• 정보보호학회논문지
• /
• 제27권4호
• /
• pp.731-742
• /
• 2017

보안에 관한 많은 암호 기술의 도입에도 불구하고 어깨 넘어 훔쳐보기 등과 같은 사회공학적인 공격은 원천적으로 차단하기 어려운 공격기법이다. 현금자동입출기기와 같이 개방된 공간에 설치된 금융시설에서는 더욱 그러한 공격을 차단하기 어렵다. 이뿐 아니라 업무처리 비중이 점점 늘고 있는 온라인 금융 서비스는 공간의 제약 없이 어디서나 사용가능하다는 편리성의 이면에 어깨 넘어 훔쳐보기, 스머지 공격, 구글 글라스를 이용한 비밀번호의 위치점 유추 등의 공격에 취약한 부분이 있다. 본 논문에서는 현금자동입출기기와 인터넷 뱅킹에서 원타임 키패드(One-Time Keypad)를 사용함으로 비밀번호 유출에 안전함을 보이고, 기존에 사용되는 키패드와 OTP (One-Time Password)와의 보안성을 비교 분석하였다.

• 한국콘텐츠학회논문지
• /
• 제14권12호
• /
• pp.565-573
• /
• 2014

인터넷이 활성화되면서 우리는 PC나 스마트폰에서 온라인 뱅킹, 주식 거래, 쇼핑 등의 다양한 전자상거래를 한다. 인터넷 상에서 거래 당사자 간의 신원확인 및 부인방지를 위한 주요 수단으로 공인인증서를 주로 활용한다. 하지만, 2005년 이후로 공인인증서 사용자에 대한 공격이 증가하고 있다. 즉, 공격자는 사용자 PC로부터 탈취한 공인인증서와 개인키 파일을 가지고, 은행 계좌 조회/이체나 전자상거래에 정당한 사용자로 위장하여 사용하게 된다. 이때, 개인키 파일은 사용자의 비밀번호로 암호화되어 저장되고, 필요할 때마다 복호화 되어 사용한다. 만약, 사용자의 비밀번호가 공격자에게 노출된다면 암호화된 개인키 파일을 쉽게 복호화 할 수 있다. 이러한 이유로 공격자는 사용자 PC에 트로이목마, 바이러스 등의 악성코드를 설치하여 사용자 인증서, 개인키 파일, 비밀번호를 탈취하려고 한다. 본 논문에서는 개인키 파일을 OTP 인증기술을 이용하여 암호화함으로써 안전하게 관리할 수 있는 방안을 제안한다. 그 결과, 암호화된 개인키 파일이 외부에 노출되더라도 일회용 패스워드와 사용자 비밀번호가 노출되지 않으므로 암호화된 개인키 파일은 안전하게 보관된다.

• 한국컴퓨터정보학회논문지
• /
• 제14권6호
• /
• pp.27-32
• /
• 2009

최근 컴퓨터 통신 기술이 발달함에 따라 대부분의 정보 서비스가 온라인으로 이루어지고 있으며, 온라인 정보들의 가치 또한 높아지고 있다. 그러나 정보 기술의 발달과 더불어 이를 공격하기 위한 다양한 공격 기법들도 생기고 있으며, 이러한 공격으로부터 안정한 온라인 서비스를 제공하기 위해서 일반적인 ID/Password 방식의 정적인 Password를 이용하는 것이 아니라 매번 새로운 Password를 생성하는 OTP를 이용하게 되었다. 현재는 OTP 토큰을 이용한 2-Factor OTP 생성 방식이 주로 이용되고 있다. 그러나 2-Factor 인증 방식은 OTP 토큰의 분실 또는 도난과 같은 물리적 공격에 대한 방어책을 제시하지 못한다. 본 논문에서는 이와 같은 문제를 해결하기 위해 HMAC을 이용한 3-Factor 인증 방식을 제안하며, 이와 함께 제안한 인증 방식에 대한 안전성을 평가한다.

