• 정보보호학회지
• /
• 제27권1호
• /
• pp.31-38
• /
• 2017

오랜 기간 널리 사용되어온 패스워드 인증 기법은 여전히 대표적인 사용자 인증 수단이지만 그 사용성과 안전성 측면에서 여러모로 부정적인 부분이 많다. 일반적으로 사용자는 기억하기 쉽도록 간단한 패스워드를 선택하는 반면 서버는 추측공격에 대해 비교적 안전하도록 복잡한 패스워드의 사용을 권장한다. 취약한 패스워드의 사용은 전체 시스템의 안전에 큰 영향을 미치게 되므로 사용자가 패스워드를 선택하는 시점에 미리 패스워드의 강도 즉 안전성을 측정하여 피드백하기 워한 기법에 관한 연구가 다각적으로 이루어져 왔다. 또한 그 일부를 다양한 방법으로 시각화하여 이미 상용시스템에 적용하고 있다. 하지만 여전히 정확한 강도 측정과 안전한 패스워드의 사용성 제고를 위한 해결이 필요하며 따라서 이와 같은 패스워드 강도 측정 방법의 일반화를 위한 연구가 꾸준히 진행되고 있다. 본 논문에서는 텍스트 기반의 패스워드 강도 측정에 관한 연구동향을 살펴보고 분석한다.

• 정보보호학회지
• /
• 제20권6호
• /
• pp.7-16
• /
• 2010

인터넷 및 통신 기술의 발전은 사용자로 하여금 금융, 방송, 게임 등의 온라인 서비스 제공에 대한 시간 및 공간적 제한을 없애 주였지만, 다른 한편으로는 해커 등의 악의적 사용자로 인한 피해 가능성도 높이고 있다. 이를 해결하기 위한 다양한 보안 기법 가운데 하나가 OTP를 이용한 사용자 인증 방법이다. OTP는 재사용하지 않는 패스워드로서 기존 패스워드 인증 방식이 갖는 취약점을 해결할 수 있는 방식이다. 하지만 OTP 생성 단말의 도난이나 서버 해킹으로 인한 패스워드 추측공격 또는 Stolen verifier 공격 등에 취약할 수 있다. 본 논문에서는 위와 같은 문제점을 해결하기 위해서 두 가지 인증 정보 즉, 시간 기반 OTP 생성방식인 TOTP 및 패스워드를 이용하는 새로운 Two-Factor 인증 프로토콜인 POTP(Password embedded OTP)를 제안한다. 제안한 방식은 재전송 공격에 안전하며, 공격자가 OTP 생성용 디바이스를 획득하더라도 패스워드를 유추할 수 없고 서버의 인증 정보 데이터베이스를 획득하더라도 정상적인 사용자로 위장할 수 함께, 서버에서 인증 정보 보관시 연산 속도가 빠른 해쉬 함수를 이용할 수 있어 보다 효율적이다.

• 정보보호학회논문지
• /
• 제7권2호
• /
• pp.27-42
• /
• 1997

본 논문은 패스워드 기반 시스템을 위해서 안전하고 효율적인 인증 및 키 분배 프로토콜을 제안한다. 기존의 프로토콜들이 패스워드 기반 시스템에서 사용될 경우 패스워드 추측 공격(guessing attack)에 노출되었으며, 이를 저지하기 위해서 다시 설계된 프로토콜들은 부가적인 오버헤드를 수반하였다. 제안하는 프로토콜은 일시 패드(one-time pad)와 강한 성질의 일방향 해쉬 함수를 이용하여, 안전성과 효율성을 도모한다. 따라서 다른 프로토콜과 비교할 때 제안하는 프로토콜은 추측 공격을 포함한 다양한 프로토콜 공격에 대해서 안전하며, 또한 통신량 및 계산량을 최소화하는 면에서 효율적이다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2007년도 추계학술발표대회
• /
• pp.1254-1257
• /
• 2007

