무작위 공격에 대한 보안 강도가 결정되며, 레이어가 다수 설정되어 있을 경우 엿보기 공격자는 사용자의 레이어의 수를 파악하기 어렵다. 레코딩 공격의 경우에도 레이어의 수와 위치 파악에 어려움이 있으며, 특히 스머지 공격의 경우, 레이어가 구현되어 있는 상태에서 스머지 추적에 의한 패턴 구현 공격은 의미가 없다. 결국 레이어 정보를 알아내지 않는 한 레코딩과 스머지 공격의 조합도 큰 영향을 미치지 못한다.

4.2 사용자 편의성 비교

다음의 Table 2는 사용자 편의성 측정을 위한 항목으로서 비밀정보 입력시 발생하는 오류, 입력 속도, 비밀정보 입력절차를 포함한 전체 처리 속도, 그리고 사용자 직관성을 구글 패턴락을 기준으로 상호 비교한 비교표이다.

Table 2.L: Low, M: Moderate, H: High

위의 Table 2에 의하면 구글 패턴락의 경우 패턴을 그리는 기법 특성상 문자인지 보다 높은 편의성을 갖고 있으며 입력 속도와 응답 및 처리 측면에서도 매우 빠르다. 또한 사용자 UI 의 편리함으로 사용자는 별다른 어려움 없이 바로 자기 비밀정보 즉, 패턴을 입력하고 바로 사용할 수 있다. DAS의 경우, 기존의 보안 터치키패드를 사용하여 사용자 직관성 면에서는 좋으나 입력 방법에 키를 숨기는 기능이 있으므로 입력 절차가 증가하여 속도 면에서는 손실이 있으며, 이로 인해 사용자 인증에 소요되는 전체 시간도 늦어진다. PIN-Entry의 경우, 4자리의 비밀정보 입력에 각각 4단계의 색 선택절차가 포함되어 있어 사용자 인증에 지연시간이 있고, 사용자 키 입력방법에 있어서도 패턴락 대비 사용자 이해가 낮다. PassFaces의 경우, 단순히 사진 정보를 선택하여 사용자 인증을 진행하는 방법이다. 사진 정보와 순서를 기억해야하는 점과 입력에 있어 사진 정보 비교에 소요되는 시간이 사용자마다 차이가 있으며 연습이 필요하다는 점이 있으나, 직관성 면에서는 매우 높은 수준을 보인다. MagiSign의 경우, 입력오류를 제외하고 구글의 패턴락과 유사한 수준의 사용자 편의성을 확보하고 있으나 별도의 디바이스가 필요하다는 점이 있고, 입력 오류 또한 free space 상에서 수집ㅗ디는 자기 센서 정보에 의존하므로 입력 오차와 알고리즘 오류가 발생할 가능성이 높다. M.Transkey의 경우 전통적인 쿼티 기반 비밀키 입력 기법으로써 사용자 직관성 면에서 별도의 교육이 필요하지 않으며 기존의 문자기반 입력과 동일하여 사용자에게 친숙하나 비밀정보 입력속도와 전체 처리속도면에서 보다 패턴락 대비 느리다. 제안하는 방법은 패턴 등록화면을 제외한 입력화면은 구글의 패턴락과 동일하여 사용자 직관성 면에서 기존의 것과 차이가 없다. 입력에 발생하는 오류의 경우 레이어의 존재유무 및 레이어 개수에 의해 결정되는 부분이 있어, 레이어 정보를 포함할 경우 패턴락대비 동등한 수준의 오류율을 보이며 레이어 증가에 비례하여 입력오류가 증가할 수 있다. 인증에 소요되는 시간 및 입력시간은 레이어 이동에 대한 시간비용이 추가되어 패턴락 대비 지연시간이 있다.

 

5. 결 론

본 논문에서는 기존의 범용 패턴인증 알고리즘의 취약점을 개선한 새로운 레이어 기반의 패턴 등록 및 인증 기법을 제안하였다. 안전성 및 사용자 편의성 비교 결과 제안하는 방법은, 기존의 구글 패턴락 기법 및 DAS, PIN-Entry, PassFaces, MAgiSign, M.Transkey에 비해 높은 안전성, 특히 스머지 및 레코딩 공격에 대해 상대적으로 안전하며 사용자 편의성도 구글의 패턴락 기법 수준으로 비교적 높은 사용자 편의성을 확보하였다. 이 기법은 최근 증가하는 사회공학적 공격기법들에 대해 효과적인 대응이 가능할 것으로 예상되며, 향후 사회공학적 공격에 대한 확장 연구로써 우리는 제안하는 방법과 같이 스마트폰의 터치스크린에 직접 접촉하는 접촉식 사용자 인증 기법이 아닌 MagiSign 과 같이 비접촉식으로 이루어지는 형태의 새로운 사용자 인증 기법을 제안하고자 한다.