• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 추계학술발표대회
• /
• pp.516-519
• /
• 2014

Cloud computing is an up-and-coming paradigm shift transforming computing models from a technology to a utility. However, security concerns related to privacy, confidentiality and trust are among the issues that threaten the wide deployment of cloud computing. With the advancement of ubiquitous mobile-based clients, the ubiquity of the model suggests a higher integration in our day to day life and this leads to a rise in security issues. To strengthen the access control of cloud resources, most organizations are acquiring Identity Management Systems (IDM). This paper presents one of the most popular IDM systems, specifically OAuth, working in the scope of Mobile Cloud Computing which has many weaknesses in its protocol flow. OAuth is a Delegated Authorization protocol, and not an Authentication protocol and this is where the problem lies. This could lead to very poor security decisions around authentication when the basic OAuth flow is adhered to. OAuth provides an access token to a client, so that it can access a protected resource, based on the permission of the resource owner. Many researchers have opted to implement OpenlD alongside OAuth so as to solve this problem. But OpenlD similarly has several security flows. This paper presents scenarios of how insecure implementations of OAuth can be abused maliciously. We incorporate an authentication protocol to verify the identities before authorization is carried out.

• 인터넷정보학회논문지
• /
• 제16권1호
• /
• pp.21-28
• /
• 2015

최근 다양한 웹 서비스와 어플리케이션들이 사용자에게 제공되고 있다. 이러한 서비스들은 인증된 사용자에 한해서 서비스를 제공하기 때문에 사용자는 매번 서비스 별로 인증을 수행해야 하는 불편함을 겪고 있다. 이러한 불편함을 해결하기 위해 $3^{rd}$ Party 어플리케이션이 웹 서비스에 대하여 제한된 접근 권한을 얻을 수 있게 해주는 OAuth(Open Authorization) 프로토콜이 등장하게 되었다. 이러한 OAuth 프로토콜은 사용자에게 편리하고 유연한 서비스를 제공한다. 그러나 OAuth 2.0 프로토콜에서는 재전송 공격, 피싱 공격, 위장 공격 취약점이 발생할 수 있다. 그러므로 본 논문에서는 OAuth 2.0 프로토콜의 보안성 향상을 위하여 E-mail인증을 통해 Resource Owner를 인증 후 Access Token 발급을 할 수 있는 방법을 제안한다.

• 디지털융복합연구
• /
• 제12권8호
• /
• pp.289-294
• /
• 2014

최근 다양한 웹 서비스와 어플리케이션들이 사용자에게 제공되고 있다. 이러한 서비스들은 인증된 사용자에 한해서 서비스를 제공하기 때문에 사용자는 매번 서비스 별로 인증을 수행해야 하는 불편함을 겪고 있다. 이러한 불편함을 해결하기 위해 3rd Party 어플리케이션이 웹 서비스에 대하여 제한된 접근 권한을 얻을 수 있게 해주는 OAuth(Open Authorization) 프로토콜이 등장하게 되었다. 이러한 OAuth 프로토콜은 사용자에게 편리하고 유연한 서비스를 제공하지만 권한 획득에 대한 보안 취약점을 가지고 있다. 그러므로 본 논문에서는 OAuth 2.0 프로토콜에서 발생할 수 있는 보안 취약점을 분석하고 이러한 보안 취약점을 보완한 방안을 제시한다.

