Abstract
In the fintech environment, Smart phones are mainly used for various service. User authentication technology is required to use safe services. Authentication is performed by transmitting authentication information to the server when the PIN or password is entered and touch the button completing authentication. But A post-attack is possible because the smudge which is the trace of using screen remains instead of recording attack with a camera or SSA(Shoulder Surfing Attack). To prevent smudge attacks, users must erase their fingerprints after authentication. In this study, we proposed a technique to determine whether to erase fingerprints. The proposed method performed erasing fingerprint which is the trace of touching after entering PIN and designed the security keypads that processes instead of entering completion button automatically when determined whether the fingerprint has been erased or not. This method suggests action that must erase the fingerprint when entering password. By this method, A user must erase the fingerprint to complete service request and can block smudge attack.
핀테크 환경에서 다양한 서비스를 제공하기 위해 스마트 폰을 대표적으로 사용하고 있다. 또한, 스마트 폰에서의 안전한 서비스를 이용하기 위해 사용자 인증기술이 요구되고 있다. 인증하기 위해 PIN이나 패스워드를 입력하고 완료 버튼을 터치한 순간 서버에 인증정보를 전달하여 인증을 수행한다. 하지만 카메라 등을 이용한 레코딩 공격, 엿보기 공격이 아니더라도 터치스크린 사용 흔적인 스머지가 남게 되어 사후 공격이 가능하다. 스머지 공격을 차단하기 위해 사용자는 인증 후 사용자는 지문을 지워야 한다. 본 연구에서 지문 지우기 여부를 판단할 수 있는 기법을 제안하였다. 제안기법은 PIN를 입력한 다음에 터치한 흔적인 지문 지우기를 수행하고, 지우기 여부를 판단되면 자동으로 입력 완료 버튼 대신에 처리하는 보안 키패드를 설계하였다. 패스워드 입력시 반드시 지문을 지우는 동작을 요구하는 방식이다. 이 기법을 통해 사용자는 반드시 지문 지우기를 해야만 서비스 요청이 완료되어 스머지 공격을 차단할 수 있다.