유비쿼터스 환경이 구축됨에 따라서 온라인상에서 사용자를 인증하고 적합한 서비스를 제공할 수 있도록하기 위하여 OTP(One-Time Password)에 대한 연구가 활발히 진행되고 있다. 하지만 ID와 고정된 패스워드의 대안으로 연구되고 있는 OTP 또한 중간자공격에 취약하여 패스워드 노출 문제가 발생하고, 기존의 사용되고 있는 방식이 6~8자리의 OTP를 사용하고 있기 때문에 자릿수를 알았을 경우 사전공격 및 추측 공격이 가능할 수 있다. 기존의 OTP는 OATH와 RSA에서 연구하고 있어 두 가지 표준으로 구분된다. 그 중 OATH에서 연구하고 있으며 RFC 4226에 기술되어 있는 HOTP는 Hash-based MAC을 이용하여 안전한 OTP를 생성하고 있다 하지만 HOTP도 자릿수(Digit)가 고정되어 있어 사전 공격 및 추측 공격에 취약할 수 있다. 따라서 본 방식은 HOTP의 자릿수를 가변적으로 생성하는 R(Random digit)-OTP를 생성함으로써 제 3자의 공격으로부터 안전하게 하였다.

• 한국컴퓨터정보학회논문지
• /
• 제14권3호
• /
• pp.133-138
• /
• 2009

최근 Lin[7] 등은 자신이 선택한 패스워드와 스마트카드를 이용하여 원격지에 있는 사용자를 인증할 수 있는 스킴을 제안하였다. 그러나 제안된 스킴은 패스워드를 기반으로 하는 스마트카드를 이용한 사용자 인증 스킴에서 고려하는 보안 요구사항을 만족하지 못한다. 본 논문에서는, Lin 등이 제안한 스킴에서 공격자가사용자의 스마트카드를 훔치거나 일시적으로 접근하여 그 안에 저장된 점보를 추출하여 사용자의 패스워드를 알아낼 수 있음을 off-line패스워드 추측 공격 방식을 이용하여 증명하였다. 또한 스마트 카드를 이용한 인증 스킴을 분석하기 위해 보안 요구사항을 제안하였고, 분석 결과 Lin 등에 의해 제안된 인증 스킴은 다수의 보안 요구사항들을 만족하지 못함을 알 수 있었다. 이를 개선한 방식으로서 사용자의 패스워드 검증자를 서버에 저장하지 않고 사용자와 서버가 동시에 상대방을 인증할 수 있는 상호 인증방식을 제시하였다.

• 한국산학기술학회논문지
• /
• 제12권12호
• /
• pp.5895-5901
• /
• 2011

본 논문에서는 An[7]이 제안한 스킴이 패스워드 기반 스마트카드를 이용한 사용자 인증 스킴에서 고려하는 보안 요구사항을 만족하지 못함을 보였다. 이러한 보안 취약점을 해결하기 위하여 해시함수와 ElGamal 서명기반의 개선된 사용자 인증 스킴을 제안한다. 제안한 사용자 인증 스킴은 패스워드 추측공격, 위장공격, 재전송공격에 대응할 수 있고, 순방향 비밀성을 제공하는 스킴이다. 제안한 스킴은 An의 인증 스킴과 비교할 때,계산복잡도는 별 차이가 없이 유사하나, 안전성은 상대적으로 효율적임을 알 수 있다.

• 한국정보과학회논문지:시스템및이론
• /
• 제36권4호
• /
• pp.304-310
• /
• 2009

인터넷의 범용적인 사용으로 많은 사용자들이 분산된 컴퓨팅 환경에서 원격 서버에 접속하는 일이 빈번해 지고 있다. 하지만 인증된 보호시스템 없이 안전하지 않은 채널을 통한 데이터의 전송은 재생공격이나 오프라인 패스워드 공격 및 가장공격등과 같은 문제점들에 노출되어 있다. 이에 따라 악의적인 공격들을 막기 위해 스마트카드를 이용한 인증프로토콜들에 대해 활발히 연구되고 있다. 본 논문은 패스워드 기반 사용자 인증시스템의 취약성을 분석하고 이에 대해 개선된 사용자 인증 시스템을 제안한다.