• 정보보호학회논문지
• /
• 제27권1호
• /
• pp.5-14
• /
• 2017

많은 웹 서비스가 OAuth 프로토콜을 이용하여 리소스 서버로부터 프로필 정보를 전달받아 사용자를 로그인시켜주는 형태로 제공되어 추가적인 회원가입의 불편함을 줄여주고 있다. 하지만, 작업을 종료한 사용자가 클라이언트 웹 서비스를 로그아웃하더라도 리소스 서버가 로그인 상태로 남아 사용자의 개인정보 및 리소스 서버 자원 유출에 대한 문제가 발생할 수 있다. 본 논문에서는 OAuth 프로토콜을 통해 로그인한 사용자가 클라이언트에서 로그아웃할 경우, 리소스 서버의 로그인 상태에 관한 알림을 통하여 사용자가 리소스 서버의 로그아웃 여부를 판단할 수 있도록 설계 및 구현하였다. 본 논문에서 제안하는 방법을 활용하여 OAuth 프로토콜을 통해 로그인한 사용자가 도서관, 백화점, 인쇄소와 같이 여러 사용자가 이용하는 공용 PC 환경에서 리소스 서버에 로그아웃 여부를 확인하지 않아 발생할 수 있는 정보유출 문제를 줄이고 리소스 서버의 자원을 보호할 수 있다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2016년도 춘계학술대회
• /
• pp.348-351
• /
• 2016

최근 IoT 환경에서 많은 디바이스들의 등장과 더불어 특정 사용자만 접근 가능한 보호된 네트워크가 필요하게 되었다. IoT 네트워크 환경에 OAuth 프로토콜을 적용하여 인증하게 되면 보다 쉽게 네트워크 인증 체계를 구축할 수 있으나 OAuth는 공격자가 Token을 가로채게 되면 쉽게 공격에 노출되는 단점이 있어 2차 인증이 필수적이라고 할 수 있다. 궁극적인 IoT는 Fog Computing이 필수적이다. Fog Computing은 Cloud를 확장시켜 network Core에서 뿐만 아니라 Edge에서도 Computing이 가능하게 하고, node간의 통신을 가능하게 하는 플랫폼이다. Fog Computing의 장점으로는 Location awareness나 Support for mobility 등을 들 수 있다. Fog Computing내에서 사용할 인증이 이런 Fog Computing의 장점을 살린다면, 더 IoT에 걸맞은 인증을 할 수 있을 것이다. 이에 2차 인증에 기존의 인증서나 id/password, 또는 group key같은 번거로운 것을 이용하지 않고 Cyber-Physical-Social System을 사용한다면 user의 편리성을 더 증가시킬 수 있을 것이다. 본 연구에서는 Cyber-Physical-Social System기반의 인증에 관한 연구를 진행하려 한다.

• 정보보호학회논문지
• /
• 제27권2호
• /
• pp.373-381
• /
• 2017

현재 국내 금융거래에서는 공인인증서를 중심으로 하는 다양한 사용자 인증방식이 사용되고 있다. 이러한 공인인증서 방식은 사용자가 개별 금융사의 웹서버에 접속할 때마다 서로 다른 보안모듈을 설치해야 하는 문제가 있다. 금융사 중심의 이러한 인증방식은 앞으로 생체인증 등의 차세대 인증방식이 새롭게 도입될 때마다 금융사마다 새로운 보안모듈을 추가적으로 설치해야 하는 문제가 발생한다. 이러한 문제를 해결하기 위해 본 논문에서는 금융거래 시 각 금융사를 대신하여 사용자 인증을 전담하는 통합 인증기관을 상정하고, 이를 중심으로 사용자 및 금융사 웹서버 삼자 간에 안전한 사용자 인증을 처리하는 통합인증 프로토콜을 제안한다. 새로운 인증 프로토콜은 OAuth2.0을 변형하여 안전성과 효율성을 증가한 프레임워크로써, 인증서버 및 금융사 웹서버 간 사전에 공유된 비밀키로 도전-응답 프로토콜을 수행하는 것이 특징이다. 이를 통해 사용자는 편리하고 안전한 통합인증(SSO: Single-Sign-On) 효과를 누리게 된다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2012년도 제46차 하계학술발표논문집 20권2호
• /
• pp.373-375
• /
• 2012

최근 다양하고 전문적인 웹 서비스와 어플리케이션들이 사용자를 위해 제공되고 있다. 이러한 서비스들은 보통 사용자의 인증을 거친 뒤 검증된 사용자에 한해 서비스를 제공하기 때문에 사용자는 매번 서비스별로 회원가입을 해야 하는 불편함을 겪고 있다. 이러한 불편함을 해결하기 위해 제 3의 서비스가 사용자의 보호된 데이터에 접근할 수 있도록 허가하는 OAuth 프로토콜이 등장하게 되었다. 본 논문에서는 OAuth 프로토콜의 동작과정과 문제점을 분석하고 피싱 공격 방어를 위한 확장된 프로토콜을 제안한다. 본 논문에서 제안하는 프로토콜은 기존의 OAuth 프로토콜에 인증 절차를 추가한 것이다.