• 한국콘텐츠학회논문지
• /
• 제11권12호
• /
• pp.88-93
• /
• 2011

공격자는 SIP의 취약한 인증구조로 인해 정상적인 사용자로 위장하는 공격이 용이하다. 이러한 위장공격을 대응하기 위해 HTTP Digest 인증 기법 또는 제 3의 기관에서 발급된 개인키를 이용하고 있다. 그러나 기존의 제안된 방법들은 보안상 취약점을 가지고 있거나 추가적인 오버헤드로 인한 서비스 지연의 문제점이 있다. 본 연구에서는 사전에 공유한 패스워드와 SIP UA(User Agent)가 SIP 등록 서버(Registrar)에 등록 시에 주고받는 메시지들의 시간 정보를 이용하여 자동적으로 일회용 패스워드를 생성하고 이를 이용하여 위장공격에 대응하는 인증 방식을 제안한다. 이 방식은 SIP의 인증절차를 크게 수정하지 않고도 보다 안전한 SIP 환경을 구축할 수 있다.

• 한국산업정보학회논문지
• /
• 제17권6호
• /
• pp.25-30
• /
• 2012

시스템에 접근하려는 합법적 이용자를 구분하거나 승인하는 수단으로, 아이디(ID)와 패스워드 조합을 통한 인증 기법은 사용자에게 익숙하고, 단순하며, 비교적 수월하게 적용할 수 있다. 그러나 단일 요소를 이용하는 현재의 패스워드 인증 기법은 강력한 보안을 제공하지 않으며, 관리의 허술함으로 많은 문제점을 포함하고 있다. 또한 개별 사용자에게 패스워드 관리에 대한 모든 책임을 부과할 수 없기 때문에 보안성이 강화된 개선된 인증 기법이 필요하다. 이 논문에서는 반응시간의 적절한 범위를 확인하고, 수신 장치를 통해 SMS를 이용한 양방향 이중 인증의 새롭고, 개선된 기법을 제안한다.

• 정보처리학회논문지C
• /
• 제8C권4호
• /
• pp.373-378
• /
• 2001

사용자 고유번호와 패스워드 기반의 사용자 인증 메커니즘을 수행하는 네트워크 시스템 환경에서는 스니퍼 프로그램 등을 이용하여 불법 도청함으로써 쉽게 사용자 패스워드를 알아낼 수 있다. 이러한 불법적인 도청에 의한 패스워드 노출 문제를 해결하는 방법으로 일회용 패스워드, challenge-response 인증 방식이 유용하게 사용되며, 클라이언트/서버 환경에서는 별도 동기가 필요 없는 시간을 이용한 일회용 패스워드 방식이 특히 유용하게 사용될 수 있다. 그러나 시간을 이용한 일회용 패스워드 방식에서는 시간편차에 의한 인증 실패가 발생할 수 있다. 이 논문에서는 시간편차에 의한 인증이 실패할 가능이 있는 기간을 표시하는 1-비트 정보를 이용하여, 시간편차에 의한 실패가 발생하지 않는 효율적인 일회용 패스워드 알고리즘을 제안한다. 제안된 알고리즘은 기존의 시간을 이용한 일회용 패스워드 시스템에 프로토콜의 변경 없이 쉽게 구현이 가능하다.

• 한국통신학회논문지
• /
• 제40권8호
• /
• pp.1597-1605
• /
• 2015

패스워드 인증 키 교환 프로토콜(Password Authenticated Key Exchange: PAKE)은 서버와 클라이언트가 서로 인증하고 키를 교환하는 알고리즘이다. 패스워드를 여러 개의 서버에 나누어 저장해서, 모든 서버가 손상되지 않으면 패스워드나 키가 유출되지 않는 알고리즘은 다중 서버 PAKE다. 속성 기반 암호화 방식에서는 암호화 하는 주체가 원하는 속성을 모두 만족하여야 복호화가 가능한 특징이 있다. 본 논문에서는 속성 기반 암호화 방식의 속성 값을 패스워드로 보아, 공개키/개인키를 별도로 생성하지 않고 공개키 기반 암호화가 가능한 다중 서버 PAKE 프로토콜을 제안한다. 제안한 프로토콜은 서버 당 한 번의 메시지 교환이 필요하며 사전(dictionary) 공격에 안전하다. 또한 사전 공격에 대한 위협 모델을 제시하고 보안 분석을 통하여 안전성을 검증하였으며, 사용한 암호 알고리즘의 수행시간 측정을 통해 제안한 프로토콜의 실현가능성(feasibility)을 검토한다.

