• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 추계학술발표대회
• /
• pp.516-519
• /
• 2014

Cloud computing is an up-and-coming paradigm shift transforming computing models from a technology to a utility. However, security concerns related to privacy, confidentiality and trust are among the issues that threaten the wide deployment of cloud computing. With the advancement of ubiquitous mobile-based clients, the ubiquity of the model suggests a higher integration in our day to day life and this leads to a rise in security issues. To strengthen the access control of cloud resources, most organizations are acquiring Identity Management Systems (IDM). This paper presents one of the most popular IDM systems, specifically OAuth, working in the scope of Mobile Cloud Computing which has many weaknesses in its protocol flow. OAuth is a Delegated Authorization protocol, and not an Authentication protocol and this is where the problem lies. This could lead to very poor security decisions around authentication when the basic OAuth flow is adhered to. OAuth provides an access token to a client, so that it can access a protected resource, based on the permission of the resource owner. Many researchers have opted to implement OpenlD alongside OAuth so as to solve this problem. But OpenlD similarly has several security flows. This paper presents scenarios of how insecure implementations of OAuth can be abused maliciously. We incorporate an authentication protocol to verify the identities before authorization is carried out.

• 인터넷정보학회논문지
• /
• 제16권1호
• /
• pp.21-28
• /
• 2015

최근 다양한 웹 서비스와 어플리케이션들이 사용자에게 제공되고 있다. 이러한 서비스들은 인증된 사용자에 한해서 서비스를 제공하기 때문에 사용자는 매번 서비스 별로 인증을 수행해야 하는 불편함을 겪고 있다. 이러한 불편함을 해결하기 위해 $3^{rd}$ Party 어플리케이션이 웹 서비스에 대하여 제한된 접근 권한을 얻을 수 있게 해주는 OAuth(Open Authorization) 프로토콜이 등장하게 되었다. 이러한 OAuth 프로토콜은 사용자에게 편리하고 유연한 서비스를 제공한다. 그러나 OAuth 2.0 프로토콜에서는 재전송 공격, 피싱 공격, 위장 공격 취약점이 발생할 수 있다. 그러므로 본 논문에서는 OAuth 2.0 프로토콜의 보안성 향상을 위하여 E-mail인증을 통해 Resource Owner를 인증 후 Access Token 발급을 할 수 있는 방법을 제안한다.

• 정보보호학회논문지
• /
• 제28권6호
• /
• pp.1343-1354
• /
• 2018

표준 인증유지기술로 널리 사용되고 있는 OAuth 2.0 Bearer 토큰, JWT(JSON Web Token) 기술은 고정된 토큰을 반복 전송하는 방식을 이용하고 있어서 네트워크 공격자에 의한 도청공격에 취약하기 때문에 HTTPS 보안통신 환경에서 사용해야 한다는 제약이 있다. 평문통신 환경에서도 사용할 수 있는 인증유지기술로 제안된 OAuth 2.0 MAC 토큰 기술은 서버가 인증된 클라이언트에게 공유된 비밀키를 발급하고 인증요청시 이를 이용하여 MAC 값을 계산하여 제시하는 방식을 사용하는데 서버는 사용자별 공유비밀키를 관리해야 하므로 무상태(stateless) 인증을 제공할 수 없다는 단점이 있다. 이 논문에서는 서버측에서 사용자별 공유비밀키를 관리하지 않고도 무상태 MAC 토큰 인증을 수행할 수 있도록 개선된 난수화 토큰인증 프로토콜을 제시한다. 전체 인증과정에서 HTTPS를 사용할 필요가 없도록 하기 위하여 서버인증서를 이용한 초기인증보안, 인증서토큰을 이용한 전자서명 간편로그인 등의 기술을 난수화 토큰인증 기술과 결합하여 적용함으로써 완전한 무상태형 인증서비스를 제공할 수 있도록 설계하였으며 그 구현 사례를 제시한다.