• 정보보호학회논문지
• /
• 제28권1호
• /
• pp.111-122
• /
• 2018

안드로이드 운영체제의 서드파티 애플리케이션들은 사용자의 계정 및 개인정보에 대한 접근 권한을 획득하기 위해 OAuth 프로토콜을 이용하여 계정 정보 제공자들로부터 사용자의 크리덴셜 및 사용자의 자원에 접근할 수 있는 권한을 내포하는 접근 토큰을 전달받는다. 이러한 크리덴셜 및 토큰 정보는 안드로이드 운영체제가 제공하는 OAuth 관련 데이터 관리 방식에 의해 기기 내부에 저장되는데, 이 정보가 유출될 경우 공격자는 유출된 크리덴셜 및 토큰 정보를 이용하여 사용자의 계정에 대한 자유로운 로그인 및 데이터 접근이 가능하다. 이러한 특징은 디지털 포렌식 수사관이 증거 데이터를 수집하는 관점에서 피압수자가 사용하는 서비스의 원격지 서버로부터 직접 데이터를 수집하는 것을 가능하게 한다. 원격지에서 수집되는 증거 데이터는 2차적인 영장발부의 토대로 작용함으로써 수집한 디지털 증거의 증거능력을 확보할 수 있기 때문에 피압수자가 안드로이드 기기에서 애플리케이션 삭제 등의 증거 인멸을 시도한 경우 매우 중요한 증거가 될 수 있다. 본 논문에서는 다양한 안드로이드 운영체제 및 기기 환경에서 OAuth 토큰의 관리 현황을 분석하고, 이를 이용하여 다양한 서드파티 애플리케이션의 데이터를 수집하는 방법을 소개한다. 이를 통해 디지털 포렌식 관점에서 피압수자가 사용하는 서비스의 원격지 데이터를 수집함으로써 증거 수집의 영역을 확장할 수 있는 방안을 제안한다.

• 한국멀티미디어학회논문지
• /
• 제19권2호
• /
• pp.308-315
• /
• 2016

With the advancement in the area of cloud storage services as well as a tremendous growth of social networking sites, permission for one web service to act on the behalf of another has become increasingly vital as social Internet services such as blogs, photo sharing, and social networks. With this increased cross-site media sharing, there is a upscale of security implications and hence the need to formulate security protocols and considerations. Recently, OAuth, a new protocol for establishing identity management standards across services, is provided as an alternative way to share the user names and passwords, and expose personal information to attacks against on-line data and identities. Moreover, OwnCloud provides an enterprise file synchronizing and sharing that is hosted on user's data center, on user's servers, using user's storage. We propose a secure Social Networking Site (SSN) access based on OAuth implementation by combining two novel concepts of OAuth and OwnCloud. Security analysis and performance evaluation are given to validate the proposed scheme.

• Genomics & Informatics
• /
• 제14권1호
• /
• pp.20-28
• /
• 2016

Internet addiction (IA) has become a widespread and problematic phenomenon as smart devices pervade society. Moreover, internet gaming disorder leads to increases in social expenditures for both individuals and nations alike. Although the prevention and treatment of IA are getting more important, the diagnosis of IA remains problematic. Understanding the neurobiological mechanism of behavioral addictions is essential for the development of specific and effective treatments. Although there are many databases related to other addictions, a database for IA has not been developed yet. In addition, bioinformatics databases, especially genetic databases, require a high level of security and should be designed based on medical information standards. In this respect, our study proposes the OAuth standard protocol for database access authorization. The proposed IA Bioinformatics (IABio) database system is based on internet user authentication, which is a guideline for medical information standards, and uses OAuth 2.0 for access control technology. This study designed and developed the system requirements and configuration. The OAuth 2.0 protocol is expected to establish the security of personal medical information and be applied to genomic research on IA.