• 한국통신학회논문지
• /
• 제38B권5호
• /
• pp.377-384
• /
• 2013

비밀번호 기반의 사용자 인증은 동일한 비밀번호를 반복 사용하므로 보안이 취약하여 OTP(One-Time Password)가 도입되었다. 하지만 보안이 강화된 OTP를 서버와 동기된 모바일 기기에서 생성하여 PC에 입력하는 경우 PC가 악성코드에 감염되어 있으면 해커가 사용자 계정과 비밀번호 그리고 OTP값을 해킹할 수 있다. 본 논문에서는 OTP값 유출에 따른 보안 취약성을 해소하기 위해 사용자는 계정과 비밀번호를 PC에 입력하여 서버인증을 수행하고, PC 화면에 출력된 QR코드를 모바일 기기에서 스캔하여 OTP값을 직접 서버로 전송함으로써 정보 유출에 따른 해킹을 방지하고 PC에 OTP값을 입력하는 불편함을 줄이는 새로운 이중 인증 방식인 DTOTP를 제안한다. 시스템은 이중 전송을 통해 PC인증 방식의 OTP 보다 향상된 보안성을 제공하면서 기존 OTP 알고리즘을 그대로 사용할 수 있어 구현이 용이하며 은행, 포털 및 게임 서비스 등에 안전하게 활용할 수 있다.

• 융합보안논문지
• /
• 제18권2호
• /
• pp.11-17
• /
• 2018

Lamport 일회용 패스워드(OTP)는 고정된 패스워드 그리고 패스워드의 사전공유라는 단순 패스워드가 지니는 문제점을 해결하기 위해 해시체인에 기반을 두고 있다. 하지만 Lamport 방식은 길이가 유한한 해시체인의 해시값을 OTP로 사용하기 때문에 해시체인을 구성하는 해시값들을 모두 소진한 이후에는 새로운 해시체인의 루트 해시값을 재 등록해야 한다는 단점을 가지고 있다. 이 같은 단점을 해결하기 위해 여러 연구가 진행되었으나 증명자와 검증자에 대한 계산 부담이 증가하는 등 새로운 단점이 노출되었다. 따라서 본 논문에서는 Lamport 방식의 장점을 유지하면서 동시에 단점을 해결하기 위해 기존 Lamport 방식 OTP의 핵심인 하나의 긴 해시체인 대신에 여러 개의 짧은 해시체인을 중첩 구성하는 새로운 방식의 OTP를 제안하고 비교 분석한다.

• 한국정보과학회논문지:소프트웨어및응용
• /
• 제31권9호
• /
• pp.1218-1225
• /
• 2004

S/KEY 시스템은 공격자의 패스워드 재공격을 방지하기 위해 제안되었다. 하지만 S/KEY 시스템은 공격자가 자신이 가지고 있는 사전에서 패스프레이즈(passphrase)를 유추해 낼 경우, 결국 인증을 하는데 필요한 일회용 패스워드를 알아낼 수 있는 취약점을 가지고 있다. 이 논문에서는 passphrase에 대한 사전공격을 방지하기 위해 EKE(Encrypted Key Exchange) 프로토콜을 적용한 새로운 S/KEY 시스템을 제시한다. 그리고 새로 제안된 S/KEY 시스템의 안전성을 검증하기 위해 Casper와 CSP로 프로토콜을 명세하고, FDR 모델 체커를 이용하여 그 안전성을 검증하였다.