• 정보보호학회논문지
• /
• 제28권1호
• /
• pp.111-122
• /
• 2018

안드로이드 운영체제의 서드파티 애플리케이션들은 사용자의 계정 및 개인정보에 대한 접근 권한을 획득하기 위해 OAuth 프로토콜을 이용하여 계정 정보 제공자들로부터 사용자의 크리덴셜 및 사용자의 자원에 접근할 수 있는 권한을 내포하는 접근 토큰을 전달받는다. 이러한 크리덴셜 및 토큰 정보는 안드로이드 운영체제가 제공하는 OAuth 관련 데이터 관리 방식에 의해 기기 내부에 저장되는데, 이 정보가 유출될 경우 공격자는 유출된 크리덴셜 및 토큰 정보를 이용하여 사용자의 계정에 대한 자유로운 로그인 및 데이터 접근이 가능하다. 이러한 특징은 디지털 포렌식 수사관이 증거 데이터를 수집하는 관점에서 피압수자가 사용하는 서비스의 원격지 서버로부터 직접 데이터를 수집하는 것을 가능하게 한다. 원격지에서 수집되는 증거 데이터는 2차적인 영장발부의 토대로 작용함으로써 수집한 디지털 증거의 증거능력을 확보할 수 있기 때문에 피압수자가 안드로이드 기기에서 애플리케이션 삭제 등의 증거 인멸을 시도한 경우 매우 중요한 증거가 될 수 있다. 본 논문에서는 다양한 안드로이드 운영체제 및 기기 환경에서 OAuth 토큰의 관리 현황을 분석하고, 이를 이용하여 다양한 서드파티 애플리케이션의 데이터를 수집하는 방법을 소개한다. 이를 통해 디지털 포렌식 관점에서 피압수자가 사용하는 서비스의 원격지 데이터를 수집함으로써 증거 수집의 영역을 확장할 수 있는 방안을 제안한다.

• 한국인터넷방송통신학회논문지
• /
• 제15권4호
• /
• pp.153-159
• /
• 2015

정보기술과 헬스케어의 발전으로 건강데이터를 효율적으로 관리하여 다양한 의료 서비스를 제공받을 수 있게 되었다. 환자나 건강인들이 자신이 받은 의료 서비스로부터 발급받은 건강데이터를 축적하면 자신의 건강상태를 추적할 수 있어 효율적인 건강관리가 가능해지고 의료 비용도 줄일 수 있는 장점이 있다. 본 논문에서는 개인이 다양한 기관으로부터 발급받은 건강데이터를 클라우드 스토리지에 저장하여 자신의 건강상태를 관리할 수 있는 건강데이터 중계프레임워크를 설계한다. 건강데이터 중계프레임워크가 클라우드 스토리지에 액세스할 수 있는 인증을 효율적으로 하기위해 OAuth2 인증 프로토콜을 적용한다. 제안된 건강데이터 중계 프레임워크는 클라우드 스토리지에 축적된 건강데이터를 이용하여 다양한 건강 서비스를 개발하는데 효과적으로 사용될 수 있다.

• 한국산학기술학회논문지
• /
• 제16권11호
• /
• pp.8057-8063
• /
• 2015

사물인터넷은 센서, 통신, 인터페이스 기술들이 유기적으로 동작해야 하는 ICT의 대표적인 사례로 스마트 홈, 스마트 빌딩, 스마트 시티 등 다양한 분야에 활용될 수 있을 것으로 기대되며, 세계 각국에서는 사물인터넷 관련 기술에 대한 연구를 진행하고 있다. 하지만 사물인터넷은 보안 측면에서 지속적으로 문제가 제기되고 있다. 그 중에서도 프라이버시에 대한 문제는 사물인터넷에서 꼭 해결해야 할 문제이다. 사용자를 인증하는 과정에서 사용자 정보를 남기지 않는다면 이러한 프라이버시 문제를 해결할 수 있으며, 본 논문에서는 프라이버시 문제를 해결할 수 있는 사물인터넷 환경에 적합한 OAuth 기반의 사용자 인증 프레임워크를 제안하고 안전성을 분석한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.292-295
• /
• 2018

Open API의 사용이 대중화되면서 대형 포털사이트 및 대형 소셜 네트워크 서비스에 입력한 개인정보를 바탕으로 사용자들이 원하는 서비스를 제공하는 외부 서비스(Third-party application)의 수가 계속 증가하고 있다. 이러한 외부 서비스들이 정보 제공자에게 개인정보를 요청할 때, 외부 서비스가 권한 부여를 받은 정당한 요청을 하는지 여부를 확인하기 위해 OAuth 인증 프레임워크를 사용한다. 그러나 외부 서비스가 유효한 요청을 하고 있음을 판단하기 위해 사용하는 엑세스 토큰을 탈취하면 이를 이용하여 로그인 과정을 우회할 수 있으며, 개인정보 또한 쉽게 취득 가능하다. 본 논문에서는 이러한 취약점을 해결하기 위해 OAuth 인증 프레임워크에 2차적인 인증과정을 추가하여 엑세스 토큰의 탈취를 방지하여 사용자의 계정정보와 개인정보를 보호하는 프레임워크를 제시한다.