• 한국인터넷방송통신학회논문지
• /
• 제11권5호
• /
• pp.131-137
• /
• 2011

최근에 Lin 등은 패스워드와 스마트 카드를 이용하여 원격지에 있는 사용자를 인증할 수 있는 스킴을 제안하였다. 그러나 Lin 등에 의해 제안된 시킴은 패스워드 기반 스마트 카드를 이용한 사용자 인증 스킴에서 고려해야 하는 보안 요구사항을 만족하지 못하고 있다. 본 논문은 공격자가 사용자의 스마트 카드를 훔치거나 일시적으로 접근할 수 있는 경우에 Lin 등의 스킴은 off-line 패스워드 추측공격에 취약하다는 것을 증명한다. 따라서 이와 같은 보안 취약점을 해결하기 위해 해쉬함수와 랜덤 nonce 기반의 개선된 인증 스킴을 제안한다. 본 연구에서 제시하는 사용자 인증 스킴은 패스워드 추측공격 및 위조공격과 재생공격이 불가능하도록 구현되고, 또한 사용자와 인증서버 간 상호인증을 제공한다. 따라서 제안된 인증 스킴은 Lin 등의 스킴에 비해 상대적으로 효율적이고 보안성이 강화된 스킴임을 알 수 있다.

• 한국컴퓨터정보학회논문지
• /
• 제26권9호
• /
• pp.89-96
• /
• 2021

본 논문에서는 Al-Saggaf 등이 제안한 TMIS(Telecare Medicine Information System)를 위한 사용자 인증 기법을 분석하였다. 2019년에 Al-Saggaf 등이 제안한 인증 기법은 생체정보를 이용한 인증 기법으로, Al-Saggaf 등은 그들의 인증 스킴이 매우 적은 계산 비용으로 다양한 공격에 대한 높은 비도를 보장한다고 주장하였다. 그러나 본 논문에서 Al-Saggaf 등의 인증 기법을 분석한 결과, Al-Saggaf 등의 인증 기법은 서버에서 사용자의 ID를 계산해내기 위해서 필요한 난수 s가 DB에서 누락되었고, 서버의 ID SID를 사용자에게 전달하는 방식이 부재하여 인증 기법의 설계 오류가 존재하였다. 또한 Al-Saggaf 등은 그들의 인증 기법이 다양한 공격에 안전하다고 주장하였으나, 로그인 요청 메시지와 스마트카드를 사용한 패스워드 추측 공격, 세션키 노출, 내부자 공격 등에 취약하였다. 또한 공격자는 추측한 패스워드를 사용하여, DB에 패스워드로 암호화하여 저장된 사용자의 생체정보까지 복호화할 수 있었다. 생체정보의 노출은 사용자의 개인정보에 대한 아주 심각한 침해이고, 이로 인하여 공격자는 사용자 가장 공격에 성공할 수 있다. 게다가 Al-Saggaf 등의 인증 스킴은 ID 추측 공격에도 취약하여, 그들이 주장했던 것과 달리 TMIS에서 중요한 사용자 익명성을 보장하지 못한다.

• 정보보호학회지
• /
• 제17권3호
• /
• pp.12-17
• /
• 2007

최근 인터넷과 같은 통신 기술이 급속도로 발전함에 따라, 많은 서비스들이 온라인을 통해서 이루어지고 있다. 그러나 인터넷은 개방형 네트워크이기 때문에 공격자에 의한 시스템 침입, 도청 돈과 같은 여러 공격이 쉽게 발생된다. 특히 기존에 오프라인 상에서 이루어지던 은행 거래와 상거래가 인터넷 뱅킹과 전자상거래와 같이 온라인상에서 이루어짐에 따라 그 위험 수준은 더욱 높아지고 있다. 이러한 환경에서 사용자 인증은 안전한 통신을 위한 필수적인 요소라 할 수 있다. 대표적인 인증 방법으로 ID/Password 방식이 사용된다 하지만 ID/Password의 경우 추측이나 도청에 의해 쉽게 공격될 수 있는 단점을 가지고 있다. 이러한 단점을 극복할 수 있는 인증 기법이 매번 새로운 패스워드를 생성하는 일회용 패스워드(OTP: One-Time Password) 기술을 활용한 인증 방법이다. 본 논문에서는 이러한 OTP 기술 분석 및 표준화 동향에 대해 소개하고자 한다.