• 인터넷정보학회논문지
• /
• 제13권6호
• /
• pp.55-62
• /
• 2012

그리드 환경에서 그리드 서비스를 웹 인터페이스 및 웹 서비스로 제공하기 위해 웹 표준 기술에 기반을 둔 그리드-웹 애플리케이션이 증가하고 있다. 그러나 웹 표준 보안 구조에서 위임 인증 방법의 부재로 웹 애플리케이션에 그리드 보안 시스템 GSI를 통합하는 것은 매우 어렵다. 이를 해결하기 위해서는 온라인 자격증명 저장 서비스를 이용하여 웹 애플리케이션에서 그리드 자격증명을 사용할 수 있도록 해야 한다. 본 논문에서는 그리드-웹 애플리케이션과 사용자 간의 상호 신뢰를 전제로 하는 온라인 자격증명 저장 서비스인 MyProxy를 사용하는 방법의 문제점을 분석하고, 상호 신뢰를 바탕으로 하지 않는 그리드 자격증명 위임 서비스를 제안한다. 이 서비스의 자격증명 교환 프로토콜은 OAuth에 X.509 인증 위임 절차를 추가한 것이다. 이 위임 서비스는 그리드-웹 애플리케이션에게 단일 로그온을 제공하고, 하나 이상의 그리드 자격증명을 위임하고 획득할 수 있는 보안 방법을 제공한다.

• Genomics & Informatics
• /
• 제14권1호
• /
• pp.20-28
• /
• 2016

Internet addiction (IA) has become a widespread and problematic phenomenon as smart devices pervade society. Moreover, internet gaming disorder leads to increases in social expenditures for both individuals and nations alike. Although the prevention and treatment of IA are getting more important, the diagnosis of IA remains problematic. Understanding the neurobiological mechanism of behavioral addictions is essential for the development of specific and effective treatments. Although there are many databases related to other addictions, a database for IA has not been developed yet. In addition, bioinformatics databases, especially genetic databases, require a high level of security and should be designed based on medical information standards. In this respect, our study proposes the OAuth standard protocol for database access authorization. The proposed IA Bioinformatics (IABio) database system is based on internet user authentication, which is a guideline for medical information standards, and uses OAuth 2.0 for access control technology. This study designed and developed the system requirements and configuration. The OAuth 2.0 protocol is expected to establish the security of personal medical information and be applied to genomic research on IA.

• 정보보호학회논문지
• /
• 제27권2호
• /
• pp.373-381
• /
• 2017

현재 국내 금융거래에서는 공인인증서를 중심으로 하는 다양한 사용자 인증방식이 사용되고 있다. 이러한 공인인증서 방식은 사용자가 개별 금융사의 웹서버에 접속할 때마다 서로 다른 보안모듈을 설치해야 하는 문제가 있다. 금융사 중심의 이러한 인증방식은 앞으로 생체인증 등의 차세대 인증방식이 새롭게 도입될 때마다 금융사마다 새로운 보안모듈을 추가적으로 설치해야 하는 문제가 발생한다. 이러한 문제를 해결하기 위해 본 논문에서는 금융거래 시 각 금융사를 대신하여 사용자 인증을 전담하는 통합 인증기관을 상정하고, 이를 중심으로 사용자 및 금융사 웹서버 삼자 간에 안전한 사용자 인증을 처리하는 통합인증 프로토콜을 제안한다. 새로운 인증 프로토콜은 OAuth2.0을 변형하여 안전성과 효율성을 증가한 프레임워크로써, 인증서버 및 금융사 웹서버 간 사전에 공유된 비밀키로 도전-응답 프로토콜을 수행하는 것이 특징이다. 이를 통해 사용자는 편리하고 안전한 통합인증(SSO: Single-Sign-On) 효과를 누리게 된다.